Oltaya gelme nasıl önlenir?

Büyük holdinglerden birinin CIO’su, siber güvenlik konusunda yaptıkları çalışmaları anlatırken, büyük bir hayal kırıklığına da dikkati çekiyordu. Teknoloji dünyasında “oltalama” (phishing) için aldıkları önlemlerin bir türlü işe yaramadığını, çalışanların tuzağa düşmeye devam ettiklerini söylüyordu: “Çok uğraştık ama oltaya düşen sayısını bir türlü düşüremedik. Çok da eğitim veriyoruz. Ancak 2021 yılına göre aynı sayı ile gidiyoruz.”

Bir başka holdingin CIO’su ise yıllık saldırı sayısını 3.5 milyon olarak açıklıyordu. Yine de bu grup, “oltalamaya” gelen çalışan sayısını 2021 yılında yüzde 10 düşürmeyi başarmıştı.

Bu şirketin teknoloji lideri gibi çok sayıda CIO/CTO’nun ajandasında aynı konu var. Şirketler, son yıllarda zaten artan siber saldırılar arasında çalışanların dikkatsizliğinden kaynaklanan bu tip riskler için daha fazla önlem alma yoluna gidiyor. Cyber Security Ventures’ın verileri bu riskin önümüzdeki dönemde daha da artacağını ortaya koyuyor. Çünkü araştırmaya göre, siber saldırıların maliyeti 2021-2025 arasında 10.5 trilyon dolar düzeyine ulaşacak. Yıllık artış ise yüzde 15’i geçecek.

Kimlik avının geçmişi!

“Kimlik avı” olarak nitelendirilen “oltalama” (phishing), 1990’ların başında ortaya çıktı. İlk kurbanı da America Online’ın (AOL) sohbet odalarındaki kullanıcılardı. Saldırganlar, kendilerini AOL’in yöneticileri olarak tanıtıp, kredi kartı bilgilerini alarak “oltalama” dönemini başlattılar. O dönemde olduğu gibi bu tip saldırıların başlıca amacı, kullanıcıların bilgilerini (kredi kartı, kimlik, banka kartı) kullanarak banka hesapları gibi kritik verilerini ele geçirmek.

Trend Micro Türkiye Ülke Müdürü Hasan Gültekin, bu saldırıların önemini ortaya koymak için Verizon’un bir raporundaki şu veriye dikkat çekiyor: “2021 yılı raporuna göre oltalama saldırıları güvenlik ihlallerinin yüzde 36’sını oluşturuyor.”

ABD merkezli Ponemon Enstitüsü’nün araştırması ise bu tip saldırıların orta büyüklükteki bir işletmeye verdiği zararın 14.8 milyon dolara ulaştığını ortaya koyuyor. Oysa bu rakam 6 yıl önce 3.8 milyon dolardı.

Hasan Gültekin, zararın bununla da sınırlı kalmadığına dikkat çekiyor ve ekliyor: “Oltalama saldırıları verimlilik açısından da zarar veriyor ve çalışan verimliliğini büyük oranda düşürüyor. Bu yüzden BT departmanı dışındaki çalışanlar, yıllık ortalama 7 iş saati kaybediyor.”

Avı önlemek mümkün mü?

Zorlu Holding Network ve Güvenlik Müdürü Murat Halidi, holding bünyesinde kendilerine yöneltilen “spam” e-postalarının yüzde 30’unun “av” şeklinde olduğuna dikkat çekiyor.

Halidi, bu saldırıların yılda 3 bine kadar ulaştığını söylüyor ve ekliyor: “Yapılan iyileştirmeler ve ara kontroller sayesinde kullanıcılarımızın oldukça az bir kısmını bu saldırılardan etkilenir duruma getirdik. Etkisi şu anda minimum düzeyde.”

Ezcacıbaşı Holding CIO’su Gürkan Papila, “en büyük sorunlardan biri” olarak tanımladığı “kimlik avı” için şunu söylüyor: “Yapılan güvenlik araştırmalarına göre yaşanan zafiyetlerin yüzde 70’inin başlangıç noktası oltalama saldırıları. Bu nedenle şirketlerin teknolojiler kadar çalışanlara da yatırım yapmaları gerektiğine inanıyoruz. Farkındalığın artırılması yetmiyor, bunun teknoloji ile de ölçülmesi gerekiyor.”

Oltalamada kritik oran

“Click Rate” (Tıklama Oranı) denilen gösterge önemli bir değerlendirme aracı olarak kullanılıyor. İş dünyasında bir şirketteki çalışanların ortalama “tıklama” oranı için yüzde 12 düzeyine dikkat çekiliyor. Eczacıbaşı CIO’su Gürkan Papila, alınan önlemlerle bu oranı yüzde 10’un altına çekmenin mümkün olduğunu belirtiyor ve ekliyor: “Ancak, sıfırlamanın mümkün olmayacağının bilinmesi gerekiyor.”

Secure Future CEO’su Cem Kotanoğlu, Türkiye’de “fidye yazılımı” (ransomware) saldırılarının da son yıllarda arttığına dikkat çekiyor ve birkaç sektör tahminini paylaşıyor:

• Son 3 yılda Türkiye’de gerçekleşen 10 büyük saldırıda şirketlerden 5.2 milyar dolar düzeyinde fidye istenildiği söyleniyor.
• 2021 yılının son 3 ayında fidye yazılımı saldırılarında artış dikkat çekti. Haziran-Aralık 2021 arasındaki dönemde saldırılar 3 kat arttı. 2021 yılında yapılan saldırıların sayısı da 42 bin 136’ya ulaştı. Veriler, hedefli fidye operasyonlarının geldiği noktanın endişe verici olduğunu gösteriyor. Sadece 2020 yılındaki saldırıların, bir önceki yıla göre yüzde 150 artmış olması da bunu destekliyor.

Yüzde 10’a ulaştı, önlem geldi

Kibar Holding CIO’su Metin Erhan, “Bu tip saldırılar, sektörden bağımsız en fazla ve en hızlı gerçekleştirilen ataklardır” diye konuşuyor:

“Bir istatistiğe göre rapor edilen saldırılarda bunun oranı yüzde 80’e ulaşıyor. Kötü amaçlı yazılımların (malware) yüzde 94’ü de e-posta aracılığıyla gönderiliyor.”

Kibar Holding’e ayda 5-10 arası “oltalama” saldırısı gerçekleştirildiğini paylaşan Metin Erhan, önlem için neler yaptıklarını şöyle özetliyor:

“Son yapılan testlerde oltalamaya takılan kullanıcı oranı yüzde 10 düzeyinde seyrediyor. Bunu aşağı çekmek için her yıl test yapıyor, eğitimler düzenliyoruz. ‘Farkındalık Eğitim Programı’nı da bu kapsamda gerçekleştirdik. Bunların yanı sıra ‘sıfırıncı gün ataklarına’ karşı e-posta koruma sistemlerini devreye aldık. Domain benzerliklerini yakalayan siber istihbarat ürünlerini kullanmaya başladık.

QNB Finansbank Genel Müdür Yardımcısı Mehmet Kürşad Demirkol, saldırıları hesaplamanın zor olduğuna dikkat çekiyor. “Çünkü, kullandığımız güvenlik yazılımları ile önemli bölümünü engelliyoruz, çok azı içeri giriyor. Onları da etkisiz hale getirecek ek önlemlerimiz var” diye konuşuyor.

Oltaya takılmada düşüş var mı?

Hasan Gültekin, Trend Micro’nun 2021 yılında yaptığı araştırmaya dayanarak bu tip saldırıların yüzde 15 arttığına dikkat çekiyor. Gültekin, “Cloud App Security çözümümüz, Writing Style DNA gibi gelişmiş özellikleriyle saldırılara karşı koruyor. Ancak, bu konudaki en zayıf halkayı insan unsuru oluşturuyor. Ne kadar gelişmiş bir güvenlik sistemi kullanırsanız kullanın insanlarda farkındalık yaratmadığınız sürece bu saldırıları tamamen önlemek mümkün değil” diye konuşuyor.

Akbank Genel Müdür Yardımcısı İlker Altıntaş, “Çalışma arkadaşlarımızın bu konudaki farkındalığını artırmak için pek çok kanal ve yöntemle farkındalık çalışmaları yapıyoruz” diye konuşuyor. Bu kapsamda güncel saldırıları örnek alarak düzenli simülasyonlar yaptıklarına, çalışmanın da yararını gördüklerine dikkat çekiyor:

“Örneğin, 2021’de yaptığımız oltalama testlerinde ortalama başarısızlık oranı, dünya genelindeki finans sektörü ortalamasının altında kaldı.”

QNB Finansbank Genel Müdür Yardımcısı Mehmet Kürşad Demirkol da benzer bir stratejiden söz ediyor. Oltalama senaryoları ile güvenlik bilincini ölçtüklerini belirtiyor ve ekliyor: “Çıkan sonuçlara göre eğitimlere devam ediyoruz.”

 

Oltalamanın yeni matematiği

“Bir şirkete gelen e-postaların yüzde 60’ı spam ya da oltalama olarak değerlendirilir ve kullanıcıya ulaşmadan temizlenir. Geriye kalan yüzde 40 içinde bir bölüm, ne kadar iyi teknolojileriniz olursa olsun risk oluşturur. Bunun ortalama yüzde 1-3’lük bölümü son kullanıcıya ulaşır. Ortalama 10 bin kişilik bir şirketin ayda ortalama 5 milyon mesajı olduğunu düşünürsek, bunun 3 milyonu temizlenir. Son kullanıcıya giden 2 milyon mesajın 20 bini son kullanıcıya ‘oltalama’ olarak ulaşır.”

 

“Zayıf halka insan unsuru”

• Fidye yazılım saldırıları adı verilen bu atak tipi, siber suç çetelerinin yeni gözdesi haline geldi. 2020 yılında bir şirketten istenen ortalama fidye miktarı 340 bin dolara ulaşmıştı. Riskin artması ve itibara verdiği zarar nedeniyle şirketler bu konuyu aşmak için çaba gösteriyor. Çünkü, masum görünümlü bir e-posta ile hedefe ulaşmaları mümkün olabiliyor.
• Bu saldırılarda en zayıf halkayı ‘insan’ unsuru oluşturuyor. Çalışanların farkındalığını artıramayan şirketlerde, bir insan hatası nedeniyle, her türlü teknolojik yatırıma rağmen siber saldırılar başarıya ulaşabiliyor.
• Bizim teknolojimiz Keepnet Labs, geliştirdiği simülatör ve eğitimlerle çalışanların, saldırılara ne kadar hazırlıklı olduğunu ölçüyor. Görünen eksiklikler doğrultusunda, eğitimlerle farkındalık düzeyini yukarı çekmeyi amaçlıyoruz. Ayrıca bu teknoloji, şirketlerin sisteminin en kısa sürede zararlı/şüpheli e-postalardan arınmasını da sağlıyor.

%30.8: SocRadar’a göre Türkiye’deki saldırıların hedefinde ilk sırayı yüzde 30.8 oranla ‘fintech’ sektörü alıyor. Ardından yüzde 21.8 ile bankacılık ve yüzde 15.3 ile online perakende geliyor.