İş e-postası dolandırıcılığı

Açılış

Kaan'ın şirketi forkliftlerinin bakımını yıllardır aynı firmaya yaptırıyordu. Muhasebe ile firmanın satış sorumlusu arasındaki e-posta yazışması aylardır aynı başlık altında sürüyordu: teklif, onay, fatura, ödeme. Bir salı sabahı aynı yazışmanın içine, aynı adresten, aynı imzayla yeni bir mesaj düştü. Satış sorumlusu, firmanın bankasını değiştirdiğini yazıyor, yeni hesap bilgisini antetli bir yazıyla ekte gönderiyor ve bekleyen üç faturanın bu hesaba ödenmesini rica ediyordu.

Muhasebe çalışanı dikkatliydi. Dış gönderen etiketi vardı ama gönderen zaten dışarıdandı; adres her zamankiydi; yazışma gerçekti. Yine de değişikliği doğrulamak için e-postanın altındaki imzadaki numarayı aradı. Telefonu açan kişi kendini satış sorumlusu olarak tanıttı ve değişikliği onayladı. Ödeme yapıldı.

Üç gün sonra gerçek satış sorumlusu, ödemelerin neden geciktiğini sormak için aradı. Firmanın posta kutusu haftalar önce ele geçirilmişti; imzadaki numara da o yeni mesajda değiştirilmişti. Gülay Hanım bankayla bir saat içinde temasa geçti ve tutarın bir kısmı alıcı bankada donduruldu, bir kısmı ise çoktan başka hesaplara aktarılmıştı. Muhasebe çalışanı doğrulamayı yapmıştı; sorun, doğrulamayı saldırganın kendi verdiği kanaldan yapmasıydı. Bu ders kurumları en büyük tutarlarla hedef alan bu dolandırıcılığı ve onu gerçekten durduran doğrulamayı anlatıyor.

Tek fikir

İş e-postası dolandırıcılığında saldırgan ödemeyi değil, ödemenin gideceği yeri değiştirir. Onu durduran şey, değişikliği e-postanın içinden değil, önceden kayıtlı ve bağımsız bir kanaldan doğrulamaktır.

Nasıl çalışır

Önceki derste bir yöneticinin adını taşıyan ve tek bir acil havale isteyen bir mesaj gördük. Bu derste daha sessiz ve daha pahalı bir düzene bakıyoruz: sıradan iş akışının içine yerleşen dolandırıcılığa.

Bu dolandırıcılığın en tehlikeli biçimi, saldırganın kendi adresinden değil, gerçek bir adresten yazmasıdır.

Saldırgan bir posta kutusunu ele geçirdiğinde hemen harekete geçmez. Önce yazışmaları okur: kimin kime ne zaman fatura kestiğini, hangi ödemelerin beklediğini, yazışmanın üslubunu öğrenir. Sonra doğru anı bekler. Bu süre boyunca fark edilmemek için posta kutusunda kurallar kurar.

Bu yüzden kurbanın gördüğü her şey gerçektir: adres, imza, yazışma geçmişi, hatta bazen ekteki fatura şablonu. Saldırganın değiştirdiği tek şey, paranın gideceği yer ve doğrulama için verilen numaradır. Açılıştaki muhasebe çalışanı tam bu noktada yakalandı: doğruladı, ama e-postanın verdiği numarayla.

Bu düzenin bir zayıf noktası vardır: saldırgan e-postayı ve e-postanın içindeki her şeyi denetler, ama önceden kayıtlı bir telefon numarasını, yüz yüze konuşulmuş bir kişiyi ya da tedarikçinin resmî sistemindeki bilgiyi denetlemez. İkinci kanaldan doğrulama, bu zayıf noktaya yaslanır.

Sahada

Savunma

İş e-postası dolandırıcılığına karşı savunma, para akışının etrafına kurulan süreçlerdir; teknik önlemler yardımcıdır ama tek başına yetmez.

İlk ve en önemli savunma, ödeme bilgisi değişikliklerini ikinci kanaldan doğrulamaktır. Bir tedarikçinin ya da müşterinin banka hesabı değiştiğinde, doğrulama e-postanın içindeki numaradan, imzadan ya da ekteki yazıdan değil, ilişki kurulurken kayda geçen bağımsız bir bilgiden yapılır: sözleşmedeki numara, yüz yüze tanışılan kişi, tedarikçinin resmî sistemi. Bora'nın satın alma biriminin yaptığı budur ve açılıştaki muhasebe çalışanını kurtaracak tek adım da buydu.

İkinci savunma, süreçte birden fazla göz ve biraz zaman olmasıdır. Ödeme bilgisi değişikliği ikinci bir yetkilinin onayından geçmeli, yeni bir hesaba yapılan ilk ödemeden önce kısa bir bekleme konmalı ve yüksek tutarlı ödemeler tek bir kişinin kararına bırakılmamalıdır. Önceki dersteki duraklama kuralının kurumsal karşılığı budur.

Üçüncü savunma, kendi posta kutularını korumaktır. Her hesapta oltalamaya dayanıklı bir ikinci adım, yönlendirme kurallarının ve dışarıya otomatik aktarımın izlenmesi ya da kısıtlanması, ve bir hesap ele geçirildiğinde yalnız parolanın değil kuralların, yönlendirmelerin, bağlı uygulamaların ve oturumların da temizlenmesi gerekir. Selin'in ekibinin gördüğü gibi, kurallar silinmeden parola değişikliği yarım kalır.

Dördüncü savunma, kendi alan adını taklit edilmeye karşı korumaktır: benzer alan adlarını izlemek ve e-posta doğrulama kayıtlarını doğru kurmak. Bu kayıtların nasıl çalıştığı ileriki bir modülün konusudur.

Son savunma, hızlı müdahaledir. Sahte bir ödeme fark edildiğinde, FBI raporunun da vurguladığı gibi, zaman en değerli şeydir: hemen bankayı arayıp ödemenin geri çağrılmasını istemek, kolluğa bildirmek ve hesabın ele geçirilip geçirilmediğini incelemek. Açılışta paranın bir kısmı, Gülay Hanım bir saat içinde bankayı aradığı için kurtarıldı.

Uygulama

Kendi düzenli ödemelerini ve kendi posta kutunu, bu dersin iki zayıf noktası açısından gözden geçireceksin.

Posta kutunda hiçbir yabancı kural çıkmayabilir; bu, kontrolün boşuna olduğunu değil, bugün temiz olduğunu gösterir.

Defter: Ödemeler bölümüne düzenli alıcılar listesi, bilinen hesap bilgisi, kaynağı ve bağımsız doğrulama kanalı. E-posta hesabının kural ve yönlendirme kontrolünün tarihi ve sonucu. Kural: hesap bilgisi değişikliği, e-postanın verdiği hiçbir kanaldan doğrulanmaz.

Hata köşesi

Etik ve sınırlar

Bu dersteki uygulamada kendi ödeme ilişkilerine ve kendi posta kutuna baktın. Bir iş arkadaşının ya da bir aile üyesinin posta kutusundaki kuralları incelemek, onun izniyle ve yanında yapılır; bir kurumda başkalarının posta kutularına bakmak ise yalnız bunun için yetkilendirilmiş kişilerin işidir. Bir dolandırıcılık fark ettiğinde paranın gittiği hesabın sahibini kendi başına bulmaya ya da ona ulaşmaya çalışmak yerine bankaya ve kolluğa başvurmak gerekir; dondurma ve geri alma yetkisi onlardadır. Bir tedarikçinin ya da müşterinin hesabının ele geçirildiğini fark ettiysen, onu suçlamadan ve hızla, kendi bildiğin kanaldan haberdar etmek de bu işin parçasıdır.

Kapanış

1. İş e-postası dolandırıcılığı, ödemeyi değil ödemenin gideceği hesabı değiştirir; sahte fatura, hesap değişikliği ve yönetici adına talimat en sık biçimleridir ve FBI'a bildirilen kayıplarda en üst sıralardadır.
2. En tehlikeli biçimde saldırgan bir tedarikçinin gerçek posta kutusunu ele geçirir, gerçek yazışmanın içine yazar ve yönlendirme ve gizleme kurallarıyla fark edilmeden kalır.
3. Savunma, ödeme bilgisi değişikliklerini e-postanın verdiği değil önceden kayıtlı bağımsız bir kanaldan doğrulamak, ikinci onay ve bekleme süresi, posta kutusu kurallarını denetlemek ve sahte bir ödeme fark edildiğinde bankayı hemen aramaktır.

Üç soru

1. Açılıştaki muhasebe çalışanı değişikliği telefonla doğruladığı hâlde neden kandırıldı?
2. Selin'in ekibi Tolga'nın hesabında parolayı sıfırlamakla neden yetinmedi?
3. Bora'nın satın alma birimini hangi adımlar korudu?

Yanıtlar

1. Aradığı numara, saldırganın değiştirdiği e-postanın imzasındaki numaraydı; telefonu saldırganın kendisi açtı. Mesaj gerçek bir hesaptan ve gerçek bir yazışmanın içinden geldiği için diğer işaretler de temizdi. Doğrulama, ancak ilişki kurulurken kayda geçen ve e-postadan gelmeyen bir kanaldan yapılsaydı işe yarardı.
2. Posta kutusunda, e-postaları dışarıya aktaran bir yönlendirme ve fatura geçen mesajları gizleyen bir kural vardı. Bu kurallar parola değiştikten sonra da çalışmaya devam edebilirdi. Ekip parola sıfırlamanın yanında oturumları kapattı ve kuralları sildi.
3. Değişiklik yazısı beklemeye alındı; tedarikçi kaydındaki, sözleşme sırasında alınmış numara arandı; değişiklik ikinci bir yetkilinin onayına sunuldu ve yeni hesaba ilk ödemeden önce iki iş günü beklendi. Bağımsız kanal yazının sahte olduğunu ortaya çıkardı.

Sonraki derse köprü

Açılıştaki doğrulama telefonla yapıldı ve telefondaki ses tanıdık değildi, ama inandırıcıydı. Ya ses tanıdık olsaydı, yani gerçekten satış sorumlusunun, bir yöneticinin ya da bir aile üyesinin sesi gibi duyulsaydı? Bugün kısa bir ses kaydından bir sesin taklidi üretilebiliyor. Ders 7.7 sahte ses ve görüntüyü ele alıyor: yapay zekâyla üretilmiş ses ve videoyu ve aile içinde kurulan doğrulama parolasını.