Phishing, saldırganların hassas bilgileri ifşa etmeleri veya fidye yazılımı gibi kötü amaçlı yazılım yüklemeleri için insanları aldattığı bir sosyal mühendislik ve dolandırıcılık biçimidir. Phishing saldırıları giderek daha karmaşık hale geldi ve çoğu zaman hedeflenen siteyi şeffaf bir şekilde yansıtarak, kurban sitede gezinirken saldırganın her şeyi gözlemlemesine ve kurbanla ek güvenlik sınırlarını aşmasına olanak tanımaktadır.
Phishing diğer bir adıda Yemleme’dir.
Phishing (kimlik avı) genellikle hackerların hedef kişilere indirim, hediye veya benzeri cezbedici sahte iletiler gönderilerek parola, kimlik bilgisi ve yahut kredi kartı bilgilerini çalmaya çalışmasına verilen isimdir.
9 Farklı Phishing yöntemi vardır;
- E-posta kimlik avı(Email phishing): Genellikle e-posta spam’ı yoluyla gönderilen kimlik avı saldırıları, kişilerin hassas bilgileri veya oturum açma kimlik bilgilerini vermeleri için kandırmaya çalışır. Çoğu saldırı, kişi hedeflenmeyen ve bunun yerine geniş bir kitleye toplu olarak gönderilen “toplu saldırılardır”. Saldırganın hedefi, finansal kurumlar, e-posta ve bulut üretkenlik sağlayıcıları ve akış hizmetleri gibi ortak hedeflere göre değişiklik gösterebilir. Çalınan bilgiler veya erişim, para çalmak, kötü amaçlı yazılım yüklemek veya hedef kuruluş içindeki diğer kişilere yönelik kimlik avı yapmak için kullanılabilir. Güvenliği ihlal edilmiş yayın hizmeti hesapları, darknet pazarlarında da satılabilir.
Bu tür sosyal mühendislik saldırısı, banka veya devlet kurumu gibi güvenilir bir kaynaktan geliyormuş gibi görünen dolandırıcılık e-postaları veya mesajları göndermeyi içerebilir. Bu mesajlar genellikle kullanıcıdan oturum açma kimlik bilgilerini girmesinin istendiği sahte bir oturum açma sayfasına yönlendirir.
- Yemleme kancası(Spear phishing):Hedef odaklı kimlik avı, belirli bir kişiyi veya kuruluşu meşru olduğuna inandırmak için kişiselleştirilmiş e-postalar kullanan, hedefli bir kimlik avı saldırısıdır. Başarı şansını artırmak için sıklıkla hedef hakkındaki kişisel bilgileri kullanır. Bu saldırılar genellikle yöneticileri veya hassas finansal verilere ve hizmetlere erişimi olan finans departmanlarındaki kişileri hedef alır. Muhasebe ve denetim firmaları, çalışanlarının erişebildiği bilgilerin değeri nedeniyle hedef odaklı kimlik avına karşı özellikle savunmasızdır.
Farklı yaş grupları arasında hedef odaklı kimlik avı duyarlılığı üzerine yapılan bir araştırma, 100 genç kullanıcının %43’ünün ve yaşlı kullanıcıların %58’inin 21 gün boyunca günlük e-postalardaki kimlik avı simülasyonu bağlantılarına tıkladığını ortaya çıkardı. Yaşlı kadınlar en yüksek duyarlılığa sahipken, genç kullanıcılardaki duyarlılık çalışma boyunca azaldı, ancak yaşlı kullanıcılarda sabit kaldı.
- Balina avcılığı ve CEO dolandırıcılığı:Balina avcılığı saldırıları, üst düzey yöneticileri ve diğer yüksek profilli kişileri, genellikle bir mahkeme celbi veya müşteri şikayetiyle ilgili olarak özelleştirilmiş içerikle hedeflemek için hedef odaklı kimlik avı tekniklerini kullanır.
CEO dolandırıcılığı, çalışanları offshore bir hesaba para göndermeleri için kandırmak amacıyla üst düzey yöneticilerden sahte e-postalar göndermeyi içerir. Başarı oranı düşüktür ancak kuruluşların büyük miktarda para kaybetmesine neden olabilmektedir.
- Clone phishing: Clone phishing, eki veya bağlantısı olan meşru bir e-postanın kopyalanıp kötü amaçlı içerik barındıracak şekilde değiştirildiği bir saldırı türüdür. Değiştirilen e-posta daha sonra orijinal gönderenden geliyormuş gibi görünen sahte bir adresten gönderilir. Saldırı, orijinal e-postanın yeniden gönderilmesi veya güncellenmesi gibi görünebilir. Saldırganın meşru e-postaya erişebilmesi için genellikle gönderenin veya alıcının önceden farklı bir saldırıya uğramasına dayanmaktadır.
- Sesli kimlik avı (Voice phishing): IP Üzerinden Ses (VoIP), saldırganların çok sayıda kişiye otomatik telefon aramaları yaptığı, genellikle metinden konuşmaya sentezleyicileri kullanarak, hesaplarında dolandırıcılık faaliyeti iddiasında bulunduğu Vishing veya sesli kimlik avı saldırılarında kullanılır. Saldırganlar, arayan telefon numarasını meşru bir banka veya kurumdan geliyormuş gibi gösterecek şekilde taklit ederler. Daha sonra mağdurdan hassas bilgileri girmesi isteniyor veya bilgi edinmek için sosyal mühendislik taktiklerini kullanan canlı bir kişiye bağlanılıyor. Vishing, e-posta kimlik avına kıyasla halkın sesli telefona olan daha düşük farkındalığından ve güveninden yararlanır.
- SMS kimlik avı (SMS phishing): SMS kimlik avı veya smishing , yem mesajı iletmek için cep telefonundan veya akıllı telefondan gelen kısa mesajları kullanan bir tür kimlik avı saldırısıdır. Kurbandan genellikle bir bağlantıya tıklaması, bir telefon numarasını araması veya saldırganın sağladığı e-posta adresiyle iletişime geçmesi istenir. Daha sonra, diğer web sitelerine ait oturum açma kimlik bilgileri gibi özel bilgileri sağlamaları istenebilir. Mobil tarayıcılarda URL’lerin sınırlı görüntülenmesi nedeniyle, mobil cihazlarda yasal olmayan bağlantıların belirlenmesindeki zorluk daha da artırmaktadır. Birçok akıllı telefon hızlı internet bağlantısına sahip olduğundan, smishing e-posta kimlik avı kadar etkili olabilmektedir. Smishing alışılmadık telefon numaralarından da gelebilir.
- Sayfa ele geçirme (Page hijacking): Sayfa ele geçirme, genellikle siteler arası komut dosyası kullanarak meşru web sayfalarının ele geçirilmesi yoluyla kullanıcıları kötü amaçlı web sitelerine veya istismar kitlerine yönlendirmeyi içerir. Bilgisayar korsanları, sunucuyu ziyaret eden meşru kullanıcılardan yararlanmak için güvenliği ihlal edilmiş web sitelerine MPack gibi yararlanma kitleri ekleyebilir. Sayfa ele geçirme aynı zamanda kötü amaçlı satır içi çerçevelerin eklenmesini de kapsayabilir ve bu da yararlanma kitlerinin yüklenmesine olanak tanır. Bu taktik genellikle kurumsal hedeflere yönelik “sulama deliği” (watering hole) saldırılarıyla birlikte kullanılır.
- Takvim kimlik avı(Calendar phishing):Takvim kimlik avı, kimlik avı bağlantıları içeren sahte takvim davetiyeleri göndermeyi içerir. Bu davetiyeler genellikle yaygın etkinlik isteklerini taklit eder ve takvimlere otomatik olarak kolayca eklenebilir. Bu tür sahtekarlığa karşı korunmak için, eski Google tıklama dolandırıcılığı çarı Shuman Ghosemajumder, takvim ayarlarının yeni davetiyelerin otomatik olarak eklenmeyeceği şekilde değiştirilmesini öneriyor.
- Quishing: QR kodları, kimlik avı saldırılarında kötü niyetli olarak kullanılıyor. “Susturma” terimi, bireyleri bir QR kodunun zararsız olduğu, ancak asıl amacın kötü niyetli olduğu ve hassas bilgilere erişmeyi amaçladığı yönünde kandırmayı içermektedir. Siber suçlular, masaüstü işletim sistemleriyle karşılaştırıldığında saldırılara karşı daha savunmasız olan, özellikle cep telefonlarındaki QR kodlarına duyulan güveni istismar etmektedir. Quishing saldırıları genellikle e-posta yoluyla QR kodlarının gönderilmesini, kullanıcıları hesapları doğrulamak için bunları taramaya teşvik etmeyi içerir ve bu da potansiyel cihazın güvenliğinin ihlal edilmesine yol açar. Kaynak doğrulanmadıkça dikkatli olunması ve QR kodlarının taranmasından kaçınılması tavsiye edilir.
Comments are closed