Türkiye'de Yaşanan 10 Sosyal Mühendislik Vakası
(ve Nasıl Önlenebilirdi?)

Ne Oldu?

İstanbul'da büyük bir bankanın şube çalışanı, öğleden sonra bir telefon aldı. Arayan kişi kendisini "Merkez IT Güvenlik Birimi"nden tanıttı ve çok ciddi bir ses tonuyla konuştu:

"Sisteminizde anormal bir aktivite tespit ettik. Hesabınız ele geçirilmiş olabilir. Acil müdahale etmemiz gerekiyor. Şimdi size bir doğrulama kodu göndereceğim, bana okumanız gerekiyor."

Çalışan, bankanın resmi numarasından arandığını düşündü (numara spoofing yapılmıştı). Gelen SMS kodunu okudu. 3 dakika içinde, çalışanın yetkili olduğu 8 müşteri hesabından toplam 2.4 milyon TL farklı hesaplara aktarıldı.

Ne Oldu?

Ankara'da 200 çalışanlı bir e-ticaret şirketi. Muhasebe müdürü Cuma günü saat 17:30'da bir e-posta aldı. Gönderen: CEO'nun mail adresi (görünüşte).

"Merhaba Ayşe Hanım, acil bir durum var. Pazartesi sabahı açıklanacak bir satın alma için bugün 850.000 TL transfer yapmamız gerekiyor. Konu gizli, kimseyle paylaşmayın. Havale bilgilerini ekte bulabilirsiniz. Hemen yapın ve bana dönün."

Mail adresi gerçek görünüyordu ama aslında ceo@sirket.com yerine ceo@sirket.corn (m yerine rn) kullanılmıştı. Muhasebe müdürü, CEO'nun yoğun olduğunu düşünerek teyit almadan transferi yaptı.

Pazartesi sabahı gerçek CEO sordu: "Hangi transfer?" O an her şey anlaşıldı.

Ne Oldu?

İzmir'de özel bir hastane. Sabah saatlerinde otoparkte, asansör önünde ve kafeteryada toplam 15 adet USB bellek "unutulmuş" gibi bırakıldı. Üzerlerinde "Maaş Bordroları 2024" ve "Gizli - İK" etiketleri vardı.

Merak eden 4 çalışan, bu bellekleri bilgisayarlarına taktı. USB'ler otomatik olarak bir program çalıştırdı - ekranda hiçbir şey görünmedi ama arka planda bir "keylogger" (tuş kaydedici) ve "reverse shell" (uzaktan erişim) yüklendi.

3 hafta boyunca saldırganlar, hastanenin tüm sistemlerini izledi. Hasta kayıtları, doktor notları, finansal veriler... Sonra fidye yazılımı devreye girdi: "30.000 dolar ödeyin veya 50.000 hasta kaydını yayınlarız."

Ne Oldu?

Bir lojistik şirketinin 50 çalışanına aynı anda SMS geldi:

"[ŞİRKET ADI] İK: Yeni maaş bordronuz hazır. Görüntülemek için: hr-portal-sirket.com/bordro"

Link, şirketin gerçek İK portalına çok benzeyen sahte bir siteye yönlendiriyordu. 12 çalışan linke tıkladı ve şirket kullanıcı adı/şifrelerini girdi.

Saldırganlar bu bilgilerle şirketin gerçek sistemlerine giriş yaptı. Müşteri veritabanına erişti, 15.000 kurumsal müşterinin iletişim bilgilerini ve sipariş geçmişini kopyaladı. Bu veriler daha sonra rakip firmalara satıldı.

Ne Oldu?

Bursa'da otomotiv yan sanayi üreten bir fabrika. Sabah 09:00'da kapıya bir kişi geldi: Üzerinde tanınmış bir klima firmasının tulumu, elinde alet çantası, boynunda sahte kimlik kartı.

"Günaydın, klima bakımı için geldim. IT odasındaki sistem klimasına bakacağız, yönetim talep etmişti."

Güvenlik, yönetimden teyit almadan "buyurun" dedi. Adam IT odasına girdi. 20 dakika "klimayla ilgilendi". Bu sürede sunucu odasında bir Raspberry Pi cihazı ağa bağladı. Teşekkür edip çıktı.

Cihaz 2 ay boyunca tüm ağ trafiğini dışarıya aktardı: Tasarım dosyaları, müşteri bilgileri, maliyet tabloları, teklif detayları... Hepsi rakip bir firmaya ulaştı.

Ne Oldu?

İstanbul'da inşaat malzemeleri tedarikçisi bir şirket. 5 yıldır çalıştıkları bir tedarikçiden (gerçek görünümlü) e-posta geldi:

"Sayın Yetkili, banka hesabımız değişmiştir. Bundan sonraki ödemeleri aşağıdaki IBAN'a yapmanızı rica ederiz. Yeni hesap bilgileri ektedir."

Mail, tedarikçinin gerçek mail adresinden gelmiş gibi görünüyordu (e-posta spoofing). Muhasebe, 3 aylık ödeme periyodunda toplam 1.2 milyon TL'yi yeni hesaba gönderdi.

3 ay sonra gerçek tedarikçi aradı: "Ödemelerimiz neden gecikti?" O an fark edildi.

Ne Oldu?

Bir savunma sanayi şirketinin yazılım mühendisi, LinkedIn'den mesaj aldı. Gönderen, tanınmış bir uluslararası şirketin "İK Direktörü" idi (sahte profil):

"Profilinizi inceledik, sizin için mükemmel bir pozisyon var. Maaş: Mevcut maaşınızın 2 katı. Detayları görüşmek için ekteki iş tanımını inceler misiniz?"

Mühendis, ekteki Word dosyasını açtı. Dosya macro içeriyordu ve çalıştırıldığında bilgisayara uzaktan erişim trojeni yüklendi.

Saldırganlar 6 ay boyunca mühendisin bilgisayarını izledi. Savunma projeleri, teknik çizimler, test raporları... Hepsi sızdırıldı. Olay ancak istihbarat birimlerinin uyarısıyla ortaya çıktı.

Ne Oldu?

Büyük bir telekomünikasyon şirketinin çağrı merkezi. Saldırgan, bir kurumsal müşterinin IT yöneticisi gibi aradı:

"Merhaba, ben [Şirket Adı]'ndan Mehmet Bey. Yönetici hesabımızın şifresi sıfırlansın istiyorum, acil bir toplantıya yetişmem gerekiyor. Müşteri numaram 12345678."

Çağrı merkezi temsilcisi, standart doğrulama sorularını sordu. Saldırgan, LinkedIn ve şirket web sitesinden topladığı bilgilerle tüm soruları yanıtladı. Şifre sıfırlandı ve e-postaya gönderildi.

Saldırgan, kurumsal hesaba erişti ve şirketin tüm hatlarını yönlendirdi. 2 gün boyunca tüm müşteri çağrıları saldırgana gitti - kredi kartı bilgileri, kişisel veriler toplandı.

Ne Oldu?

Bir mobilya mağazasının WhatsApp Business hesabı klonlandı. Saldırganlar, mağazanın logosunu ve açıklamasını birebir kopyaladı. Ardından mağazanın Instagram'daki takipçilerine tek tek yazdı:

"Merhaba! [Mağaza Adı] olarak size özel %50 indirim kampanyamız var. Sadece bugün geçerli. Siparişinizi şimdi verin, kapıda ödeme."

35 kişi sipariş verdi ve ön ödeme yaptı. Ürünler hiç gelmedi. Müşteriler gerçek mağazayı arayınca olay ortaya çıktı.

Ne Oldu?

2020 Mart ayı. Bir şirket tüm çalışanlarını evden çalışmaya geçirdi. Ertesi gün, tüm çalışanlara "IT Departmanı"ndan görünen bir e-posta geldi:

"Uzaktan çalışma için VPN kurulumu zorunludur. Aşağıdaki linkten VPN yazılımını indirip kurmanız gerekmektedir. Kurulum yapmayanlar şirket sistemlerine erişemeyecektir."

Mail, şirketin gerçek IT formatında hazırlanmıştı. 45 çalışan linke tıkladı ve "VPN yazılımı"nı indirdi. Aslında bu bir keylogger + uzaktan erişim aracıydı.

Saldırganlar, 45 çalışanın bilgisayarını kontrol altına aldı. VPN ile şirkete bağlandıklarında, saldırganlar da bağlandı. ERP sistemine, müşteri veritabanına, finansal tablolara erişildi.