İş E-postası Ele Geçirme (BEC): En Pahalı Sosyal Mühendislik Saldırısı

İş E-postası Ele Geçirme (Business Email Compromise, BEC), teknik olarak en “basit” ama mali olarak en yıkıcı saldırı türlerinden biridir. Zararlı yazılım veya bir zafiyet gerektirmez; bunun yerine güveni ve yetkiyi sömürür. Tipik senaryo: bir yönetici veya tedarikçi kılığına giren saldırgan, muhasebeye sahte bir ödeme talimatı gönderir ve para, saldırganın hesabına transfer edilir. Kayıplar sıklıkla büyük meblağlara ulaşır.

BEC nasıl çalışır?

• Kimlik taklidi: Saldırgan, bir CEO, yönetici veya tedarikçi gibi görünen bir e-posta gönderir. Alan adı taklidi (benzer bir alan adı) veya gerçekten ele geçirilmiş bir hesap kullanılabilir.
• Aciliyet ve otorite: Mesaj genelde aciliyet (“bugün ödenmeli”), gizlilik (“kimseyle paylaşma”) ve otorite (üst yönetim) baskısı içerir; bu, kurbanı normal kontrolleri atlamaya iter.
• Sahte talimat: Bir ödeme, banka hesabı değişikliği veya hassas bilgi talep edilir.

BEC, teknik savunmaların çoğunu atlar çünkü zararlı bir dosya veya bağlantı içermeyebilir — sadece ikna edici bir metindir.

Savunma: teknik + süreç

Teknik önlemler tek başına yetmez; BEC bir süreç zafiyetidir.

Teknik:

• SPF/DKIM/DMARC ile alan adınızın taklit edilmesini zorlaştırın (DMARC reject özellikle önemli).
• Dış e-posta uyarısı: Kurum dışından gelen e-postaları görsel olarak işaretleyin.
• Benzer alan adı izleme: Markanıza benzeyen alan adı kayıtlarını izleyin.

Süreç (en kritik):

• Ödeme/banka değişikliklerinde ikinci kanal doğrulaması: Bir ödeme talimatını veya hesap değişikliğini, e-postadan bağımsız bir kanalla (telefonla, bilinen bir numaradan) doğrulayın. Bu tek kural, çoğu BEC’i durdurur.
• Onay eşikleri: Belirli tutar üstü ödemelerde çok kişili onay.
• Çalışan farkındalığı: Aciliyet + gizlilik + otorite kombinasyonunun bir uyarı işareti olduğunu öğretin.

Özet

BEC, zararlı yazılım değil güven ve yetki sömüren bir sosyal mühendislik saldırısıdır ve en pahalı türlerdendir. Savunma iki ayaklıdır: teknik tarafta SPF/DKIM/DMARC ile taklidi zorlaştırmak; süreç tarafında — ki en etkilisi budur — ödeme/hesap değişikliklerini e-postadan bağımsız bir ikinci kanalla doğrulamak. Aciliyet + gizlilik + otorite baskısı, her zaman bir uyarı işaretidir.

Kaynaklar: FBI: Business Email Compromise, CISA: Avoiding Social Engineering.

Alan adınızın taklit edilmesini zorlaştıran SPF/DKIM/DMARC kayıtları eksiksiz mi? CyberTestify’ın dış yüzey taraması e-posta kimlik doğrulama kayıtlarını kontrol eder.