SOSYAL MÜHENDİSLİK

Her ne kadar kulağa bir mühendislik dalı gibi gelse de, aslında internet korsanlarının hedeflerinde yer alan kişiyi aldatarak, istediği bilgileri ele geçirmesini sağlayan bir saldırı yöntemidir. Sosyal mühendislikte hedef alınan sisteme giriş yapmak için hedef alınan gerçek kişiler olmaktadır. Kişilerin zaaflarından veya dikkatsizliklerinden yararlanarak, normal yollardan elde edilmesi mümkün olmayan işe yarayacağı düşünülen küçük veya büyük her türlü bilgi elde edilmeye çalışılır. Bu kapsamda, sosyal mühendislik insan tabanlı ve bilgisayar tabanlı olarak iki başlığa ayrılmaktadır:

1. İnsan Tabanlı; insanlarla doğrudan iletişime veya etkileşime geçilerek, istenen bilgi doğrudan elde edilmektedir. Eski çağlardan beri kullanılmakta, dolandırıcı, aldatmayı hedeflediği kişiyle yüzyüze gelerek, istediği bilgiyi elde etmesini kolaylaştıracak bir kişinin kimliğine bürünmektedir. Bu sahte kimlik, bir polis, bir doktor, bir teknik servis elemanı gibi belli bir meslek grubu mensubu olabileceği gibi, yardım ve destek hizmetlerine ihtiyacı olan bir mağdur da olabilmektedir. Bazen kuruma bir çalışan olarak sızabilir, bazense kurum çalışanıyla arkadaş olarak gerekli bilgileri toplayabilir.
   
   
2. Bilgisayar Tabanlı; telefonun, bilgisayarın icadı ve internetin de yaygınlaşmasıyla birlikte, dolandırıcı artık insanlarla doğrudan iletişime geçmeden, gerçek kimliğinin tespit edilme ihtimalini de zorlaştıracak şekilde, elektronik sistemler kullanılarak  kişiler aldatmaktadır. E-posta ile dolandırıcık (phishing), telefonla dolandırıcılık (vishing), SMS mesajları (smishing) gerçeğinin birebir benzeri sahte siteler ile bilgi toplama, zararlı kodların kullanılması sonucu şifre elde etme vs. bunlardan birkaçıdır.
   
   

• PHISHING

Kelimenin kendisi bir “balık avında kullanılan yem” mantığını kullanıyor.  İlk bilgisayar korsanlarına “phone” ve “freaks” kombinasyonu şeklinde “phreaks” adı verilmiş. Diğer bir iddiaya göre ise , Phishing adı password ve fishing kelimelerinin bir araya gelmesiyle oluşturulmuş ve bu saldırı, isminden de anlaşılacağı gibi bir nevi olta atıp parola yakalamak anlamına gelmekte.

Kuruluşları  hedef alan sosyal mühendislik saldırılarındaki temel amaç, kurumsal bilgilerin ele geçirilmesi, değiştirilmesi, silinmesi, ele geçirilen bilgilerin kuruluşlar  aleyhine kullanılarak zarara uğratılmasıdır. Sosyal mühendislik yoluyla zarara uğramış kurumlar maddi zararla birlikte, İtibar ve güven kaybına da uğramaktalar, bu da daha fazla maddi zararla sonuçlanmaktadır.

Hali hazırda kullandığımız işletim sistemlerinin güvenliği ne kadar güçlü olursa olsun,  sistemdeki teknik bir güvenlik açığından yararlanmaya çalışmadığı ve karmaşık teknik uzmanlık gerektirmediği için aslında en kolay ama aynı zamanda en etkili siber saldırı türü. Çünkü bilgisiz ve bazen de dikkatsiz bir insanı kandırmak çoğu zaman bir bilgisayarı ele geçirmekten çok daha basit olabilmekte. Bu noktada, özellikle kurum çalışanlarının eğitilmesi, savunma mekanizmalarının güncellenerek yenilenmesi, gelişen ve değişen yöntemlere bağlı olarak zayıflıkların tespit edilerek önlemler alınması önem arz etmektedir.

Dolandırıcılar bu saldırıyı gerçekleştirirken bazı temel yöntemler izlemekte. Bunlar;

• Bir sahte kurumsal kimlik oluşturarak rastgele kullanıcı hesaplarına çoğunlukla e-posta gönderilir.
• E-postalar, kullanıcının bankasından, telefon operatöründen, e-posta veya internet hizmeti sağlayıcısından veya bilip kullandığı herhangi bir web sitesinden vs. gönderilmiş gibi gözükür.  
• Bu e-postalarda kullanıcıları orijinal siteyle hemen hemen aynı tasarıma ve içeriğe sahip bir başka web sitesine yönlendiren URL bağlantısı yer alır. Bu site aslında ya sahte ya da değiştirilmiş bir web sitesidir. Kullanıcılardan da bu siteye gittiklerinde phishing saldırısını yapan kişiye iletilmek üzere kişisel bilgilerini girmeleri istenir.
• Kişiler, sitenin orijinal olduğunu düşünerek bilgilerini girdiği takdirde, saldırganlar hassas kullanıcı verilerini elde edip, bu bilgileri parasal hırsızlık veya kimlik hırsızlığı şeklinde kullanabilmektedir.

Bu sistemi işletebilmeleri için ise kullandıkları birtakım senaryolar bulunmaktadır:

• E-posta adresine devamlı temas halinde olunan kuruluşlardan gelmiş gibi gösterilen sahte bir e-posta gönderilerek,
• Bir yarışma sonucunda kazandıkları ürünü alabilmeleri için gerekli kişisel bilgileri vermeleri gerektiği söylenerek,
• Müşteriye daha iyi hizmet verebilmeleri için kişisel bilgilerini güncellemesi gerektiği, bunun için tüm bilgileri tekrar girmesinin gerekli olduğu söylenerek,
• Kullanıcının e-posta kotasının dolduğu, eğer bilgilerini güncellemezse hesabının kapatılacağı söylenerek,
• Banka müşterilerine sanki kendi hesaplarına para gönderilmiş veya alınmış gibi gösterilip sahte banka sitesi linki verilerek bu paranın tahsil edilebilmesi için bilgi güncelleşmesi gerektiği söylenerek, yapılabilmektedir.

NELERİN ÇALINMASI AMAÇLANIYOR ?

• Kullanıcı Hesap Numaraları  
• Kullanıcı Şifreleri Ve Parolaları
• İnternet Bankacılığında Kullanılan Kullanıcı Kodu Ve Şifreleri
• Kredi Kartı Numaraları…
  

Geçmiş olaylara baktığımızda; merkezbanka.org alan adı üzerinden alınan alt alan adı olarak http://tcmb.gov.tr.teyit.merkezbanka.org adresi kullanılarak kurbanlar kandırılmaya çalışılmıştır.TCMB’nın resmi internet sitesinin http://www.tcmb.gov.tr olduğunu bilmeyen veya dikkatsizlik nedeniyle fark etmeyen kişi, sahte siteye yönlendirildiğinde bankanın orijinal sitesiyle birebir aynı sayfaya yönlendirildiğini anlamayarak istenilen bilgileri vermiştir.

2005 yılı içerisinde yapılan bir saldırıda hedef alınan Garanti Bankası için www.bank-garanti.com adresi kullanılmıştır.

• 419 TEKNİĞİ  (ÖN ÖDEME / AVANS  DOLANDIRICILIĞI)

“NİGERİAN PRİNCE SCAM” adıyla da bilinir. İlk olarak, ülkesinden kaçmak için yardıma ihtiyacı olduğunu söyleyen, Nijeryalı bir prens olduğunu iddia eden bir kişi tarafından gönderilen mail ile ortaya çıkmıştır. Nijerya Ceza Kanununun suçu yasaklayan 419. bölümünde düzenlendiğinden 419 tekniği olarak adlandırılmıştır. Amaç; kurbanın zaafının ortaya çıkması için aslında olmayan bir büyük paradan bahsedilir ve bu paraya ortak olabilmek için küçük bir miktar para gönderilmesi istenir.  E-posta kullanan çoğu kişinin gelen kutusunda sıklıkla rastladığı bir durumdur. Bu mailler bazen yabancı bir dille gönderilir, bazense bozuk ve devrik cümlelerden oluşan, muhtemelen arama motorlarının çevirileri kullanılarak hazırlanmış Türkçe metinler halinde yollanır.

Örneğin; Dolandırıcı büyükbabasından kalan 1 milyon dolarlık mirası alabilmek için gerekli olan avukat ve diğer masrafları karşılayamadığı için ufak bir miktar yardım istediği bir e-postayı SPAM yöntemlerini kullanarak bir listeye yollar. Postanın içeriğinde yazan milyon dolarlık paradan ona yardım edenlere pay vereceğini de belirtir. Bu büyük vaat karşısında kandırılan kurban dolandırıcıya istenilen miktarı verir. Bu esnada dolandırıcı ortadan kaybolur ve dolandırma işlemi sona ermiş olur.

• PHARMİNG

“Dns Cache Zehirlemesi”olarak da bilinen bu teknik, e-posta dolandırıcıları tarafından kullanılan, zehirlenmiş DNS sunucusunun kullanıcıyı dolandırıcıların sitesine yönlendirdiği bir saldırı şeklindedir. Buradaki “zehir”, güvenliği olmayan DNS sunucularına enjekte edilen yanlış veriler anlamında kullanılır.

Yönlendirilen sahte web sitesi, orjinaliyle aynı içerik ve aynı tasarıma sahip olarak hazırlanır ki, dolandırılacak kişi aradaki farkı anlamadan kullanıcı adı, şifre, TC kimlik no, hesap numarası gibi bilgilerini güvenle girebilsin…

Bu sahte siteleri tespit edebilmek için birkaç detay bulunmaktadır. Örneğin;  sitenin orjinaliyle sahtesi arasında bazı harfler değiştirilmiş olabilir. google.com.tr yerine googlle.com.tr kullanılması gibi…

Kullanılan web sayfasının adres satırının http:// yerine https:// ile başlamadığından veyanında kilit simgesinin olduğundan emin olmak gerekir.  Bu simgeye tıklandığında servis sağlayıcısı ve yetki belgesinin gösterilmesi gerekmektedir. Bu bilgiler bulunmuyorsa sahte veya güvenli olmayan bir site olma ihtimali yüksek demektir. Özellikle bankaların web sitelerinde bu bilgiler mutlaka bulunmaktadır.
Sahte siteler kişinin tüm bilgilerini bir anda istemektedir ki, bu da şüphelenmek için iyi bir nedendir.

• YEMLEME KANCASI (SPEAR PHİSHİNG)

Klasik Phishing de rastgele kurban seçilebiliyorken, Spear Phishing belli bir kişi, grup veya kuruluş  hedeflenerek finansal veriler, ticari veya askeri sırlar veya diğer gizli bilgiler elde edilmeye çalışılır.  Genellikle üst düzey yöneticiler ve varlıklı kimseler hedef alındığından “balina avı” olarak adlandırılmıştır. Birçok sosyal mühendislik türünde olduğu gibi buda da sosyal medya iyi bir bilgi kaynağıdır. Şirketlerin organizasyon şeması çıkarılarak her birimin yetkilileri tespit edilir, kimlerle ne tür işler yapılıyor ve kimlerle temasa geçiliyorsa tek tek tespit edilir ve tespit edilen belirlenmiş kişilere yönelik olarak dolandırıcılık yöntemleri uygulanmaya başlanır.

TCK’ DAKİ YERİ

• DOLANDIRICILIK  TCK md 157-   
  Hileli davranışlarla bir kimseyi aldatıp, onun veya başkasının zararına olarak, kendisine veya başkasına bir yarar sağlayan kişiye 1 yıldan 5 yıla kadar hapis ve 5000 güne kadar adlî para cezası verilir.
  
• NİTELİKLİ DOLANDIRICILIK   TCK md 158/1 – f)
  Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle işlenmesi halinde, 3 yıldan 10 yıla kadar hapis ve 5000 güne kadar adlî para cezasına hükmolunur.  Ancak hapis cezasının alt sınırı 4 yıldan, adli para cezasının miktarı suçtan elde edilen menfaatin 2 katından az olamaz.
  
• BANKA VEYA KREDİ KARTLARININ KÖTÜYE KULLANILMASI   TCK md 245 –
  (1) Başkasına ait bir banka veya kredi kartını, her ne suretle olursa olsun ele geçiren veya elinde bulunduran kimse, kart sahibinin veya kartın kendisine verilmesi gereken kişinin rızası olmaksızın bunu kullanarak veya kullandırtarak kendisine veya başkasına yarar sağlarsa, 3 yıldan 6 yıla kadar hapis ve 5000 güne kadar adlî para cezası ile cezalandırılır.
  (2) Başkalarına ait banka hesaplarıyla ilişkilendirilerek sahte banka veya kredi kartı üreten, satan, devreden, satın alan veya kabul eden kişi 3 yıldan 7 yıla kadar hapis ve 10.000 güne kadar adlî para cezası ile cezalandırılır.
  (3) Sahte oluşturulan veya üzerinde sahtecilik yapılan bir banka veya kredi kartını kullanmak suretiyle kendisine veya başkasına yarar sağlayan kişi, fiil daha ağır cezayı gerektiren başka bir suç oluşturmadığı takdirde, 4 yıldan 8 yıla kadar hapis ve 5000 güne kadar adlî para cezası ile cezalandırılır.