Sosyal Mühendislik Nedir? İnsan Faktörünü Hedef Alan Siber Saldırılar

Siber saldırılar denildiğinde çoğu kişinin aklına exploit, malware, firewall bypass veya zero-day vulnerability gibi teknik yöntemler gelir. Oysa birçok başarılı saldırıda saldırganın ilk hedefi bir sunucu veya güvenlik cihazı değil, doğrudan insandır.

Bir çalışanı acil bir ödeme yapılması gerektiğine ikna etmek, help desk personelinden password reset istemek, kendisini üst düzey yönetici gibi tanıtmak, fiziksel olarak yetkisiz bir alana başka bir çalışanın arkasından girmek veya bir kullanıcıyı MFA doğrulamasını onaylamaya yönlendirmek teknik bir vulnerability kullanmadan da ciddi güvenlik ihlallerine yol açabilir.

Bu saldırı sınıfı genel olarak:

Social Engineering – Sosyal Mühendislik

olarak tanımlanır.

Sosyal mühendisliğin temelinde teknik sistemleri değil, insanların karar verme süreçlerini manipüle etmek vardır. Saldırgan güven, otorite, korku, merak, yardım etme isteği veya zaman baskısı gibi psikolojik unsurları kullanarak kullanıcının normalde yapmayacağı bir işlemi gerçekleştirmesini hedefler.

Bu nedenle sosyal mühendislik yalnızca security awareness eğitiminin konusu değildir. Aynı zamanda identity security, help desk süreçleri, privileged access, fiziksel güvenlik, finansal onay mekanizmaları ve incident response süreçlerinin de doğrudan parçasıdır.

Modern kurumlarda güçlü sosyal mühendislik savunması şu prensiple kurulmalıdır:

İnsanlara sadece dikkatli olmalarını söylemeyin; kritik işlemleri tek kişinin kararına bağlı olmayacak şekilde tasarlayın.

Sosyal Mühendislik Nedir?

Sosyal mühendislik, bir kişinin davranışını manipüle ederek bilgi, erişim veya işlem elde etmeyi amaçlayan saldırı yaklaşımıdır.

Saldırganın hedefi çoğu zaman kullanıcıya doğrudan zarar vermek değildir. Kullanıcıyı, saldırganın istediği bir işlemi kendi yetkisiyle yapmaya ikna etmektir.

Bu işlem bir password paylaşmak kadar açık olabilir veya saldırganın istediği bank account değişikliğini onaylamak kadar iş sürecine gömülü olabilir.

Bu nedenle sosyal mühendislik saldırılarında kritik soru şudur:

Kullanıcı gerçekten saldırıya uğradığını fark ediyor mu, yoksa normal işini yaptığını mı düşünüyor?

En başarılı sosyal mühendislik saldırılarında kullanıcı çoğu zaman ikinci durumu yaşar.

Sosyal Mühendislik Neden Teknik Saldırılardan Farklıdır?

Teknik saldırılar genellikle bir vulnerability, yanlış yapılandırma veya zayıf security control hedefler. Sosyal mühendislik ise insan davranışındaki tahmin edilebilir özelliklerden yararlanır.

İnsanlar iş ortamında hızlı karar vermeye, yöneticilerden gelen taleplere öncelik vermeye, müşterilere yardımcı olmaya ve sorunları çözmeye alışkındır. Saldırgan da tam olarak bu davranış modellerini kullanır.

Örneğin saldırgan help desk çalışanını arayıp “Telefonum bozuldu, MFA çalışmıyor, CEO toplantısına girmem gerekiyor” diyebilir. Buradaki saldırı bir exploit değil, süreç üzerinde oluşturulan baskıdır.

Eğer help desk yalnızca kişinin bildiği birkaç bilgiye dayanarak MFA reset yapabiliyorsa saldırgan teknik olarak sistemi hacklemeden hesabı ele geçirebilir.

Bu nedenle sosyal mühendislik riskinin önemli kısmı kullanıcı eğitiminden çok:

process design

ile ilgilidir.

Sosyal Mühendislikte Kullanılan Psikolojik Yöntemler

Sosyal mühendislik saldırılarının büyük bölümü belirli psikolojik mekanizmaları kullanır. Bunların başında urgency, authority, fear, trust ve curiosity gelir.

Urgency, kullanıcının düşünme süresini azaltmayı amaçlar. “Bu ödeme bugün yapılmazsa sözleşme iptal olacak” veya “hesabınız 20 dakika içinde kapanacak” gibi mesajlar kullanıcıyı hızlı aksiyon almaya iter.

Authority, yöneticiler, resmi kurumlar, banka personeli veya IT ekibi gibi otorite figürlerinin taklit edilmesidir. Kullanıcı, yetkili olduğunu düşündüğü kişiye daha az soru sorabilir.

Fear, hesap kapanması, para kaybı, ceza, disiplin süreci veya iş kaybı gibi korkular üzerinden karar mekanizmasını etkiler.

Curiosity ise “maaş listesi”, “gizli rapor”, “zam oranları” veya “sizinle ilgili şikâyet” gibi merak uyandıran içeriklerle kullanıcının etkileşim kurmasını sağlamaya çalışır.

Başarılı social engineering saldırıları çoğu zaman bu unsurlardan birkaçını aynı anda kullanır.

Pretexting Nedir?

Pretexting, saldırganın inandırıcı bir hikâye veya rol oluşturarak hedefin güvenini kazanmaya çalışmasıdır.

Saldırgan kendisini:

IT support uzmanı,

banka çalışanı,

tedarikçi,

yönetici,

kurye,

denetçi

veya başka bir yetkili kişi olarak tanıtabilir.

Burada saldırının gücü teknik bilgiden çok hikâyenin ne kadar gerçekçi olduğuna bağlıdır.

Örneğin saldırgan önce LinkedIn üzerinden şirket yapısını, çalışan isimlerini, departmanları ve yöneticileri araştırabilir. Daha sonra help desk'i arayıp gerçek bir çalışanın adını kullanarak parola sıfırlama talep edebilir.

Bu durumda OSINT ile elde edilen gerçek bilgiler saldırının güvenilirliğini artırır.

OSINT ve Sosyal Mühendislik İlişkisi

OSINT, yani Open Source Intelligence, açık kaynaklardan bilgi toplanmasıdır.

Kurumsal web sitesi, LinkedIn, sosyal medya, basın açıklamaları, iş ilanları ve organizasyon duyuruları saldırgan için önemli bilgi kaynakları olabilir.

Bir şirketin kullandığı teknoloji, çalışanların isimleri, yöneticilerin rolleri veya devam eden projeler hakkında fazla bilgi paylaşılması saldırganın pretext oluşturmasını kolaylaştırabilir.

Bu nedenle sosyal mühendislik savunması yalnızca e-posta filtresi veya awareness eğitimi değildir. Kurumun dışarıya hangi bilgileri yayınladığı da attack surface'in parçasıdır.

Baiting Nedir?

Baiting, kullanıcıya cazip görünen bir içerik veya fırsat sunarak etkileşim sağlamaya çalışan sosyal mühendislik yöntemidir.

Bu içerik ücretsiz yazılım, hediye, indirim, özel dosya veya merak uyandıran bir belge olabilir.

Fiziksel dünyadaki en klasik örneklerden biri USB baiting'dir. Saldırgan, üzerinde “Maaş Listesi” veya “Yönetim Kurulu” gibi dikkat çekici bir ifade bulunan USB cihazını kurum çevresinde bırakabilir.

Amaç, merak eden bir kullanıcının cihazı bilgisayarına takmasıdır.

Modern kurumlarda removable media policy ve endpoint device control bu tür riskleri azaltmak için önemlidir.

Impersonation Nedir?

Impersonation, saldırganın başka bir kişi veya rolün kimliğine bürünmesidir.

Bu kişi CEO, CFO, IT çalışanı, banka yetkilisi veya şirketin gerçek bir tedarikçisi olabilir.

Impersonation saldırılarında saldırganın mutlaka gerçek account'u ele geçirmesi gerekmez. E-mail display name, telefon görüşmesi veya sahte sosyal medya hesabı bile yeterli olabilir.

Bu nedenle kullanıcıların yalnızca görünen isme değil, iletişimin kaynağına ve talebin doğasına bakması gerekir.

Özellikle finansal işlemlerde:

kimden geldiği kadar, ne istendiği de doğrulanmalıdır.

Authority Abuse ve CEO Fraud

Authority abuse, kişinin üst düzey bir yetkili gibi davranarak kullanıcı üzerinde baskı oluşturmasıdır.

CEO Fraud bunun kurumsal ortamlardaki en bilinen örneklerinden biridir.

Saldırgan kendisini şirket yöneticisi gibi göstererek finance ekibinden hızlı ödeme yapılmasını isteyebilir. Talep özellikle “gizli”, “acil” veya “kimseyle paylaşma” gibi ifadeler içeriyorsa risk artar.

Bu saldırılar sadece e-mail üzerinden yapılmaz. Telefon, mesajlaşma uygulamaları ve hatta ses taklidi yöntemleri kullanılabilir.

Bu nedenle finans süreçlerinin yalnızca kimlik doğrulamasına değil:

business process verification

mekanizmalarına dayanması gerekir.

Four-Eyes Principle Nedir?

Four-Eyes Principle, kritik bir işlemin en az iki yetkili kişi tarafından kontrol edilmesi prensibidir.

Özellikle ödeme, banka hesabı değişikliği, privileged access veya önemli configuration değişikliklerinde tek kişinin karar vermesi risklidir.

Sosyal mühendislik saldırılarında saldırgan çoğu zaman bir kullanıcıyı kandırmayı başarabilir. Ancak aynı işlemi ikinci bağımsız kişiye de doğrulatmak saldırının başarı ihtimalini ciddi şekilde azaltır.

Bu nedenle social engineering defense yalnızca kullanıcı farkındalığı değildir.

Bazı süreçlerde en güçlü kontrol:

dual approval

olabilir.

Out-of-Band Verification Nedir?

Out-of-band verification, bir talebin geldiği iletişim kanalından farklı ve güvenilir başka bir kanal üzerinden doğrulanmasıdır.

Örneğin vendor e-mail ile bank account değişikliği bildirirse, e-mail içerisindeki telefon numarasını aramak yerine kurumda daha önce kayıtlı olan vendor iletişim numarası kullanılmalıdır.

Bu yöntem özellikle:

payment change,

password reset,

privileged access

ve kritik veri paylaşımı

gibi işlemlerde oldukça önemlidir.

Help Desk Social Engineering Nedir?

Help desk ekipleri sosyal mühendislik saldırılarında yüksek değerli hedeflerdir.

Çünkü help desk:

password reset,

MFA reset,

account unlock,

device enrollment

gibi kritik işlemleri gerçekleştirebilir.

Saldırganın amacı doğrudan kullanıcıyı kandırmak yerine help desk çalışanını ikna etmek olabilir.

Bu nedenle help desk süreçlerinde yalnızca ad, doğum tarihi, çalışan numarası veya yöneticinin adı gibi kolay bulunabilecek bilgilerle kimlik doğrulaması yapmak güçlü bir yöntem değildir.

Kimlik doğrulama süreçleri mümkün olduğunca:

strong identity verification,

approved workflow,

audit trail

ve gerektiğinde manager confirmation

içermelidir.

MFA Reset Sosyal Mühendislik Riski

MFA kullanmak account security açısından çok güçlü bir kontroldür. Ancak MFA enrollment veya reset süreçleri zayıfsa saldırgan güçlü authentication mekanizmasını dolaylı şekilde aşabilir.

Örneğin saldırgan help desk'i arayıp telefonunun kaybolduğunu söyleyebilir ve yeni bir MFA cihazı kaydettirmeye çalışabilir.

Eğer help desk yeterli identity verification yapmadan MFA reset gerçekleştirirse attacker kendi cihazını kullanıcı hesabına bağlayabilir.

Bu nedenle modern identity security yaklaşımında sadece MFA'nın aktif olması değil:

MFA lifecycle security

de önemlidir.

MFA Fatigue ve Push Manipulation

MFA fatigue saldırılarında attacker ele geçirdiği username/password ile tekrar tekrar login girişimi yapar ve kullanıcıya çok sayıda push notification gönderir.

Amaç, kullanıcının sonunda yanlışlıkla veya bildirimlerden kurtulmak için approve etmesidir.

Bu saldırı teknik bir authentication bypass olmaktan çok psikolojik baskı yöntemidir.

Kullanıcıların beklenmeyen MFA taleplerini reddetmesi ve security team'e bildirmesi gerekir.

Number matching ve phishing-resistant MFA gibi yöntemler de bu riski azaltmaya yardımcı olur.

Identity Verification Neden Kritik?

Social engineering saldırılarında temel problem çoğu zaman kimliğin yanlış doğrulanmasıdır.

Bir kişinin kendisini CEO olarak tanıtması onun gerçekten CEO olduğu anlamına gelmez.

Telefon numarasının ekranda doğru görünmesi de yeterli değildir.

E-mail display name aynı olabilir.

Hatta saldırgan bazı gerçek kişisel bilgileri de biliyor olabilir.

Bu nedenle identity verification:

tek bir bilgiye dayanmak yerine çoklu doğrulama

üzerine kurulmalıdır.

Deepfake Voice ve AI Destekli Sosyal Mühendislik

Yapay zekâ teknolojilerinin gelişmesiyle social engineering saldırıları daha ikna edici hale gelebilir.

Voice cloning teknolojileri, gerçek bir kişinin sesine benzeyen ses kayıtları üretmek için kullanılabilir. Benzer şekilde video veya image manipulation teknikleri de impersonation saldırılarını güçlendirebilir.

Bu durum özellikle executive impersonation ve payment fraud açısından önemlidir.

Bu nedenle:

“Sesini tanıdım, demek ki gerçekten o.”

yaklaşımı artık tek başına güçlü bir doğrulama yöntemi değildir.

Kritik işlemler için önceden tanımlı business process ve approval mekanizmaları kullanılmalıdır.

Deepfake Savunmasında En Güçlü Yaklaşım Nedir?

Deepfake detection technology yararlı olabilir ancak tek başına yeterli değildir.

En güçlü yaklaşım çoğu zaman:

işlemin kim tarafından istendiğinden bağımsız olarak aynı verification process'i uygulamaktır.

CEO bile ödeme istese sistem aynı onay zincirini kullanmalıdır.

Bu durumda saldırgan CEO'nun sesini veya görüntüsünü başarılı şekilde taklit etse bile business process kontrolü saldırıyı durdurabilir.

Tailgating Nedir?

Tailgating, yetkisiz bir kişinin authorized bir çalışanın arkasından secure alana girmesidir.

Örneğin çalışan access card ile kapıyı açtığında saldırgan elinde kutular taşıyarak arkasından içeri girebilir.

İnsanların kapıyı başkasının yüzüne kapatmaktan çekinmesi saldırgan tarafından kullanılabilir.

Bu nedenle physical security awareness da son kullanıcı güvenliğinin bir parçasıdır.

Piggybacking ile Tailgating Arasındaki Fark

Bu terimler zaman zaman birbirinin yerine kullanılsa da piggybacking çoğunlukla authorized kişinin diğer kişinin geçişine bilinçli olarak izin verdiği durumu ifade eder.

Tailgating ise authorized kişi farkında olmadan arkasından geçilmesini ifade edebilir.

Her iki durumda da amaç physical access control'ü aşmaktır.

Fiziksel Sosyal Mühendislik

Sosyal mühendislik yalnızca dijital ortamda gerçekleşmez.

Saldırgan:

kurye,

teknisyen,

temizlik görevlisi,

ziyaretçi

veya vendor personeli gibi davranarak fiziksel erişim elde etmeye çalışabilir.

Bu nedenle visitor management, badge control ve secure area policy önemlidir.

Badge Sharing Neden Risklidir?

Access card veya badge paylaşımı authentication ve accountability mekanizmasını zayıflatır.

Kimin hangi alana ne zaman girdiği doğru şekilde izlenemez.

Bu nedenle personel kendi access card'ını başka kullanıcıyla paylaşmamalıdır.

Clean Desk ve Clear Screen Neden Sosyal Mühendislikle İlişkili?

Saldırganın kurum içerisinde fiziksel erişim sağlaması durumunda açık ekranlar, yazılı password'lar, müşteri listeleri veya hassas belgeler ek bilgi kaynağı olabilir.

Clean Desk ve Clear Screen policy'leri yalnızca düzen konusu değildir.

Information exposure riskini azaltırlar.

Shoulder Surfing Nedir?

Shoulder surfing, kullanıcının ekran, keyboard veya document bilgilerinin fiziksel olarak gözlemlenmesidir.

Özellikle halka açık alanlarda çalışan kullanıcılar için risklidir.

Privacy screen, auto-lock ve fiziksel farkındalık bu riski azaltabilir.

Dumpster Diving Nedir?

Dumpster diving, çöpe atılan belgeler veya cihazlardan sensitive information elde edilmeye çalışılmasıdır.

Basılı belgelerin güvenli imha edilmemesi;

employee list,

invoice,

network diagram,

customer information

gibi verilerin açığa çıkmasına neden olabilir.

Bu nedenle secure document disposal süreçleri de information security kapsamındadır.

Business Process Fraud Nedir?

Social engineering yalnızca credential theft değildir.

Saldırganın amacı çalışanı mevcut business process içinde yanlış bir işlem yapmaya ikna etmek olabilir.

Örneğin:

ödeme hesabını değiştirmek,

yanlış faturayı onaylatmak,

sensitive document göndertmek,

yeni vendor ekletmek

gibi işlemler hedeflenebilir.

Bu nedenle kurumlar security control tasarlarken sadece IT security'ye değil:

business process security

konusuna da bakmalıdır.

Invoice Fraud ve Vendor Manipulation

Invoice fraud saldırılarında attacker gerçek bir vendor veya yönetici kimliğini taklit ederek ödeme bilgisini değiştirebilir.

Bazı durumlarda saldırgan gerçek vendor mailbox'ını compromise etmiş olabilir. Bu durumda e-mail gerçekten doğru hesaptan gelir.

Dolayısıyla sender address kontrolü tek başına yeterli değildir.

Yeni bank account talebi gibi kritik değişiklikler farklı kanal üzerinden doğrulanmalıdır.

BEC ve Sosyal Mühendislik İlişkisi

Business Email Compromise, social engineering'in en yüksek finansal etkili örneklerinden biridir.

BEC saldırılarında malware veya exploit kullanılmayabilir.

Attacker:

business context,

trust relationship,

timing

ve authority

üzerinden kullanıcıyı manipüle eder.

Bu nedenle BEC savunmasında mail filtering kadar finance process controls de kritiktir.

Insider Risk ile Sosyal Mühendislik Arasındaki İlişki

Sosyal mühendislik saldırganı her zaman kurum dışında olmak zorunda değildir.

İçeriden biri başka çalışanları manipüle ederek normalde sahip olmadığı bilgi veya erişimi elde edebilir.

Ayrıca attacker compromise ettiği bir internal account üzerinden diğer çalışanlara daha güvenilir görünen talepler gönderebilir.

Bu nedenle internal communication otomatik olarak trusted kabul edilmemelidir.

Lateral Social Engineering Nedir?

Compromise edilmiş internal identity'nin diğer employees üzerinde social engineering yapmak için kullanılmasıdır.

Örneğin attacker gerçek bir çalışan mailbox'ından finance ekibine payment request gönderebilir.

Bu durumda mesaj external değildir ve klasik external sender warning görünmeyebilir.

Bu nedenle identity monitoring ve anomalous mailbox behavior detection önemlidir.

Sosyal Mühendislikte Security Awareness Nasıl Olmalı?

Security awareness programlarının en büyük hatalarından biri kullanıcıya yalnızca:

“Şüpheli e-postaya tıklama.”

demektir.

Social engineering awareness çok daha geniş olmalıdır.

Kullanıcılar beklenmeyen:

credential request,

MFA request,

payment instruction,

password reset,

physical access request

gibi durumları tanıyabilmelidir.

Awareness Eğitiminde Senaryo Kullanımı

Gerçekçi senaryolar, yalnızca teori anlatmaktan daha etkili olabilir.

Örneğin finance ekibine BEC scenario'su, help desk'e MFA reset manipulation, executive ekibe whaling ve impersonation riskleri anlatılabilir.

Bu yaklaşım:

Role-Based Security Awareness

olarak adlandırılır.

Role-Based Security Awareness Neden Daha Etkilidir?

Her kullanıcının attack surface'i aynı değildir.

Finance personeli payment fraud konusunda,

IT help desk identity verification konusunda,

executive users whaling konusunda,

HR ise personal data manipulation konusunda

daha yüksek risk taşıyabilir.

Bu nedenle aynı training içeriğini herkese vermek yerine role-based approach daha anlamlıdır.

Human Risk Management Nedir?

Human Risk Management, kullanıcı kaynaklı cyber risklerin yalnızca eğitimle değil, ölçüm ve teknik kontrollerle birlikte yönetilmesidir.

Bu yaklaşımda kullanıcının:

role,

privilege,

phishing behavior,

device risk,

incident history

gibi faktörleri değerlendirilebilir.

Amaç kullanıcıyı suçlamak değil, yüksek riskli alanlara daha güçlü controls uygulamaktır.

User Risk Score Nedir?

User Risk Score, kullanıcıyla ilişkili security riskinin göreceli bir skorla değerlendirilmesidir.

Örneğin privileged administrator veya finance manager role nedeniyle daha yüksek impact taşıyabilir.

Buna ek olarak repeated phishing simulation failures veya risky login events risk skorunu yükseltebilir.

Bu bilgiler targeted training veya stronger authentication controls için kullanılabilir.

Kullanıcı İzleme ile Privacy Dengesi

Human risk programlarında user behavior analiz edilirken privacy konusu dikkate alınmalıdır.

Monitoring'in kapsamı;

security requirement,

organizasyonel policy,

hukuki yükümlülük

ve proportionality

çerçevesinde değerlendirilmelidir.

User Risk Score, bir kişinin “güvenilmez” olduğu anlamına gelmemelidir.

Bu yalnızca security risk context sağlamalıdır.

Sosyal Mühendislik Savunmasında Teknik Kontroller

Social engineering human-centric bir saldırı olsa da güçlü teknik controls saldırının etkisini ciddi şekilde azaltabilir.

Örneğin MFA kullanılması password theft sonrası account takeover'ı zorlaştırabilir. EDR malicious attachment çalıştırıldığında behavior tespit edebilir. DLP hassas verinin unauthorized destination'a gönderilmesini engelleyebilir. SIEM identity, e-mail ve endpoint events'i correlate edebilir.

Bu nedenle:

“İnsan saldırısı olduğu için teknoloji çözemez.”

yaklaşımı doğru değildir.

Doğru yaklaşım insan ve teknoloji katmanlarını birlikte tasarlamaktır.

Identity Security

Social engineering saldırılarının önemli bir bölümü identity compromise ile sonuçlanır.

Bu nedenle:

MFA,

phishing-resistant authentication,

conditional access,

session monitoring,

privileged access control

kritik savunma katmanlarıdır.

Özellikle password reset ve MFA reset süreçlerinin strong verification içermesi gerekir.

Endpoint Security

Social engineering saldırısı kullanıcıyı malicious file çalıştırmaya ikna ederse endpoint security devreye girer.

EDR;

process execution,

network connection,

suspicious script activity

gibi behaviors üzerinden saldırıyı tespit edebilir.

Bu nedenle kullanıcı yanlış karar verse bile endpoint başka bir defense layer sağlar.

DLP ve Veri Paylaşımı

Social engineering saldırısında attacker kullanıcıdan sensitive document göndermesini isteyebilir.

DLP, bu durumda classification ve content inspection kullanarak data transfer'i kontrol edebilir.

Örneğin restricted data external e-mail recipient'e gönderilirken additional approval veya blocking uygulanabilir.

Bu da human error'ın data breach'e dönüşmesini engelleyebilir.

SIEM ve SOC

Sosyal mühendislik sonrası compromise oluştuğunda farklı security signals ortaya çıkabilir.

Örneğin:

unexpected MFA,

new device login,

mailbox forwarding rule,

endpoint alert,

unusual file download

aynı kullanıcıyla ilişkilendirilebilir.

SIEM bu events'i correlate ederken SOC olayın gerçek incident olup olmadığını araştırabilir.

Sosyal Mühendislik Incident Response Nasıl Olmalı?

Kullanıcı şüpheli bir social engineering interaction bildirdiğinde ilk olarak hangi bilgilerin paylaşıldığı ve hangi işlemlerin yapıldığı belirlenmelidir.

Sadece telefon görüşmesi olmuş olabilir.

Credential paylaşılmış olabilir.

MFA approve edilmiş olabilir.

Dosya açılmış olabilir.

Bank account change yapılmış olabilir.

Her durumda response farklıdır.

Temel süreç:

Detect → Validate → Contain → Investigate → Recover → Learn

şeklinde ilerleyebilir.

Kullanıcı Credential Paylaştıysa

Password reset tek başına her zaman yeterli değildir.

Active sessions ve tokens revoke edilmeli, authentication logs incelenmeli ve mailbox access oluşup oluşmadığı kontrol edilmelidir.

Endpoint üzerinde suspicious activity varsa EDR investigation yapılmalıdır.

MFA Onaylandıysa

Beklenmeyen MFA request approve edilmişse account compromise ihtimali değerlendirilmelidir.

Identity logs, login source, session activity ve account changes incelenmelidir.

Finansal İşlem Gerçekleştiyse

Cybersecurity ekibinin yanı sıra finance, legal ve ilgili business stakeholders hızlı şekilde devreye alınmalıdır.

Bankacılık süreçleri ve fraud response prosedürleri kurumun incident playbook'una dahil edilmelidir.

Physical Access Sağlandıysa

Badge logs, CCTV kayıtları, visitor records ve ilgili area access activity incelenmelidir.

Şüpheli kişinin hangi physical systems veya documents'a ulaşmış olabileceği belirlenmelidir.

Social Engineering Simulation Nedir?

Kurumlar authorized simulation çalışmalarıyla kullanıcı ve process resistance seviyesini test edebilir.

Phishing simulation en yaygın örnektir ancak yalnızca e-mail ile sınırlı değildir.

Yetkili ve kontrollü şekilde help desk verification, physical access procedure veya voice social engineering scenarios da değerlendirilebilir.

Bu çalışmaların amacı çalışanı “yakalamak” değil:

process weakness bulmaktır.

Simulation Sonuçlarında Neye Bakılmalı?

Sadece kullanıcının hata yapıp yapmadığına bakmak doğru değildir.

Örneğin şu sorular daha değerlidir:

Kullanıcı şüpheli talebi report etti mi?

Help desk prosedürü uyguladı mı?

Finance ikinci onay istedi mi?

SOC notification aldı mı?

Security team ne kadar hızlı response verdi?

Bu şekilde test kullanıcı performansından çıkarak enterprise security control validation haline gelir.

Security Culture Neden Önemlidir?

Kullanıcı hata yaptığında cezalandırılacağını düşünürse incident'ı gizleyebilir.

Bu durum security team'in response süresini uzatır.

İyi bir security culture kullanıcıya:

“Şüpheli bir şey gördüysen hemen bildir.”

mesajını vermelidir.

Kullanıcı ne kadar hızlı report ederse attack containment o kadar hızlı yapılabilir.

Mean Time to Report

Mean Time to Report, kullanıcının suspicious activity'yi görmesi ile security team'e bildirmesi arasındaki süredir.

Bu metric human security programları için oldukça değerlidir.

Çünkü başarılı security culture sadece saldırıya düşmeyen kullanıcı değil:

saldırıyı hızlı bildiren kullanıcı

oluşturur.

Sosyal Mühendislikte En Sık Yapılan Hatalar

Kurumların yaptığı önemli hatalardan biri social engineering'i yalnızca phishing training olarak ele almaktır.

Oysa risk help desk'ten finance process'lerine, fiziksel erişimden identity reset süreçlerine kadar uzanır.

Diğer önemli hatalar arasında:

• kritik işlemleri tek kişiye bırakmak,
• password/MFA reset için zayıf doğrulama kullanmak,
• telefon görüşmesini güvenilir kimlik doğrulaması kabul etmek,
• internal e-mail'i otomatik trusted görmek,
• vendor bank account değişikliklerini bağımsız doğrulamamak,
• executive request'leri process dışında işlemek,
• fiziksel visitor procedures uygulamamak,
• kullanıcı reporting sürecini zorlaştırmak,
• social engineering simulation yapmamak,
• awareness training'i role göre özelleştirmemek

sayılabilir.

Sosyal Mühendislik Güvenlik Kontrol Listesi

Kurumlar aşağıdaki soruları düzenli olarak değerlendirebilir:

• Help desk kimlik doğrulama süreci güçlü mü?
• MFA reset işlemleri approval gerektiriyor mu?
• Password reset audit ediliyor mu?
• Finance payment change için dual approval kullanıyor mu?
• Vendor bank account değişiklikleri out-of-band doğrulanıyor mu?
• Executive requests standart process dışında gerçekleştirilebiliyor mu?
• Phishing-resistant MFA kullanılıyor mu?
• User reporting kanalı kolay mı?
• Visitor management uygulanıyor mu?
• Badge sharing yasak ve izleniyor mu?
• Security awareness role-based mı?
• Finance, HR ve IT için özel senaryolar var mı?
• Social engineering simulations uygulanıyor mu?
• Identity logs SIEM'e gönderiliyor mu?
• Suspicious MFA ve mailbox events izleniyor mu?
• Incident response playbook sosyal mühendisliği kapsıyor mu?

Sosyal Mühendislik Olgunluk Modeli

Seviye 1 – Temel Farkındalık

Kullanıcılara yıllık security awareness eğitimi verilir ancak process controls sınırlıdır.

Seviye 2 – Kontrollü İş Süreçleri

Payment approval, password reset ve visitor access gibi kritik süreçlerde doğrulama mekanizmaları oluşturulur.

Seviye 3 – Role-Based Human Security

Finance, executive, HR ve IT gibi yüksek riskli rollere özel awareness programları uygulanır.

Seviye 4 – Integrated Human Risk Management

Identity, endpoint, e-mail, DLP ve SIEM verileri kullanıcı risk context'i ile birlikte değerlendirilir.

Seviye 5 – Adaptive Human Risk Security

Kullanıcı, cihaz, identity ve behavior riskine göre controls dinamik olarak güçlendirilir ve süreçler sürekli test edilir.

Sık Sorulan Sorular

Sosyal mühendislik nedir?

Sosyal mühendislik, insan psikolojisini ve iş süreçlerini manipüle ederek bilgi, erişim veya işlem elde etmeyi amaçlayan saldırı yöntemidir.

Social Engineering ile phishing aynı şey mi?

Hayır. Phishing sosyal mühendislik yöntemlerinden biridir. Social engineering telefon, fiziksel erişim, impersonation, pretexting, baiting ve business process manipulation gibi birçok yöntemi kapsar.

Pretexting nedir?

Saldırganın güven kazanmak için inandırıcı bir hikâye veya kimlik oluşturmasıdır.

Baiting nedir?

Kullanıcıya cazip veya merak uyandıran içerik sunarak belirli bir aksiyon yaptırmaya çalışmaktır.

Tailgating nedir?

Yetkisiz kişinin authorized çalışanı takip ederek kontrollü fiziksel alana girmesidir.

Help Desk Social Engineering nedir?

Help desk çalışanının manipüle edilerek password reset, MFA reset veya account unlock gibi işlemler yaptırılmasıdır.

MFA sosyal mühendislik saldırılarını engeller mi?

Riski önemli ölçüde azaltabilir ancak MFA fatigue veya zayıf MFA reset süreçleri gibi durumlarda tek başına yeterli değildir.

Deepfake sosyal mühendislikte kullanılabilir mi?

Evet. Voice veya video taklidi impersonation saldırılarını daha inandırıcı hale getirebilir.

Out-of-Band Verification nedir?

Talebin geldiği iletişim kanalından farklı ve daha önce doğrulanmış başka bir kanal üzerinden kontrol edilmesidir.

Social engineering saldırısı teknik açık olmadan başarılı olabilir mi?

Evet. Kullanıcı veya process manipüle edilerek herhangi bir software vulnerability kullanılmadan access veya işlem elde edilebilir.

Sosyal mühendisliğe karşı en güçlü koruma nedir?

Tek bir kontrol yoktur. Security awareness, güçlü kimlik doğrulama, process verification, least privilege, technical monitoring ve incident response birlikte kullanılmalıdır.

Sonuç: Sosyal Mühendislikte Asıl Hedef İnsan Değil, Karar Mekanizmasıdır

Sosyal mühendislik denildiğinde çoğu kurum çözümü kullanıcıya:

“Dikkatli olun.”

demekte arar.

Ancak bu tek başına yeterli değildir.

Çünkü attacker insan davranışının doğal özelliklerinden yararlanır.

İnsanlar:

yardım etmek ister,

yöneticilerine güvenir,

acil durumlarda hızlı davranır,

tanıdıkları kişilerin taleplerini sorgulamayabilir.

Bu davranışların tamamını ortadan kaldırmak mümkün değildir.

Bu nedenle güçlü social engineering defense modelinin hedefi:

insanı değiştirmek değil, kritik kararları güvenli süreçlerle desteklemektir.

Kullanıcı kandırılabilir.

Ama payment process ikinci approval isteyebilir.

Help desk personeli hata yapabilir.

Ama MFA reset güçlü identity verification gerektirebilir.

Kullanıcı malicious file açabilir.

Ama EDR execution'ı durdurabilir.

Kullanıcı sensitive document göndermeye çalışabilir.

Ama DLP transfer'i engelleyebilir.

Saldırgan credential elde edebilir.

Ama phishing-resistant MFA account takeover'ı zorlaştırabilir.

Bu nedenle modern sosyal mühendislik savunmasının temel denklemi:

Awareness + Identity Verification + Process Control + Technical Protection + Detection + Response

şeklindedir.

En kritik prensip ise şudur:

İnsan hatasını güvenlik mimarisindeki tek failure point haline getirmeyin.

Çünkü gerçek güvenlik kültürü kullanıcıdan kusursuz davranış beklemek değil, kullanıcı yanlış karar verdiğinde bile kurumun korunmaya devam etmesini sağlamaktır.