Klon oltalama

Klon oltalama (clone phishing), saldırganın hedefe daha önce gönderilmiş gerçek bir e-postayı neredeyse birebir kopyalayıp içindeki bağlantıyı ya da eki zararlı olanla değiştirdiği bir oltalama türüdür. İçerik, tasarım ve bağlam tanıdık olduğu için mesaj sıradan görünür ve genel geçer bir tuzaktan çok daha kolay güven kazanır.

Nasıl çalışır

Saldırganın önce kopyalayacağı gerçek bir mesaja ihtiyacı vardır. Bu, ele geçirilmiş bir posta kutusundan, herkesin alabildiği bir pazarlama e-postasından ya da kargo bildirimi, fatura gibi standart bir bildirimden gelebilir. Kopya ardından küçük değişikliklerle yeniden gönderilir:

• bağlantı gerçek site yerine benzer bir siteye yönlendirilir;
• ek, zararlı bir dosyayla ya da böyle bir dosyaya giden bağlantıyla değiştirilir;
• neden tekrar geldiğini açıklamak için konuya "yeniden gönderildi", "düzeltilmiş" veya "güncel bağlantı" gibi ifadeler eklenir;
• gönderen adresi taklit edilir ya da benzer bir alan adı kullanılır.

Kopya gerçekten ele geçirilmiş bir hesaptan gönderildiğinde mevcut bir yazışmanın içine bile düşebilir; bu da onu özellikle inandırıcı kılar.

Örnek

Temsilî bir örnek: Bir e-ticaret sitesinin müşterilerine her ay gelen hesap özeti e-postası ulaşır. Bir gün sonra "Düzeltilmiş hesap özeti" konulu, aynı görünümde ikinci bir e-posta gelir. İçindeki düğme, belgeyi görmek için giriş yapılmasını isteyen ornekmagaza-hesap[.]com adresine gider. E-postanın kendisi alt bilgisine kadar gerçeğinden kopyalanmıştır.

Nasıl anlaşılır

• Daha önce aldığınız bir mesajın, yeniden gönderilme gerekçesiyle gelen ikinci kopyası.
• Gerçek hedefi markanın her zamanki alan adından farklı olan bağlantılar.
• Artık arşiv dosyası, HTML dosyası ya da dosya paylaşım sayfasına bağlantı olan ekler.
• Orijinalinden biraz farklı gönderen veya yanıt adresi.
• Mesaj başlıklarında başarısız SPF, DKIM ya da DMARC kontrolleri.

Markalar ne yapabilir

SPF ve DKIM ile desteklenen, zorlayıcı bir DMARC politikası yayımlayın; böylece alan adınızın doğrudan taklidi reddedilir. İşlem e-postalarınızı tutarlı tutun ve müşterilerinize yeni giriş bağlantısı içeren "düzeltilmiş" kopyalar göndermeyeceğinizi söyleyin. Klonlanmış bir kampanya görüldüğünde açılış sayfalarını kaldırtın ve gönderim altyapısını bildirin. Phishvoid işin site kaldırma tarafını üstlenir; e-postalarınız kopyalanıyorsa bize yazın.

Devamını okuyun: SPF, DKIM ve DMARC ile Markanız Adına Sahte E-postayı Önleyin