Sosyal Mühendislik
Last updated
Last updated
Hiç düşündünüz mü? Teknolojinin ve siber güvenlik önlemlerinin bu kadar gelişmiş olmasına rağmen, neden hâlâ insanlar ve kuruluşlar hacklenebiliyor? Nedir bu sosyal mühendislik denen illet? Nasıl sosyal mühendislik yapabilirim? Babam böyle pasta yapmayı nereden öğrendi? Merak etmeyin efenim, kafanızdaki tüm bu soru işaretlerine makalemizde cevaplar bulacağız! Kahvenizi veya çayınızı alıp koltuğunuza yaslanın ve yazdığım makalenin keyfini çıkarın. :)
Sosyal mühendislik, kısaca, insan davranışlarını manipüle ederek bilgi elde etme veya gizli erişim sağlama tekniğidir. Genellikle bilgi güvenliği bağlamında, teknik beceriler yerine insan psikolojisi ve sosyal etkileşim kullanıldığı için, yazılım ve donanım tarafında ne kadar büyük önlemler alınırsa alınsın, hedef kişi veya kurum üzerinde başarılı bir sosyal mühendisliğin önünde hiçbir engel duramaz. :)
Sosyal mühendislik saldırıları, çoğu zaman teknik güvenlik önlemlerini aşar. Bu nedenle, ne kadar iyi korunursa korunsun, birçok şirket sosyal mühendislik saldırıları yüzünden büyük maddi kayıplar yaşayabilir. Bu maddi kayıplar, şirketlerin güvenlik açıkları nedeniyle müşteri güvenini kaybetme riskini de beraberinde getirir. Yani kısacası, para itibardır efenim...
1990'larda internetin yaygınlaşmasıyla birlikte, sosyal mühendislik terimi daha fazla duyulmaya başlanmıştır. 2000'li yıllarda ise phishing saldırıları yaygın hale gelmiş ve birçok birey ile kuruluş hedef alınmıştır. Günümüzde ise, daha karmaşık ve hedeflenmiş saldırılar, özellikle sosyal medya ve mobil cihazlar aracılığıyla gerçekleştirilebilmektedir.
Tanımına bakacak olursak, fiziksel sosyal mühendislik kısaca yüz yüze etkileşimde bulunarak hedefi manipüle etmektir. Örneğin, bir ofis binasına izinsiz giriş yapabilmek için güvenlik görevlilerinin güvenini kazanabilirsiniz. Diyelim ki bir şirkete izinsiz girmek istiyorsunuz; kendinizden emin bir şekilde davranarak, o şirketin çalışanı gibi görünebilir ve şirketin içine sızabilirsiniz.
Bir diğer sosyal mühendislik türü ise sanal sosyal mühendisliktir; bu saldırılar, e-posta, telefon veya sosyal medya üzerinden gerçekleştirilebilir. Örneğin, hedefe sahte mesajlar göndererek gizli bilgilerini ele geçirmeye çalışabilirsiniz. Bir kullanıcıdan banka şifresini almak için, sanki bankadan geliyormuş gibi görünen sahte bir e-posta göndermek buna iyi bir örnektir.
Son olarak, karma sosyal mühendislik ise hem fiziksel hem de sanal yöntemlerin kombinasyonu olarak tanımlanabilir. Örneğin, fiziksel bir lokasyona girip oradaki insanları manipüle ederek bilgi edinebilirsiniz. Hedef bir binaya girip, orada çalışan birine sahte bir senaryo oluşturarak bilgi almak buna iyi bir örnektir. Yaratacağınız sahte durum tamamen sizin hayal gücünüze bağlıdır.
Bu sosyal mühendislik tekniğinde, sahte e-postalar ve web siteleri aracılığıyla hedef kişi veya kurumu oltaya takmaya çalışırız, tıpkı bir balığın oltadaki yeme takılması gibi. Hedefi oltaya çekmek için ona sahte bir e-posta gönderirken, güven vermek amacıyla tanınmış markaların isimlerini kullanabiliriz. Örneğin, kullanıcılara hesaplarını doğrulamaları için bir linke tıklamalarını isteyen sahte bir e-posta gönderebiliriz.
Pretexting, hedef üzerinde güven kazanmak için sahte bir kimlik veya senaryo oluşturmayı ifade eder. Örneğin, kendi kimliğinizi gizleyerek sahte bir telefon görüşmesi yapabilir ve hedef kişiye kurumsal bir arka planla yaklaşabilirsiniz; bir çalışan gibi davranarak hedeften bilgi isteyebilirsiniz.
Baiting, hedefin ilgisini çekmek için ona tuzak kurmaktır. Örneğin, kötü amaçlı yazılımlarla yüklü bir USB bellek bırakarak veya ilgi çekici içerikler sunarak hedefin dikkatini çekebilirsiniz. Kamuya açık bir alana kötü amaçlı yazılımlarla dolu bir USB bellek bırakmak buna iyi bir örnektir.
Son olarak, tailgating, yetkili birinin arkasından bir alana girmek olarak açıklanabilir. Örneğin, bir güvenlik kapısından geçerken, yetkili bir kişinin peşinden giderek içeri girmek. Hedef kişiden yardım isteyerek güven kazanmak da bu yöntemin bir parçasıdır; ofis binasına girmek için bir çalışanı izleyip kapıyı açtırmak buna iyi bir örnektir.
Sosyal mühendislikte kullanılan kötü amaçlı yazılımlar üçe ayrılır:
Spam E-posta Yazılımları, büyük hacimde sahte e-posta göndermek için kullanılır.
Kötü Amaçlı Yazılımlar, bilgisayarları veya cihazları ele geçirmek amacıyla kullanılır.
Keylogger'lar, klavyeden girilen bilgileri kaydetmek için kullanılır.
Hedef Belirleme, hedeflerin kimler olduğunu ve neden seçildiğini belirlemek için kullanılır.
Bilgi Toplama, sosyal medya ve diğer kaynaklardan veri toplama yoluyla gerçekleştirilir.
Psikolojik Profilleme, hedefin karakter yapısını, zayıf noktalarını ve ilgi alanlarını belirlemede etkilidir.
Öncelikle, hedefin güvenini kazanmak için doğru bilgileri vermek önemlidir. Sonrasında, hedefin korkularını kullanarak aceleci kararlar almasına yol açabilirsiniz. Son olarak, hedefin merakını uyandırarak ondan daha fazla bilgi elde edebilirsiniz.
Öncelikle, acil bir durum hissi uyandırıp hedefin eyleme geçmesini sağlayabilirsiniz. Ardından, hedefin güvenini kazanarak ondan daha fazla bilgi talep edebilirsiniz. Son olarak, hedefin duygusal durumunu anlayarak etkili bir iletişim kurma yolu bulabilirsiniz.
İlk ele alacağımız vaka, Yahoo! Veri İhlali. Yahoo! çalışanları, sahte bir e-posta ile manipüle edilerek milyonlarca veri sızdırıldı. Bu sızıntı sonucunda hem maddi kayıplar yaşandı hem de şirketin itibarı ciddi şekilde zarar gördü. İkinci vaka ise, Target Saldırısı. Yahoo'daki duruma benzer şekilde, sahte bir e-posta kullanılarak milyonlarca insanın verileri sızdırıldı. Bu başarılı saldırılar sonucunda büyük finansal zararlar yaşandı ve ihlallerin ardından markaların güvenilirliğinde ciddi bir düşüş meydana geldi.
Resmi kurumlarda veya özel şirketlerde, çalışanların sosyal mühendislik konusunda bilinçlendirilmesi ve gerçek saldırı senaryoları ile eğitilmeleri sağlanabilir.
Ek güvenlik katmanları ekleyerek hesaplar koruma altına alınabilir veya hassas bilgiler şifrelenerek güvenlik sağlanabilir.
Bilgi paylaşımı ve veri koruma politikaları oluşturulabilir veya sosyal medyada dikkatli ve bilinçli bir şekilde bilgi paylaşımı yapılabilir.
Bu tür saldırıların yasal sonuçları ve suçlamaları vardır en basitinden kişisel bilgilerin korunması yasaları.
Bilgi güvenliği uzmanlarının, sosyal mühendislik tekniklerini kullanırken bazı sorumlulukları vardır. Etik açıdan kabul edilebilir eğitim ve bilinçlendirme yöntemleri kullanmaları gerekmektedir.
Yapay Zeka ve Makine Öğreniminin Sosyal mühendislikteki rolü ve potansiyeli gelecekte dahada önem kazanıcaktır. Teknolojik gelişmelere bağlı olarak yeni tehditlerin ortaya çıkması olasıdır.
Sosyal mühendislikte, teknolojinin gelişmesiyle birlikte yeni yöntemler ve saldırı biçimleri ortaya çıkıyor. Sahte görüntü ve sesler kullanılarak insanlar üzerinde manipülasyon yapılabiliyor.
Sosyal mühendisliğin bilgi güvenliği üzerindeki etkileri ve organizasyonlar için risk yönetimi büyük önem taşır. Geçmişte ve günümüzde yaşanan olaylar, korunma stratejilerinin ve sürekli eğitimin gerekliliğini açıkça göstermektedir. Unutmayın ki, sosyal mühendislikte en zayıf halka her zaman insandır. :)
