E-mail hesaplarının siber saldırganların en sevdiği hedef haline gelmesi, güvenlik zincirinde zayıf ve biraz da ihmal edilmiş bir halka olmasından kaynaklanmaktadır. Özellikle koronavirüs pandemisinin “home office” tarzı uzaktan çalışmayı zorunlu kılmış olması ve sonrasında da evden çalışma modelinin devam etmesi; bilgisayar korsanları için arayıp da bulunamayan bir fırsat, firmalar açısından ise bir güvenlik kabusu haline gelmiştir.
Bugün internette dolaşan maillerin yarısından fazlasını oluşturan spam postalar; maalesef sadece bilgi, yardım, reklam amaçlı gönderilen maillerden ibaret değildir. Siber saldırganlar, özellikle fidye yazılım yüklemeleri ve veri hırsızlığı amacıyla e-posta hesaplarını hedef alan oldukça gelişmiş saldırı yöntemleri kullanmaktadır. Hal böyle olunca gerek bireysel gerekse kurumsal e-posta hesaplarının güvenliğinin sadece kullanılan güçlü parolalar ve antivirüs programları ile tesis edilebilmesi de çok da olası görünmemektedir.
Güvenlik ne ile ilgili olursa olsun bir seçenek değil öncelik ve gerekliliktir.
E-mail Güvenliği Nedir?
Kısaca elektronik posta hesabı ve içeriğini yetkisiz erişim, ele geçirilme, çalınma kaybolma risklerine karşı korumaya yönelik prosedür ve uygulamalar bütünü olarak tanımlanabilecek e-mail güvenliği; içinde eğitimden teknolojik alt yapının güçlendirilmesine kadar bir dizi gelişmiş hizmet ve önlem barındıran bir güvenlik politikasıdır.
Kullanıcı bilgilendirme ve farkındalık eğitimleri, şifreleme, spam filtreleme e-posta güvenliğinin temin edilmesi açısından olmazsa olmazlar arasında yer almakla birlikte özellikle siber saldırganların kullandıkları gelişmiş saldırı araçları karşısında yine de yetersiz kalabilmektedir. Bu nedenle özellikle kurumsal firmaların fidye yazılımları ve veri hırsızlığının önüne geçebilmeleri açısından hem e-posta hem de BT altyapısının güvenliğini sağlayacak gelişmiş sistem ve politika planlamalarına ihtiyaçları vardır.
E-posta Güvenliği Neden Önemlidir?
Bugünün dünyasında siber saldırıların yarısından fazlası elektronik posta hesapları hedef alınarak gerçekleştiriliyor artık. Sadece bu cümle bile e-posta güvenliğinin neden bu kadar önemli olduğunu açıklamaya fazlasıyla yeterli iken ben yine de diğer nedenleri kısaca özetlemeye çalışayım.
- E-posta hesapları siber saldırganların en önemli hedefidir.
Neden mi? Çünkü bireysel ya da kurumsal hesapların içerdiği hassas ve gizli bilgiler, veri hırsızları için oldukça iştah açıcıdır. Rekabet, husumet ya da sadece kötü bir niyetten dolayı kişi ya da firmaların bilgi ve belgeleri ifşa edilebilir, tehdit unsuru olarak kullanılabilir, başkalarına para karşılığı satılabilir. Oluşacak maddi hasar ve kayıplar tolere edilemeyecek boyutlara ulaşabilir.
- E-mail sistem güvenliğindeki küçük bir boşluk, tüm sistem ve ağ güvenliğini tehdit edebilir.
E-posta hesapları diğer ağ elamanlarına kıyasla çok daha savunmasızdır. Bu nedenle siber saldırganlar çoğunlukla tüm ağı ele geçirmek için sisteme giriş noktası olarak e-posta hesaplarını kullanmaktadırlar.
- Email hizmet sağlayıcıları tarafından verilen standart güvenlik önlemleri, siber saldırganların her gün değişen ve gelişen sofistike araç ve yöntemleri karşısında yetersiz kalabilmektedir.
Sadece şifreleme ve antivirüs yazılımından ibaret bir e-posta güvenliğinin ancak yapay zeka tabanlı gelişmiş tehdit algılama teknolojileri tarafından tespit edilebilecek komplike saldırıları savuşturması elbette beklenemez.
E-Mail Hesaplarına Yönelik Dış Tehditler Nelerdir?
En büyük güvenlik açığı, insan faktörüdür.
Phishing /Spear Phishing (Yemleme/Oltalama/Kimlik Hırsızlığı)
Siber saldırganlar tarafından kullanılmakta olan oldukça eski bir saldırı yöntemidir. Günümüzde sosyal mühendislik (Social engineering) hileleri de dahil edilerek kullanılan bu saldırı yönteminde amaç özellikle kişi ya da kurumların hassas bilgi ve verilerinin ele geçirilmesidir.
Saldırganlar “indirim, bedava tatil, hediye kazandınız” türü cezbedici ya da korku, merak, aciliyet hissi uyandıran çeşitli konu başlıkları ile gerçek bir kişi ya da kurum kimliğine bürünerek zararlı dosya ya da linkler içeren sahte mailler gönderirler. Kullanıcı tarafından dosya ekinin açılması ya da tehlikeli bir bağlantının tıklanması ile saldırı başlamış olur. Öncelikli amaç kurum ya da kişiye ait kimlik numarası, kredi kartı bilgileri, finansal veriler, banka hesap numaraları ve benzeri hassas bilgilerin ele geçirilmesi olmakla birlikte sadece kötü amaçlı bir yazılım yüklemek için dahi phishing yöntemine başvurulabilmektedir.
Kimlik avı saldırılarının en gelişmiş türlerinden olan spear phishing (hedef odaklı veri hırsızlığı), aynı mantıkla çalışan ancak daha ziyade büyük kurum ya da kuruluşları hedef alan oldukça profesyonel bir saldırı yöntemidir. Bu yöntemde hedef önceden belirlenir, hakkında bilgi toplanır (logolar, antetli kağıt kopyaları vb). Hatta hedef kurumun kullandığı mail domain adresi taklit bile edilebilir.
Phishing Saldırısı Hangi Riskleri İçerir?
Kişisel banka hesaplarından para çalınması.
Kredi kartı dolandırıcılıkları.
Fotoğraf, video ya da dosyalara erişiminin engellenmesi.
Sosyal medya hesaplarının saldırganlar tarafından kullanılması.
Firmalar açısından para ve prestij kayıpları.
Müşteri ve çalışan bilgilerinin ifşa edilmesi.
Şirketlerin gizli veri ve dosyalarına erişimin engellenmesi.
Malware / Zararlı Yazılımlar
İngilizce açılımı “malicious software” olan virüs truva atı (Trojan horse), solucanlar (worms), casus yazılımlar (spyware) ve fidye yazılımları (ransomeware) gibi bilgisayar sistemlerine zarar vermek, çökertmek amacıyla geliştirilmiş müdahaleci ve zararlı yazılımlardır.
Virüsler
Esas olarak bir yazılım kodlaması olan virüsler, bir bilgisayardan diğerine kolaylıkla yayılabildiği için bu adı almıştır. Virüsler; sistemi çalışmaz hale getirebilen, sistem verilerini bozabilen ve hatta sabit diskteki tüm ögelerin silinmesine neden olabilen oldukça tehlikeli bir saldırı aracıdır. Tıpkı biyolojik adaşlarında olduğu gibi kendi kendini çoğaltma özelliğine sahip olabiliyorlar.
Bilgisayara indirilen virüs bulaşmış programın çalıştırılması ya da e-posta hesabındaki virüs taşıyan bir dosyanın açılması en kolay bulaşma şekilleridir.
Truva atları(Trojan horse)
Kendi kendini çoğaltma özelliği olmadığı için truva atlarına virüs yerine zararlı yazılım demek daha doğru olur herhalde. Zararlı bir yazılım olma özelliğini gayet becerikli bir şekilde saklayabilen truva atları, gizlendikleri programın kullanıcı tarafından çalıştırılması ile aktif hale geçer. Yani program indirilse dahi çalıştırılmadığı sürece tespit edilmeleri oldukça güçtür.
E-posta ile gelen bir uygulamanın indirilmesi, bilinmedik web sitelerinden indirilen ücretsiz oyunlar, mp3’ler, web site reklamları ve elbette ki sistem güvenlik zaafiyetleri truva atlarının tercih ettiği en yaygın bulaşma yöntemleridir.
Truva atı yüklenmiş bir program, bilgisayara uzaktan erişim sağlayabilir, güvenlik yazılımını devre dışı bırakabilir, DDOS saldırılarına geçit verir, internet erişimde kesintilere neden olabilir. Kullanıcıların kişisel bilgilerini ele geçirmek amacıyla phishing yönteminden sonra kullanılan saldırı araçlarından biri de truva atlarıdır.
Solucanlar (Worms)
Genellikle ağ kaynaklarına saldırı amacıyla kullanılan solucanlar da indirilen bir dosya ya da ağ bağlantısını kullanarak bulaşır. Solucanlar da virüsler gibi kendi kendine çoğalabilme özelliğine sahiptir. Ancak kendi kendilerini kopyalamak için virüslerden farklı olarak bir programın kullanıcı tarafından indirilmesine ihtiyaç duymazlar. Otomatik çoğalma özelliğine sahiptirler ve bu amaçla kullandıkları en önemli araç e-posta hesaplarıdır.
Bir e-posta hesabına ekli dosyalara sızmış olan solucanlar, o hesabın adres defterindeki tüm hesaplara sonra her hesabın adres defterlerine sızarak domino etkisi ile çoğalabilir. Bu sayede ağ güvenlik zaafiyetlerinden faydalanarak sunucu ve bilgisayarları etkisi altına alır, ağı kilitler, interneti yavaşlatır, bant genişliğini tüketir ve sistemin çökmesine neden olabilir.
Fidye yazılımları (Ransomeware)
Bilgisayar verilerinin saldırganlar tarafından şifrelenerek kullanıcı erişimine kapatılmasına neden olan zararlı yazılımlardır. Şifrelemenin kaldırılması ve kullanıcı erişiminin tekrar açılması için fidye olarak finansal ödeme talep etmek amacıyla kullanılır. Fidye ödendiğinde şifreleme kaldırılır.
Fidye yazılımlarını bulaştırmak amacıyla en sıklıkla sosyal mühendislik hilelerine başvurulmaktadır. Gerçek bir kurum hesabından gönderilmiş gibi görünen bir e-posta ekindeki dosyanın (sipariş onayı, makbuz, fatura vb) açılması, zararlı reklam (malvertising), istismar kitleri (exploit kits) gibi bağlantıların tıklanması fidye yazılımlarını bilgisayara yüklemek için yeterlidir.
Şirket e-posta dolandırıcılığı (Business Email Compromise/BEC)
Teknolojik uzmanlık ve sosyal mühendislik hileleri gerektiren oldukça gelişmiş bir siber saldırı yöntemidir. BEC saldırıları, kurumsal bir e-posta adresi ele geçirilerek veya taklit edilerek maddi kazanç elde etmeye yönelik düzenlenen elektronik dolandırıcılık şeklidir.
BEC saldırılarında dolandırıcılar tarafından bir şirket üst düzey yöneticisi ya da bir iş ortağı taklidi yapılarak ya da firma e-posta hesabının domain name’ine benzer sahte bir alan adı kullanılarak, sanki legal bir işlem amacıyla gönderilmiş bir mail hissi uyandırılarak, banka hesaplarına firma tarafından para aktarılmasını sağlar. Özellikle tedarikçiler ile çalışan veya düzenli olarak banka ödemleri yapan firmalar BEC saldırılarında hedef olarak seçilir.
İstenmeyen E-postalar (Spam)
Spam mailler; alıcının rıza ve talebi olmadan özellikle e-ticaret firmaları ve sosyal medya siteleri tarafından tanıtım, bilgilendirme, yardım isteme ve benzeri amaçlarla toplu olarak gönderilen ve resmi e-postalar gibi görünen maillerdir.
İlk etapta masum bir amaca yönelik olarak gönderildiği düşünülse de siber saldırganların özellikle kimlik avı amacıyla en sık başvurdukları yöntemlerden biridir.
Deepfake Kimlik Avı (Deepfake Phishing)
Siber saldırganlar, yapay zeka destekli deepfake teknolojilerini kullanarak ses ve video manipülasyonu ile sahte kimlik avı saldırıları düzenleyebilmektedir. Özellikle kurumsal yöneticilerin ses ve görüntülerini taklit ederek çalışanlardan hassas bilgiler almak veya finansal işlemleri yönlendirmek gibi saldırılar yaygınlaşmaktadır.
Yapay Zeka Destekli Siber Saldırılar
Saldırganlar, artık geleneksel phishing yöntemleri yerine yapay zeka ile oluşturulmuş, kişiye özel hedeflenmiş sahte e-postalar hazırlayabiliyor. Chatbot destekli dolandırıcılıklar ve AI ile yazılmış sahte iş e-postaları gibi yöntemlerle saldırılar daha inandırıcı hale geliyor.
Zero-Day Exploitler
Zero-day açıkları, sistemlerde henüz keşfedilmemiş güvenlik açıklarıdır. Siber suçlular, e-posta üzerinden bu açıkları hedef alarak kötü amaçlı yazılımlar gönderebilir ve sistemlere sızabilir. Özellikle PDF, Word veya Excel gibi yaygın kullanılan dosya formatları içindeki güvenlik açıkları saldırganlar tarafından istismar edilebilmektedir.
Aşağıdaki tablo, e-posta hesaplarına yönelik dış tehditleri özetlemek açısından faydalı olacaktır.
| SALDIRI TİPİ | SALDIRI AMACI | KULLANILAN ARAÇ |
| Phishing /Spear Phishing
Yemleme/oltalama/kimlik hırsızlığı/e-dolandırıcılık |
Şifre, kimlik bilgisi, kredi kartı, banka hesap bilgileri, firma finansal verileri türünde hassas kişisel ya da kurumsal bilgileri ele geçirme. | Hediye, indirim, bedava tatil vb cezbedici yemlerin kullanıldığı gerçek bir kişi ya da kurumdan geliyormuş gibi görünen ancak zararlı ekler ya da linkler içeren sahte e-mailler. |
| Malware
Virüs, solucan, Truva atı, (fidye yazılımı) |
Bilgisayarlara zararlı yazılım ya da kodlamalar yükleyerek sistem, ağ ya da bir sunucuyu ele geçirmek ve çalışmaz hale getirmek. | Bir e-mail ekinde gönderilen zararlı bir dosya ya da bağlantı, bilgisayara indirilen zararlı bir uygulama. |
| Ransomware
Fidye yazılımı |
Bilgisayar verilerinin saldırganlar tarafından şifrelenerek kullanıcı erişimine kapatılması yöntemi ile fidye talebi | Bir e-posta ekindeki sipariş onayı, makbuz, fatura vb dosyalar, zararlı reklam (malvertising), istismar kitleri (exploit kits) |
| BEC (Business Email Compromise)
Şirket e-posta dolandırıcılığı |
Haksız maddi kazanç elde etmek | E-mail hesabını ele geçirmek amacıyla kullanılan gelişmiş sosyal mühendislik teknikleri |
| Spam
İstenmeyen mail |
Kimlik avı ya da virüs bulaştırmak | Zararlı dosya ekleri içeren e-postalar |
E-Mail Hesaplarına Yönelik İç Tehditler Nelerdir?
- E-posta hizmetlerindeki güvenlik açıkları (antivirüs programı, spam fitresi olmaması)
- E-posta hizmetinin yanlış yapılandırması (Özellikle kimlik doğrulaması istenmemesi)
- Son kullanıcı güvenlik bilinç ve farkındalığı eksikliği (Eğitim eksikliği)
- Şirket içi çalışanların kasıtlı olarak veri ve bilgi sızdırmaları (Malicious insiders)
- Şirket çalışanlarının dikkatsizliği (Negligent insider)
E-mail Güvenliğini Sağlamak İçin Alınması Gereken Önlemler Nelerdir?
İnternet teknolojisi, hem saadetimiz hem de felaketimiz olarak iki ucu keskin bir bıçak misali hayatlarımız üzerinde olumlu ve olumsuz etkiler bırakarak yoluna devam ediyor.
Günümüzde gerek bireyler gerekse kurumlar sistem kesintilerinden finansal kayıplara, veri ve bilgilerin çalınmasından prestij kayıplarına varıncaya değin bir dizi risk altında. Bu risklere karşı siber saldırganlar için en kolay lokma olabilecek e-posta hesaplarının güvenliğinin sağlanması ise eğitimden güvenlik alt yapı geliştirmelerine kadar uzanan, politika, prosedür ve uygulamaları içeren çok katmalı bir disiplin ile sağlanabilir ancak.
O zaman e-posta güvenliğinin tesis edilmesine yönelik alınması gereken önlemleri kısaca özetlemeye çalışalım.
Kurumsal açıdan alınması gereken e-mail güvenlik önlemleri
- Antivirüs yazılımları
E-posta güvenliğinin sağlanması açısından olmazsa olmazların ilk sırasında yer alır. Gerekli ancak tek başına hiçbir zaman yeterli değildir.
- Güçlü parola ve kimlik doğrulamaları
E-posta hesaplarına yönelik siber saldırılara karşı alınması gereken basit ancak bir o kadar etkili bir önlemdir. Kimlik doğrulamasında mümkün olduğunca en az iki, tercihen daha fazla doğrulama adımı kullanılması önerilir.
- Güvenli e-posta ağ geçidi
E-postaların içerdiği zararlı yazılımları filtreleyerek özellikle veri hırsızlığına karşı bir kalkan işlevi görür.
- E-posta arşivleme sistemi
Etkin bir e-posta arşivleme sistemi mail güvenliğinin sağlanması, veri kaybının önüne geçilmesi ve etkili bir yedekleme açısından, özellikle kurumsal firma hesap güvenliği açısından bir zorunluluktur.
- Spam filtreleme
Gerçek zamanlı analiz yapma özelliğine sahip gelişmiş spam filtreleme sistemleri virüs, yemleme ve zararlı yazılım barındıran e-postaların ayıklanması amacıyla kullanılması gereken en önemli araçlardandır.
- E-posta şifreleme
E-mail içeriğindeki kritik bilgi ve verilerin korunması, yetkisiz kişiler tarafından erişilememesi amacıyla geliştirilmiş bir güvenlik uygulaması olan e-posta şifrelemesi, mesaj içeriğini siber saldırganlar tarafından çözülemeyecek bir kodlama haline dönüştürür. Bu nedenle özellikle veri hırsızlığına karşı alınabilecek önlemlerin başında yer almaktadır.
- Kullanıcı Eğitimleri
Kurum çalışanlarına yönelik bilgi, bilinç ve farkındalık oluşturmak amacıyla verilecek eğitimler, kullanıcı kaynaklı güvenlik risklerinin minimize edilmesi açısından önemlidir.
- Yapay zeka destekli tehdit algılama sistemlerin kullanımı
Gelişmiş AI tabanlı güvenlik yazılımları, anormal e-posta aktivitelerini tespit edebilir ve bilinmeyen saldırı türlerine karşı koruma sağlayabilir.
- Deepfake ve sahte kimlik avına karşı çalışanların eğitimi
Özellikle yöneticilerin adını veya sesini taklit eden sahte talepler konusunda çalışanlar bilgilendirilmeli ve çift aşamalı doğrulama süreçleri uygulanmalıdır.
- Zero-day saldırılarına karşı güvenlik güncellemelerin yapılması
Kullanılan yazılımların ve e-posta istemcilerinin güncellemeleri gecikmeden yüklenmelidir.
Bireysel açıdan alınması gereken e-mail güvenlik önlemleri
- Bilinmeyen kaynaklardan gelen e-mail ekleri ve bağlantıları asla açılmamalıdır.
- Güçlü bir password oluşturulmalı, sık aralıklarla değiştirilmeli ve asla üçüncü kişiler ile paylaşılmamalıdır.
- Mümkün olduğunca kritik ve hassas bilgi içeren e-posta gönderimlerinden sakınılmalıdır.
- Uzaktan çalışma modelinde, e-posta bağlantılarında VPN kullanılmalıdır.
- Halka açık wifi ağları kullanılarak kurum posta hesabına bağlanılmamalıdır.
Unutulmamalıdır ki güvenlik önlem almayı, önlem almak ise tehditin farkında olmayı gerektirir.
