Yaz tatili sezonu yaklaşırken, seyahat temalı yemlerle yapılan kimlik avı dolandırıcılıkları, bireyler ve kuruluşlar için önemli bir zorluk teşkil ederek ivme kazanıyor.
McAfee tarafından yakın zamanda yapılan bir anket, yetişkinlerin yaklaşık üçte birinin (%30) seyahat anlaşmaları için pazarlık ararken çevrimiçi bir dolandırıcılığın kurbanı olduğunu veya tanıdığı birini tanıdığını ve kurbanların tam üçte ikisinin 1.000 dolara kadar para kaybettiğini ortaya çıkardı.
Kimlik Avı Savunma Merkezi (PDC) bu hafta, tehdit aktörlerinin İK departmanının kimliğine bürünerek kullanıcıların işverenlerine duydukları güveni suistimal ettikleri bir kimlik avı kampanyasına ışık tutan bir rapor yayınladı.
Failler, yanıltıcı e-postalar göndererek, şüphelenmeyen kişileri, yıllık izin taleplerini göndermek için sözde bir bağlantıya tıklamaları için kandırmayı amaçladılar.
Firma, bir iş e-postası gizliliği ihlali (BEC) tehdidinin bu sürümünün, seyahat odaklı kimlik avı kampanyalarının gelişimini temsil ettiğini söyledi. Sahte İK iletişimindeki bağlantıya tıklamak, kurbanın URL’deki e-posta adresinden algılanan ve otomatik olarak oluşturulan kurumsal ana sayfasının yer aldığı bir oturum açma istemiyle sonuçlanır.
Bu yaklaşım, iki etkili kimlik avı taktiğinin harmanlanmasıyla karakterize edilir: sahte İK iletişimleri ve seyahat temalı kimlik avı kancası.
Araştırmacılar raporda, saldırının tatil talepleriyle ilişkili normal İK prosedürlerinden yararlandığını ve yaz seyahat sezonunu çevreleyen beklenti ve heyecandan yararlandığını belirtti.
Yaz Seyahatine İlgiyi Sömürmek
Hoxhunt’ın kurucu ortağı ve CEO’su Mika Aalto, “Bu, sofistike bir kimlik toplama taktiğidir” diye açıklıyor. “Güven, toplum mühendisliği için esastır ve birçok kişi, kötü ifade edilmiş e-posta mesajında bir şeylerin ters gittiğini hissedecek olsa da, diğerleri bundan etkilenebilir.”
Bu ikili aşinalık akışının güveni artırabileceğini ve kurbanı öldürme zincirinin daha aşağılarına taşıyabileceğini belirtiyor.
Aalto, “Sahte web sitesi ne kadar sofistike ve özgün görünürse, başarılı aldatma şansı o kadar yüksek olur” diyor. “Neredeyse bir tuzak gibi – kötü oluşturulmuş e-posta, potansiyel kurbanların tehdidi hafife almalarına ve böylece şaşırtıcı derecede gerçek görünen bir siteye vardıklarında gardlarını düşürmelerine yol açabilir.”
Saldırganların artık yalnızca e-postaya güvenmediklerini, aynı zamanda potansiyel kurbanlara ulaşmak için sosyal medya platformlarını, metin mesajlarını ve hatta telefon görüşmelerini kullandıklarını da ekliyor.
“İleriye baktığımızda, bu dolandırıcılıkların, kimlik avı girişimlerini daha ikna edici hale getirmek için muhtemelen yapay zekayı dahil ederek karmaşık bir şekilde gelişmeye devam etmesini bekleyebiliriz” diyor.
Ayrıca, kimlik avı şablonları ChatGPT aracılığıyla çalıştırılırsa, anında kusursuz bir şekilde ifade edilmiş ve daha ikna edici kimlik avı tuzakları haline gelirler.
Aalto, “AI sohbet robotları, değerli kimlik bilgilerini çalmak için farkında olmayan kurbanlarla bir insan kadar ikna edici bir şekilde etkileşime girebilir ve derin sahte platformlar, suçluların güvenilir figürler gibi davranmasına olanak tanır” diye uyarıyor.
Kimlik Avı Dolandırıcılıkları Kurbanları Kısa Mesajlarla Hedefliyor
Genel olarak yaz tatilleri, daha fazla mağdura ulaşmak için bir fırsattır çünkü tatil taleplerinde artış vardır ve bu da başarılı bir ihlal şansını artırır.
SlashNext CEO’su Patrick Harr, bu tehdidin kuruluşlarda başarılı olabilecek ve bir ihlale yol açabilecek birçok çeşidi olduğuna dikkat çekiyor.
“Kuruluşlar, bu saldırının varyasyonlarını aramalıdır,” diye ekliyor, “İK işlevlerini yönetmek için satıcıları kullanan kuruluşlardan veya bir çalışanın tehlikeye atılmış e-posta hesabından gelen satıcı gizliliğini tehlikeye atan saldırılar dahil.”
Harr, bilgisayar korsanlarının, uygulamaları ve kısa mesajlarla misafirleri için seyahati sorunsuz hale getirmeye çalışan seyahat şirketlerinden yararlandığını açıklıyor.
“Havayolları, oteller, ulaşım ve diğer seyahat faaliyetlerinden kaynaklanan uygulama ve metin mesajlarının artan kullanımı nedeniyle tehditler artıyor” diyor.
Seyahat tabanlı dolandırıcılıkların en dikkate değer evriminin, e-posta ve Web tabanlı tehditlerden mobil uygulama tehditlerine ve sosyal medyadaki tehditlere geçiş olduğunu söylüyor.
Bilgisayar korsanlarının, tanımadıkları metin mesajları veya uygulamalarla etkileşime girme, tanıdık olmayan Wi-Fi’ye bağlanma ve içerik akışı için VPN arama olasılıkları daha yüksek olduğu için gezginlerden yararlandığına dikkat çekiyor.
Aslında, Harr’ın bakış açısına göre, gezginleri eğitmek için yapılabilecek en önemli şey halka açık ücretsiz Wi-Fi kullanmaktan kaçınmaktır.
“Tanımadığınız ağlara bağlanmayın ve Wi-Fi’nin güvenliğinden emin değilseniz hücresel veri kullanın” diye uyarıyor. “Ücretsiz VPN’ler veya ücretsiz akış hizmetleri indirmeyin. Havaalanı Wi-Fi’sine veya telefonunuzu ücretsiz şarj istasyonlarına bağlamayın.”
Seyahat İndirimleri Şeklindeki Kimlik Avı Tuzakları
Gezginleri hedefleyen yaygın kimlik avı kampanyaları genellikle indirimli veya ücretsiz uçuşları, otel rezervasyonlarını veya gerçek olamayacak kadar iyi olan paket anlaşmaları içerir.
Aalto, “Bu seyahat sezonunda pazarlık avcıları için tüm bu saldırılara direnmek özellikle zor olacak ve bu sezon, şişirilmiş seyahat, yemek ve konaklama fiyatları nedeniyle alışılmadık derecede pahalı olacak” diyor.
Çoğu dolandırıcılık, ya dolandırıcılık yapan bir siteye doğrudan yüzlerce ya da binlerce dolarlık ödeme yapılmasıyla ya da hassas verileri yakalayıp satan ya da başka bir şekilde kullanan kimlik bilgileri toplama dolandırıcılığıyla sonuçlanır.
“Unutmayın, Dark Web’de gelişen, çalınan verilerin önemli değer içeren bir meta olduğu, milyarlarca dolarlık bir organize siber suç endüstrisi var” diyor. “Kurumsal hesaplar, kurumsal sistemlere açılan kapılardır.”
Ayrıca, sahte tatil kiralamaları veya devre mülkler, sahte seyahat sigortası ve hatta suçluların hızlandırılmış vize veya pasaport hizmetleri sunmak için devlet görevlisi gibi davrandığı dolandırıcılıklar da vardır.
“Daha sofistike bir yaklaşımla,” diye ekliyor Aalto, “sahte sadakat programı e-postaları veya müşterileri kandırarak kişisel bilgilerini veya oturum açma kimlik bilgilerini ifşa etmeleri için tasarlanmış bildirimleri içeren dolandırıcılıklar görüyoruz.”