Phishing kullanıcıların giriş bilgisi, kredi kartı numarası ve daha birçok hassas bilgilerini çalmaya yönelik olan yapılan bir sosyal mühendislik saldırısıdır. Bunun için saldırganlar kullanıcılara güvenilir gözükmeye çalışmaktadır. Phishing saldırıları genellikle e-posta, anlık mesajlaşma uygulamaları ve SMS ile yapılmaktadır. Bu kanallar üzerinden güvenilir gözükerek kullanıcılara zararlık içerik bulunan linkler gönderilmektedir. Bu saldırının ise çok yıkıcı sonuçları olabilmektedir. İzinsiz kredi kartı alışverişlerinden kimlik hırsızlığına kadar birçok durum phishing saldırısının sonucu arasında yer almaktadır. Dahası phishing bir işletmeye ya da devlet kurumuna advanced persistent thread (APT) saldırılarının bir parçası olarak da kullanılabilmektedir. Burada çalışan ya da çalışanlar güvenli ve hassas veriye erişebilmek için kapalı ağın içerisinde malware taşıya bilmektedir. Bu gibi saldırılara maruz kalan şirketler market payının küçülmesi, güven kaybı ve müşteri kaybı gibi ciddi durumlarla karşı karşıya kalmaktadır. Phishing saldırısının büyüklüğüne göre bu saldırı sonucunda uluslararası şirketlerin bile toparlanması son derece zor olabilmektedir.
Phishing Teknikleri
Phishing saldırıları dağıtım yöntemlerine göre ikiye ayrılmaktadır. Sayısız bağlantının gönderildiği saldırılar ve hedefli saldırılar phishing yöntemleridir.
Çoklu Saldırılar
E-mail, SMS ya da anlık mesajlaşma uygulamaları üzerinden yapılan saldırılardır. Saldırganlar burada zararlı linkleri binlerce kişiye göndermektedir. Çünkü belirli oranda kullanıcı bu saldırıdan zarar görecektir. Link gönderilen kullanıcı sayısı ne kadar çok olursa elde edilen bilgi de o derece çok olmaktadır. Bu saldırılarda genellikle gönderilen mesajlar banka, sigorta şirketi gibi güvenilir kurumların mesajlarını taklit etmektedir. Phishing için hazırlanan mailler, internet siteleri ve görseller bu kurumların logolarını, fontlarını ve imzalarını taklit etmektedir. Saldırganlar ayrıca kullanıcılara bir aciliyet hissi uyandırmaktadır. Bu genelde zaman kısıtlaması ile yapılmaktadır. Kullanıcılar panik olarak saldırılara daha kolay yenik düşmektedir. Son olarak kullanılan linkler de taklit edilen kurumların ve şirketlerin adreslerine benzer şekilde oluşturulmaktadır. Örneğin bir bankayı taklit eden saldırılar “bankaadi.com/giris-yap” adresine son derece benzeyen “bankaadi.girisyap.com” adresini kullanmaktadır. Paniğe kapılmış olan kullanıcılar linkteki farklılığı fark edemeden bilgilerini kaptırmaktadır.
Hedefli Phishing Saldırıları
Hedefli saldırılar adı üzerinde rastgele yerine bir kişiye ya da bir kuruma yönelik saldırılardır. Daha derin bir saldırı yöntemi olan hedefli saldırılarda saldırganların şirket ya da kişi hakkında özel bilgilere sahip olması gerekmektedir. Saldırganlar bu saldırılarda öncelikli olarak şirketin hassas bilgilerine erişim bilgilerine ve izinlerine sahip olmayı amaçlamaktadır. Bu bilgilerden birisi ele geçirildikten sonra şirketin verileri sızdırılmaktadır. Hedefli phishing saldırısı genellikle advanced persistent thread (APT) saldırılarının ilk adımı olarak kullanılmaktadır.
Phishing Kitleri
Phishing kitleri çok az teknik altyapıya sahip kişilerin bile phishing saldırısı yapabilmesi için hazırlanmış olan araçlardır. Bu kitlerin içerisinde internet sitesinin kaynakları ve sunucuya kurulması gereken araçlar yer almaktadır. Bu araçlar kurulduğunda saldırganların tek yapması gereken şey potansiyel kurbanlara mail göndermesidir. Ayrıca dark web’de phishing saldırıları için mail listeleri de satılmaktadır. Phishtank ve OpenPhish gibi siteler phishing kitlerinin listesini tutmaktadır. Bazı phishing kitleri kullanıcıların uzağa düşme şansını arttırmak için güvenilir markaları kullanmaktadır. Akamai tarafından yapılan araştırmalara göre Microsoft’u taklit eden 62, Paypal’ı taklit eden 14, DHL’i taklit eden 7 ve Dropbox’ı taklit eden 11 phishing kit’i bulunmaktadır. Duo Labs tarafından yapılan araştırmaya göre 3200 phishing kitinden 900’ü birden fazla yerde host edilmektedir ancak bu sayı daha da büyük olabilir. Phishing kitlerini incelemek aynı zamanda güvenlik ekiplerinin bu kitleri kimlerin kullandığını takip etmesini sağlamaktadır. Bu kitlerde yer alan e-posta adreslerini takip etmek saldırganlar ile çeşitli saldırılar arasında bağlantı kurmaya yardımcı olmaktadır.
Phishing Saldırılarından Korunmak
Hem bireyler hem de kurumlar için phishing saldırılarından korunmak mümkündür.
Bireyler Nasıl Korunabilir?
Bireyler için en kolay yöntemlerden biri phishing örneklerini görmektir. Özellikle dünyada çok yaygınlaşmış phishing saldırılarını incelemek sonrası saldırılardan korunmak için önemli bir yöntemdir. Bununla beraber e-posta, SMS ya da anlık mesajlaşma uygulamalarından gelen linkleri kontrol etmek gerekmektedir. Ayrıca bu linklerin nereye yönlendirme yaptığı da son derece önemlidir. Bilinen bir kaynaktan şüpheli mail geldiğinde hemen cevap yazmak yerine kaynakla iletişime geçip maili doğrulamak yapılması gerekenlerden bazılarıdır. Bazı sistemler iki adımlı doğrulama seçeceğine sahiptir. Bu seçenek kullanıldığında giriş yapıldıktan sonra e-posta ya da SMS olarak gelen doğrulama kodunun da kullanılması gerekmektedir. Ekstra bir güvenlik önlemi olarak 2FA oldukça işe yarardır.
Kurumlar Nasıl Korunabilir?
Kurumların IT bölümleri bu saldırıları önlemeye yönelik kurum içi eğitimler sağlamaktadır. Ayrıca gelen maillerde yer alan her linkin güvenliğini kontrol etmek de önemli adımlardan bir tanesidir. Orta ölçekli kurumlarda veri trafiği sürekli olarak takip edilmelidir. Bununla beraber yapılacak pen-testler sürekli olarak zayıf halkaların bulunmasını ve bunların kapatılmasını sağlamaktadır. Bazı firmalar phishing mail aldığını fark eden ve bunu bildiren çalışanlarına da çeşitli ödüller vermektedir ve bu şekilde çalışanlarını motive etmektedir.
