Social Engineering: İnsan Hackleme Sanatı
En güçlü firewallı kullanabilirsin, en iyi EDR satın alabilirsin ama çalışanlardan biri yanlış bir linke tıklarsa eğlence burada başlar. Çünkü saldırgan sistemi değil kullanıcıyı hedef almıştır.
Social engineering Nedir?
Social Engineering, insan psikolojisini kullanarak:
- bilgi elde etme
- erişim sağlama
- kullanıcıyı manipüle etme
vb. amacıyla yapılan saldırıların genel adıdır.
Phishing Mail Analizi
Gelen Kutusu Görünümü
Görselde özellikle şu unsurlar işaretlenir:
- Gönderen adresi security@microsoft-support.co (gerçek bir domain değildir ama ilk bakışta güven verir.)
- Konu satırı Microsoft account security alert
- Aciliyet psikolojisi, saldırganın amacı kullanıcıyı düşünmeden tıklatmak.
- Kurumsal logo kullanımı, mail güvenilir görünmesi için taklit marka edilir.
Sahte Login Sayfası
Kullanıcı burada:
- password
- bazen MFA kodu
girer.
Bunlar direkt saldırganın sunucusuna gider.
Saldırının Teknik akışı
- Mail gönderilir
- Kullanıcı tıklar
- Fake site açılır
- Credentials çalınır
- Account takeover
Social Engineering Türleri
1. Phishing
- Mail üzerinden
2. Spear Phishing
- Hedefli saldırı
3. Vishing
- Telefon ile
4. Smishing
- SMS ile
5. Pretexting
- Sahte senaryo oluşturma
6. Baiting
- USB / hediye / tuzak
Nasıl Korunulur?
1. User Awareness (EN KRİTİK)
- Eğitim şart
2. Email Security Gateway
- Spam filtreleri
3. MFA
- Password çalınsa bile yetmez
4. Link Inspection
- URL kontrolü
5. Zero Trust
- Kimseye güvenme
Özet Tablo
Teknik | Amaç |
|---|---|
Phishing | Credential çalma |
Vishing | Telefonla manipülasyon |
Smishing | SMS saldırısı |
Pretexting | Güven kazanma |
Teknik olarak, güvenlik sistemleri, spam filtreleri ve kimlik doğrulama mekanizmaları social engineering saldırılarını büyük ölçüde engelleyebilir. Ancak uygulamada:
Kullanıcıların farkındalık seviyesinin düşük olması;
- Sahte e-postaların giderek daha gerçekçi hale gelmesi;
- Saldırganların psikolojik manipülasyon tekniklerini ustaca kullanması;
- MFA gibi ek güvenlik katmanlarının her sistemde aktif olmaması;
- İnsan faktörünün her zaman en zayıf halka olması
gibi zaafiyetler olduğu sürece social engineering saldırıları en başarılı saldırı yöntemlerinden biri olmaya devam etmektedir.
Ayrıca günümüzde saldırganlar yalnızca teknik açıkları değil, insan davranışlarını analiz ederek çok daha etkili ve hedefli saldırılar gerçekleştirmektedir.
