BEC (Business E-mail Compromise) Saldırıları

Siber güvenliğin öneminin daha da arttığı Covid-19 salgını döneminde, e-postanın en çok kullanılan iletişim araçlarından biri olduğunu söylesek yanlış olmaz. Herhangi bir şirketin CEO’sundan, en alt birim çalışanına kadar herkesin kurumsal e-posta kullandığını, yazışmaların ve özellikle finansal işlemlerin bu e-postalar aracılığıyla yapıldığını hepimiz biliyoruz.

Siber suçlular da sürekli olarak şirketlere saldırmanın yeni yollarını arıyorlar. Son birkaç yılda, kurumsal yazışmaları hedef alan şirket e-posta dolandırıcılığı (BEC – Business E-mail Compromise) saldırılarına daha fazla başvuruyorlar.

BEC (Business E-mail Compromise) Saldırıları Nedir?

BEC (Business E-mail Compromise) saldırısı, yabancı tedarikçilerle çalışan ve banka havalesi yapan şirketleri hedef alan bir tür siber dolandırıcılık yöntemidir. Saldırgan, bir şirket yöneticisini veya finansal işlemlerden sorumlu bir çalışanın, kurumsal veya kamuya açık e-posta adresini bir şekilde ele geçirir. Daha sonra e-posta mesajlarının arasında istek, ödeme, transfer ve acil gibi kelimeleri tespit ederek ava çıkar. Son fazda ise kendi hesabına parayı aktarması için konuşmaların arasına girerek (taklit ederek) kişileri kandırmaya çalışır.

BEC (Business E-mail Compromise) Saldırı Yöntemleri Nelerdir?

FBI İnternet Şikayet Merkezi IC3’e göre 5 tip BEC saldırı türü vardır. Bunlar:

CEO Dolandırıcılığı

Saldırganlar, kendilerini bir şirketin CEO’su veya yöneticisi olarak tanıtır ve genellikle finans departmanındaki bir kişiye e-posta göndererek paraların saldırgan hesabına aktarılmasını talep eder.

Hesap İhlali

Bir çalışanın hesabı saldırgan tarafından ele geçirilir ve satıcılardan ödeme istemek için kullanılır. İstenilen ödemeler, saldırgan hesabına gönderilir.

Yanlış Fatura Teması

Saldırgan bu taktiği yabancı tedarikçiler için kullanır. Dolandırıcı, tedarikçiymiş gibi davranır ve sahte hesaplara para transferi talep eder.

Avukat Kimliğine Bürünme

Saldırganın bir avukat ya da savcı gibi davranması halidir. Düşük seviyedeki çalışanlar, saldırganın talebini sorgulayacak bilgiye sahip olmamasından kaynaklanan bir dolandırıcılık türüdür.

Veri Hırsızlığı

Saldırgan çoğu zaman firmadaki CEO ve yöneticiler hakkında kişisel veya özel bilgiler için telefon/e-posta aracılığıyla iletişime geçer. Bu saldırıda genel olarak insan kaynakları çalışanları hedef alınır. Ve bu elde edilen bilgileri CEO dolandırıcılığı gibi saldırı türlerinde kullanır.

BEC Saldırısının Şirketlere Verdiği Mali Zararlar

2020 yılı Agari’nin siber istihbarat raporuna göre BEC dolandırıcılarının şu anda en az 39 ülkede merkez yönetim üslerinin olduğu bildirilmektedir. Her yıl ortalama şirketlere verdiği zarar ise 26 milyar Dolar. Ve bu rakamlar her yıl artıyor…

IC3, sadece 2019 yılında FBI’a şikayet edilen 23,775 benzer vaka olduğunu bildirdi; bu, 2018’den bu yana vakalarda 3500, zararda ise 1,2 milyar Dolar’dan 1,7 milyar Dolar’a artış olduğunu gösteriyor.

Araştırmalar, BEC saldırılarının şu anda küresel olarak siber suç zararlarının %40’ını oluşturduğunu ve en az 177 ülkeyi etkilediğini gösteriyor. Ayrıca Mayıs 2019 ile Temmuz 2020 yılları arasında yapılan araştırmalarda saldırıların %50’sinin Nijerya’da gerçekleştiği de raporlandı. BEC saldırısının küresel olarak duyulduğu ilk bölgenin de Nijerya olduğunu unutmayalım. Aşağıda yüksek profilli şirketlere yapılan BEC saldırı örneklerini sizler için derledik:

Bir siber suçlu, Tayvanlı bir elektronik üreticisini taklit eden bir alan adı satın aldıktan sonra iki yıl boyunca bu alan adını (Facebook ve Google dahil) büyük şirketlere fatura göndermek için kullandı ve bu süreçte 120 milyon Dolar kazandı.
Bir inşaat şirketini taklit eden siber suçlular, South Oregon Üniversitesi’ni sahte hesaplara yaklaşık 2 milyon Dolar transfer etmeye ikna etti.
Bazı dolandırıcılar, birinin adını içeren ancak farklı bir alan uzantısına sahip bir alan adıyla iki futbol kulübü arasında geçen yazışmalara karıştı. İki kulüp, Boca Juniors ve Paris Saint-Germain, bir oyuncunun transferini ve komisyon anlaşmasını tartışıyorlardı. Sonuç olarak, yaklaşık 520.000 Euro Meksika’daki çeşitli hileli hesaplara gitti.
Toyota’nın Avrupa kolu, bir çalışanın gerçek zannederek yaptığı sahte banka havalesi talimatının sonucunda siber suçlulara 37 milyon Dolar’dan fazla kaptırdı.

Mart 2016 yılında Seagate ve Snapchat gibi bazı teknoloji şirketleri de BEC saldırılarına maruz kaldılar. BEC saldırılarına karşı şirketlerin önlem alması kaçınılmaz bir durum olmuştur.