İş E-postası Dolandırıcılığı (BEC)

İş e-postası dolandırıcılığı (business email compromise, BEC), güvenilen bir iş bağlantısından geliyormuş gibi görünen e-postalarla yapılan dolandırıcılıktır: bir yönetici, bir tedarikçi, bir müşteri ya da bir avukat. Çoğu zaman ne zararlı yazılım ne de bağlantı vardır; mesaj yalnızca bir ödeme, banka bilgisi değişikliği ya da hassas kayıtlar ister. ABD Federal Soruşturma Bürosu'nun (FBI) İnternet Suçları Şikâyet Merkezi (IC3), yıllardır BEC'i kendisine bildirilen en maliyetli siber suç türleri arasında gösteriyor.

Nasıl çalışır

Üç yaygın kurgu vardır. Birincisinde saldırgan bir benzer alan adından ya da tanıdık bir gönderen adı taşıyan ücretsiz bir posta kutusundan yazar. İkincisinde gerçek alan adını e-posta sahteciliği ile taklit eder; bu yöntem özellikle alan adında yaptırım düzeyinde bir DMARC politikası yoksa işe yarar. Üçüncüsünde ise çoğunlukla bir sahte sayfa aracılığıyla gerçek bir posta kutusunu ele geçirir, süren yazışmaları okur ve doğru anda araya girer. Tipik senaryolar şunlardır: yeni banka bilgileri içeren tedarikçi faturaları, "genel müdürün" istediği acil havaleler, maaş ödemelerinin başka hesaba yönlendirilmesi ve çalışanların vergi kayıtlarının istenmesi. Saldırganlar, gerçek hesap sahibinin yanıtları görmemesi için posta kutusuna kurallar da ekleyebilir.

Örnek

Temsilî bir örnek: Muhasebe biriminde çalışan birine, uzun süredir çalışılan bir tedarikçiden düzgün biçimlendirilmiş bir fatura ve banka hesabının değiştiğini bildiren bir not gelir. Gönderen adresi tedarikçinin her zamanki alan adı değil, muhasebe@ornektedarikci-grup[.]com'dur. Çalışan bilgileri günceller ve bir sonraki ödeme saldırganın hesabına gider.

Nasıl anlaşılır

• Banka bilgisi değişikliği yalnızca e-postayla bildirilir.
• Gönderen alan adında küçük farklar vardır ya da yanıt adresi başka bir yere gider.
• Aciliyet, gizlilik talebiyle ya da olağan onay sürecinin atlanması isteğiyle birlikte gelir.
• Bir yönetici hediye kartı, alışılmadık bir havale ya da çalışan verisi ister.
• Süren bir yazışmanın üslubu birden değişir ya da başka bir adresten devam edilmesi istenir.

Markalar ne yapabilir

• Kullanılmayanlar da dâhil sahip olduğunuz her alan adında DMARC'ı p=reject ile uygulayın.
• Ödeme bilgilerindeki her değişiklikten önce, bilinen bir numaradan geri arama yapılmasını kural hâline getirin.
• Posta kutularını oltalamaya dayanıklı çok faktörlü doğrulamayla koruyun, yeni yönlendirme kurallarında uyarı alın.
• Markanızın benzer alan adlarını izleyin; önemli tedarikçilerinizden de kendi alan adları için aynısını isteyin.

BEC vakalarının önemli bir kısmı, saldırıdan birkaç gün önce kaydedilmiş benzer bir alan adına dayanır. Phishvoid bu alan adlarını doğrular ve kayıt kuruluşu ile e-posta sağlayıcısı nezdinde kaldırma başvurusu yapar; ekiple iletişime geçebilirsiniz. E-posta kimlik doğrulaması için SPF, DKIM ve DMARC yazısına bakabilirsiniz.

Devamını okuyun: SPF, DKIM ve DMARC ile Markanız Adına Sahte E-postayı Önleyin