Sosyal mühendislik: sistem değil, insan hacklendiğinde
İnsan neden en zayıf halkadır?
Modern güvenlik sistemleri teknik saldırıları iyi engeller. Ama hiçbir güvenlik duvarı, sizi dolandırıcılara kendiniz para göndermeye ikna eden bir «banka güvenliği» aramasından korumaz.
Sosyal mühendislik, makinelerin değil insanların manipülasyonudur. Temel psikolojik mekanizmalardan yararlanır.
Temel psikolojik tetikleyiciler
Otorite: saldırgan patron, BT personeli veya vergi müfettişi gibi davranır. «Ben sistem yöneticinizim, bakım için acilen şifrenize ihtiyacım var.»
Aciliyet: zaman baskısı eleştirel düşünmeyi kapatır. «Bilgilerinizi hemen onaylamazsanız hesabınız dondurulacak.»
Karşılıklılık: dolandırıcı önce «hoş» bir şey yapar, sonra bir iyilik ister.
Toplumsal kanıt: «tüm meslektaşlarınız sistem güncellemesini tamamladı bile.»
Kıtlık: «bu teklif yalnızca ilk 10 müşteri için.»
Beğenilme: saldırgan bir talepte bulunmadan önce yakınlık kurar.
Yaygın senaryolar
Pretexting (sahte bahane)
Dolandırıcı inandırıcı bir «hikâye» kurar: BT desteği, yeni çalışan ya da denetçi gibi davranır. Arar ve sistematik olarak sorular sorup veri toplar.
Baiting (yem)
Ofis asansöründe unutulmuş «Maaşlar 2026» etiketli bir USB bellek. İnsanların %45'i bulduğu belleği takar.
Quid pro quo (karşılıklı menfaat)
«BT'den arıyorum, bilgisayarınızda sorun var mı?»: erişim bilgileri karşılığında «yardım» sunar.
Tailgating (peşine takılma)
Korunan bir alana fiziksel erişim: saldırgan kutu taşırken birinden kapıyı tutmasını ister.
Nasıl korunursunuz?
- Arayanı doğrulayın: kapatın ve resmi numarayı arayın
- Aciliyete boyun eğmeyin: meşru kuruluşlar düşünmeniz için zaman tanır
- Sıfır güven politikası: telefonda veya sohbette şifre ya da kod verilmez
- Çalışan eğitimi: düzenli sosyal mühendislik simülasyonları
- Tanımadığınız kuruluşlarla geçici iletişim bilgileri kullanın: gerçek e-postanız yerine geçici e-posta, böylece ana iletişim noktanızı ifşa etmezsiniz
Test: saldırıyı fark edin
«Merhaba, ben BT Güvenliğinden Alex. Hesabınıza Almanya'dan yetkisiz erişim tespit ettik. Saldırganı engellemek için şu anda mevcut şifrenize ve SMS koduna ihtiyacım var.»
Bu, otorite, aciliyet ve korku tetikleyicileri içeren klasik bir pretexting örneğidir. Doğru tepki: kapatın ve şirketin dahili numarasından BT ile iletişime geçin.