Teknoloji uzmanlarının dahi siber güvenlik açıkları nedeniyle büyük finansal kayıplar yaşayabildiği bir dönemde, dijital ayak izi analizi kurumsal savunmanın en kritik halkası haline geldi. Küresel teknoloji yayıncısı Tom Honeyands'in tek bir telefon görüşmesiyle 70 bin sterlin kaybetmesi, siber korsanların artık doğrudan sistemleri değil, insan psikolojisini ve açık kaynaklardan elde edilen verileri hedef aldığını gösteriyor. BTK verilerine göre, Türkiye'de de benzer şekilde finansal kurumları ve startup ekosistemini hedef alan vishing sesli oltalama faaliyetlerinde son bir yılda ciddi artış gözleniyor.
Siber saldırganlar, hedef aldıkları yöneticilerin veya şirketlerin sosyal medya hesaplarını, kamuya açık röportajlarını ve kurumsal bültenlerini inceleyerek detaylı bir profil çıkarıyor. Bu yöntemle elde edilen bilgiler, telefon görüşmelerinde güven ilişkisi kurmak için kullanılıyor. Şirket içi siber farkındalık eğitimlerinin yetersizliği, en deneyimli yöneticilerin bile anlık bir manipülasyonla kurumsal hesap bilgilerini veya kişisel fonlarını teslim etmesine yol açıyor. USOM tarafından yayımlanan güncel siber tehdit raporları, sosyal mühendislik dolandırıcılığı vakalarının yüzde 80'inin önceden planlanmış bu tip bilgi toplama süreçlerine dayandığını ortaya koyuyor.
Sosyal Mühendislik Saldırılarının Kurumsal Maliyeti
- En Çok Kullanılan 3 Yöntem: Vishing (Sesli Oltalama), Phishing (E-posta Oltalama), Smishing (SMS Oltalama)
- Ortalama Finansal Kayıp: Startup ve KOBİ segmentinde olay başına ortalama 85.000 Dolar
- Startup'lar İçin 3 Temel Önlem: İki aşamalı doğrulama (2FA), Dijital ayak izi temizliği, Çoklu onaylı transfer protokolleri
Startup finansal güvenlik altyapıları, genellikle hızlı büyüme odaklı kurulduğu için siber güvenlik süreçlerini ikinci plana atabiliyor. Özellikle yeni yatırım almış veya fon arayışında olan girişimler, kurucularının kişisel popülaritesini artırmak için sosyal medyada aşırı bilgi paylaşımı yapıyor. Bu durum, saldırganlara şirketin finansal yapısı, iş ortakları ve bankacılık ilişkileri hakkında kritik ipuçları veriyor. Uzmanlar, şirketlerin sadece teknik altyapılarını değil, çalışanlarının ve yöneticilerinin dijital ayak izlerini de düzenli olarak denetlemesi gerektiğini vurguluyor.
Türkiye'deki girişimler için de benzer riskler her geçen gün büyüyor. BTK ve USOM koordinasyonunda yürütülen çalışmalarda, özellikle finansal teknoloji girişimlerinin ve e-ticaret platformlarının sesli oltalama saldırılarına karşı uyarılması dikkat çekiyor. Kurumsal yönetim ilkeleri gereği, şirketlerin finansal transfer yetkilerini tek bir yöneticinin inisiyatifinden çıkararak çoklu imza ve onay mekanizmalarına bağlaması yasal bir zorunluluk olmasa da operasyonel bir zorunluluk haline geliyor. Siber güvenlik uzmanları, kurumsal siber hijyen kurallarının tavizsiz uygulanmasını öneriyor.
Sıkça Sorulan Sorular
Sosyal mühendislik (Social Engineering) dolandırıcılığı nedir ve nasıl çalışır?
Sosyal mühendislik, siber saldırganların teknik açıkları kullanmak yerine, hedef aldıkları kişileri psikolojik manipülasyon, güven suistimali ve aldatma yöntemleriyle yönlendirerek gizli bilgileri ele geçirmesidir. Genellikle sosyal medya ve internet üzerindeki açık kaynaklardan toplanan kişisel bilgilerle hedef hakkında detaylı bir senaryo hazırlanarak uygulanır.
Bir teknoloji uzmanı veya siber güvenlik bilinci yüksek biri nasıl dolandırılabilir?
Saldırganlar, hedef kişinin stres altında hızlı karar vermesini sağlayacak acil durum senaryoları kurgular. Teknoloji uzmanları teknik altyapıyı korumaya odaklansa da, sesli oltalama (vishing) sırasında karşılarındaki kişinin kendilerine ait çok özel detayları (doğum yeri, evcil hayvan adı, son yapılan iş ortaklığı gibi) bilmesi durumunda savunma mekanizmalarını devre dışı bırakabilirler.
Şirketler ve startup'lar dijital ayak izi kaynaklı riskleri nasıl azaltabilir?
Şirket yöneticileri ve kritik personeller, sosyal medya mecralarında finansal durumları, bankacılık ilişkilerini veya günlük rutinlerini açığa çıkaracak paylaşımlardan kaçınmalıdır. Şirketler, açık kaynak istihbaratı (OSINT) araçlarıyla kendi dijital ayak izlerini düzenli olarak taratmalı ve siber saldırganların erişebileceği hassas verileri internetten kaldırmalıdır.
Türkiye'deki girişimler için sesli oltalama (vishing) saldırılarına karşı hangi yasal ve teknik önlemler mevcut?
Türkiye'de BTK ve USOM, siber ihbar hatları ve güncel tehdit uyarılarıyla kurumsal korunma prosedürleri sunmaktadır. Teknik olarak, tüm kurumsal bankacılık işlemlerinde çift faktörlü doğrulama (2FA) ve IP kısıtlaması uygulanmalı, belirli bir tutarın üzerindeki transferlerde ise mutlaka sesli ve yazılı çoklu onay mekanizmaları devreye sokulmalıdır.
