Sosyal Mühendislik Saldırı Türleri

Günümüzün en yoğun siber saldırı türleri arasında sosyal mühendislik saldırıları gelir. Sosyal mühendislik saldırı türleri hakkında yeteri kadar bilgi sahibi olmak dijital vatandaşlığın bir gereği olmuştur. Oldukça kapsamlı bir konu olması nedeniyle sosyal mühendislik saldırı türleri hakkında detaylı bir şekilde bilgi vermeden önce kısaca sosyal mühendislik saldırısı nedir sorusuna cevap verelim. Yazımızın sonunda ise sosyal mühendislik saldırılarının temelini oluşturan unsurlar ve sosyal mühendislik saldırılarından korunma yolları hakkında detaylı bilgilere ulaşabilirsiniz.

İçindekiler Tablosu

Sosyal Mühendislik Saldırısı Nedir?

Sosyal mühendislik saldırıları, kurbanın siber saldırılar hakkında yeteri kadar bilgi sahibi olmamasından faydalanılarak yapılan bir hack işlemidir.

Bazı sosyal mühendislik saldırısı türleri ise kurbanın duygusal ve psikolojik zaaflarını kullanma üzerine yoğunlaşmıştır. Bazı durumlarda ise amaçlanan asıl siber saldırı öncesinde hedef sistem hakkında bilgi sahibi olmak amacı ile gerçekleştirilir. Bu özelliği itibariyle bir çeşit öncü saldırı özelliği de taşır.

Sosyal Mühendislik Saldırısı Türleri (Sosyal Mühendislik Teknikleri)

Genel olarak web siteleri, sosyal medya hesapları veya e-posta hesapları aracı kılınarak yapılan bir saldırı türüdür. Kullanılan teknikler ve ortamlar farklılık gösterir. Son yıllarda sık kullanılan sosyal mühendislik saldırısı türleri ve özelliklerini aşağıdaki gibi sıralayabiliriz.

Phishing Saldırıları (Oltalama Saldırıları)

Sosyal mühendislik saldırısı türleri denildiğinde ilk olarak akılara oltalama saldırısı gelir. Bunun başlıca nedeni ise sosyal mühendislik saldırıları arasında en yaygın gerçekleştirilen saldırı türü olmasıdır. Saldırganın amacı dikkate alındığında bir çeşit kimlik avcılığı olduğunu da söyleyebiliriz.

Saldırganın elde etmek istediği bilgiler kullanıcı adı ve şifrelerdir. Bunların dışında phishing saldırıları ile banka veya kredi kartı bilgilerinin ele geçirilebileceğini düşündüğümüzde maddi açıdan da kurbanı zarara uğratabilecek kadar tehlikelidir.

Phishing Saldırısı Örnekleri

E-Posta Phishing

Sosyal mühendislik saldırısı türleri arasında en sık karşılaşılan örnektir. Hedef kurbana güvenilir bir işletme, kuruluş veya kurumdan gönderilir gibi e-posta gönderilmektedir. Genellikle bu e posta adresleri taklit şeklinde üretilir. İlk bakışta asıl e posta adresi ile farkının tespiti oldukça zordur. Bu şekilde güvenilir e posta izlenimi ile, e postada belirtilen web sitesine yönlendirme amaçlanmaktadır. Yönlendirilen bu web sitesi de genellikle orijinal web sitesinin ara yüzü ile birebir yapılmaktadır. Genellikle bankacılık bilgilerinin elde edilmesi amacı ile gerçekleştirilir.

Vishing Saldırısı (Telefon Oltalaması)

Bu konuda sık sık uyarılar yapılmasına rağmen yine de hala bu tür saldırılara maruz kalan kullanıcılar vardır. Yine bankacılık bilgilerinin elde edilmesi amacı ile gerçekleştirilir. Bu saldırı türünde saldırgan telefon ile arayarak bankacılık işlemlerinde kullanılan kullanıcı adı ve şifrelerini talep eder. Asıl banka yetkileri de dahil olmak üzere hiçbir iyi niyetli kişinin telefon ile arayarak bu bilgileri talep etmeyeceğini hatırlatmak isteriz.

Spear Phishing

E-Posta phishingte olduğu gibi saldırgan yine sahte e posta adresi kullanır daha önce farklı yöntemler ile kurbanın güvenini kazanarak gönderilen e posta ekinin açılası sağlanır. Açılan e posta ekinde büyük ihtimal çeşitli amaçlarla üretilmiş zararlı yazılımlar ardır.

Bu zararlı yazılım kimlik avcılığına yönelik olabileceği gibi tuş kombinasyonunu kayıt altına alan keylogger şeklinde de olabilir. Her iki durumda da farklı ve yüksek zararlarla karşılaşılması olasıdır. Bu nedenle sosyal mühendislik saldırısı türleri arasında en fazla dikkat edilmesi gereken bir örnektir.

Yasak Elma Saldırısı

Niteliği itibariyle bir çeşit oltalama saldırısı olduğunu da söyleyebiliriz. Saldırgan bu saldırı türünde daha önce hazırlamış olduğu flash bellek içerisindeki zararlı yazılım kurbanın bilgisayarına kullanma yöntemi ile bulaştırmasını amaçlamaktadır. Daha çok kurban merakından dolayı bu saldırıya düşmektedir. Merak duygusu ile bilgisayara takıp usb bellek içerisindeki zararlı yazılım rahat bir şekilde sistemimize bulaşabilmektedir. Bu nedenle kimin olduğundan ve güvenliğinden emin olmadığımız usb bellekleri bilgisayarımızda kullanmamamız tavsiye edilir.

Pharming

Doğrudan kullanıcıya yönelik bir saldırı olmasa da kullanılan teknikler itibariyle yine sosyal mühendislik saldırıları arasında yer alır. Saldırgan pharming saldırısında daha önce hazırlamış olduğu sahte web sitesine kullanıcıya yönlendirme mantığı ile çalışmaktadır. Bu yönlendirilen site asıl sitenin bir nevi kopyasıdır ve genellikle banka ve finans kuruluşlarına ait web siteleridir.

Yukarıda belirtmiş olduğumuz sosyal mühendislik saldırı türleri genellikle sık karşılaşılan saldırılardır. Diğer sosyal mühendislik saldırıları da genellikle benzer yöntemler kullanılarak yapılır. Daha çok kullanıcıyı kandırmaya veya güvenirliliğini kazanmaya dayalı saldırı türüdür. Bu nedenle sıklıkla “oltalama” olarak da bilinir.

En Tehlikeli Sosyal Mühendislik Saldırı Türleri Nelerdir?

Görüldüğü gibi sosyal mühendislik saldırıları genellikle kimlik bilgileri ve özellikle kullanıcı bilgilerine yönelik bir saldırıdır. Tümünde ciddi miktarda maddi kayıplarla karşılaşılabilir. Ancak en yaygın olanları genellikle e posta phishing ve Spear Phishingtir.

Sosyal Mühendislik Saldırılarının Temelini Oluşturan Unsurlar

Sosyal mühendislik saldırıları diğer siber saldırılardan farklıdır. Büyük oranda kurbanın psikolojik zafiyetlerinden ve siber güvenlik konularında yeteri kadar bilgi sahibi olmamalarından kaynaklanır. Diğer sosyal mühendislik saldırılarının temelini oluşturan unsurları ise aşağıdaki gibi genellemek mümkündür.

Etik değerleri çiğneme
Aldatıcı ilişkiler kurma
Güvene dayalı zorlayıcı işlemler
Kişisel bilgileri kullanma

Sosyal Mühendislik Saldırılarından Korunma Yöntemleri

Diğer siber saldırılarda olduğu gibi farklı önlemler ile sosyal mühendislik saldırı türlerinden korunmak mümkündür. Ancak bu konuda en önemli husus farkındalık eğitimidir.

Özellikle işletme ve kuruluşlarda çalışanlara siber güvenlik konusunda temel eğitimlerin verilmesi gerekir. Bu eğitimler sayesinde sosyal mühendislik saldırılarından korunmak mümkün olduğu gibi diğer siber saldırılar ve zararlı yazılımlara karşı da korunmak mümkündür. Bunların dışında;