İlk günlerde, kimlik avı saldırıları genellikle çok basitti ve hassas verilere erişim sağlamak için e-posta gibi meşru yazılı iletişim kaynaklarını kullanıyordu.
Yapay zeka çağında, saldırganların kimlik avı yöntemlerini nasıl modernleştirdiğini düşünmek cazip geliyor. GenAI araçlarının popülaritesinin artmasıyla birlikte, "vishing" olarak da bilinen ses tabanlı kimlik avı saldırıları yeni norm haline geldi ve saldırı yöntemlerinin gelişimi devam ediyor.
Bir sıçrama tahtası olarak kimlik avı
Kötü amaçlı yazılım endüstrisinde kimlik avının önemini anlamak için bir saldırının anatomisine bakmak faydalı olacaktır. Medyanın tüm dikkatini çekenler genellikle başarılı fidye yazılımı saldırılarıdır. Ancak şantaj Truva atlarının başarılı bir şekilde yerleştirilmesi, zaten korkunç fidye taleplerine veya veri kaybına yol açan bir enfeksiyon döngüsünün sonudur. Böyle bir saldırının hazırlık aşaması çok daha az ön planda, ancak savunma stratejisinin zaten burada başlaması gerekiyor. Kurban tespit aşamasında, modern kimlik avı yöntemleri, BT kuruluşlarının yanıt vermesi gereken önemli bir rol oynamaktadır.
Kimlik avı mekanizmaları, kötü amaçlı yazılım aktörlerinin bir kuruluşun saldırı yüzeyini belirlemesinde rol oynar. İlgi odağı genellikle kişisel erişim verileri veya bir sisteme erişim sağlamak için sıfır gün kötü amaçlı yazılımların yerleştirilmesidir. Saldırganlar yanıltıcı manevraları için de yapay zeka eğilimine güvendikleri için kuruluşların savunma mekanizmalarını, örneğin modern davranış tabanlı kötü amaçlı yazılım analiz tekniklerini kullanarak güçlendirmeleri gerekiyor.
Kişiselleştirilmiş kimlik avı saldırıları
Kurban yemlerinin çeşitliliği, basit kitlesel e-posta dolandırıcılıklarından kişiselleştirilmiş saldırılara kadar gelişmiştir. Geleneksel kimlik avı kampanyalarına yönelik farkındalık eğitim yoluyla arttıkça, saldırganlar yeni kanallar ve teknikler keşfetti. Buna bağlı olarak son dönemde sahte telefon görüşmeleri ve vişonlar arttı. Bir yöneticinin gerçek sesi, yapay zeka ses klonlama aracı kullanılarak taklit edilir. Bu araçlar öncelikle insan sesinin özelliklerini tanımlıyor ve daha sonra yapay zekayı kullanarak sistemi çeşitli mesajları okurken o sesi mükemmel şekilde taklit edecek şekilde eğitiyor. Geleneksel kimlik avı teknikleriyle birlikte taklit seslerin, yani sahte seslerin tanınması giderek zorlaşıyor.
Ses klonlamanın yanı sıra bir phishing yöntemi daha devreye girecek. "Kapatma", görüntünün arkasına gizlenmiş kötü amaçlı bir bağlantı içeren bir QR kodunu e-posta yoluyla göndermeyi içerir. Böyle bir yöntem, güvenlik araçlarının çoğu zaman etkili olmaması nedeniyle kötü amaçlı kodun tespitini zorlaştırır. Bu durum, özellikle yeterince korunmayan özel cep telefonuna sahip çalışanlar için riski artırıyor. Kimlik avı tekniklerindeki bu gelişmelere ayak uydurabilmek için sıfır güven anlayışı önerilmektedir. Yalnızca teknik bir güvenlik çözümü olarak değil, aynı zamanda insani düzeyde de. İş gücünün, gizli tehditlerin yürütülmesini önlemek için olağandışı iletişimlere, içeriğe veya bilinmeyen gönderenlere ilişkin sağlıklı bir şüphe göstermesi gerekir.
Güven iyidir, kontrol daha iyidir
Elbette, artan modern kimlik avı tehdidiyle başa çıkmak ve hassas bilgileri korumak için insan savunmasının yanı sıra siber güvenlik stratejilerinin de uyarlanması gerekiyor. Ancak günümüzde çalışanlar mevcut güvenlik çözümlerine çok fazla güveniyor ve şüpheli iletişimlerle uğraşırken yeterince dikkatli değiller. Tanıdığınızı düşündüğünüz ancak olağandışı veya beklenmedik isteklerde bulunan birinden gelen telefon araması her zaman sorgulanmalıdır. Çalışanların böyle bir durumda harekete geçmeden önce dikkatli olmaları tavsiye edilir. Şüphe durumunda geri arama, garip durumun açıklığa kavuşturulmasını ve arayanın kimliğinin doğrulanmasını sağlayarak değerli bilgilerin güvenliğini sağlar.
Günümüzün hibrit çalışma ortamında doğrulama için yüz yüze etkileşim her zaman mümkün olmadığından, alınan iletişimlerin doğrulanması için farklı bir kanalın seçilmesi önerilir. Örneğin, WhatsApp üzerinden bir arama yapıldığından şüpheleniyorsanız, telefondaki kişinin cep telefonu araması, Slack mesajı veya e-posta yoluyla söylediği kişi olduğundan emin olmanız önerilir. Tehlikeyi önlemek için çalışanlar, istendiğinde kişisel bilgileri veya şifreleri telefonda veya e-posta yoluyla asla paylaşmamalarını sağlamalıdır. İşgücüne bir şeyin iletilmesi gerekir: sistemdeki verilere veya kaynaklara erişmek için dahili olarak başka bir çalışanın şifresini kullanmaya gerek yoktur. Böyle bir talep olsa bile, hassas veriler aktarılmadan önce alarm zillerinin çalması gerekiyor.
Daha fazla ilgi
Kimlik avı genellikle bir uzlaşma zincirinin yalnızca başlangıcı olduğundan, bu sosyal mühendislik taktiğinin yalnızca Veri Koruma Günü'nde değil, daha fazla ilgi görmesi gerekir. Şirketler yapay zekaya dayalı yeni saldırı seçeneklerine karşı kendilerini silahlandırmalı çünkü bu, saldırıları yeni bir tehlike düzeyine çıkarıyor. Şirketler bu zorluğun üstesinden gelerek daha dayanıklı bir siber güvenlik kültürünü geliştirebilir ve hassas verileri etkili bir şekilde koruyabilir.
İnanç, sıfır güven zihniyetini insan düzeyine getirmek olmalıdır. Bu, işgücünün bir bilgi kaynağına dolaylı olarak güvenmemek, onu her zaman başka bir ortam aracılığıyla kontrol etmek üzere eğitilmesi gerektiği anlamına gelir. Yapay zeka gelecekte yanlış bilgilendirme ve dezenformasyon kampanyalarında önemli bir rol oynayacağı için bu daha da önemli hale gelecektir.
Daha fazlası Zscaler.com'da
Zscaler Hakkında Zscaler, müşterilerin daha çevik, verimli, esnek ve güvenli olabilmesi için dijital dönüşümü hızlandırır. Zscaler Zero Trust Exchange, insanları, cihazları ve uygulamaları her yerde güvenli bir şekilde bağlayarak binlerce müşteriyi siber saldırılardan ve veri kaybından korur. SSE tabanlı Zero Trust Exchange, dünya çapında 150'den fazla veri merkezine dağıtılan dünyanın en büyük hat içi bulut güvenlik platformudur.
Konuyla ilgili makaleler