Oltalama e-postasını okumak

Açılış

Bora, hastane yönetiminin onayıyla yaptırdığı yıllık oltalama tatbikatının sonuçlarını önüne aldığında iki satıra takıldı. Birinci mesaj, bir çekilişte telefon kazanıldığını müjdeliyordu; gönderen adresi tuhaftı, Türkçesi bozuktu, konu satırı büyük harflerle yazılmıştı. Personelin neredeyse hiçbiri bağlantıya tıklamamıştı.

İkinci mesaj ise "Nöbet çizelgesi güncellendi, onayınız bekleniyor" başlığını taşıyordu. Dili düzgündü ve hastanenin kullandığı biçime benziyordu. Gönderen adresinde, dikkatli bakan birinin fark edebileceği tek bir harf farkı vardı. Bu mesaja servislerdeki hemşirelerin ve asistan hekimlerin önemli bir kısmı tıklamış, bir kısmı da açılan sayfaya kullanıcı adını yazmıştı.

İki mesaj aynı gün, aynı kişilere gitmişti. Birincisi bütün klasik belirtileri taşıyordu ve kimseyi kandıramamıştı; ikincisinde belirtiler azdı ve tam da insanların her hafta beklediği bir şeyden söz ediyordu. Bora raporun kenarına bir not yazdı: "Belirtileri öğrettik. Belirtisi az olanı öğretmedik." Bu ders bir e-postanın sahte olduğunu gösteren işaretleri okumayı ve o işaretlerin nerede yetmediğini anlatıyor.

Tek fikir

Bir oltalama e-postası dört yerde iz bırakır: gönderende, bağlantıda, ekte ve dilde. Ama en tehlikeli mesajlar en az iz bırakanlardır, çünkü işinin bir parçası gibi görünürler; bu yüzden belirti okumak, beklemediğin her isteği doğrulama alışkanlığının yerini tutmaz.

Nasıl çalışır

Sosyal mühendislik dersinde saldırganın insanı hangi kaldıraçlarla harekete geçirdiğini gördük. E-posta bu kaldıraçların en eski ve en yaygın taşıyıcısıdır.

Oltalamanın bir kısmı binlerce kişiye aynı anda gönderilen genel mesajlardır. Bir kısmı ise tek bir kişi ya da küçük bir grup için hazırlanır.

Bir e-postayı okurken dört yere bakılır.

Birincisi gönderendir. E-posta nasıl iletilir dersinde, görünen adın ve görünen adresin gönderen tarafından istendiği gibi yazılabildiğini görmüştük. Görünen adın "Kargo Takip" ya da bir yöneticinin adı olması hiçbir şey kanıtlamaz; bakılacak yer adresin kendisi ve özellikle "@" işaretinden sonraki alan adıdır. Kurumun gerçek alan adıyla bir harf farkı, fazladan bir kelime ya da tamamen ilgisiz bir alan adı, en sık görülen işaretlerdir. Alan adlarını okumanın inceliklerini bu modülün sahte sitelere ayrılan dersi ele alacak.

İkincisi bağlantıdır. Bir e-postadaki bağlantının ekranda gösterilen metni ile gerçekte gittiği adres birbirinden bağımsızdır; metin kargo şirketinin adresini gösterirken bağlantı başka bir yere gidebilir. Bilgisayarda fareyi bağlantının üzerinde tıklamadan bekletmek, gerçek adresi pencerenin altında gösterir; telefonda bağlantıya uzun basmak, açmadan bir önizleme sunar. Bakılacak şey, adresin hangi alan adına gittiğidir.

Üçüncüsü ektir. Dosya sistemi dersinde çift uzantılı dosyaları görmüştük. Beklemediğin bir fatura, bir sözleşme ya da bir "taranmış belge" eki, özellikle bir arşiv dosyası, makro çalıştırmanı isteyen bir ofis belgesi ya da açıldığında bir giriş sayfası gösteren bir web sayfası dosyası ise dikkat ister. Böyle bir web sayfası eki açıldığında adres çubuğunda bir site adresi değil, bilgisayardaki bir dosyanın yolu görünür; bu tek başına güçlü bir işarettir.

Dördüncüsü dil ve içeriktir: kaldıraçlar, alışılmadık bir hitap, beklenmeyen bir istek, tutarsız ayrıntılar. Uzun süre bozuk dil en güvenilir işaretlerden biri sayıldı. Artık metin üreten araçlar herkese akıcı ve hatasız mesaj yazdırabildiği için, düzgün bir dil sahteliği dışlamaz; bozuk dil ise hâlâ bir işarettir ama gittikçe daha az görülür.

Bora'nın tatbikatı bu dördünün neden yetmediğini gösterdi. Tıklanan mesajda gönderen adresindeki tek harf dışında belirti yoktu; asıl gücü, söylediği şeyin hastanedeki gündelik işle örtüşmesiydi.

Bu bulgunun pratik sonucu açıktır: belirtiler, kötü hazırlanmış mesajları yakalar; iyi hazırlanmış ve işine uyan mesaj için ise ikinci bir soru gerekir. Bu mesaj benden bir şey istiyor mu, ve bu isteği mesajın kendisinden bağımsız bir yoldan doğrulayabilir miyim?

Sahada

Savunma

Oltalama e-postasına karşı savunma üç katmandır ve her biri farklı birine düşer.

Okura düşen ilk katman, dört yeri okumaktır: gönderenin alan adını, bağlantının gerçek hedefini, ekin türünü ve dilin ve içeriğin tutarlılığını. Bu okuma, gelen mesajların büyük kısmını saniyeler içinde ayırır ve kötü hazırlanmış mesajların çoğunu yakalar.

İkinci katman, belirtiler temiz görünse bile istek varsa doğrulamaktır. Bir e-posta senden giriş yapmanı, bir eki açmanı, bir ödeme yapmanı ya da bir bilgiyi paylaşmanı istiyorsa, bunu mesajdaki bağlantıdan değil, kendi yer iminden ya da kendi bildiğin kanaldan yap. Tolga'nın ve kıdemli çalışanın yaptığı buydu. Öncül uyumu yüksek mesajlara karşı asıl koruma bu alışkanlıktır; parola yöneticisinin doldurmaması ve oltalamaya dayanıklı doğrulama da bu katmanın teknik destekleridir.

Üçüncü katman, bildirmektir. Şüpheli bir e-postayı bildirim düğmesiyle ya da kurumun belirlediği adrese iletmek, aynı mesajı alan diğer kişileri de korur. Tıkladıktan ya da bilgi girdikten sonra fark ettiysen bildirmek daha da önemlidir: parolanı hemen değiştir, oturumlarını kapat ve kurumdaysan güvenlik ekibine haber ver. Erken bildirim, zararın en çok azaldığı andır.

Kuruma düşen iş ise teknik süzgeçlerdir: e-posta sisteminde zararlı ekleri ve tehlikeli dosya türlerini karantinaya almak, dış gönderenleri işaretlemek, bağlantıları tıklama anında denetlemek ve tatbikatları, Bora'nın yaptığı gibi, hem belirtisi bol hem de öncül uyumu yüksek mesajlarla yapmak. Tatbikatın amacı tıklayanları cezalandırmak değil, kimin hangi tür mesajda zorlandığını görmektir.

Uygulama

Kendi gelen kutundaki birkaç şüpheli mesajı, tek bir şeye dokunmadan, dört yerden okuyacaksın.

Gerçek mesajın da bazı sütunlarda şüpheli görünebileceğini fark edeceksin; bu, belirtilerin neden tek başına karar vermediğinin bir göstergesidir.

Defter: Oltalama bölümüne dört sütunlu okuma tablosu ve bu ilk dört mesajın satırları. Doğrulama kanalları sayfasına, sık mesaj aldığın kurumların gerçek alan adlarını ekle. Acil durum bölümüne bir sıra yaz: tıklayıp bilgi girdiysem önce parola, sonra açık oturumlar, sonra bildirim.

Hata köşesi

Etik ve sınırlar

Şüpheli bir e-postayı arkadaşlarına ya da iş arkadaşlarına "bakın ne geldi" diye iletmek, içindeki bağlantının ve ekin başkalarının eline geçmesi demektir; doğru yol, mesajı kurumun belirlediği kanala ya da e-posta hizmetinin bildirim düğmesine iletmektir. Dolandırıcıya cevap yazmak, onunla oyalanmak ya da bağlantının nereye gittiğini görmek için onu başkasının cihazında açmak da yapılmaz. Oltalama tatbikatları, Bora'nın tatbikatı gibi, kurum yönetiminin izniyle, sonuçları kişileri teşhir etmeyecek biçimde ve yalnız yetkili ekipçe yapılır; bir çalışanın kendi başına iş arkadaşlarına sahte bir mesaj göndermesi bir tatbikat değil, onların güvenini kullanmaktır.

Kapanış

1. Oltalama, güvenilir görünen bir mesajla alıcıyı tıklamaya, açmaya, bilgi vermeye ya da işlem yapmaya yönlendirmektir; hedefli oltalama bunu belirli bir kişi ya da kurum için önceden toplanmış bilgilerle yapar.
2. Bir e-posta dört yerden okunur: gönderenin alan adı, bağlantının gerçek hedefi, ekin türü ve dilin ve içeriğin tutarlılığı; düzgün dil artık sahteliği dışlamaz.
3. Belirtiler, öncül uyumu yüksek, yani işine uyan mesajlarda yetmez; bir istek taşıyan her mesaj kendi kanalından doğrulanır ve şüpheli mesajlar, özellikle tıklandıktan sonra, hemen bildirilir.

Üç soru

1. Bora'nın tatbikatında neden belirtisi bol olan mesaja değil, belirtisi az olana daha çok tıklandı?
2. Kıdemli çalışan, eki açtığında karşısına çıkan giriş formunun sahte olduğunu neyden anladı?
3. Tolga'nın aldığı uyarıda klasik belirtilerin neredeyse hiçbiri yoktu; Tolga'yı ne korudu?

Yanıtlar

1. Belirtisi bol mesaj, çekiliş gibi kimsenin beklemediği bir şeyden söz ediyordu ve bozuk diliyle kendini ele veriyordu. Nöbet çizelgesi mesajı ise personelin her hafta beklediği bir şeydi; öncül uyumu yüksekti ve insanlar belirtilere bakma ihtiyacı duymadan tıkladı. NIST'in çalışması da işe uyan öncüllerin fark edilmesinin çok daha zor olduğunu gösterir.
2. Adres çubuğunda bir site adresi yerine, bilgisayarın indirilenler klasöründeki bir dosyanın yolu yazıyordu. Gerçek e-posta hizmetinin giriş sayfası bilgisayardaki bir dosyadan açılmaz; bu, ekin kendisinin bir giriş sayfası taklidi olduğunu gösteriyordu.
3. Ekibin kuralı: bir e-posta giriş yapmayı isterse bağlantı kullanılmaz, site yer iminden açılır. Tolga hizmete kendi yolundan girdi ve hesabında böyle bir uyarı olmadığını gördü. Belirtiler temizken bile isteği kendi kanalından doğrulamak onu korudu.

Sonraki derse köprü

E-postada gönderen adresini, bağlantının hedefini ve eki okumak için zaman ve ekran vardır. Telefonuna gelen bir kısa mesajda ya da bir aramada bu imkânların çoğu yoktur: gönderen yalnız bir ad ya da numaradır, bağlantı kısaltılmıştır, arayan ise seni düşünmeye bırakmaz. Ders 7.3 SMS ve telefon dolandırıcılığını ele alıyor: kargo, banka ve resmî kurum taklidini ve geri arama ilkesini.