Meşru Dropbox Sayfaları Yoluyla Kimlik Bilgilerini Çalmak

selen guvenc

Ekim 11, 2023

1687

Popüler dosya paylaşım hizmeti Dropbox dünya çapında kullanılıyor. Siber suçlular, bunu kimlik avı malzemesi barındıran belgeler oluşturmak için kullanabileceklerini anladılar.

Birisi ücretsiz bir Dropbox hesabı oluşturuyor. Daha sonra bir belge oluşturup onu bir iş arkadaşı veya arkadaşıyla paylaşırlar. Alıcı, doğrudan Dropbox'tan, birinin bir tıklamayla yorum veya yanıt bekleyen bir içerik paylaştığını belirten bir bildirim alır.

E-posta doğrudan Dropbox'tan gelir ve yasaldır. Alıcının e-posta güvenlik hizmeti, yasal olarak Dropbox'tan geldiği için bunu engellemez ve engellememelidir. E-postadaki bağlantıya tıklandığında bir Dropbox sayfasına yönlendirilir. Bu sayfa aynı zamanda meşrudur; bir Dropbox sayfasıdır ve sahtekarlık yoktur.

Ancak bu sayfanın içine, alıcıyı, kimlik bilgilerini çalmak üzere tasarlanmış harici bir sayfaya yönlendiren bir bağlantı yerleştirilmiştir.

Bu, bilgisayar korsanlarının devam eden değişimini temsil ediyor. Artık bilgisayar korsanlarının meşru siteleri taklit etmesi gerekmiyor. Aslında tek yapmaları gereken Dropbox gibi meşru bir sitede ücretsiz bir hesaba kaydolmaktı. Kodlama deneyimi gerekmez. Burada marka taklidi de yoktur, her şey normaldir.

Dropbox burada saldırıya uğramıyor veya istismar edilmiyor. Bunun yerine, bilgisayar korsanları ücretsiz Dropbox hesapları oluşturuyor ve ardından bu sayfaya kötü amaçlı içerik yerleştiriyor. Alıcının e-posta güvenlik hizmeti onu engellemez ve son kullanıcılar bunun şüpheli olduğunu düşünmez. Çünkü değil!

Bağlantıya tıkladıklarında bu da güvenli bir Dropbox sayfasına yönlendiriliyor. Tehlike ancak Dropbox sayfasındaki bağlantıya tıkladıklarında ortaya çıkıyor ve sonrası artık çok geç.

Bu, bilgisayar korsanlarının BEC 3.0 dediğimiz yeni bir yöntemidir. Bu, Ticari E-posta Güvenliği Saldırılarının üçüncü evrimidir. Artık bilgisayar korsanları, CEO'ları veya iş ortaklarını yanıltmak yerine doğrudan yasal hizmetlerden e-posta göndererek zamandan, paradan ve güçlükten tasarruf edebiliyor ve bunları geniş ölçekte dağıtabiliyor.

Bu saldırılar artıyor ve bilgisayar korsanları Google, Dropbox, QuickBooks, PayPal ve daha fazlası gibi favori üretkenlik sitelerinizin tümünü kullanıyor.

Bu, gördüğümüz en akıllıca yeniliklerden biri ve bu saldırının şu ana kadarki boyutu göz önüne alındığında, en popüler ve etkili olanlardan biri.

Saldırı

Bu saldırıda bilgisayar korsanları, kimlik bilgisi toplama sitelerini barındırmak için Dropbox belgelerini kullanıyor.

• Vektör: E-posta

• Tür: BEC 3.0

• Teknikler: Sosyal Mühendislik, Kimlik Bilgisi Toplama

• Hedef: Herhangi bir son kullanıcı

E-posta Örneği

Bu saldırı doğrudan Dropbox'tan gelen bir e-postayla başlıyor.

Bu, herkesin Dropbox'tan alacağı ve görüntülenecek bir belge olduğunu bildiren standart bir e-postadır.

Kullanıcı buradan meşru bir Dropbox sayfasına yönlendirilir:

İçerik OneDrive benzeri bir sayfaya ait olsa da URL, Dropbox'ta barındırılıyor.

“Belge Al” butonuna tıkladığınızda kullanıcı bu son sayfaya yönlendirilir. Burası kimlik bilgisi toplama sayfasıdır.

Bu, Dropbox dışında barındırılan ve tehdit aktörlerinin kimlik bilgilerinizi çalmak için tıklamanızı istediği sayfadır.

Teknikler

Ticari E-posta Güvenliği oldukça hızlı bir evrim geçirdi.

Sadece birkaç yıl önce sözde "Hediye kartı" dolandırıcılıkları hakkında yazılar bulunmakta idi.

Bunlar, bir CEO veya yöneticiden geliyormuş gibi görünen ve astlarından "hediye kartları" satın almasını isteyen e-postalardı.

Buradaki fikir, bilgisayar korsanlarının hediye kartlarını kişisel kazanç için kullanmasıdır. Bu e-postalar genellikle sahte Gmail adreslerinden geliyordu; CEO@company.com değil, CEO@gmail.com adresini düşünün.

Ayrıca alan adlarının ve iş ortaklarının kimliğine bürünüldüğünü de görebiliriz, bunlar her zaman sahtekarlıktı, gerçek olay bu değildi.

Bir sonraki evrim, güvenliği ihlal edilmiş hesaplardan geldi. Bu, finans sektöründen biri gibi güvenliği ihlal edilmiş bir dahili kullanıcı veya hatta güvenliği ihlal edilmiş bir iş ortağı kullanıcısı olacak şekilde tasarlanıyordu. Bu saldırılar meşru bir adresten geldiği için daha da yanıltıcıdır.

Ancak sahte bir O365 giriş sayfasına giden bir bağlantı veya NLP (Natural Language Processing - Doğal Dil İşleme) 'nin anlayabileceği yapmacık bir dil görebilirsiniz.

Artık meşru hizmetlerden gelen saldırılar olan BEC 3.0'a sahibiz. NLP burada işe yaramaz; dil doğrudan meşru hizmetlerden gelir ve hiçbir şey ters değildir.

Kullanıcıyı meşru bir Dropbox'a veya başka bir siteye yönlendireceği için URL taraması da çalışmayacaktır.

Bu saldırıların durdurulması ve tanımlanması hem güvenlik hizmetleri hem de son kullanıcılar açısından inanılmaz derecede zordur.

Eğitimle başlamak çok önemlidir. Son kullanıcıların kendilerine şu soruyu sormaları gerekir: Bu kişinin bana belge gönderdiğini tanıyor muyum? Belgeye tıklasanız bile bir sonraki soru şu: Dropbox belgesindeki OneDrive sayfası mantıklı mı?

Gelişmelerimizden haberdar olmak ve fırsatlarımızdan faydalanmak için; bültenimize abone olmayı ve bizi takip etmeyi unutmayın!

Mobildev Pazarlama Sohbetleri webinar serimiz, 19 Nisan Cuma günü gerçekleşecek olan "Dünya Markası Olmanın Tam Zamanı!" konulu on dördüncü webinarı ile devam ediyor.

selen guvenc Nisan 4

Verilerim işlenebilir Verilerim sözleşmede belirtilen kuruluşlar ile paylaşılabilir Verilerim yurt dışına aktarılabilir GSM Numaram üzerinden ticari ileti almak istiyorum E-posta adresim üzerinden ticari ileti almak istiyorum Ticari iletişim iznimin paylaşılmasını istiyorum

Aydınlatma Metninde belirtilen kapsam, amaç ve süre dahilinde kişisel verilerimin işlenmesini kabul ediyorum.

E-Bülten Aboneliği Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca Veri Sorumlusu sıfatıyla hareket eden İstanbul Ticaret Sicili nezdinde 538515 sicil numarası ile kayıtlı, 0622042115500019 Mersis numaralı, şirket merkezi Esentepe Mahallesi D-100 Güney Yanyol Cad. No:25 D:147-151 34870 Soğanlık Kartal İstanbul adresinde bulunan Mobildev İletişim Hizmetleri Sanayi ve Ticaret Anonim Şirketi (“MOBİLDEV”) olarak kişisel verilerinizin aşağıda belirtilen kapsam dahilinde kaydedileceği, saklanacağı, güncelleneceği, ilgili mevzuatın izin verdiği durumlarda 3. kişilere açıklanabileceği, aktarılabileceği, sınıflandırılabileceği ve ilgili mevzuatta belirtilen diğer usul ve esaslara uygun olarak işlenebileceği hususlarında sizleri bilgilendirmek isteriz. Şirketimiz kişisel verilerinizin hukuka uygun olarak geniş anlamda işlenmesi ve gizliliğin korunması amacıyla mümkün olan en üst seviyede gerekli idari ve güvenlik tedbirlerini almaktadır.

İşbu Aydınlatma Metninde Şirketimiz tarafından yayınlanacak bültenler için E-bülten aboneliği sürecine özgü Şirketimizin kişisel veri işleme süreçlerine ilişkin şahsınızın aydınlatılması amaçlanmıştır.

A. İŞLENEN KİŞİSEL VERİLER

İşbu Aydınlatma Metni’nde belirtilen amaçlar ve hukuki sebepler doğrultusunda aşağıda belirtilen kişisel verileriniz işlenecektir.

KİŞİSEL VERİ KATEGORİSİ	KİŞİSEL VERİLER
Kimlik Bilgileri	Ad Soyad
İletişim Bilgileri	İş E-Posta Adresi, Telefon Numarası

B. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI ve HUKUKİ SEBEBİ

Kişisel verilerinizi KVKK’ın 5’incı maddesi uyarınca aşağıda belirtilen işleme amaçları ve ilgili hukuki sebep dahilinde işlenecektir.

• E-Bülten gönderimi ve bilgilendirme,
Açık rızanız kapsamında bülten aboneliği formu aracılığıyla toplanan ad-soyad, cep telefonu ve e-posta bilgileriniz işlenecektir.

• İşlem güvenliğinin sağlanması,
Kanunlarda açıkça öngörülmesi şartıyla işlem güvenliği bilgileriniz (log kayıtlarınız) işlenecektir.

• Ticari iletişim,
Kişisel verileriniz Şirketimiz tarafından ayrıca; ürün/hizmetlerin ve davet/etkinliklerin duyurulması, müşteri memnuniyetine yönelik anket çalışmalarının yürütülmesi, etkinlik süreçlerinin iyileştirilmesi, tanıtım, reklam, promosyon, satış ve pazarlama yapılması amaçlarıyla; ilgili kanunlara uygun olarak açık rıza alınması sebebine veya açık rıza alınması zorunlu olmayan haller için KVKK’nın 5’inci maddesinin ikinci fıkrasının (f) düzenlemesi uyarınca “meşru menfaatimiz” kapsamında ticari elektronik ileti (SMS, Arama, E-posta) gönderilebilmesi için de işlenebilecektir.

C. KİŞİSEL VERİLERİNİZİN KİMLERE VE HANGİ AMAÇLA AKTARILABİLECEĞİ

Kişisel verilerinizi işbu Aydınlatma Metninde belirtilen amaçlar doğrultusunda ve KVKK'nın 8. ve 9. maddelerine uygun olarak

E-posta ve sms gönderimi için çalışılan hizmet sağlayıcılar,
Yurtiçinde yerleşik yetkili ve görevli özel veya kamu kurum ve kuruluşlar ile adli makamlara ve resmi kurum/kuruluşlara karşı olan bilgi, belge verme ve ilgili sair yükümlülüklerimizi yerine getirmek,
Dava ve cevap hakları gibi yasal haklarımızı kullanabilmek amacıyla bizden istenen bilgileri anılan bu kurum, kuruluş ve makamlara aktarmaktayız.

D. KİŞİSEL VERİLERİNİZİN TOPLANMA YÖNTEMİ

İşbu Aydınlatma Metninde belirtilen kişisel verileriniz internet sitemizdeki bülten aboneliği sekmesinin doldurulması suretiyle otomatik yollarla ve yazılı olarak toplanabilecektir.

E. KVKK KAPSAMINDAKİ HAKLARINIZ

Veri Sorumlusu sıfatıyla hareket eden MOBİLDEV tarafından verilerinizin işlendiği kapsam dahilinde Esentepe Mahallesi D-100 Güney Yanyol Cad. No:25 D:147-151 34870 Soğanlık Kartal, İstanbul adresine yazılı olarak bizzat veya posta yoluyla veya da “Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ”de belirtilen diğer usuller ile başvuruda bulunarak her zaman;

a) kişisel verilerinizin işlenip işlenmediğini öğrenme,
b) kişisel verilerinizin işlenme faaliyetlerine ilişkin olarak bilgi talep etme,
c) kişisel verilerinizin işlenme amaçlarını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) kişisel verilerinizin yurt içinde veya yurt dışında üçüncü kişilere aktarılmış olması durumunda bu kişileri öğrenme,
d) kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
e) kişisel verilerinizin işlenmesini gerektiren sebeplerin ortadan kalkması veya söz konusu verileri işleyebilmek için hukuki dayanağın veya meşru menfaatin bulunmaması halinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
f) kişisel verilerinizin aktarıldığı üçüncü kişilere (d) ve (e) bentlerinde belirtilen taleplerinizin bildirilmesini ve aynı işlemleri gerçekleştirmelerini isteme,
g) kişisel verilerinizin otomatik sistemler vasıtasıyla analiz edilmesi suretiyle ortaya çıkabilecek aleyhte sonuçlara itiraz etme,
ğ) kişisel verilerinizin kanuna aykırı bir şekilde işlenmesi sebebiyle zarara uğramanız halinde bu zararın tazmin edilmesini talep etme hakkına sahipsiniz.

Başvurunuzda;

Ad, soyad ve başvuru yazılı ise elle atılmış imza,
Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası,
Tebligata esas yerleşim yeri veya iş yeri adresi,
Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,
Talep konusu,

yer almalı ve konuya ilişkin bilgi ve belgeler de başvuruya eklenmelidir.

Bu amaçlarla yaptığınız başvurunun ek bir maliyet gerektirmesi durumunda, Kişisel Verileri Koruma Kurulu tarafından belirlenecek tarifedeki ücret tutarını ödemeniz gerekebilir. Başvurunuzda yer alan talepleriniz, talebin niteliğine göre en kısa sürede ve en geç başvurunuz ulaştıktan sonra 30 (otuz) gün içinde sonuçlandırılacaktır.

KVKK ve ilgili mevzuat kapsamındaki haklarınız hakkında detaylı bilgi almak için Kişisel Verileri Koruma Kurumu’nun internet sayfasını (https://www.kvkk.gov.tr/) ziyaret edebilirsiniz.

Aydınlatma Metni Metnine uygun olarak elektronik ticari ileti almayı kabul ediyorum.

Meşru Dropbox Sayfaları Yoluyla Kimlik Bilgilerini Çalmak

selen guvenc

Saldırı

E-posta Örneği

Teknikler

İlgili İçerik

2024'te Dijital Reklamcılıkta Yeni Yönelimler: Programatik Reklamın Geleceği

Acil Durumlarda Hızla Koordine Olun!

Google İzin Modu V2: Barış Gürbüzler'den Tavsiyeler

QR Kodlu Kimlik Avı Saldırıları: Tehdit Aktörleri Artık Sizden Online Alışveriş Yapıyor

İşletmeler 2024'te Riskleri Nasıl Azaltabilir ve Uyumluluğu Nasıl Koruyabilir?