Bir sabah e-posta kutunuza bakıyorsunuz; CEO’nuzdan acil bir ödeme talebi gelmiş. Üslup tanıdık, imza yerinde, hatta şirket logosu bile mükemmel. Peki ya bu mesaj gerçekten CEO’nuzdan gelmemişse? Kimliğe bürünme saldırıları tam da bu senaryoyu gerçeğe dönüştürüyor ve 2024 verilerine göre kurumsal siber tehditlerin en hızlı büyüyen kategorisini oluşturuyor.
Kısa Tanım: Kimliğe bürünme (impersonation) saldırısı, saldırganın güvenilir bir kişi, kurum veya marka gibi davranarak kurbanı kandırması ve hassas bilgi, para ya da sistem erişimi elde etmesi sürecidir. Teknik açıdan “sosyal mühendislik” şemsiyesi altında yer alır ancak günümüzde yapay zekâ destekli araçlarla çok daha sofistike hale gelmiştir.
Neden Bu Kadar Etkili?
İnsan psikolojisi, tanıdık isimlere ve otorite figürlerine refleks olarak güvenir. Saldırganlar bu zafiyeti hedef alır. Cloudflare’in 2024 raporuna göre aldatıcı bağlantılar içeren kimlik avı saldırıları, tüm phishing vakalarının büyük çoğunluğunu oluşturuyor. Üstelik bu saldırıların önemli bir kısmı “VIP taklidi” formatında, yani üst düzey yöneticilerin kimliğine bürünülerek gerçekleştiriliyor.
Kilit Çıkarım: Teknik güvenlik duvarları ne kadar güçlü olursa olsun, insan faktörü hâlâ en zayıf halka. Bu yüzden kimliğe bürünme teknikleri, siber suçluların favori silahı olmaya devam ediyor.
En Sık Kullanılan Kimliğe Bürünme Yöntemleri
1. CEO Dolandırıcılığı (Business Email Compromise – BEC)
Saldırgan, şirketin üst düzey yöneticisinin e-posta adresini taklit eder veya gerçek hesabını ele geçirir. Ardından finans departmanına “acil” ve “gizli” etiketli bir ödeme talimatı gönderir. IBM’in verilerine göre BEC saldırıları, kurumsal kayıpların en yüksek olduğu siber suç kategorilerinden biri.
Tipik Senaryo: “Merhaba, şu anda toplantıdayım, telefona bakamıyorum. Acil bir tedarikçi ödemesi var, hemen EFT yapmanız gerekiyor. Detayları ekte bulabilirsiniz.”
- Hedef: Finans, muhasebe ve satın alma departmanları
- Risk Seviyesi: Çok yüksek
- Ortalama Kayıp: Onbinlerce dolardan milyonlara kadar değişebilir
2. Marka Taklidi (Brand Impersonation)
Bankalar, kargo şirketleri, e-ticaret platformları… Saldırganlar bu markaların görsel kimliğini birebir kopyalayarak sahte web siteleri ve e-postalar oluşturur. Kurban, “hesabınız askıya alındı” gibi bir uyarıyla panikleyip sahte siteye giriş bilgilerini yazar.
Pratikte en sık taklit edilen markalar arasında Microsoft, DHL, Google ve büyük bankalar yer alıyor. Türkiye özelinde PTT, Trendyol ve büyük bankaların isimleri sıkça kullanılıyor.
3. Spear Phishing (Hedefli Oltalama)
Genel phishing’den farklı olarak spear phishing, belirli bir kişiyi hedef alır. Saldırgan önce LinkedIn, sosyal medya ve şirket web sitesinden bilgi toplar. Ardından kişiselleştirilmiş bir mesaj hazırlar: “Geçen haftaki konferanstaki sunumunuz harikaydı, ekte ilgili bir doküman var.”
Maliyet: Saldırgan için düşük (sadece araştırma süresi), kurban için potansiyel olarak yıkıcı.
4. Deepfake Destekli Saldırılar
2024’ün en endişe verici trendi bu. Yapay zekâ araçları sayesinde saldırganlar artık ses ve video taklidi yapabiliyor. Bitdefender Türkiye’nin raporuna göre deepfake kimlik avı saldırıları, siber suçların “tehlikeli yeni yüzü” olarak tanımlanıyor.
Bir CFO’nun sesini taklit eden yapay zekâ, telefonda “acil transfer” talimatı verebiliyor. Video konferans araçlarında bile sahte yüz görüntüleri kullanılabiliyor.
Pro İpucu: Yüksek meblağlı işlemlerde mutlaka ikinci bir doğrulama kanalı kullan. Telefon geldi mi? E-posta ile teyit et. E-posta geldi mi? Bilinen numaradan ara.
5. Tedarikçi/İş Ortağı Taklidi
Saldırgan, şirketin düzenli çalıştığı bir tedarikçinin kimliğine bürünür. “Banka hesabımız değişti, yeni IBAN bilgileri ekte” şeklinde bir e-posta gönderir. Kurban, rutin ödemeyi yeni (sahte) hesaba yapar.
| Yöntem | Birincil Hedef | Tespit Zorluğu | Potansiyel Hasar |
|---|---|---|---|
| CEO Dolandırıcılığı | Finans ekipleri | Orta-Yüksek | Çok Yüksek |
| Marka Taklidi | Son kullanıcılar | Düşük-Orta | Orta |
| Spear Phishing | Belirli çalışanlar | Yüksek | Yüksek |
| Deepfake Saldırıları | Üst yönetim | Çok Yüksek | Çok Yüksek |
| Tedarikçi Taklidi | Satın alma/Finans | Orta | Yüksek |
Doğru Bilinen Yanlışlar
- “Sadece büyük şirketler hedef olur”: Yanlış. KOBİ’ler genellikle daha zayıf güvenlik altyapısına sahip oldukları için cazip hedeflerdir.
- “Spam filtresi beni korur”: Kısmen doğru ama yetersiz. Hedefli saldırılar genellikle filtreleri atlatacak şekilde tasarlanır.
- “Tanıdığım birinden geliyorsa güvenlidir”: En tehlikeli varsayım. Hesap ele geçirme (account takeover) saldırılarında mesaj gerçekten tanıdığınızın hesabından gelir.
Korunma Stratejileri
Teknik önlemler ve insan faktörü bir arada çalışmalı:
- E-posta doğrulama protokollerini aktifleştirin: SPF, DKIM ve DMARC yapılandırması, sahte gönderici adreslerini büyük ölçüde engeller.
- Çok faktörlü kimlik doğrulama (MFA) kullanın: Hesap ele geçirilse bile ikinci faktör olmadan erişim zorlaşır.
- Finansal işlemlerde çift onay mekanizması kurun: Belirli tutarın üzerindeki transferler için iki farklı kanaldan onay şart olsun.
- Düzenli farkındalık eğitimleri verin: Çalışanlar, şüpheli e-postaları nasıl tanıyacaklarını bilmeli.
- Simülasyon testleri yapın: Sahte phishing kampanyaları düzenleyerek ekibin reflekslerini ölçün.
Süre: Temel koruma önlemlerini uygulamak 1-2 hafta, kapsamlı bir güvenlik kültürü oluşturmak 3-6 ay sürebilir.
Sıkça Sorulan Sorular
Kimliğe bürünme saldırısı ile phishing arasındaki fark nedir?
Phishing genel bir terimdir ve çeşitli aldatma tekniklerini kapsar. Kimliğe bürünme ise phishing’in bir alt kategorisidir; saldırganın belirli bir kişi veya kurumu taklit etmesini ifade eder. Her kimliğe bürünme saldırısı bir phishing girişimidir, ancak her phishing saldırısı kimliğe bürünme içermez.
Deepfake saldırılarını nasıl tespit edebilirim?
Video görüşmelerde göz kırpma sıklığı, dudak-ses senkronizasyonu ve arka plan tutarsızlıklarına dikkat edin. Ses kayıtlarında ise doğal olmayan duraklamalar ve ton değişimleri ipucu olabilir. En güvenli yöntem: Kritik taleplerde her zaman alternatif bir kanaldan doğrulama yapın.
Şirketimde bir kimliğe bürünme saldırısı tespit ettim, ne yapmalıyım?
Önce etkilenen hesapları izole edin ve şifreleri değiştirin. Ardından olayı IT güvenlik ekibinize ve gerekirse yetkili makamlara (BTK Siber Olaylara Müdahale Merkezi – USOM) bildirin. Finansal kayıp varsa bankanızla derhal iletişime geçin.
Sonuç
Kimliğe bürünme saldırıları, teknolojik gelişmelerle birlikte sürekli evrim geçiriyor. Deepfake araçlarının yaygınlaşması ve yapay zekânın kötü niyetli kullanımı, bu tehdidi daha da ciddi hale getiriyor. Ancak temel savunma prensibi değişmiyor: Güven ama doğrula.
Kurumsal düzeyde teknik önlemler (e-posta güvenliği, MFA, ağ izleme) şart. Bireysel düzeyde ise sağlıklı bir şüphecilik ve “acil” etiketli taleplere karşı soğukkanlılık hayat kurtarıcı olabilir. Unutmayın, siber güvenlikte en pahalı hata “bana olmaz” düşüncesidir.