Dolandırıcılık ve kimlik avı, küresel çapta olduğu gibi META bölgesinde de artış gösteriyor. Türkiye’de özellikle 2023’ün ilk çeyreğinde, 2022’nin ilk çeyreğine kıyasla kimlik avı saldırılarının sayısında %53 oranında artış görüldü.
Yaz mevsiminin de içinde olduğu tatil sezonları genellikle siber suçluların faaliyetlerini yoğunlaştırdığı dönemlere karşılık geliyor. Tatillerini planlayan, seyahatte veya plajda güzel zaman geçirmenin hayalini kuran bireyler yaz mevsimine özgü dolandırıcılık kampanyalarının kolay birer hedefi haline geliyor.
Güvenlik uzmanları, yaz aylarında siber suçluların kurumsal kimlik bilgilerini ele geçirmek için çalışanlara sahte İK e-postaları gönderdiğini tespit etti. Amaçları kimlik avı bağlantısının çalışanlar tarafından tıklanmasını sağlamak.
Söz konusu e-posta mesajlarında dolandırıcılar tatilin aniden yeniden planlanması gerektiği, tarihlerin teyit edilmesine dair ihtiyaç veya bazı önemli etkinliklerle çakışmalar gibi ilgi çekici temalara başvuruyor. Birçok çalışanın halihazırda planlarını yapmış, bilet almış ve otel rezervasyonlarını yaptırmış oldukları düşünüldüğünde, böyle bir tuzağa düşme olasılıkları oldukça yüksek.
Saldırganların yalnızca alıcının adresini biliyor
Söz konusu e-postalar yakından incelendiğinde gönderenin bir şirket çalışanı olmadığı, imzalayan sözde “İK direktörünün” isimsiz olduğu ve imzasının kuruluşun kurumsal tarzına uymadığı, görünüşte bir PDF dosyasına işaret eden bağlantının arkasında tamamen farklı bir bağlantıya dair yönlendirme olduğu görülüyor.
Saldırganların yalnızca alıcının adresini bildiği de açıkça belli oluyor. Otomatik toplu posta tarama aracı, adresten şirketin alan adını ve çalışanın adını alıyor ve bunları otomatik olarak taklit bağlantıya ve gönderenin imzasına yerleştiriyor.
Saldırının hedefindeki kişi bağlantıya tıklasa bile, dikkatli baktığında saldırganların hazırladığı web sitesinde kimlik avına dair belirtileri seçmesi mümkün.
Site şirketin sunucusunda değil, herkesin alan kiralayabildiği Huawei Cloud’da (myhuaweicloud.com) barındırılıyor. Dosyanın adı e-postada bahsedilen PDF’in adıyla eşleşmiyor. Sitede dosyayı belirli bir şirkete bağlayacak tek bir özellik bile yok. Kurban giriş penceresine şifresini girdiğinde, doğrudan siber suçluların sunucularına gidiyor.