Siber güvenlik denilince akla genellikle teknik açıklar, yazılım zafiyetleri veya ağ sızma testleri gelir. Ancak gerçek dünyadaki saldırıların büyük çoğunluğu, en güçlü güvenlik duvarlarını bile aşmanın en kısa yolunun insan faktörü olduğunu hatırlatıyor. Sosyal mühendislik, teknik kontrolleri atlayarak doğrudan çalışanların güvenini, merakını veya yardımseverliğini hedef alan psikolojik manipülasyon sanatıdır. Bu yazıda, yetkili bir sızma testi kapsamında kurgulanmış gerçekçi bir sosyal mühendislik senaryosunu, kullanılan teknik yaklaşımları, elde edilen bulguları ve kurumların bu risklere karşı nasıl savunma katmanları inşa edebileceğini profesyonel bir perspektifle ele alacağız.

Aşağıda, yetkili bir sızma testi kapsamında kurgulanmış, isim ve detaylar değiştirilmiş gerçekçi bir sosyal mühendislik senaryosu paylaşılmaktadır:

Hedef: 500+ çalışanı olan, finans ve insan kaynakları verileri işleyen orta ölçekli bir teknoloji şirketi.

Amaç: Çalışan farkındalığını ölçmek, prosedür uyumunu test etmek ve olası veri sızıntı yollarını tespit etmek.

Aşama 1: Keşif ve Bilgi Toplama (OSINT)

Test ekibi, şirketin LinkedIn sayfaları, basın bültenleri, teknik blogları ve çalışan profilleri üzerinden açık kaynak istihbaratı topladı. Finans departmanında çalışan belirli kişilerin isimleri, unvanları ve muhtemel e-posta formatları (`ad.soyad@sirket.com`) belirlendi. Şirketin kullandığı muhasebe yazılımı ve onay süreçleri hakkında genel bilgiler not edildi.

Aşama 2: Oltalama (Phishing) Kurgusu

Hedef olarak seçilen finans çalışanına, şirket içi iletişim diline uygun, aciliyet hissi uyandıran bir e-posta gönderildi:

– Gönderen: `it-destek@sirket-destek[.]com` (typosquatting ile benzer domain)

– Konu: “ACİL: Muhasebe Sistemi Güncellemesi – Onay Gerekiyor”

– İçerik: “Değerli Çalışanımız, muhasebe sistemimizde kritik bir güvenlik güncellemesi yapılmaktadır. Erişiminizin devam etmesi için 2 saat içinde ekteki formu doldurup şifrenizi doğrulamanız gerekmektedir. Aksi takdirde hesabınız geçici olarak askıya alınacaktır.”

E-posta, şirket logosu, imza bloğu ve dil bilgisi açısından iç yazışmalara benzer şekilde hazırlanmıştı. Link, test ekibinin kontrolündeki bir phishing simülasyon platformuna yönlendiriyordu.

Aşama 3: Fiziksel Erişim Denemesi (Tailgating)

E-posta kampanyası ile eş zamanlı olarak, test ekibinden bir üye, elinde sahte bir “teknik servis” kartı ve laptop çantasıyla şirket binasına giriş yaptı. Resepsiyonda “IT departmanından geldiğini, acil bir sunucu güncellemesi için içeri girmesi gerektiğini” belirterek, bir çalışanın kapıyı açık bırakmasını bekledi ve “tailgating” yöntemiyle içeri girdi.

Aşama 4: Vishing (Telefonla Manipülasyon)

Finans departmanından bir çalışan aranarak, “IT Güvenlik Ekibi”nden arandığı belirtildi. Arayan kişi, “sistemde şüpheli aktivite tespit edildiğini, hesabını korumak için geçici bir doğrulama kodunu paylaşması gerektiğini” söyledi. Bu kod, aslında test platformunda oluşturulmuş sahte bir MFA token’ıydı.

Aşama 5: Bulgular ve Tepki Analizi

72 saat süren test kapsamında:

– E-posta kampanyasına %34 oranında tıklama, %12 oranında kimlik bilgisi girişi gerçekleşti.

– Fiziksel erişim denemesi, resepsiyon prosedürlerindeki esneklik sayesinde başarılı oldu.

– Vishing denemesinde, aranan 5 kişiden 2’si doğrulama kodunu paylaşmaya meyilli davrandı.

– Ancak 3 çalışan, şüpheli durumu derhal güvenlik ekibine bildirdi ve prosedürlere uygun hareket etti.