Bir Telefon Görüşmesiyle Dev Şirket Nasıl Hacklendi?

Bir siber saldırının başarılı olması için her zaman karmaşık exploitlere, sıfırıncı gün açıklarına veya gelişmiş zararlı yazılımlara ihtiyaç yoktur.

Bazen saldırganın ihtiyacı olan tek şey bir telefon görüşmesi ve karşısındaki kişinin güvenini kazanmaktır.

2023 yılında MGM Resorts'a yönelik gerçekleştirilen siber saldırı, modern siber güvenlik dünyasında insan faktörünün ne kadar kritik olduğunu bir kez daha ortaya koydu.

Saldırının kamuoyuna yansıyan boyutları, yalnızca teknik güvenlik kontrollerinin yeterli olmadığını gösterdi. Çünkü saldırganlar bazı durumlarda sistemin kendisini değil, sisteme erişimi olan insanı hedef alabiliyor.

En güçlü güvenlik duvarı bile, saldırgan kendisini yetkili bir kullanıcı olarak kabul ettirebildiğinde tek başına yeterli olmayabilir.

---

MGM Saldırısında Ne Oldu?

Eylül 2023'te MGM Resorts, ABD'deki bazı sistemlerine yetkisiz erişim gerçekleştirildiğini açıkladı.

Saldırının ardından şirket bazı BT sistemlerini devre dışı bırakmak ve operasyonlarını kısmen manuel yöntemlerle sürdürmek zorunda kaldı.

Bunun sonucunda otellerde, kumarhanelerde ve şirketin bazı dijital hizmetlerinde önemli operasyonel aksaklıklar meydana geldi.

Olayın dikkat çekici taraflarından biri ise saldırının yalnızca teknik bir güvenlik problemi olmamasıydı.

Saldırının sosyal mühendislik boyutu, olayın siber güvenlik açısından en çok konuşulan unsurlarından biri haline geldi.

Ele geçirilen veriler

MGM'nin daha sonraki açıklamalarına göre olay kapsamında bazı müşterilere ait kişisel bilgiler etkilenmişti.

Bunlar arasında:

• Ad ve soyad

• Telefon numarası

• E-posta adresi

• Fiziksel adres

• Doğum tarihi

• Ehliyet bilgileri

gibi bilgiler bulunuyordu.

Sınırlı sayıdaki kişi açısından Sosyal Güvenlik numarası ve pasaport bilgileri de etkilenmişti.

Öte yandan MGM, müşteri parolaları, banka hesap bilgileri veya ödeme kartı bilgilerinin ele geçirildiğine dair bir bulgu bulunmadığını belirtti.

Ancak olayın asıl önemli noktası çalınan verilerin ötesindeydi:

Saldırganlar İnsan Faktörünü Hedef Aldı

---

Asıl Hedef: İnsan

Sosyal mühendislik, teknik sistemleri doğrudan kırmak yerine insan davranışlarını manipüle ederek bilgi veya erişim elde etmeyi amaçlayan saldırı yöntemlerinin genel adıdır.

Bir saldırgan;

• Kendisini çalışan olarak tanıtabilir,

• Bir yöneticinin kimliğini taklit edebilir,

• Help desk çalışanıyla iletişime geçebilir,

• Hesap kurtarma prosedürlerini kullanabilir,

• Acil durum veya yetki baskısı oluşturarak çalışanı hata yapmaya yönlendirebilir.

Buradaki temel fikir oldukça basittir:

Sistemi hacklemek yerine, sistemi yöneten kişiyi ikna etmek.

Örneğin bir saldırgan, bir hesabın gerçek sahibi olduğunu iddia ederek destek ekibinden parola sıfırlama veya hesap üzerinde değişiklik yapılmasını isteyebilir.

Teknik açıdan bakıldığında sistem güvenli olabilir.

Ancak kimlik doğrulama süreci yeterince güçlü değilse, saldırgan meşru bir kullanıcı gibi sisteme yaklaşma fırsatı elde edebilir.

---

🔐 Firewall Her Şeyi Çözebilir mi?

Hayır.

Firewall, EDR, antivirüs, IDS/IPS ve diğer güvenlik çözümleri modern kurumsal güvenliğin önemli parçalarıdır.

Ancak bunların önemli bir kısmı teknik saldırı davranışlarını tespit etmeye veya engellemeye odaklanır.

Sosyal mühendislikte ise saldırgan farklı bir yol izleyebilir:

Sisteme saldırmak yerine, sisteme erişimi olan kişiyi manipüle eder.

Bunu bir binaya giriş üzerinden düşünelim:

🔒 Firewall: Kapıdaki güvenlik görevlisi

👤 Kimlik doğrulama: Ziyaretçinin kimliğinin kontrol edilmesi

🎭 Sosyal mühendislik: Saldırganın kendisini yetkili biri gibi göstermesi

🚪 Hesap kurtarma: İçeri girmek için kullanılan alternatif kapı

Ana kapı ne kadar güvenli olursa olsun, alternatif giriş noktaları yeterince korunmuyorsa saldırgan farklı bir yol bulabilir.

Bu nedenle modern siber güvenlik anlayışında yalnızca "Sisteme nasıl saldırılır?" sorusu değil, "Meşru erişim süreçleri nasıl kötüye kullanılabilir?" sorusu da sorulmalıdır.

---

Help Desk Neden Kritik Bir Güvenlik Noktasıdır?

Kurumsal yapılarda help desk ekipleri genellikle kullanıcıların teknik sorunlarını çözmek için yüksek miktarda işlem yetkisine sahiptir.

Parola sıfırlama, hesap kilidi açma, MFA problemlerinin çözülmesi veya kullanıcı bilgilerinin değiştirilmesi gibi işlemler normal operasyonun bir parçasıdır.

Ancak bu süreçler saldırganlar açısından da cazip hedeflerdir.

Çünkü saldırgan bazen bir güvenlik açığı aramak yerine şu soruya odaklanabilir:

"Bir hesabın gerçek sahibi olduğumu nasıl kanıtlayabilirim?"

Eğer doğrulama süreci yalnızca kolay taklit edilebilen bilgiler üzerine kurulmuşsa, sosyal mühendislik riski ciddi şekilde artabilir.

Bu nedenle özellikle kritik hesaplarda:

Kimlik doğrulama ≠ Kullanıcının söylediğini doğrulamak

olmalıdır.

Kimlik doğrulama süreci mümkün olduğunca bağımsız ve güvenilir sinyallere dayanmalıdır.

---

MGM Olayından Hangi Dersleri Çıkarabiliriz?

MGM vakası, kurumsal siber güvenliğin yalnızca güvenlik ürünlerinden ibaret olmadığını gösteren önemli örneklerden biridir.

Bir şirketin güvenlik mimarisinde şu katmanlar birlikte ele alınmalıdır:

1. Güçlü Kimlik Doğrulama

Kullanıcının gerçekten iddia ettiği kişi olup olmadığını doğrulamak kritik önem taşır.

Özellikle ayrıcalıklı hesaplarda çok faktörlü kimlik doğrulama ve güçlü doğrulama mekanizmaları kullanılmalıdır.

2. Kritik İşlemlerde Ek Doğrulama

Parola sıfırlama, MFA değişikliği, ayrıcalık yükseltme veya hesap bilgilerinin değiştirilmesi gibi işlemler sıradan işlemler olarak değerlendirilmemelidir.

Risk yükseldikçe doğrulama seviyesi de yükselmelidir.

3. Minimum Yetki Prensibi

Bir çalışanın yalnızca görevini gerçekleştirmek için ihtiyaç duyduğu yetkilere sahip olması gerekir.

Bir hesabın ele geçirilmesi durumunda saldırganın erişebileceği alanı sınırlamak, saldırının etkisini önemli ölçüde azaltabilir.

4. Sosyal Mühendislik Farkındalığı

Çalışanlara yılda bir kez verilen standart eğitimler yerine, düzenli ve gerçekçi farkındalık çalışmaları uygulanmalıdır.

Özellikle:

• Help desk ekipleri

• Sistem yöneticileri

• BT personeli

• İnsan kaynakları

• Finans ekipleri

• Yönetici asistanları

gibi yüksek değerli süreçlere erişen çalışanlar özel olarak eğitilmelidir.

5. Şüpheli Taleplerin Bağımsız Olarak Doğrulanması

"Ben yöneticinizim, hesabımı hemen açın."

"Telefonumu değiştirdim, MFA'yı kaldırın."

"Şirket dışındayım, şifremi sıfırlamam gerekiyor."

gibi talepler acil görünse bile, çalışan üzerinde zaman baskısı oluşturmamalıdır.

Acil olması, güvenlik prosedürünün atlanması için bir gerekçe değildir.

6. MFA Kullanımı

Çok faktörlü kimlik doğrulama, ele geçirilmiş parolalara karşı önemli bir savunma katmanıdır.

Ancak MFA'nın kendisi de sosyal mühendislik ve kimlik doğrulama süreciyle birlikte değerlendirilmelidir.

7. Olay Müdahale Planı

Saldırı gerçekleştiğinde yalnızca saldırganı tespit etmek yeterli değildir.

Kuruluşun:

Tespit → İzolasyon → Müdahale → Kurtarma → İnceleme

aşamalarını hızlı şekilde uygulayabilecek bir olay müdahale planına sahip olması gerekir.

---

Bir Siber Saldırının Maliyeti Sadece Veri Kaybı Değildir

MGM olayının önemli bir başka boyutu da saldırının operasyonel etkisiydi.

Siber saldırılar yalnızca verilerin çalınmasına yol açmaz.

Saldırının etkisi;

BT sistemleri → operasyonlar → çalışanlar → müşteriler → gelir → marka itibarı

şeklinde zincirleme olarak büyüyebilir.

Bir sistem güvenlik nedeniyle kapatıldığında, bunun arkasında yalnızca teknik bir karar yoktur.

O sistemin çalışmasına bağlı yüzlerce operasyon olabilir.

Bu nedenle siber güvenlik yatırımlarını değerlendirirken yalnızca:

"Verilerimiz çalınır mı?"

sorusunu sormak yeterli değildir.

Asıl sorulması gereken sorulardan biri de şudur:

"Kritik sistemlerimiz birkaç saat veya birkaç gün çalışmazsa ne olur?"

---

Sonuç: Güvenlik Sadece Teknoloji Değildir

MGM saldırısının ortaya koyduğu en önemli güvenlik derslerinden biri oldukça basit:

Siber güvenlik yalnızca bilgisayarları korumak değildir.

Kimlikleri korumaktır.

Süreçleri korumaktır.

Çalışanları korumaktır.

Ve gerektiğinde insanların yapabileceği hataları saldırganların kullanamayacağı şekilde sistemleri tasarlamaktır.

Saldırganların her zaman karmaşık bir exploit geliştirmesine gerek yoktur.

Bazen sıfırıncı gün açığı yerine bir telefon görüşmesi yeterli olabilir.

Bazen kötü amaçlı yazılım yerine ikna kabiliyeti kullanılabilir.

Bazen saldırganın sisteme girmesini sağlayan şey teknik bir açık değil, zayıf tasarlanmış bir süreçtir.

Bu nedenle modern siber güvenlik yaklaşımının temelinde üç unsur birlikte düşünülmelidir:

🛡️ Teknoloji + ⚙️ Süreç + 👤 İnsan

Gerçek anlamda güvenli bir kurum, yalnızca saldırganın sisteme nasıl girebileceğini düşünmez.

Aynı zamanda:

"Bu erişim neden mümkün olmamalı?"

sorusunu da sorar.

Çünkü güvenliğin en önemli amacı saldırıyı tamamen imkânsız hale getirmek değil; saldırganın her aşamada karşısına yeni ve güçlü bir savunma katmanı çıkarmaktır.