[ This article was originally published here ]
John E. Dunn tarafından
Normal kimlik avı saldırılarını unutun – günümüzde siber suçluların çok daha ilginç numaraları var.
MFA Yorgunluk Saldırıları
Akıllı telefon aracılığıyla anında iletme bildirimi ilk kez ortaya çıktığında, endüstri sonunda hem kullanımı kolay hem de SMS tek seferlik şifreler (OTP’ler) gibi rakiplerden daha güvenli olan bir tür MFA bulmuş gibi görünüyordu. Son zamanlarda saldırganlar, bir dizi basit MFA yorgunluk saldırısıyla bu itibarı zedeledi. Bu kişiler, çalınan kimlik bilgilerini kullandıktan sonra, birkaç kişinin barajı durdurmayı kabul etmesi umuduyla kullanıcıları tekrarlanan anlık bildirimlerle bombalar. Birkaç büyük şirket bu şekilde başarılı bir şekilde hedef alındı. Azaltma, eğitimin bir kombinasyonudur – çok az kullanıcı MFA yorgunluk saldırılarını duymuştur – hız sınırlayıcı push istekleri ve reddedildiklerinde dikkat etme (reddedilen bir push, sonuçta güvenliği ihlal edilmiş kimlik bilgilerini gösterebilir).
SMS ‘Acil Durum’ Metin Dolandırıcılığı
“Sevgili anne, bir kaza geçirdim ve bana para göndermeni istiyorum lütfen.” Yetişkin çocukların ebeveyni olan herkes, bu tür SMS veya WhatsApp mesajlarını görmezden gelmeyi zor bulacaktır. Saldırganlar bunu biliyor, bu yüzden giderek yaygınlaşan bir sosyal mühendislik dolandırıcılığı haline geliyor. Saldırganlar, mesajın bilinmeyen bir telefon numarasından geldiği şüphesini nasıl yenebilir? Basit: “Telefonum bozuldu, bundan sonra yeni numaramı kullanmak zorundasın.” Mükemmel bir kimliğe bürünme dolandırıcılığı olmayabilir, ancak çok etkili olmadığı anlamına gelmez.
Sahte Veri Sızıntıları
Veri ihlalleri kötü haberdir, ancak bazen tamamen icat edilmiş olanlar da neredeyse aynı derecede tehlikeli olabilir. Teknik dahiyane: Geçmişte bir veri ihlaline maruz kalmış tanınmış bir şirket seçin ve bunların tekrar ihlal edildiğine dair tamamen hayali raporlar yayınlayın. Bunlar, Google Alerts tarafından alınır ve milyonlarca kullanıcıya gönderilerek onları meşru ancak saldırıya uğramış web sitelerindeki kötü amaçlı yazılım bulaşmış dizinleri ziyaret etmeye teşvik eder. Temanın bir varyasyonu, ücretsiz ödül eşantiyonlarıdır. Buradaki sosyal mühendislik, kullanıcının Google Alerts’e körü körüne güvenmesidir.
‘Geri arama’ Kimlik Avı
Toplu kimlik avı saldırılarının başarısı, diğer yeniliklerin başarısı konusunda bizi kör etmemelidir. Geri arama kimlik avı, yeniden moda olan bir örnektir. Kullanıcı, bilinen ancak sahte bir kişiden, bekleyen bir aboneliği veya fatura ödemesini onaylamak için bir numarayı aramasını isteyen kişiselleştirilmiş bir e-posta alır. Kandırılan ve aramaya karar veren herkes, mali dolandırıcılık yapmak için hesap bilgilerini vermeye yönlendirilir. Alternatif olarak, bazı fidye yazılımı grupları, insanları kötü amaçlı yazılımlarını yüklemeye ikna etmek için bu tekniği kullandı. Akıllı kısım, bir telefon görüşmesi kullanmanın yazılım savunmasını atlamanın basit bir yolu olmasıdır.
Deepfake Kimlik Avı
Biri gelecek için belki ama o kadar da uzak bir gelecekte değil. Önerilen bu saldırıda, kullanıcılar, sevdiklerinden (sosyal medyadan alınan ve bir AI motoru aracılığıyla işlenen), iş arkadaşlarından ve hatta CEO’lardan gelen ikna edici görüntüler veya sesli notlar yoluyla daha sonra pişman olacakları bir şeyi yapmak için sosyal olarak tasarlandı. Dezenformasyonun bir sonucu olan bu teknik, her şeyin “gerçek” görünmesinin sağlanabileceği duygusu olan “gerçeğin bozulması” ile karşılaştırıldı. “Şirketler fidye yazılımı saldırılarına karşı savunma yapmak için çabalarken, yakında gerçekleşecek bir sentetik medya saldırısına hazırlanmak için hiçbir şey yapmıyorlar.” 2021’de Gartner’dan Darin Stewart. Kaçınılmaz olarak, bu teknikler metalaştırılacak ve bu noktada günlük bir tehlike haline gelecekler.
reklam