İnsan Katmanını Hacklemek

Sosyal Mühendisliğin Teknik Anatomisi, Gerçek Vakalar ve Savunma Stratejileri

Bir saldırganın kurumunuza girmek için her zaman bir 0-day (sıfırıncı gün) açığına ihtiyacı yoktur.

Bazen ihtiyacı olan şey yalnızca şunlardır:

LinkedIn + telefon + ikna kabiliyeti + doğru zamanda doğru kişiyi aramak.

Hatta saldırgan açısından bakıldığında, bir firewall’u aşmaya çalışmak yerine yardım masasını arayıp:

“Telefonumu değiştirdim, MFA çalışmıyor. Çok acil bir toplantıya girmem gerekiyor.”

demek çok daha ekonomik olabilir.

Sosyal mühendislik tam olarak bu noktada başlar.

Ancak sosyal mühendisliği yalnızca “kullanıcıyı kandırmak” şeklinde tanımlamak eksik kalır. Modern saldırılarda sosyal mühendislik; OSINT, kimlik altyapısı, MFA, help desk süreçleri, Active Directory/Entra ID, SaaS uygulamaları, oturum token’ları ve ayrıcalıklı hesaplar ile birleşen teknik bir saldırı zincirinin başlangıç noktasıdır.

Bu nedenle artık şu soruyu sormamız gerekiyor:

Saldırgan sistemi mi hackliyor, yoksa sistem üzerinde işlem yapma yetkisine sahip insanı mı?

---

1. Sosyal Mühendislik Aslında Nedir?

Klasik tanımıyla sosyal mühendislik, insanların güven, korku, merak, otorite, yardım etme isteği veya zaman baskısı gibi davranışsal özelliklerinin kullanılarak bilgi vermeye ya da bir işlem yapmaya ikna edilmesidir.

Teknik açıdan ise biraz farklı tanımlayabiliriz:

Sosyal mühendislik, kimlik doğrulama veya yetkilendirme sürecinin insan faktörü üzerinden bypass edilmesidir.

Örneğin saldırgan;

• Parolanızı tahmin etmek yerine size söyletebilir,
• MFA’yı kırmak yerine bildirimi onaylatabilir,
• Bir hesabı ele geçirmek yerine help desk’e sıfırlatabilir,
• Malware göndermek yerine OAuth uygulamasına izin verdirebilir,
• Finans sistemine sızmak yerine muhasebeye para göndertir,
• Hatta artık yöneticinizin görüntüsünü ve sesini yapay zekâyla taklit edebilir.

Bu açıdan sosyal mühendislik bir “farkındalık problemi” olduğu kadar bir Identity Security problemidir.

---

2. Modern Bir Sosyal Mühendislik Saldırısı Nasıl Hazırlanıyor?

Başarılı saldırıların önemli bir bölümü “Merhaba, şifrenizi verir misiniz?” diye başlamaz.

Saldırgan önce araştırma yapar.

Aşama 1 — OSINT (Open Source Intelligence) (Açık Kaynak İstihbaratı) / Reconnaissance (Keşif)

Saldırgan internette açık kaynaklardan bilgi toplamaya başlar:

LinkedIn

→ Çalışanlar
→ Departmanlar
→ Yöneticiler
→ Yeni işe başlayanlar
→ Kullanılan teknolojiler

Şirket web sitesi

→ Yönetim kadrosu
→ Organizasyon
→ Tedarikçiler
→ İletişim bilgileri

İş ilanları

Bir iş ilanında şu ifade varsa:

“Microsoft Entra ID, ServiceNow ve CrowdStrike deneyimi…”

aslında saldırgana şirketin teknoloji envanterinin bir bölümü ücretsiz verilmiş olabilir.

Buna GitHub, sosyal medya, veri sızıntıları ve domain kayıtları da eklenebilir.

Sonuçta saldırgan şöyle bir profil oluşturabilir:

Kişi → Departman → Yönetici → E-posta → Telefon → Kullanılan Sistem → Olası Yetki

İşte saldırı bundan sonra kişiselleşmeye başlar.

---

3. Pretexting: Saldırgan Önce Bir Hikâye Yazar

Sosyal mühendisliğin en güçlü tekniklerinden biri pretexting’dir.

Saldırgan kendisine inandırıcı bir rol oluşturur.

Örneğin:

“Bilgi Teknolojileri ekibinden arıyorum.”

“Genel Müdürlükten arıyorum.”

“Microsoft destek ekibiyim.”

“Bankanızın güvenlik departmanından arıyorum.”

“Tedarikçi firma finans ekibiyim.”

Burada kritik nokta söylediklerinin tamamen uydurma olmamasıdır.

İyi hazırlanmış bir saldırgan adınızı, yöneticinizi, departmanınızı, şirketinizi ve kullandığınız ürünü zaten biliyor olabilir.

Dolayısıyla konuşmanın %80’i doğru bilgi içerir.

Saldırı kalan %20’nin kabul ettirilmesi üzerine kuruludur.

---

4. Türkiye’den Gerçek Bir Vaka: CEO’dan Gelmiş Gibi Görünen E-posta

Türkiye açısından oldukça öğretici örneklerden biri KVKK kararlarına yansımış durumda.

Finans ve muhasebe alanında faaliyet gösteren uluslararası bir meslek kuruluşunda çalışan bir kişi, kurumun Başkanı ve CEO’sundan gelmiş gibi görünen bir e-posta aldı.

Çalışan mesajın gerçek olduğuna inanarak yanıt verdi.

Sonuçta saldırgan, aralarında 217 Türk üyeye ait ad-soyad, üyelik numarası ve bazı e-posta adreslerinin bulunduğu verilere ulaştı.

Yapılan incelemede saldırının dış kaynaktan gelen bir phishing (oltalama) girişimi olduğu ve kurumun e-posta altyapısının doğrudan ele geçirildiğine ilişkin kanıt bulunmadığı belirtildi.

Bu ayrıntı çok önemli.

Çünkü burada saldırgan:

Firewall’u geçmedi.

Sunucu exploit etmedi.

Veritabanına SQL Injection yapmadı.

Yetkili kişiyi kullanarak veriyi sistemden çıkarttı.

Saldırı zinciri

Teknik güvenlik açısından bakıldığında bunun klasik bir insider activity ile arasındaki fark oldukça küçüktür.

Sistem açısından yetkili bir kullanıcı gerçekten dosyayı hazırlayıp gönderiyor olabilir.

Bu nedenle yalnızca antivirus veya firewall ile sosyal mühendislik engellenemez.

Nasıl önlenebilirdi?

Burada birkaç kontrol birlikte çalışmalıydı:

E-mail Security

SPF + DKIM + DMARC
Anti-spoofing
Display-name impersonation detection
External sender tagging

DLP

Kişisel veri içeren dosyanın kurum dışına gönderilmesi durumunda politika devreye girebilirdi.

Behavior Analytics

Normalde bu tür verileri dışarı göndermeyen bir kullanıcının aniden toplu veri göndermesi anomali olarak değerlendirilebilirdi.

Business Process

Yönetici talep etse dahi belirli hassas veri kümelerinin paylaşılması ikinci onaya tabi tutulabilirdi.

Asıl ders şudur:

Bir kullanıcı yetkili olabilir; fakat yaptığı her işlem meşru olmak zorunda değildir.

---

5. Türkiye İçin İkinci Ders: Sızdırılan Kurumsal Bilgi Bir Sonraki Saldırının Hammaddesidir

2023’te HSBC Türkiye’nin üçüncü taraf hizmet sağlayıcılarından birinde meydana gelen olayda bazı eski çalışan ve hizmet sağlayıcılara ait isim, çalışan no’su, yönetici no’su, kurumsal e-posta, ünvan, telefon, iş birimi ve çalışma lokasyonu gibi bilgiler yetkisiz erişime maruz kaldı. Banka, açıklamasında kişileri özellikle phishing ve sosyal mühendislik girişimlerine karşı dikkatli olmaya çağırdı.

Neden?

Çünkü saldırgan açısından bu bilgiler birer pretext building kit (metin taslak motoru) gibidir.

Düşünün:

“Merhaba Ahmet Bey. İstanbul ofisinden arıyorum. Mehmet Bey’in ekibindesiniz değil mi? Çalışan numaranızın son dört hanesi 4821. Kurumsal hesabınızla ilgili bir problem görüyoruz…”

Karşı taraf sizin hakkınızda dört doğru bilgi söylediğinde beşinci söylediğine inanma ihtimaliniz yükselir.

Bu nedenle veri ihlalleri yalnızca geçmişte gerçekleşmiş olaylar değildir.

Aynı zamanda gelecekte gerçekleştirilecek sosyal mühendislik saldırılarının OSINT (Açık Kaynak İstihbaratı) veri kaynağıdır.

---

6. MGM Resorts: Bir Telefon Görüşmesinin Maliyeti

2023 yılında MGM Resorts (mgmresorts.com) ciddi bir siber saldırıya uğradı.

Olay sonucunda rezervasyon sistemlerinden bazı otel operasyonlarına kadar çok sayıda sistem etkilendi. MGM daha sonra saldırının Eylül ayındaki finansal etkisinin yaklaşık 100 milyon dolar olduğunu açıkladı. Bazı müşterilerin isim, iletişim bilgileri, doğum tarihi ve ehliyet bilgileri; sınırlı sayıdaki müşterinin ise Social Security ve pasaport bilgileri saldırganların eline geçti.

Olayla ilişkilendirilen Scattered Spider grubu özellikle çalışanları hedef alan sosyal mühendislik ve kimlik avı yöntemleriyle tanındı; sonraki ABD soruşturmaları da grubun çalışanlardan kimlik bilgileri elde etmek için phishing kullandığını ortaya koydu.

Buradaki ders son derece önemli:

Help Desk artık bir siber güvenlik kontrol noktasıdır.

Olası saldırı mantığı

Birçok kurumda SSO saldırganın işini kolaylaştırabilir.

Çünkü saldırgan tek bir kimliği ele geçirdiğinde:

VPN + Microsoft 365 + SaaS + dosya sistemleri + kurumsal uygulamalar gibi birçok sisteme ulaşabilir.

Nasıl önlenebilirdi?

Help desk üzerinden gerçekleştirilen parola/MFA reset işlemleri yalnızca “bildiğiniz bilgilerle” doğrulanmamalıdır.

Çünkü saldırgan bu bilgileri OSINT ile öğrenebilir.

Daha güvenli model:

Ayrıca MFA reset işlemi başlı başına yüksek riskli bir güvenlik olayı olarak SIEM’e gönderilmelidir.

---

7. Twitter 2020: Yönetici Paneline Giden Yol Çalışanlardan Geçti

2020’de Twitter’ın iç sistemlerine erişim sağlanarak Barack Obama, Elon Musk, Bill Gates ve başka yüksek profilli hesaplardan Bitcoin dolandırıcılığı mesajları yayınlandı.

ABD Adalet Bakanlığı belgelerinde Twitter’ın saldırıyı “çalışanları hedef alan koordineli bir sosyal mühendislik saldırısı” olarak tanımladığı aktarılıyor. Saldırganlar çalışan hesaplarından birini ele geçirerek iç sistem ve araçlara erişim sağladı.

Teknik açıdan olayın en önemli kısmı Bitcoin değildir.

Asıl mesele:

Privileged Internal Tool Access idi.

Bu nedenle Privileged Access Management yalnızca “Domain Admin” hesaplarından ibaret düşünülmemelidir.

Sosyal medya yönetim paneli bile kritik bir privileged system olabilir.

Nasıl önlenebilirdi?

• Privileged Access Management,
• Just-in-Time Access,
• Ayrı admin hesapları,
• Hardware security key,
• Phishing-resistant MFA,
• Session recording,
• Admin işlemlerinde behavioral analytics,
• Kritik işlemlerde four-eyes principle

Kullanılabilirdi.

---

8. Google ve Facebook’u Bile Kandırabilirsiniz: 100+ Milyon Dolarlık BEC

2013–2015 arasında Evaldas Rimasauskas tarafından yürütülen Business Email Compromise operasyonu sosyal mühendisliğin en çarpıcı örneklerinden biridir.

Saldırgan, şirketlerin gerçekten iş yaptığı Asyalı bir donanım üreticisiyle aynı ismi taşıyan bir şirket kurdu.

Ardından:

Sahte şirket

Sahte e-posta

Sahte fatura

Sahte sözleşme

Gerçek ticari ilişki

Kombinasyonu oluşturuldu.

Çalışanlara gönderilen phishing e-postaları gerçek tedarikçiden geliyormuş gibi görünüyordu ve ödeme hesaplarının değiştirilmesini istiyordu.

Sonuçta iki büyük teknoloji şirketinden 120 milyon doların üzerinde para saldırganların kontrolündeki hesaplara gönderildi. ABD Adalet Bakanlığı saldırganın daha sonra beş yıl hapis cezasına çarptırıldığını açıkladı.

Bu saldırının güzelliği — güvenlik açısından bakarsak kötülüğü — şudur:

Saldırgan ödeme sistemini hacklemedi.

Ödeme sürecini hackledi.

Savunma

Bir tedarikçinin:

• Banka hesabı,
• IBAN’ı,
• Ödeme ülkesi,
• İletişim kişisi

Değişiyorsa e-posta üzerinden gelen talep tek başına yeterli olmamalıdır.

Burada “independent” kelimesi kritik.

E-postadaki telefon numarasını aramak doğrulama değildir.

Çünkü o numarayı zaten saldırgan yazmıştır.

---

9. Sosyal Mühendislik 2.0: Deepfake Yönetici

2024’te sosyal mühendislik yeni bir seviyeye çıktı.

Hong Kong’da Arup (arup.com) çalışanı, üst düzey yöneticilerin bulunduğunu düşündüğü bir video konferansa katıldı.

Sorun şuydu:

Toplantıdaki insanların görüntü ve sesleri gerçek değildi.

Deepfake teknolojisi kullanılmıştı.

Çalışan çeşitli hesaplara toplam yaklaşık HK$200 milyon — yaklaşık 25 milyon ABD doları — transfer etti. Arup daha sonra olayı doğruladı.

Bu olay güvenlik dünyasında önemli bir varsayımı yıktı:

“Sesini duydum, yüzünü gördüm; demek ki gerçekten o.”

Artık geçerli değil.

Eskiden doğrulama:

E-mail → Şüpheli
Telefon → Daha güvenilir
Video → Çok güvenilir

şeklinde düşünülüyordu.

Deepfake çağında ise:

E-mail ≠ Identity

Voice ≠ Identity

Video ≠ Identity

Kimlik doğrulama ile iletişim kanalı birbirinden ayrılmak zorunda.

Çözüm?

Özellikle yüksek tutarlı finansal işlemlerde:

Örneğin CFO video konferansta “10 milyon dolar gönderin” dese bile ödeme, şirketin normal finansal onay mekanizmasını bypass edememelidir.

Çünkü:

Yüz kimlik değildir.

Ses kimlik değildir.

---

10. İnsan Hatası mı, Tasarım Hatası mı?

Sosyal mühendislik olaylarından sonra sık duyduğumuz ifade:

“Kullanıcı hata yaptı.”

Bu yaklaşım çoğu zaman problemi fazla basitleştirir.

Bir kullanıcının tek başına:

• 10 milyon dolar gönderebilmesi,
• MFA’yı resetleyebilmesi,
• 100.000 müşteri kaydını dışarı aktarabilmesi,
• Kritik admin paneline erişebilmesi

Mümkünse burada yalnızca insan hatası yoktur.

Kontrol tasarımı problemi vardır.

İnsanların hata yapabileceğini kabul ederek güvenlik mimarisi oluşturmak gerekir.

Havacılık sektöründe pilotun hata yapabileceği varsayılır.

Finans sektöründe trader’ın hata yapabileceği varsayılır.

Siber güvenlikte de kullanıcının kandırılabileceği varsayılmalıdır.

Buna göre:

Katmanlarının tamamında kontrol uygulanmalıdır.

---

11. Teknik Savunma Mimarisi Nasıl Olmalı?

Sosyal mühendisliğe karşı tek bir ürün yoktur.

Katmanlı savunma gerekir.

Bunların birbirinden bağımsız çalışması da yeterli değildir.

Örneğin:

Zincirinin tamamı korelasyon halinde görülmelidir.

Tek tek bakıldığında olayların her biri normal görünebilir.

Birlikte bakıldığında ise saldırı hikâyesi ortaya çıkar.

---

12. DLP ve DAM Sosyal Mühendisliğin Neresinde?

Sosyal mühendislik genellikle phishing ile ilişkilendiriliyor.

Oysa saldırganın nihai hedefi çoğu zaman phishing değildir.

Hedef: DATA dır.

Kimlik bilgisi yalnızca veriye ulaşmak için kullanılan araçtır.

Bu nedenle saldırının son aşamasında:

Database Activity Monitoring veritabanındaki anormal sorguları,

File Activity Monitoring dosya sistemlerindeki olağandışı erişimleri,

DLP verinin kurum dışına çıkarılmasını,

UEBA kullanıcı davranışındaki anomalileri tespit edebilir.

Örneğin bir DBA’nın hesabı sosyal mühendislik sonucunda ele geçirilmiş olsun.

Saldırgan geçerli kullanıcı ve parola kullanıyor.

Firewall açısından bağlantı normal.

Database açısından kullanıcı yetkili.

Ancak davranış şöyle olabilir:

Burada güvenlik sorusu artık:

“Bu kullanıcı yetkili mi?” değil,

“Bu davranış bu kullanıcı için normal mi?” olmalıdır.

---

13. Yeni Cephe: Generative AI + Social Engineering

Generative AI sosyal mühendisliğin ölçeğini değiştirmeye başladı.

Saldırgan artık:

• Kusursuz Türkçe e-posta yazabilir,
• Yöneticinin yazım stilini taklit edebilir,
• Ses klonlayabilir,
• Video oluşturabilir,
• LinkedIn profillerini analiz edebilir,
• Hedef kişiye özel mesajlar üretebilir.

Eskiden 10.000 kişiye aynı phishing e-postası gönderilirdi.

Yeni model:

10.000 kişi

↓

10.000 OSINT profili

↓

10.000 farklı phishing mesajı olabilir.

Bu da “mailde yazım hatası varsa phishing’dir” döneminin büyük ölçüde kapanması anlamına geliyor.

---

14. Sonuç: En Zayıf Halka İnsan Değildir

Siber güvenlikte yıllardır kullanılan bir söz vardır:

“İnsan en zayıf halkadır.”

Bence artık bunu değiştirmemiz gerekiyor.

İnsan, güvenlik mimarisinin bir parçasıdır.

Sorun insanın hata yapması değildir.

Sorun, tek bir insan hatasının bütün güvenlik zincirini kırabilmesidir.

İyi tasarlanmış bir güvenlik mimarisinde çalışan phishing bağlantısına tıklayabilir.

Ama credential çalınmamalıdır.

Çalınırsa MFA saldırıyı durdurmalıdır.

MFA geçilirse Conditional Access devreye girmelidir.

O da geçilirse EDR veya Identity Security anomaliyi görmelidir.

Hesap ele geçirilirse PAM yetkiyi sınırlandırmalıdır.

Veriye ulaşılırsa DAM/FAM davranışı izlemelidir.

Veri dışarı çıkarılmaya çalışılırsa DLP devreye girmelidir.

Ve SOC bütün bu sinyalleri bir saldırı zinciri olarak görebilmelidir.

Yani:

Siber güvenliğin amacı insanların hiç hata yapmadığı bir organizasyon yaratmak değildir.

Bu gerçekçi değildir.

Asıl amaç:

Bir insan hata yaptığında saldırganın kazanamadığı bir mimari kurmaktır.

Seyhan Tekelioğlu