Siber saldırılar ve veri ihlalleri
Tehdit aktörleri Phantom Deal kampanyasının arkasında şirketleri aşırı detaylı inceliyor ve orta düzey çalışanları büyük finansal transfer başlatmaya kandırmayı hedefliyor.
Nate Nelson, Katkıda Bulunan Yazar
Sosyal mühendisler sahte birleşme ve satın alma anlaşmaları kisvesi altında şirketleri büyük tutarlı transferleri kendi hesaplarına yapmaya ikna etmeye çalışıyor.
Bu, daha fazla riskin olduğu yeni bir kuşak için siber güvenlikteki en eski taktiklerden biri olan ön ödeme dolandırıcılığı. Siber güvenlik markaları Norton ve Avast’ın ana şirketi Gen, bir kurumsal satın alma kisvesi altında yürütülen bir aldatmacaya hedef oldu. Gen saldırıyı araştırdı ve şirketin en az beş hedeften biri olduğunu, hepsinin büyük meblağlar kaybetme riski altında olduğunu keşfetti.
Gen güvenlik evangelisti Luis Corrons, kampanya hakkında Gen’de kıdemli baş tehdit analizi mühendisi Martin Chlumecký ile birlikte rapor yazdı. Corrons ifade etti: "Dolandırıcılıklar o kadar ikna edici hale geliyor ki en eğitimli gözün bile onları fark etmesi zorlaşıyor."
Bu durumda şirket, dikkatli bir çalışan ve saldırganların anlatısındaki çatlaklar sayesinde kurtuldu. Corrons belirtti: "Saldırganların yöntemi oldukça sofistike olsa da bireysel senaryoları kusurluydu. Daha tutarlı bir hikâyeyle aynı oyun kitabı çok daha tehlikeli olabilirdi."
Hayalet anlaşma
Kampanyanın arkasındaki tehdit aktörleri, "Phantom Deal" olarak adlandırıldı, ödevlerini yaptı. Gen’in hukuk ekibinde "David" olarak anılan bir üye tespit ettiler; bu kişinin şirketteki her türlü kurumsal anlaşma yapımında rol alması bekleniyordu. WhatsApp üzerinden gelen ilk kimlik avı mesajı arkadaş canlısı ve belirsizdi. Bir saldırgan şirketin yöneticilerinden birini taklit etti. Telefon numarası yöneticinin ev ülkesinin alan kodunu doğru kullanıyordu.
Yönetici çalışana gizlice büyük bir kurumsal satın alma yürüttüklerini söyledi. Detaylar biraz belirsizdi. Gen’in iştiraklerini ve kocaman bir çek içeriyordu.
Correns hatırlattı: "David’e asla kimin kimi satın aldığı konusunda tamamen tutarlı bir açıklama yapmadılar. Yaptıkları şey gerçek kurumsal geçmiş etrafında inşa etmekti. NortonLifeLock 2022’de Avast’ı satın aldı ve sahte ödeme talimatları Avast Software’in NortonLifeLock Ireland Limited adına, gizli bir satın almayla bağlantılıymış gibi ve anlaşma açıklandığında geri ödenebilir bir ödeme yapmasını istedi. Bu, makul bir birleşme ve satın alma bağlamı yaratmaya yetti, ama yakından bakıldığında hikâye gerçekten tutarlı değildi."
Hikâye yapısı belki Odyssey kadar iyi değildi, ancak diğer her operasyonel detay tam isabetti. İkinci bir tehdit aktörü PricewaterhouseCoopers’ta bir aracıyı taklit etti. PwC markalı bir gizlilik anlaşması vardı. NDA akıllıca çalışanı gizliliğe yemin ettiriyordu, diğer çalışanları aldatmacanın dışına çıkarıyordu ve tüm iletişimi WhatsApp ve kişisel e-posta adresleriyle sınırlamalarını istiyordu, böylece şüpheli mesajlarını kurumsal izleme sistemlerinin gözünden uzak tutuyordu. Gizli anlaşma anlatısı, aksi halde tamamen şüpheli olacak istekler için bir bağlam sağladı.
Sonra büyük istek geldi: Anlaşmayı kolaylaştırmak için Hong Kong’daki bir şirkete €626,735.45 tutarında tuhaf derecede spesifik bir Euro transferi gönderilmesi gerekiyordu.
Kurgu sadece çalışan ile saldırganlar telefonlaştığında ve çalışan taklit edilen yöneticinin sesinin yanlış olduğunu fark ettiğinde çöktü. O noktada saldırganlar saldırıya uğrayan taraf oldu. Gen kötü adamların başarı eşiğinde olduklarını düşünmeleri için sahte bir işlem onay e-postası hazırladı. E-posta, saldırganın eylemlerini ve bağlantılarını takip eden bir jeton içeren bir bağlantı içeriyordu.
Sahte NDA’dan elde edilen meta verilerle araştırmacılar aynı kampanyanın dört başka hedefini tespit edebildi. Hedefler hepsi farklı şirketlere ait kıdemli çalışanlardı: özel sermaye, endüstriyel finans, satış, madencilik ve enerji. Her saldırı hedefe tamamen özelleştirilmişti, hatta "hayalet anlaşma"yı kolaylaştırmak için kullanılan profesyonel hizmetler firması bile PwC, KPMG, Ogier gibi farklılık gösteriyordu.
Şirketler sosyal mühendisleri nasıl etkisiz hale getirebilir
Şirketler kendileri hakkında kamuya açık internette büyük miktarda bilgi açıklıyor. Phantom Deal’ı ikna edici kılan, sosyal mühendislerin hedefleri hakkında basit web aramalarıyla toplayabildikleri tüm detaydı. Yine de Corrons, onlara karşı savaşmanın cevabının bu bilgileri internetten kaldırmak olmadığını savunuyor.
Corrons belirtti: "Saldırganlar isimleri, fotoğrafları, iş rollerini ve satın alma geçmişini kullandı; bunların çoğu meşru şekilde kamuya açık ve birçok durumda kamuya açık olması gerekiyor. Güvenlik yoluyla belirsizlik bu sorunu çözmez. Saldırganın eksik bilgiye sahip olmasına güvenmek istemem. Suçluların kuruluşunuz hakkında çok şey öğrenebileceğini varsayın. Savunma, mükemmel istihbarat yapmış birinin bile bir çalışanı doğrulama ve ödeme kontrollerini atlatmaya ikna edememesi olmalı."
Çalışanların bu kontrolleri atlamamayı bilmesi de yardımcı oluyor. Gen’in hikâyesindeki kahraman "David", temel detaylara dikkat ederek aksi halde ikna edici bir saldırıyı çözdü. Corrons kaydetti: "Önce ekranda sunulan kimliğe güvenmek yerine kişiyi doğruladı. İkincisi, meşru bir işlemin nasıl görünmesi gerektiğini anladı."
Corrons herkes için dersi şöyle özetledi: "Kişinin meşru görünüp görünmediğini sormak yerine, sizi takip etmenizi istediği sürecin meşru olup olmadığını sorun. Çoğu çalışan için bir şeyden şüphelendiğinizde doğru bir sonraki adım saldırganla etkileşime devam etmek değil, rapor etmektir. Rapor ettiğinizde ve bu meşru bir işlemse bile şirketiniz güvenli davrandığınız için size teşekkür edecektir."
Nate Nelson gazeteci ve ödüllü bir senaristtir. Dark Reading’in yanı sıra siber güvenlikte tüm medyada en popüler şov olan Darknet Diaries için de yazıyor.
Kariyerine serbest çalışan olarak başladı, teknoloji ve finans yöneticileri için Forbes ve CNBC köşe yazılarını yazdı. Ardından Threatpost’ta gazeteciliğe geçti ve burada siber güvenlik haberleri ve trendlerini takip etti. Bu yıllar boyunca Malicious Life adlı bir siber güvenlik podcast’i kurdu; bu podcast gününde Apple Podcasts ve Spotify’da ilk 20 teknoloji podcast’i arasında yer aldı.
New York Üniversitesi ve Bard College’dan dereceleri var. Doğma büyüme bir New Yorklu olarak üstünlük kompleksi yaşıyor, ama bunu kendine saklayacak kadar nazik.
