Kurumsal e-posta dolandırıcılığı (BEC), yöneticileri hedef alan sıradan bir kimlik avı türü değil, ayrı bir mali suç kategorisidir. Kimlik avı girişimi, birinin tıklamaması gereken bir şeye tıklamasını sağlayarak başarılı olur. Kurumsal e-posta dolandırıcılığı ise bu mekanizmaların hiçbirine ihtiyaç duymadan başarıya ulaşır: Saldırının tamamı, belirli bir kişiden normal bir iş gününe makul ölçüde uyacak bir eylem gerçekleştirmesini talep eden, iyi araştırılmış bir e-postadan ibarettir. En büyük olaylarda tek bir transferde altı haneli tutarlar hareket ettirilebilir ve durum fark edilene kadar para genellikle çoktan yurt dışına çıkmış olur.

Bir kimlik avı filtresinin veya iyi eğitimli bir çalışanın normalde arayacağı sinyallerin hiçbiri tespit edilemez. Kurumsal e-posta dolandırıcılığını sıradan kimlik avından ayıran şey budur ve genel kimlik avı farkındalığının bunu durdurmada pek işe yaramamasının nedeni de budur. Kurumsal e-posta dolandırıcılığını nasıl tespit edebileceğinizi ve kuruluşunuzu nasıl koruyabileceğinizi göstereceğiz.

Kurumsal e-posta dolandırıcılığı nedir?

Kurumsal e-posta dolandırıcılığı; bir suçlunun genellikle üst düzey bir yönetici, tedarikçi veya şirket içi bir iş arkadaşı gibi hedefin güvendiği birinin kimliğine bürünerek banka havalesi, ödeme ayrıntılarında değişiklik veya hassas kimlik doğrulama bilgileri talep ettiği hedefli bir saldırıdır.

Süreçte genellikle hiçbir kötü amaçlı yazılım(yeni pencere) veya kötü amaçlı bağlantı yer almaz. Değişen şey, göndericinin kimliğinin nasıl taklit edildiğidir ve saldırganların çoğu insanın tahmin ettiğinden çok daha fazla seçeneği vardır:

  • Benzer etki alanları: Saldırgan, tek bir harfi değiştirerek veya tire ekleyerek gerçeğiyle neredeyse aynı bir etki alanı kaydeder ve kimsenin adresi dikkatlice okumamasına güvenir.
  • Görüntülenecek ad kimlik sahtekarlığı: “Kimden” kısmındaki görüntülenecek ad, güvenilir kişiyle — “John Smith” — eşleşecek şekilde ayarlanırken asıl adres tamamen ilgisizdir. Birçok mobil e-posta istemcisi varsayılan olarak yalnızca görüntülenecek adı görüntüler, bu nedenle gerçek adres ekranda hiç görünmez.
  • Üst bilgi sahtekarlığı: E-postaları ileten protokol olan SMTP, “Kimden” üst bilgisini tek başına doğrulamaz; bu nedenle bir saldırgan, gerçek adresi hiç kontrol etmeden o adresten geliyormuş gibi görünen bir ileti gönderebilir. İletinin gelen kutusuna ulaşıp ulaşmayacağı, alıcı etki alanının kimlik doğrulama kontrollerine bağlıdır.
  • Yanıt adresi manipülasyonu: Görünen “Kimden” adresi meşru görünür ancak arkasında farklı bir Yanıt Adresi ayarlanmıştır, böylece hedef yanıtla düğmesine bastığı anda yazışma sessizce saldırgana yönlendirilir.
  • Hesabın ele geçirilmesi: Saldırgan gerçek bir e-posta hesabına erişim elde eder ve talebi bu hesabın içinden gönderir.

Bunların sonuncusu olan hesabın ele geçirilmesi, tespit edilmesi en zor olanıdır; çünkü teknik olarak e-postada gerçekten hiçbir anormallik yoktur. Gerçek adresten, gerçek özel e-posta etki alanından gelmiştir ve hatta hedefin daha önce gördüğü bir konuyu devam ettiriyor olabilir.

Kurumsal e-posta dolandırıcılığı taktikleri nasıl işler

Kurumsal e-posta dolandırıcılığı saldırıları doğaçlama değil, planlı şekilde kurgulanır ve suçlunun emeğinin büyük kısmı genellikle hazırlık aşamasına harcanır.

Araştırma

Süreç keşif ile başlar: LinkedIn profilleri kimin hangi unvana sahip olduğunu ve kime rapor verdiğini gösterir; şirket basın bültenleri birleşmeleri, yatırım turlarını veya yeni tedarikçi ilişkilerini duyurur; ofis dışı otomatik yanıtı ise bir saldırgana en çok ihtiyaç duyduğu ayrıntıyı, yani gerçek yöneticinin şu anda ulaşılamaz durumda olduğunun onayını sunabilir.

Hedef seçimi

Buradan saldırgan hedef seçimine geçer. Her çalışan bir kurumsal e-posta dolandırıcılığı girişimi için elverişli değildir; hedefin para transferi yapma veya ödeme ayrıntılarını değiştirme yetkisine sahip biri olması gerekir, bu da alanı genellikle finans, muhasebe, İK veya bordro birimleriyle sınırlandırır.

Kimliğe bürünme başlar

Bir hedef ve inandırıcı bir senaryo belirlendikten sonra, sahte bir benzer etki alanı veya ele geçirilmiş gerçek bir e-posta kutusu aracılığıyla, gerçek göndericinin kullanacağı üsluba, imzaya ve resmiyet düzeyine uygun olarak kimliğe bürünme aşamasına geçilir.

İletişim kurulur

Saldırgan işletme içindeki biriyle iletişime geçerek acil bir talepte veya istekte bulunur. Bu, bugün kapatılması gereken bir satın alma, rakamlara acilen ihtiyaç duyan bir denetçi veya telefondan ulaşılamayan ve zor durumda kalmış bir iş arkadaşı olabilir.

Genellikle bu talep bir banka havalesi, banka hesap ayrıntılarının değiştirilmesi veya oturum açma kimlik doğrulama bilgileri isteğidir ve sorgulanması gereken değil, yapılması zorunlu bir işlem olarak sunulur.

Dört yaygın kurumsal e-posta dolandırıcılığı senaryosu

Saldırganların kullandığı en yaygın kurumsal e-posta dolandırıcılığı taktiklerinden bazıları şunlardır.

CEO dolandırıcılığı

CEO, genel müdür veya başka bir üst düzey yöneticiden geliyormuş gibi görünen bir e-postayla, finans ekibindeki bir personelden acil ve genellikle gizli bir ödemeyi gerçekleştirmesi istenir. Burada asıl işi göndericinin görünen kıdemi halleder; çünkü pek az çalışan en üst kademeden geliyormuş gibi görünen bir talebi sorgulamakta rahat hisseder.

Fatura dolandırıcılığı

İşletmenin hâlihazırda birlikte çalıştığı bir tedarikçi, genellikle gerçek bir faturanın vadesi dolmadan hemen önceye denk gelecek şekilde banka ayrıntılarında bir değişiklik bildirmiş gibi görünür. Ortada zaten gerçek bir iş ilişkisi ve gerçek bir ödeme bulunduğu için bu türün finans ekibi tarafından tespit edilmesi çoğu zaman en zor olanıdır ve işletmelerin bildirdiği en büyük münferit kayıpların bir kısmını oluşturur.

Maaş bordrosu yönlendirmesi

Bir çalışanı veya kimi zaman bizzat İK’yı taklit eden bir e-postayla, bir sonraki maaş ödeme döneminden önce banka ayrıntılarının güncellenmesi bordro biriminden istenir. Talep yeterince küçük ve sıradan olduğundan neredeyse hiç şüphe çekmez; işte tam da bu yüzden işe yarar.

BT desteği taklidi

Şirket içi BT veya destek birimi gibi davranan bir ileti, sistem güncellemesi öncesinde çalışandan bir parolayı onaylamasını veya oturum açma uyarısını kabul etmesini ister. Diğer üçünün aksine bu senaryo doğrudan paranın peşinde değildir; kurumsal e-posta dolandırıcılığının diğer tüm biçimlerini yürütmeyi kolaylaştıran kimlik doğrulama bilgilerinin peşindedir.

Kurumsal e-posta dolandırıcılığının gerçek maliyeti

Kurumsal e-posta dolandırıcılığı kayıpları sıradan kart dolandırıcılığından farklı şekilde raporlanır; sorunun boyutunun küçümsenmesinin nedenlerinden biri de budur. FBI’ın İnternet Suçları Şikayet Merkezi, 2024 yılında bildirilen 21.442 olayda 2,77 milyar dolar(yeni pencere) tutarında kurumsal e-posta dolandırıcılığı kaybı kaydetti ve bu dolandırıcılığa ilişkin sürekli güncellenen verileri, son on yıldaki küresel maruz kalınan zararın 55 milyar doların(yeni pencere) üzerinde olduğunu ortaya koyuyor. Ancak ortalamalar asıl gerçeği gizler. Manşetlere çıkan vakalar, iyi kurgulanmış tek bir e-postanın nelere yol açabileceğini gösteriyor.

2013 ile 2015 yılları arasında Litvanyalı bir dolandırıcı, her iki firmanın da gerçekten çalıştığı donanım tedarikçisi Quanta Computer’ı taklit eden bir şirketten sahte faturalar düzenleyerek Facebook ve Google’dan toplamda 121 milyon dolar(yeni pencere) tutarında haksız kazanç sağladı. Faturalar mevcut bir iş ilişkisine uyduğu için muhasebe ekipleri bunları ödedi ve iki yıl boyunca ödemeye devam etti.

2016 yılında Avusturyalı havacılık ve uzay tedarikçisi FACC, dönemin CEO’sunu taklit eden ve bu yazının başında açıklanan bahaneyle sözde bir satın alma projesi için yaklaşık 50 milyon avro(yeni pencere) transfer talep eden bir e-postayla vuruldu. Şirket dolandırıcılığı fark ettikten sonra transferin bir kısmını durdurdu ancak kalan kısım hiçbir zaman kurtarılamadı.

Bu vakalar, çoğu kimlik avı istatistiğinden farklı davranan bir suç kategorisini tanımlar. Kimlik avı girişimi hacimle ölçülür: Milyonlarca neredeyse birbirinin aynı e-posta ve bunların çoğu kimse görmeden bir filtre tarafından yakalanır.

Kurumsal e-posta dolandırıcılığı ise münferit olaylarla ölçülür; her biri tek bir hedef ve tek bir ödeme etrafında kurgulanır ve her biri tek bir öğleden sonra engellenen binlerce kimlik avı e-postasından daha fazla zarar verme potansiyeline sahiptir.

Geçmişte banka havalesiyle para transfer etmiş veya bir tedarikçinin banka ayrıntılarını değiştirmiş olan her kuruluş, bunu güncel bir finansal risk olarak görmeli ve şüpheli durumları ulusal dolandırıcılık bildirim merkezine, ABD’de FBI’ın IC3 birimine, Birleşik Krallık’ta Action Fraud’a ve diğer yerlerdeki muadillerine bildirmelidir.

Kurumsal e-posta dolandırıcılığını gerçekten durduran kontroller

Kurumsal e-posta dolandırıcılığı, kimlik avı eğitimlerinin dayandığı teknik uyarı işaretlerini devre dışı bıraktığından, onu durduran kontroller de farklılık gösterir. Farkındalık yardımcı olur ancak gerçekten işe yarayan savunmalar, çalışanların e-postaları daha dikkatli okumasından ziyade prosedürel ve tekniktir.

Çifte yetkilendirme

Belirli bir eşiğin üzerindeki herhangi bir ödemede çifte yetkilendirme, birinin sormayı hatırlaması üzerine sunulan bir nezaket değil, zorunlu olmalıdır. Talep ne kadar üst düzey veya acil görünürse görünsün, tek bir kişinin onayı önemli miktarda bir parayı transfer etmek için asla yeterli olmamalıdır.

Geri arama ile doğrulama

Geri arama ile doğrulama, tek başına e-postanın kapatamadığı açığı kapatır. Banka ayrıntılarını değiştirme veya bir ödemeyi gerçekleştirme talepleri, e-postada verilen değil, her zaman kayıtlı olan bir numara kullanılarak telefonla teyit edilmelidir; zira saldırganın sağladığı bir numara hedefi doğrudan saldırgana bağlar.

Ödeme onay prosedürlerini gözden geçirin

Ödeme onay prosedürlerinin düzenli olarak gözden geçirilmesi de zaman içinde kurumsal e-posta dolandırıcılığı riskini azaltmaya yardımcı olur. İşletmeler büyüdükçe geçici istisnalar ve resmi olmayan kısayollar, kimse bunların hâlâ uygun olup olmadığını sorgulamadan genellikle günlük operasyonların bir parçası hâline gelir. Ödemeleri kimin yetkilendirebileceğinin, banka ayrıntısı değişikliklerinin nasıl onaylandığının ve hangi işlemlerin ek doğrulama gerektirdiğinin gözden geçirilmesi, finansal kontrollerin kuruluşun mevcut risk düzeyiyle uyumlu kalmasını sağlamaya yardımcı olur. İyi tasarlanmış prosedürler bile işletme geliştikçe yeniden değerlendirilmezse etkinliğini kaybeder.

E-posta kimlik doğrulaması

Teknik e-posta kimlik doğrulaması, e-posta güvenliğinin temel bir bileşenidir ve kurumsal e-posta dolandırıcılığı yöneticilerin kimliğine bürünmek için sıklıkla kuruluşun kendi etki alanında kimlik sahtekarlığı yapmaya dayandığından, çoğu kimlik avı girişiminde olmadığı kadar burada kritik bir öneme sahiptir.

SPF ve DKIM ile birlikte çalışan DMARC, etki alanınızda kimlik doğrulaması başarısız olan iletilerle ne yapılması gerektiğini alıcı e-posta sunucularına bildirir; bu da bir saldırganın kendi CEO’nuzdan geliyormuş gibi görünen bir e-posta göndermesini önemli ölçüde zorlaştırır.

Açık güvenlik kültürü

Bunun altında yatan bir kurum kültürü olmadan bunların hiçbiri işe yaramaz: Kimin sorduğundan bağımsız olarak, bir talebi duraklatmak ve doğrulamak her zaman kabul edilebilir olmalıdır. Üst düzey bir yöneticiye karşı engelleyici veya güvensiz görünmekten korkan çalışanlar, tam da bir kurumsal e-posta dolandırıcılığı girişiminin hedeflemek üzere tasarlandığı kişilerdir ve bu korku ancak yönetim olağan dışı bir talebi sorgulamanın sadakatsizlik değil, beklenen bir davranış olduğunu defalarca açıkça belirttiğinde ortadan kalkar.

Kurumsal e-posta dolandırıcılığı girişiminin uyarı işaretleri nasıl tespit edilir

Kurumsal e-posta dolandırıcılığı, bariz teknik uyarı işaretleriyle kendini nadiren belli eder. E-posta tanıdık bir adresten gelebilir, gerçek bir projeye atıfta bulunabilir ve önceki yazışmalarla uyuşan bir dil kullanabilir. Bu nedenle talebin bağlamı genellikle e-postanın kendisinden daha önemlidir.

Kurumsal e-posta dolandırıcılığı incelemelerinde bazı kalıplar tekrar tekrar karşımıza çıkar. Normal onay prosedürlerini baypas eden bir talep her zaman şüphe uyandırmalıdır. Bir ödemenin gizli tutulmasına yönelik beklenmedik talimatlar, bir faturanın vadesinden kısa süre önce tedarikçinin banka ayrıntılarında yapılan değişiklikler veya üst düzey bir yönetici seyahatteyken ve kendisine ulaşılması zorken gelen talepler de aynı şekilde şüphe çekmelidir. Saldırganlar, çalışanların talebi başka bir kanal üzerinden doğrulama olasılığının daha düşük olduğu durumları kasıtlı olarak seçer.

İletişim tarzındaki küçük değişiklikler de ipuçları sağlayabilir. Normalde finansal onayları başkasına devreden bir yönetici aniden bizzat bir ödeme isteyebilir. Genellikle bir müşteri temsilcisi aracılığıyla iletişim kuran bir tedarikçi, bankacılık talimatlarını farklı bir irtibat kişisinden gönderebilir. Bu işaretlerin hiçbiri tek başına bir saldırıyı kanıtlamaz ancak para transfer edilmeden veya hesap ayrıntıları değiştirilmeden önce ek doğrulama yapılmasını gerektirmelidir.

En güvenli yaklaşım, olağan dışı finansal talepleri acil karar gerektiren durumlar olarak değil, iş süreci istisnaları olarak ele almaktır. Doğrulanmış bir numara kullanılarak yapılacak kısa bir telefon görüşmesi veya yerleşik bir şirket içi iletişim kanalı üzerinden alınacak bir onay, aksi takdirde telafi edilmesi haftalar veya aylar sürecek bir kaybı önleyebilir.

Kimlik doğrulama bilgileri kurumsal e-posta dolandırıcılığını nasıl kolaylaştırır?

Her kurumsal e-posta dolandırıcılığı girişimi, sahte bir benzer etki alanına dayanmaz. Kimi zaman bu süreç, saldırganın daha önce başka bir yerde ifşa olmuş bir parolayı kullanarak oturum açtığı, gerçekten güvenliği ihlal edilmiş bir e-posta hesabıyla başlar.

İçeri girdikten sonra hiçbir şeyi taklit etmelerine gerek kalmaz. Eski konuları okuyabilir, üslubu ve biçimlendirmeyi birebir eşleştirebilir ve dolandırıcılık talebini tüm kimlik doğrulama kontrollerinden geçen bir adresten gönderebilirler; çünkü bu gerçekten de göndericinin kendi hesabıdır.

İşte burası, parola hijyeni ile kurumsal e-posta dolandırıcılığını önlemenin doğrudan kesiştiği noktadır. Proton’un Veri İhlali Gözlemevi, kurumsal kimlik doğrulama bilgilerinin etkilenen şirket içinden herhangi biri durumu fark etmeden çok önce suç veri setlerinde ne sıklıkla ortaya çıktığını izler ve hesabın ele geçirilmesi de tam olarak bu verilerin olanak sağladığı sonuçtur.

Güvenli bir kurumsal e-posta ve her hesapta benzersiz parolaların çok faktörlü kimlik doğrulama (MFA) ile birleştirilmesi, bir veri ihlalinden sızan parolanın bir e-posta kutusuna girmek ve içeriden bir kurumsal e-posta dolandırıcılığı girişimi başlatmak için yeniden kullanılamayacağı anlamına gelir.

Proton Pass for Business gibi bir kurumsal parola yöneticisi, bu standardı çalışanların bir parolayı yeniden kullanmamayı hatırlamasına bağlı kılmak yerine tüm kuruluş genelinde sürdürmeyi gerçekçi hâle getirir. Kimlik doğrulama bilgileri düzgün bir şekilde oluşturulup kaydedildiğinde, veri ihlallerine ve hesabın ele geçirilmesine karşı güvenlik açıkları önemli ölçüde azalır.

Güvenli bir kurumsal parola yöneticisi ile kurumsal hesaplarınızı ele geçirilmeye karşı koruyun.