E-dolandırıcılık

Hepimiz sık sık şirketlerin saldırıya uğradığını ve saldırılar sonucunda belge sızıntıları, hizmetlerin kullanılamaması, güvenliği ihlal edilmiş kimlik bilgileri vb. gibi zararların rapor edildiğini duyuyoruz. Ancak çoğu zaman her şey kimlik avı ile başlar. Bakalım bu saldırının nesi var!

● Kimlik avı nedir?

Kimlik avı bir tür siber güvenlik saldırısıdır. Daha doğrusu bir toplum mühendisliği saldırısı. Bunun ortaya çıkmasının çeşitli yolları vardır: e-postalar, telefon görüşmeleri, sms vb. Buradaki asıl nokta, saldırganın sizi kandırmak ve kimlik bilgileri, kredi kartı bilgileri gibi öğeleri elde etmek veya cihazınıza bulaşacak veya verileri çalacak yazılımlar yüklemenizi veya çalıştırmanızı sağlamak için birinin veya bir şeyin kimliğine bürünmeye çalışacağıdır.

Bu yazıda kimlik avı e-postalarına odaklanacağız çünkü bence bu saldırılarla en sık karşılaştığımız yol budur.

● Görünenin ötesine geçin - gizli e-posta bilgilerini görün

Genellikle bir e-posta aldığımızda, gönderenin kim olduğu (isim ve e-posta adresi), konu, tarih, alıcının e-posta adresi (genellikle siz), mesaj ve belki bazı ekler gibi görebildiğimiz bazı şeyler vardır. (eğer durum buysa). Temel olarak, yeterli olduğu söylenebilir.

Ama size göründüğünden daha fazla bilgi olduğunu söylesem nasıl tepki verirsiniz? E-postanın ham sürümünü kontrol edersek tüm detayları görebiliriz. Bunun Yahoo ve Gmail için nasıl yapıldığını göstereceğim ancak adımlar diğerleri için benzer olmalıdır.

Yahoo - e-postayı açtıktan sonra, "3 yatay nokta" düğmesine basın ve ardından "Ham iletiyi görüntüle"ye tıklayın.

Gmail - e-postayı açtıktan sonra, “3 dikey nokta düğmesine” basın ve ardından “Orijinali göster”e tıklayın.

Aşağıda, yasal olduğunu bildiğim Duolingo'dan alınan bir e-postanın ham sürümünden kısmi bir ekran görüntüsü var.

● Başlıklar bize nasıl yardımcı olabilir?

Kontrol edebileceğimiz bir şey, From ve Reply-To başlıkları arasında bir eşleşme olup olmadığıdır. Bazen, e-postanın ham halini görmenize bile gerek kalmaz çünkü gönderenin adı ile e-posta adresi arasındaki tutarsızlık çok büyük ve barizdir. Ancak bu ilk bakışta görünmüyorsa, bu 2 başlığa baktığınızda fark edebilirsiniz.

E-postanın yasal olduğu ve her iki başlığın da farklı adreslere sahip olduğu durumlar olabilir, ancak bu gerçekleşse bile etki alanı aynıdır. Yukarıdaki ekran görüntüsünde, Gönderen ve Yanıtla eşleşmesini görebiliriz. Ek bir adım olarak, Dönüş Yolu başlığını doğrulayabilirsiniz. Örneğimizde, göndericimizle ilgili bir alan var.

X-Originating-IP de yardımcı olacaktır. Bu IP'yi kontrol ederek, alınan e-postanın kimlik avı ile ilgili olduğunu doğrulayabilecek bilgiler alabilirsiniz. Bir IP'yi doğrulayabileceğiniz bir web sitesi IPInfo'dur . X-Relaying-Domain de size benzer bir ipucu verebilir.

Alınan e-postaların başlıklarını analiz etmek için farklı araçlar kullanabilirsiniz. Birkaçını test ettim, en çok hoşuma giden MailHeader . Bu tür şeyleri araştırmanız gerekirse diye tavsiye ederim.

● Kimlik avı ile ilgili e-postaların işaretlerini açığa çıkarma

Bir e-postanın yasal olmadığını ve aslında kimlik avı olduğunu gösteren birkaç unsur vardır. Bunlardan bazılarına bakalım:

▪ zayıf dilbilgisi

Oltalama e-postalarında sıklıkla kötü dilbilgisi ile karşılaşabilirsiniz. Ayrıca, çoğu zaman yazım bir sorundur. Örneğin, Netflix hesabınızın süresinin dolduğunu belirten bir e-posta alırsınız. Göndericinin Netflx yazdığını görürseniz şaşırmayın . Kimlik avını ortaya çıkaran bir diğer husus da anlamsız cümlelerdir. Bunun daha çok metnin dili İngilizce olmadığında gözlemlenebileceğini düşünüyorum. Bu hatalar muhtemelen yanlış otomatik çevirilerden kaynaklanmaktadır. Son olarak, yazım hatalarını unutmayalım.

▪ aciliyet

Bir kimlik avı e-postası aldığınızda çoğu zaman bu öğeyi fark edebilirsiniz. “Apple” hesabınız bloke mi edildi? ŞİMDİ bu bağlantıya erişmelisiniz! Banka hesap bilgileriniz güncellenmeli mi? O an yapmalısın! Piyangoda ödül mü kazandın? O bağlantıya tıklayarak onu şimdi talep etmelisin, aksi takdirde kaybedersin! Aciliyetin dahil olduğunu gördüğünüzde, şüphelenmeye başlamalısınız.

▪ yalnızca genel formüllerin kullanımı

Bankanız size bir e-posta gönderdi ve hesabınızın bloke edildiğini ve açmak için verdikleri bağlantıya tıklamanız gerektiğini (tabii ki şimdi yapmanız gerekiyor :)) ama mesajın ilk satırı “Sevgili” şeklinde. müşteri"? Peki, gönderen gerçekten sizin bankanızsa, adınızı/soyadınızı zaten bilmesi gerekir. Sonuçta, sistemlerinde bu ayrıntılar var.

▪ e-posta adresiniz Kime'de değil BCC'de

Aldığınız e-postanın sizin için olması gerekiyordu, değil mi? Yani, hesabın ayrıntılarını acilen güncellemesi gereken sensin, değil mi? Neden BCC'desiniz ve Kime'de değilsiniz ? Mantık yok ve hemen kırmızı bayrak olarak görülmelidir.

● Kötü niyetli "aktörler"

Kimlik avı e-postaları aldığımızda, bunların amacı, bir şey indirerek, bazı dosyaları çalıştırarak veya belirli bağlantılara tıklayarak bir eylem gerçekleştirmemizi sağlamaktır. Bazılarını inceleyelim:

▪ ekler

Birçok kimlik avı e-postası eklerle birlikte gelir. İçinde kötü amaçlı yürütülebilir dosyalar bulunan bir arşiv olabilir, bir PDF dosyası aldığınız ve sizi kötü web sitelerine yönlendiren bağlantılar içerdiği veya belki de e-postadaki dosyanın tehlikeli makrolar içeren bir Excel olduğu durumlar vardır. Şahsen karşılaştığım bir örnek olarak, PDF gibi görünen bir dosya vardı. Ancak gönderenin, yeterince dikkatli olmazlarsa bazı insanları kandırabilecek ilginç bir fikri vardı. Açıkçası, yasal bir fatura değildi ama dosyanın adı şöyle bir şeydi:

"Invoice_20210312172833.pdf                                          .exe"

▪ yanıltıcı alan adları

Facebook'tan , insanların bu sitede oynadığı popüler bir oyunda (belki sizin bile) bir ödül aldığınız konusunda bilgilendirildiğinizi bildiren bir e-postanız var . Bunu talep etmek için oturum açmanız ve almanız gerekir. Tabii ki, giriş için bir bağlantı sağlanır. Diyelim ki ona eriştiniz ve Facebook'tan resmi oturum açma gibi görünen bir web sayfası açıldı. Yanlış bir şey yok, değil mi? Ama daha iyi incelediğinizde facebook.com değil faceb00k.com olduğunu fark ediyorsunuz . Saldırganlar, oturum açma sayfasını klonlayarak ve biraz farklı bir alan adı kullanarak, bir harfi benzer bir karakterle değiştirerek ( m ile n , o ile ) farklı platformlar için kimlik bilgilerini çalmak için bu hileyi kullanır.0 , i ile l vb.). Genellikle, ne eklerseniz ekleyin, bu sayfalar sadece bir hata mesajı gösterir. Saldırganların yapabileceği daha kötü bir manevra olduğunu düşünüyorum. Bizim durumumuzda, e-postayı ve şifreyi girerek ve oturum açma düğmesine basarak, geçersiz kimlik bilgilerine sahip bir hata mesajı görünebilir, bazen hiçbir şey olmaz (pekala, göreceğiniz hiçbir şey yok :) ). Ancak, saldırgan resmi oturum açma sayfasını kopyaladığında, Oturum Açma kodunu değiştirebilir.düğmesine bu şekilde basın: kullanıcıya bir hata mesajı gösterin ve hemen ardından sahte sayfayı hızlı bir şekilde resmi giriş sayfasına yönlendirin. Tekrar deneyin ve şimdi başarıyla giriş yaptınız. Belki de şifrenizin bir karakterini yanlış yazdığınızı ve her şeyin yolunda olduğunu düşüneceksiniz. Eh, böyle bir durumda, saldırgan zaten kimlik bilgilerinize sahiptir ve kötü tarafı, bunu bilmiyorsunuz bile.

▪ kısaltılmış URL'ler

Tanınmış bir süpermarkette alışveriş kuponu kazanan şanslı kişisiniz. En azından e-postada öyle yazıyor. Bunu talep etmek için, sadece bir düğmeye basmanız gerekiyor. Fare imlecinizi bu düğmenin üzerine getirdiğinizde sayfanın sol alt kısmında bit.ly/d87hBB3m gibi bir bağlantı görürsünüz. Daha önce benzerlerine tıklamış olabilirsiniz ve izlemek istediğiniz bazı YouTube videolarını açmış olabilirsiniz, yani endişelenecek bir şey yok. Sonuçta, bağlantı http://hexorveetlol.xyz/steal-password değil , değil mi? Bu, erişmeden önce iki kez düşünmenizi sağlar. Ne yazık ki, bu kısaltılmış bağlantının arkasında yukarıdakine tam olarak eşdeğer bir şey olabilir. Bir saldırganın kısaltılmış bir bağlantı kullanmasının nedeni, asla tıklamayacağınız garip bir URL'yi gizlemektir.

▪ Makro içeren MS Word/Excel/Powerpoint ekleri

MS Office paketindeki programlarla ilişkili bazı dosyalar makro içerebilir. Böyle bir eki olan bir e-posta (özellikle istenmeyen veya beklenmedik) aldığınızda çok dikkatli olmanız gerekir. İşyerinde, harcamaların bir listesini içeren ve fiyatların $ cinsinden gösterildiği bir excel dosyası içeren bir e-posta aldınız. İlk satırda, değerleri yerel para birimine dönüştürmek için makroları etkinleştirmeniz gerektiğini söyleyen bir mesaj görürsünüz. Peki, bu değerleri görmek istiyorsunuz, $ olarak değil, değil mi? Bunları etkinleştirmeden önce iki kez düşünürdüm.

Bu konuda konuştuğum ve makro içeren kimlik avı ile ilgili bir sorunu çözdüğüm aşağıdaki videodan makrolar hakkında daha fazla bilgi edinebilirsiniz. Bir göz atın!

● Kendimi korumak istiyorum, ne yapmalıyım?

▪ mantığı kullanın, duygulardan kaçının

O piyango ikramiyesini kazandın ve çok mu mutlusun? Bir saniye, hiç piyango oynadın mı? Numara? O halde ödülü vereceğinizi nasıl buldular?

O süpermarketten 1000 dolarlık bir alışveriş kuponun var mı? Biraz düşünelim, hiç oradan bir şey aldınız mı? Alışverişini hiç oradan yapmıyor musun? O zaman e-posta adresiniz nasıl var?

Netflix hesabınız kilitlendi ve kilidini açmak için o büyük düğmeye basmanız gerekiyor, aksi halde devre dışı mı kalacak? Bir Netflix hesabınız bile var mı? değil mi? O zaman neden böyle bir e-posta alacaksınız?

"Bankanız" sizden hesap numarasını güncellemenizi mi istiyor? Mhm, bu hesap bankanın kendisi tarafından sağlanmıyor mu? Personelinin ilgilendiği bir şeyi güncellemenizi neden istesin ki?

▪ resmi kurumlarla iletişime geçin

Yukarıdaki örnekleri kullanarak, Netflix'ten bu e-postayı alırsanız, web sitelerine gidin ve iletişim bölümünü (e-posta adresi, telefon numarası veya başka bir yol) arayın ve hesabınızın gerçekten kilitli olup olmadığını sorun. Ayrıca, "bankadan" gelen e-postayı göz önünde bulundurarak, aynı şeyi yapın ve onu gerçekten ekiplerinin gönderip göndermediğini sormak için arayın. Analiz için mesajı iletmelerini bile isteyebilirler. Bu aynı zamanda diğer insanlara da yardımcı olabilir, sadece size değil.

▪ alan adına dikkat edin

Bir karakterdeki küçük bir fark, hesabınızın ele geçirilmesine neden olabilir, bu nedenle girdiğiniz web sitelerine iyice bakın.

▪ kısaltılmış URL'leri genişletin

Saldırganlar, kötü amaçlı bağlantıları gizlemek için bu tür bir teknik kullandıklarına göre, neden tam tersini yapıp aslında neyi gizlemeye çalıştıklarını görmüyorsunuz? Bunu yapmanıza yardımcı olabilecek pek çok site var, bunlardan biri ExpandURL .

▪ eki doğrulayın

Aldığınız e-postanın ekindeki dosyanın yasal olup olmadığını kontrol etmelisiniz. Bunun için farklı web sitelerini kullanabilirsiniz, kötü amaçlı olduğu keşfedildiyse belirli şeyler hakkında raporlar sunan sayfalar vardır. Dosyayı yüklemekten bunun bulunduğu URL'yi veya karşılık gelen hash değerini sağlamaya kadar çeşitli yöntemler vardır. Böyle bir sayfanın bir örneği VirusTotal'dur .

▪ MS Office belgeleri için makroları varsayılan olarak devre dışı bırakın

Yapabileceğimiz başka bir şey de makroların otomatik olarak yürütülmesini engellemektir. Bu şekilde, bir belgeyi veya bir excel sayfasını açarken kötü amaçlı komutların doğrudan çalıştırılmamasını sağlıyoruz. Dosya makro içeriyorsa ama onları devre dışı bıraktıysak, en azından içinde ne olduğuna bir göz atabiliriz.

Şimdilik bu kadar. Umarım eğlenmişsindir. Bunu okumak için ayırdığınız zaman için teşekkür ederim ve sizi bir sonraki makalem için bekliyorum!