Kriptoda Sosyal Mühendislik Saldırıları

Kripto cüzdan sahiplerini seed phrase’lerini paylaşmaya ikna etmenin birçok yolu vardır. Kötü niyetli kişiler sahte bir e-posta gönderebilir, bir kripto hizmeti web sitesinin sahtesini oluşturabilir veya cihazınıza zararlı yazılım yerleştirebilir. Ancak bu dolandırıcılıkların neredeyse tamamında ortak bir unsur bulunur: sosyal mühendislik.

Bilgi güvenliği bağlamında sosyal mühendislik, mağduru dolandırıcının istediğini yapmaya ikna etme yöntemidir. Çoğu zaman, yalnızca sosyal mühendislik yeterlidir. Peki bu yöntem nasıl işler ve neden etkilidir?
 

Sosyal mühendislik nedir?

Sosyal mühendislik, kişileri gizli bilgileri ifşa etmeye veya güvenliği tehlikeye atan belirli eylemleri gerçekleştirmeye ikna etme sanatıdır. Kripto dünyasında, sosyal mühendislik taktikleri mağdurları özel anahtarlarını açıklamaya, kripto paralarını sahte adreslere göndermeye veya zararlı yazılım yüklemeye yönlendirmek için kullanılır.

Kendini bir çalışan gibi gösterip kişisel hesaplara erişim sağlamak, siber suçluların kullandığı yaygın bir sosyal mühendislik taktiğidir. Sosyal mühendislik, insan hatasına dayanır ve diğer istismar teknikleri mevcut olsa da tespit edilmesi zordur.

Gerçek insan hataları, yazılım ve işletim sistemlerindeki açıkları kullanan zararlı yazılım tabanlı saldırılardan daha öngörülemezdir. Bu nedenle, sosyal mühendislik saldırganların güvenlik önlemlerini aşma şansını artırır; çünkü insanlar kolayca kandırılabilir.

Sosyal mühendislik saldırıları nasıl işler?

Sosyal mühendislik saldırıları iki ana aşamadan oluşur. İlk aşamada saldırgan, hedefiyle ilgili giriş noktaları ve savunmasız olabilecek güvenlik protokolleri gibi temel arka plan bilgilerini toplar.

Kötü niyetli faaliyetlerine başlamadan önce, dolandırıcılar hedeflerinin güvenini kazanmaya çalışır. Bunu, gizli bilgileri paylaşmak veya önemli kaynaklara erişim vermek gibi güvenli olmayan eylemler için teşvik sunarak yaparlar.

Sosyal mühendislik saldırıları şaşırtıcı derecede basittir. Bir saldırganın tek yapması gereken, meşgul, şüphelenmeyen veya güvenen birini kendi talimatlarını izlemeye ikna etmektir. Bu saldırıların en meşhur örneklerinden biri, saldırganların Twitter çalışanlarını kandırarak gizli süreçlere erişim sağlamasıdır. Bu erişimi Joe Biden, Elon Musk, Bill Gates ve Kanye West gibi yüksek profilli hesapları ele geçirmek ve milyonlarca takipçilerini Bitcoin göndermeye ikna etmek için kullandılar.

Bu zararlı saldırılar şaşırtıcı derecede kolay uygulanabilir ve genellikle benzer bir süreci takip eder: 

• İlk adım, saldırganın hedeflediği kişileri belirleyip araştırmasıdır. 
• Daha sonra, güven kazanmaya ve mağdurla bir ilişki kurmaya çalışırlar. 
• Güven sağlandığında, saldırgan asıl saldırıyı başlatır. 
• Son olarak, mağdur istenen eylemi gerçekleştirdiğinde saldırgan geri çekilir. 

Bu saldırılar, basit bir e-posta alışverişiyle veya sosyal medyada yapılan bir dizi sohbetle gerçekleşebilir. Sonuç olarak, kişisel verilerinizi başkalarıyla paylaşmanıza veya zararlı yazılımlara maruz kalmanıza yol açabilir.

Sosyal mühendislik saldırı türleri

Kripto dünyasında yaygın sosyal mühendislik saldırı türlerinin genel bir görünümü:

1. Phishing saldırıları

Phishing saldırıları, güvenilir şirketlerden geliyormuş gibi görünen zararlı e-posta veya kısa mesajlardır. Amaçları, gerçek olduklarına sizi inandırarak seed phrase ve şifre gibi hassas bilgilerinizi çalmaktır.

Phishing saldırıları iki şekilde gerçekleşebilir:

Spam phishing: Çok sayıda kişiye toplu olarak gönderilen e-posta veya mesajlardır. Saldırgan, birinin tuzağa düşmesini umar.

Spear phishing: Hedef odaklı saldırılardır. Saldırganlar, potansiyel mağdurları hakkında olabildiğince fazla bilgi toplar ve onları kandıracak inandırıcı mesajlar hazırlar. Özellikle ünlüler, üst düzey yöneticiler ve etkili siyasi figürler gibi kişileri hedef alırlar.

Tangem topluluğunda phishing saldırıları ve korunma yolları hakkında daha fazla bilgi edinin

2. Pretexting

Pretexting, birinin sahte bir senaryo yaratarak başkalarını hassas bilgileri paylaşmaya ikna ettiği bir sosyal mühendislik saldırısıdır. Bu yöntemi kullanan saldırganların güven kazanmak için daha inandırıcı olması gerekir.

Örneğin, bir bankayı arayıp çalışan gibi davranarak müşterilerden şifre veya kişisel bilgilerini doğrulamalarını isteyebilirler. Bu tür aramaları tespit etmek zordur ve çoğu zaman başarılı olur. Phishing e-posta veya mesajlarını fark etmek daha kolay olsa da, pretexting konusunda bilinçli olmak ve kendinizi korumak önemlidir.

3. Baiting saldırıları

Sosyal mühendisler, insanları bilgisayarlarını zararlı yazılımla enfekte etmeye teşvik etmek için baiting saldırılarını kullanır. Bu saldırılar sosyal mühendislik türleri arasında en az rastlananıdır. Bait genellikle ofis veya üniversite gibi halka açık alanlarda bırakılan ücretsiz bir USB veya CD gibi bir eşya olur. 

Birisi bu cihazı alıp bilgisayarına taktığında, sistem bilgisi dışında ele geçirilir. Ücretsiz yazılım veya başka hediyeler sunan e-posta eklerine karşı da dikkatli olun. Bu tür ekler bilgisayarınıza zarar verebilir; her zaman temkinli davranın.

4. Scareware

Scareware, bilgisayarınızın zararlı yazılımla enfekte olduğuna sizi inandıran zararlı bir yazılımdır. Sahte güvenlik uyarıları veya pop-up’lar göstererek sizi kandırır. Bu sahte uyarılar, bir virüs temizleme aracı indirmenizi önerir; ancak indirilen yazılım aslında zararlı yazılımdır. 

Scareware’in arkasındaki suçlu böylece verilerinize erişim sağlar. Bu yazılım ayrıca sizi sahte siber güvenlik yazılımı satın almaya veya giriş bilgilerinizi paylaşmaya da yönlendirebilir.

5. Quid Pro Quo saldırıları

Quid Pro Quo saldırısı, siber suçluların kişisel bilgiler karşılığında bir şey teklif ettiği bir sosyal mühendislik dolandırıcılığıdır. Saldırganlar, e-posta adresi veya şifre gibi hassas bilgileri elde etmek için sahte teklifler sunabilir. Bilgisayarınızdaki bir sorunu çözebileceğini iddia eden veya bir hizmet sunan kişiler gibi davranabilirler. 

Ancak bu teklif, özel bilgilerinizi elde etmek için bir yemdir. Bu tür dolandırıcılıklar tehlikelidir; çünkü saldırganlar verilerinizi kimlik hırsızlığı, dolandırıcılık veya başka zararlı faaliyetler için kullanabilir. Dikkatli olun ve kişisel bilgilerinizi yabancılarla paylaşmayın.

 

Yeni Tangem güvenlik testini çözerek sosyal mühendislik tuzaklarına karşı ne kadar hazırlıklı olduğunuzu ölçün.

Sosyal mühendislik saldırıları kimi hedef alır?

Sosyal mühendislik saldırıları bireyleri, kurumları ve işletmeleri hedef alır. Bu saldırılara karşı risk altında olan bireyler arasında üst düzey yöneticiler, ünlüler veya gizli bilgilere erişimi olan kişiler yer alır. Yetersiz güvenlik önlemlerine sahip kurum ve işletmeler de hedef alınabilir. 

Daha genç nesiller ve yeni işe başlayan çalışanlar, siber güvenlik konusunda daha az deneyime sahip oldukları için sosyal mühendislik saldırılarına karşı daha savunmasız olabilir. Şirketler, bu tür çalışanları eğitirken sosyal mühendislik riskleri konusunda özellikle dikkatli olmalıdır.
 

Çoğu sosyal mühendislik saldırısı nasıl tespit edilir?

1. Bilinmeyen göndericilerden gelen mesajlarda dikkatli olun. Dolandırıcı hesaplara karşı e-posta veya sosyal medya profillerini araştırarak iletişim kurmadan önce doğrulama yapın.
    
2. Bir mesajın gerçekten gönderen kişiye ait olup olmadığını iki kez kontrol edin. Kimliğini doğrulamak için yüz yüze veya telefonla iletişime geçin. Özellikle hesabının ele geçirildiğinden şüpheleniyorsanız veya sosyal medyada birisi onun yerine geçiyorsa bu çok önemlidir.
    
3. Bir web sitesinin meşru olduğundan emin olmak için URL’yi, görsel kalitesini ve şirket logolarını kontrol edin. Yazım hataları veya güncel olmayan bilgiler tehlike işareti olabilir. Şüpheli bir web sitesiyle karşılaşırsanız hemen çıkın.
    
4. Gerçek olamayacak kadar iyi görünen tekliflere karşı dikkatli olun. Bunlar sosyal mühendislik saldırılarının bir parçası olabilir. Kişisel bilgilerinizi paylaşmadan önce iki kez düşünün; e-posta adresiniz bile toplanıp satılabilir.
    
5. E-postalardaki şüpheli bağlantı veya dosya adlarına karşı dikkatli olun. E-postanın alışılmadık içeriğini veya zamanlamasını sorgulayın. Emin olmadığınız ekleri veya bağlantıları açmayın. Güvenlik ve doğruluk için ekstra önlem alın.

Sosyal mühendislik saldırılarından korunma ipuçları

Aşağıdaki adımları izleyerek sosyal mühendislik saldırılarına karşı kendinizi koruyabilirsiniz:

• Şüpheli içerikli e-posta veya mesajlardaki bağlantılara tıklamayın.
• Hesaplarınızı korumak için güçlü şifreler kullanın.
• Mümkünse çok faktörlü kimlik doğrulama kullanın.
• Uygulamalarınızı ve işletim sistemlerinizi güncel tutarak güvenlik açıklarını kapatın.
• Sosyal medya ve diğer açık platformlarda fazla bilgi paylaşmayın.
• İlk oynadığınız oyun, annenizin kızlık soyadı, evcil hayvanınızın adı, doğum yeriniz gibi özel bilgileri isteyen Twitter testlerine cevap vermeyin.
   

Kripto kullanıcılarını hedef alan sosyal mühendislik dolandırıcılıkları

Bazı sosyal mühendislik yöntemleri hem amatör hem de deneyimli kripto kullanıcılarını hedef alır.

• Coinbase reset dolandırıcılığı

Şubat 2024’te kripto araştırmacısı ZachXBT, Coinbase reset şeması olarak adlandırılan bir sosyal mühendislik dolandırıcılığını tespit etti. Saldırganlar, mağdurları Coinbase giriş bilgilerini sıfırlamaya ikna etmek için kişisel bilgilerini topladı. Bir vakada, bir mağdur yaklaşık 1.400 ETH (yaklaşık 4 milyon dolar) kaybetti. Dolandırıcılıklardan korunmak için ek güvenlik anahtarı (ör. 2FA) kullanmak, şifreleri veya e-posta adreslerini tekrar kullanmamak ve şüpheli giriş taleplerine karşı dikkatli olmak önerilir. 

Bazı topluluk üyeleri, saldırganların kripto para borsası hakkında içeriden bilgi sahibi olabileceğini düşünürken; bazıları ise saldırganların Coinbase çalışanı gibi davrandığına inanıyor. İlginç bir şekilde, bir dolandırıcının başka bir dolandırıcıyı kandırdığı da rapor edildi; bu da bu tür suçların ne kadar karmaşık olabileceğini gösteriyor.

• E-posta dolandırıcılıkları

Kripto para dolandırıcılığı mağdurları genellikle bir borsa, cüzdan veya DeFi projesinin destek ekibinden geliyormuş gibi görünen bir e-posta alır. Bu e-postalarda genellikle “hesabınız ele geçirildi, acil onarım gerekiyor” gibi kalıplaşmış hikâyeler yer alır. 

Dolandırıcı, “teknik destek personeli” gibi davranıp mağdur adına yeni bir seed phrase oluşturmayı teklif edebilir. Ancak mağdurdan eski seed phrase’i istenir ve bu bir tuzaktır. Bu tür dolandırıcılıklar tamamen yazışma yoluyla gerçekleşir; mağdurun herhangi bir siteyi ziyaret etmesi gerekmez.

• Kolay hizmet tuzağı

İnsanların varlıklarını kaybetme korkusu, dolandırıcıların istismar edebileceği önemli bir noktadır. Ancak, insanların işleri kolaylaştırma isteği de bir başka zayıf noktadır. Kullanıcılarımızdan biri, herhangi bir DeX veya NFT platformuna WalletConnect ile bağlanmayı vadeden bir platform ararken bir toplama sitesiyle karşılaştı. 

Hizmet oldukça pratik görünse de çalışmadı. Kullanıcı birkaç kez QR kodu taramayı denediğinde, hizmet bir sorun olduğunu bildirip çözüm için kullanıcıdan özel anahtarını veya seed phrase’ini girmesini istedi. Neyse ki bu durumda Tangem Wallet, seed phrase olmadığı için kullanıcıyı büyük bir hatadan korudu.

• Uzman dolandırıcılığı

İnsanların güvenini kazanmanın bir başka yolu da sosyal medya üzerinden olur. Dolandırıcılar sahte hesaplar oluşturup uzman gibi davranarak kişileri kandırabilir. İçerik paylaşabilir, fotoğraf ekleyebilir, hedef kişileri arkadaş olarak eklemeye çalışabilir ve kripto topluluklarına katılabilirler.

Amaç, hesabı gerçek bir kişinin yönettiği izlenimini vermektir. Gerekli takipçi sayısına ulaştıklarında, dolandırıcı “çok kârlı” bir teklif sunar. Bu teklif bir cüzdan yüklemek, bir projeye kayıt olmak veya bir airdrop’a katılmak olabilir.

Çoğu dolandırıcı, hikâyelerini kurgularken ayrıntılara dikkat etmez. Kalitesine bağlı olarak, “gerçek” sosyal medya hesaplarını yalnızca 5 dolara satın alıp ilgili gruplara katılır ve kullanıcılara mesaj göndermeye başlarlar. Bu hesaplar genellikle çok temel bilgiler içerir ve çok az paylaşım yapılır.
 

Kendinizi ve varlıklarınızı nasıl korursunuz?

Psikologlara göre para, varoluşun temelidir ve kaybı ölümle dahi ilişkilendirilebilir. Böyle bir durumda tüm mantık devre dışı kalır ve hayatta kalma içgüdüsü öne çıkar. Fonlarınızın tehlikede olduğunu belirten bir mesaj aldığınızda, durup durumu eleştirel bir şekilde değerlendirmelisiniz.

Burada yeni bir şey söylemiyoruz ama tekrar etmekte fayda var: Asla kimseyle özel anahtarınızı veya seed phrase’inizi paylaşmayın. Fonlarınızı, seed phrase gerektirmeyen bir soğuk cüzdanda saklamalısınız; örneğin Tangem Wallet gibi.