Phishing (Oltalama) Saldırısı, Siber güvenlik dünyasında en çok kullanılan ve en etkili saldırı türlerinden biridir. Bunun nedeni siber güvenliğin en zayıf halkası olan insan zihnine saldırmasıdır. Siber saldırganlar, telefon veya e-posta yoluyla normal bir birey veya kurum gibi görünerek hedeflemiş olduğu sisteme sahip kişilere, güvenilir bir kuruluşun adını kullanarak karşı tarafa ait parola, banka hesabı, kredi kartı bilgileri veya herhangi bir sistemdeki oturumu gibi kritik bilgileri elde etmeye çalışır, belirli eylemleri gerçekleştirmelerini isteyerek gizli bilgileri açıklamaları için manipüle etmek üzere sosyal mühendisliği kullanırlar. Genel olarak gerçekleştirmiş oldukları saldırı yöntemi; e-posta adresine, anlaşmalı olduğu bankadan gelen bir bildirim, hediye, indirim kuponu gibi dikkat çekici sahte iletiler göndermek ve bu iletilerin arasına zararlı bağlantı ekleyerek hedefin bu bağlantıya tıklamasını sağlamaktır. Başka bir yöntem olarak da e-posta içerisine zararlı bir exe, pdf, docs gibi ek dosya ekleyip hedefin bunları indirmesi ve tıklamasını sağlamayı amaçlamaktadır.
Phishing saldırı yöntemleri genel olarak hedefin hassas bilgilerini ve gizli bilgileri çalmayı amaçlamaktadır. Son dönemlerde ise saldırganlar saldırıların etkisini artırmak amacıyla Ransomware olarak adlandırdığımız fidye yazılım kullanarak bilgileri şifreleyip, kritik verilere ulaşmamızı engellemekte ve şifrelemenin çözülebilmesi için fidye talep etmektedir. Hedefli Siber Saldırıların yaklaşık %85’i Phishing yöntemiyle gerçekleştirilmektedir ve gerçekleştirilen saldırılar hedefli olarak yapıldığı takdirde ise çok büyük bir başarı oranına sahip olmaktadır.
Phishing Saldırıları her geçen gün artış göstermektedir. Bu saldırıdan etkilenen şirketlerin de maddi hasarları her yıl artmaktadır. Bundan dolayı şirketler bu saldırı riskini önleme ihtiyacı duymaktadır.
Önlemler
Bu kadar tehlikeli ve etkili olan siber saldırıdan korunmak aslında zor değildir. Phishing saldırılarına karşı mücadelenin en etkili yolu bireylerin farkındalığının artırılmasıdır ve uygulamalı eğitimler ile farkındalığın sürekli olmasının sağlanmasıdır. Bunun yanı sıra zararlı dosyaların indirilmesini engellemek için EDR/EPP, gelen paketleri taramak için Firewall ve E-posta Güvenlik teknolojileri olmazsa olmazlardır.
Gerekli saldırı tatbikatlarını Phishing Simülasyon yazılımları kullanarak gerçekleştirdiğinizde; çalışanların, hangi phishing saldırılarından etkilendiğini tespit edebilirsiniz. Bu sayede kurum içerisinde farkındalık oluşturup bu farkındalığın sürekli hedeflenen seviyede kalmasını sağlayabilirsiniz. Phishing simülasyon uygulandıktan sonra farkındalık sayısal olarak analiz edilir. Sonuçları ölçümlenmeyen bir çalışmanın ne kadar etkili olduğunu bilemeyiz ve sonraki adımlar için plan yapmamız mümkün olmaz.
Phishing Simülasyon Araçlarının Faydalarını özetlemek gerekirse:
⦁ Kurumların kendi gerçekleri dikkate alınarak hazırlanan senaryolar ile çalışanların farkındalığı ölçülebilir.
⦁ Çalışanların karşılaştıkları bir siber olayla ilgili nasıl tepki verdiği görülebilir.
⦁ Personel gizliliğini ihlal etmeden, e-posta güvenliğinin kontrol edilebilmesine imkân verir.
⦁ Phishing senaryosu uygulandıktan sonra oluşan rapora göre sonraki adımlar planlanabilir.
⦁ Gerçek bir Phishing saldırısı gerçekleştiğinde topyekün hazırlıklı olunması sağlanır.
⦁ ISO 27001 ve ISO 27701 sürdürülebilirliği konusunda hissedilir destek verir.
⦁ KVKK tarafında gizli kalması gereken verilerin dışarıya sızdırılmadan önce
e-posta üzerinde sızdırılabileceği test edilir.
Kaynaklar:
resources.infosecinstitute.com
