Ücretsiz eğitim: Sosyal Mühendislik

Geçen sene pek çok üniversitede ücretsiz olarak verdiğim Siber Güvenlik ve Hacking konulu eğitimin devamı olarak bu sene davet eden Üniversitelere aşağıdaki eğitimi ücretsiz vereceğim. 

Geçen seneki eğitim daha ziyade Mühendislik bölümlerinin öğrencilerine yönelikti. Bu seneki ise Satış, Pazarlama veya Reklamcılık gibi alanlarda çalışmayı düşünen veya satış ve ikna gibi temel becerileri kazanmayı dileyen herkesin işine yaracak bir eğitimdir.

Dolandırılıcık tarihin en "başarılı" örneklerinden biri olan Osman Ziya Sülün (nam-ı diğer Sülün Osman) mesleğinin zirvesindeyken. 

Siber saldırılarda kullanılan sosyal mühendislik yöntemlerinin yüzyıllardır süregelen dolandırıcılık tekniklerinden özünde farklı olmamasının nedeni insanlar arasındaki iletişimin doğasından kaynaklanmaktadır. Aslında, reklam kampanyalarında veya satış toplantılarının en ateşli pazarlık bölümlerinde kullanılan yöntemler de bunlardan farklı değildir. Bu bakış açısıyla hazırlanan eğitim katılanlara iş ve özel yaşamlarında iletişimi kontrol altına almalarını sağlayacak bir temel vermeyi amaçlamaktadır. 

Eğitimin İçeriği:

• Dolandırıcılığın kısa tarihi
• Önemli dolandırıcılar ve yöntemleri
• Sosyal mühendislik temelleri
• Örnek olaylarla sosyal mühendislik saldırıları
• İnsan ve iletişimin doğası
• İnsanları etkilemek için kullanılan yöntemler
• Satış kapatmak için sosyal mühendislik
• Sosyal ilişkileri iyileştirmek için sosyal mühendislik (5 adımda kız tavlama sanatı)
• Reklam ve marka iletişimde sosyal mühendislik
• Beden dili ve sözlü olmayan iletişim
• İletişimde yalanı yakalamak
• Müzakere (pazarlık) teknikleri 
• Hayatınızı kolaylaştıracak bazı sosyal mühendislik teknikleri

Eğitim süresi: Yaklaşık 4 saat

Sosyal mühendislik

“insan aptallığına yama yazamazsınız” deyimi bilgi güvenliği alanında oldukça popülerdir. Sistemdeki açıkları yama denilen küçük eklentiler ile kapamak mümkün olurken bilinçsiz veya dikkatsiz bir kullanıcının sistem güvenliğini tehlikeye atmasını engellemek çok daha zordur. Sosyal mühendislik kavramı hedef sistemle etkileşim halinde olan kullanıcıları hedef alır.

Sadece sosyal mühendislik saldırıları için değil, internet kaynaklı bütün tehditler hakkında aklıda tutulması gereken başlıca nokta saldırganın sahip olduğunuz şeylere sizden farklı değerler veriyor olmasıdır. Örneğin sizin için sıradan bir bilgi olan dahili telefon numaranız veya şirket içerisinde kullandığınız jargon saldırganın sizden biriymiş gibi davranmasını kolaylaştıran önemli bilgilerdir. Sosyal mühendislik saldırıları sırasında ilk öğrenilen şey hiç bir bilginin önemsiz olmadığıdır. Hedef sistem kullanıcıları genellikle bilgiye daha az değer verirler.

Sosyal mühendislik saldırıları genelde bir senaryo üzerine oturtulur. Hedef olarak seçilen kişiyle ihtiyacınız olan bilgiyi almanızı haklı gösterecek bahaneler senaryonun parçalarıdır. Çokça anlatılan ve hedefi “iyi günler, şirketinizin Bilgi İşlem Bölümünden arıyorum, kontrol etmek için kullanıcı adınıza ve parolanıza ihtiyacım var” şeklinde telefonla arayarak bu bilgileri ele geçirildiği anekdot bile senaryo içermektedir.

Teknik sızmalardaki gibi kesin bir süreç olmasa da sosyal mühendislik saldırılarının bileşenlerini inceleyerek bu saldırılar hakkında bilgi edinebiliriz.

Sosyal mühendislik saldırıları temel olarak Rober Cialdini tarafından tanımlanan “insanların altı eğilimi” üzerine kurulur.

Altı Eğilim

Otorite

Genel olarak insanlar otorite pozisyonunda olanların sözünü dinleme veya talimatlarını yerine getirme eğilimi gösterir. Saldırgan kendini kolayca otorite sahibi birisi gibi gösterebilir, fiziksel olarak bunu yapması belli araç ve gereçler (üniforma veya görev yazısı gibi) gerektirirken telefonda bunu yapmak daha kolaydır.

Hoşlanmak

Birinden hoşlanmak o kişiden gelen istekleri daha kolay yerine getirmemize neden olur. Hedefin saldırgandan hoşlanması için çekici bir fiziğe sahip olması gerekmez ortak bir ilgi alanına sahip olduğuna veya hemşerilik gibi daha soyut kavramlar kullanılarak da hedefin sizden hoşlanmasını sağlayabilirsiniz.

Karşılık vermek

Bize yapılan en küçük iyiliği bile karşılık bırakmayız, bu özelliğimiz ise saldırganlar tarafından kolayca kullanılabilir.

Tutarlılık

Verdiğimiz kararlardan caymak zayıf veya güvenilmez görünmemize neden olabilir. En azından insan olarak bu şekilde düşünürüz. Vietnam savaşında bu yöntem Amerikalı savaş esirleri üzerinde bolca kullanılmıştır. Yakalanan askerin önce basit bir konuda Vietnamlı sorgu subayına hak vermesini sağlayıp daha sonra diledikleri sözlü açıklamaları yaptırabildiler. Komünist düzenin işsizliği ortadan kaldırabileceği gibi basit bir konuyu kabul ettikten sonra bir askeri Vietnam savaşının haksız olduğunu ve Amerika'nın Vietnam'dan çekilmesi gerektiğini söyletmek sorgu subayları için çok kolay olmuştur.

Saldırgan ise size önce basit bir konuda “evet” dedirtip adım adım sizi istediği yere çekebilecektir.

Toplumdan kabul görme

Başka insanların veya toplum genelinin yaptığı, söylediği, düşündüğü şeylere uyum sağlamaya çalışırız. Bu sayede kendimizi güvende hissederiz ve toplum içerisinde uyumlu görünürüz. Bu zafiyetten faydalanmak için saldırgan size başka insanların aynı talebe olumlu cevap verdiğini söyleyebilir. “Şirket genelinde bir araştırma yapıyoruz” veya Facebook sayesinde sizinle aynı Üniversitede okumuş bir arkadaşınızın adını bulup “Adınızı Ali Veli Bey’den aldık, kendisi bize yardımcı olabileceğinizi söyledi” benzeri söylemlerle sizi başka insanların bu talebi onayladığına inandırabilir.

Kıtlık

Az bulunduğuna inandığımız şeyleri fırsat olarak görme eğilimi içerisine gireriz. Kısa sürede biteceğine inandığımız bir “indirim” veya “kampanya” bizi aslında ihtiyacımız olmayan bir şeyi almaya veya normal şartlarda kabul etmeyeceğimiz bir talebi kabul etmemize neden olabilir. Saldırgan “kayıt yaptıran ilk 250 kişiye özel fırsat” konulu bir e-posta gönderip hedefin bir siteye üye olmasını sağlayabilir, kullanıcıların önemli bir bölümünün her durumda aynı parolayı kullandığını düşünürsek bu sayede hedefin işle ilgili kullanıyor olabileceği parolayı da ele geçirmiş olur.

Temel Dürtüler

Bu altı eğilime ek olarak insanları hareket geçirmeye iten üç temel dürtü olduğunu hatırlamakta fayda var: Açgözlülük, korku ve cinsellik. Açgözlülük için en güzel örnek “Nijeryalı dolabı” olarak da bilinen e-postaların yıllardır hala belli bir başarı düzeyi yakalıyor olmasının nedeni insanların açgözlülüğüdür. Nijeryalı/Libyalı/Angolalı/Suriyeli bir general/subay kızı/prenses/bakan yardımcısı olduğunu iddia eden kişi sizden parasını/altınlarını/elmaslarını ülke dışına çıkartabilmek için yardım istemektedir. Genelde sadece bir banka hesap numarası vermenin karşılığında birkaç milyon dolar kazanacağınızı söyler. Daha sonra banka masrafları/rüşvet/avans gibi bahanelerle hedeften para sızdırır.  

Korkuyu kullanan ve ülkemizde çok popüler olan bir yöntem var. MİT/Adliye/Emniyet Genel Müdürlüğü/Jitem gibi yerlerden aradığını söyleyen saldırgan ergenekon/PKK ile bağlantınızın tespit edildiğini ve kontör/para vermeniz karşılığında sizi “kurtarabileceklerini” iddia eder. Yöntem o kadar etkilidir ki Emniyet Müdürlüğü vatandaşı uyarmak için SMSler göndermeye başlamıştır.

Cinsellikle ilgili ufak da olsa bir tebessümle hatırladığımız “Bulgar kadın dümeni” ilk aklımıza gelendir. Bulgaristan'dan arayan bir kadın aradığı hedeften çok etkilendiğini ve onunla tanışmak istediğini söyler. Bunun üzerine hedef Bulgaristan'a çekinmeden para gönderir. Bu şekilde anlatılınca “bu kadar da olmaz” dedirtse de bu yöntem saldırganlar açısından oldukça verimlidir.

Saldırganların yukarıda gördüğümüz dürtülerden faydalanmak için kullanabilecekleri yüzlerce yöntem vardır. Bunların arasında önemli olduğunu düşündüğüm iki tanesine yer vermek istiyorum.

Yemleme

Yemleme saldırganın hedefe istediğini söyletmek için kullanabileceği en etkili yöntemdir. Yemleme konusunda başarılı olmak için aşağıdaki teknikler kullanılabilir.

Egoya oynamak

İnsanlar övülmeyi ve önemli hissedilmeyi sever. Egoyu hedef alan saldırılar özellikle kendini beğenme eğiliminde olan bir hedefe yönlendirildiğinde beklenenin üzerinde iyi sonuçlar vermektedir. Orta kademe yöneticiler, kendini bir konuda “uzman” olarak tanıtan ve sonradan zengin olmuş kişilerden bu yöntemler bilgi sızdırmak oldukça kolaydır.

Ortak yönleri kullanmak

Ortak bir ilgi alanı sayesinde saldırgan hedefle kurduğu ilişkiyi meşrulaştırabilir ve aynı zamanda bunu bir yemleme yöntemi olarak kullanıp bilgi sızdırabilir. Balıkçılık gibi bir merakı olan hedefle bu konuda ilişki kurulduğunu düşünelim. Saldırgan “balık avlama videosu” bahanesiyle bir dosya gönderip bilgisayarına veya cep telefonuna dilediği yazılımı yükleyebilir. Bu sayede hedefin kamerasını izlemek, yazdıklarını görmek gibi temel istihbarat görevlerini başlatabilir. Buna ek olarak saldırı fiziksel bir sızma gerektiriyorsa laf arasında bile “bizim şirket güvenlik kamerası/hareket sensörü/kapı geçiş sistemi almak istiyor, sizin orada ne kullanılıyor? Memnun musunuz?” gibi normalde tehlike çanlarını çaldıracak bir soru “balıkçı bir arkadaş” tarafından sorulduğunda rahatlıkla cevaplanacaktır.

Bilerek yanlışlık yapmak

Bilgi almak istediği bir konuda saldırgan bilerek hatalı bir cümle kurarak hedefin kendisini düzelterek doğru bilgiyi vermesini sağlayabilir. Örneğin “sizin gibi eski işletim sistemi kullanan yerler...” cümlesi büyük ihtimalle “ne eskisi? Sene başında son sürüme geçtik, Haziran ayında da güncellememizi yaptık!” tepkisini getirir. Hedefin bir suçu yok, insan doğası gereği karşısındakinden daha bilgili olduğunu göstermek ister. Bunun onu daha güçlü bir pozisyona getireceği içgüdüsüyle yaptığı bu atılım ne yazık ki saldırganın asıl istediği işletim sistemi bilgisine kolaylık ulaşmasını sağlamıştır.

Konu hakkında bilgi sahibiymiş gibi davranmak

Bir konu hakkında bir miktar bilgisi olan biriyle o konu hakkında konuşmanın kabul edilebilir olduğunu düşünürüz. Saldırganlar ise bunu bir konuda sahip oldukları az miktarda bilgiye daha fazlasını eklemek için kullanır.

Soru sormak

Saldırgan hedefe gidip “uzaktan erişim için kullandığınız parolaları öğrenebilir miyim?” diye soramaz tabii ki ama akıllıca sorularla hedefi istediği yere yönlendirebilir. “Dünkü maçta Fenerbahçe iyi oynadı değil mi?” sorusu “evet”, “yaa” veya “her zamanki gibi” gibi konuşmayı tıkayabilecek cevaplara yol açar. Bu nedenle saldırganlar mümkün olduğunca ucu açık sorular sorar, aynı örneği ele alırsak soru “dünkü maçta Fener sence nasıl oynadı?” şeklinde değişecektir. Cevabın evet veya hayır ile sınırlı kalmayacağı sorular saldırganın işine yarar. Saldırgan soruları hedefi yönlendirmek için de kullanabilir.  Görgü tanıklığı konusunda dünyanın önde gelen uzmanlarından Elizabeth Loftus tarafından yapılan basit bir deney soruların insanları yönlendirmek için nasıl kullanılabileceğini açıkça gösterir. Bu deneyde deneklere için ayıcık olmayan bir çocuk odası fotoğrafı gösterilir. İki gruba ayrılan deneklerin bir kısmına “resimdeki ayıcığı gördünüz mü?” diye sorulurken diğer gruba “resimde ayıcık gördünüz mü?” diye sorulur. Çocuk odasıyla ayıcık olguları hepimizin kafasında birleştiği için “resimdeki ayıcığı gördünüz mü?” diye sorulan grup çoğunlukla gördüğünü belirtirken diye grubun çoğunluğu ayıcığı görmediğini söylemiş.

Bahane

Sosyal mühendislik saldırılarında kullanılan bahaneler hedefi yanıltmak ve istenileni elde etmek için kullanılan her şeyi kapsar. Saldırganın hedefle meşru şekilde iletişim kurmasını açıklayan bir hikayeden saldırganın kullanacağı ses tonu, kıyafet, aksesuar gibi diğer her şey de bahaneyi oluşturur. Saldırgan tarafından kullanılacak bahanenin başarısı büyük ölçüde aşağıdaki noktalara bağlıdır.

Araştırma yapmak

Yeterli miktarda araştırma yapmak saldırganın bahanesini daha inandırıcı hale getirir. Hedef hakkında öğrendiği teknik bilgiler, personel isimleri ve hatta eski personel isimleri bile bahanenin inandırıcı olmasına büyük ölçüde katkı sağlar.

Şahsen ilgilendiğiniz konuları bahaneye dahil etmek

Sosyal mühendislik saldırılarında hedefin saldırgana güvenmesi önemlidir. Bu nedenle saldırgan bilgi sahibi olduğu veya ilgisini çeken bir konuyu bahaneye ekleyerek bu konuda konuşurken kendine daha çok güvenmesini sağlar. Saldırganın o konudaki bilgisine duyduğu güven karşı tarafa yansıyacaktır. Ayrıca konu hakkında sahip olduğu bilgi miktarının artması saldırganın konuyu dilediği gibi uzatmasına ve böylece hedefle konuşmayı gerçekte istediği yöne çekebilmesini sağlar.

Bahanenin basit olması

Bahanenin basit olması saldırganın detaylara hakim olmasını sağlar. Bahaneler zorlaştıkça detayları hatırlamak zorlaşır ve bu saldırganın hata yapmasına neden olur. Hem kendi hikayesinin detaylarını hatırlamaya çalışmak, hem hedefi yönlendirmek için doğru sözleri söylemek hem de hedeften gelen tepkileri ve cevapları doğru algılamak saldırganı zorlayacaktır. Bu nedenle bahanenin basit olması saldırının başarısı için hayati önem taşır.

Son dakika haberi

Her şeyin o anda gelişiyormuş gibi görünmesi hedefin saldırgana inanması ve güvenmesi için gereklidir. Kağıttan okuduğu belli olan cümlelerle hedefi bir konuda acil eylem alması gerektiğine inandırması çok zordur. Saldırgan konuyu dağıtmamak veya bahanesinin önemli kısımları hatırlamak için ana hatları liste halinde yazabilir ancak çok detaylı yazmaması duruma daha hızlı uyum sağlamasına imkan verecektir. Bahaneye duyguları katmaya çalışmak iyi bir fikir gibi görünse de saldırgan açısından risklidir. Katmaya çalıştığı duygunun yanında korku veya tedirginlik de katabileceği gibi hedefi son derece rahatsız edecek aşırı heyecan da ses tonuna yansıyacaktır.

Devamını unutmamak

Teknik sızmalar gibi sosyal mühendislik saldırılarında da hedefle tekrar iletişim kurabilmek önemlidir. Bu nedenle saldırgan almak istediği bilgiyi alır almaz telefonu hedefin suratına kapatamaz veya odadan bir anda koşarak çıkamaz. Örneğin teknik servis bahanesiyle girdiği bir yerden çıkarken hedef personeline inandırıcı bilgiler vermesi saldırgana oraya aynı bahane ile dönebilme imkanı verir.

“Baba ben toplum mühendisi olacağım”… “aferin oğluma! Oku mühendis ol!”

Hacker olma fikrinin yavaş ama emin adımlarla filizlendiği yaşlarda karşıma çıkan bu toplum mühendisliği (social engineering) kavramın Türkiye’de dünyanın pek çok diğer ülkesine göre çok daha verimli olduğunu ancak birkaç yıl sonra keşfettim. Kültürümüz “senin işin de zor be abi” cümlesine izin verdiği sürece ayrıca dikkatli olmamız gereken bir konu.

Kimin ne bildiğini biliyor musunuz?

Hacker’in kabul olan duası: Yardımsever bir danışma görevlisi (Şekil 1-A)

Öncelikle sormamız gereken soru bu. Temel düşüncem her şirketin kendi içerisindeki para ve bilgi akışını bir şema üzerinden takip etmesi gerektiğidir. Böylece parayı gerçekte nasıl ve nereden kazandığımızı da açıkça görerek daha verimli ve karlı adımlar atma fırsatımız olacaktır. Bilginin akışı ise öncelikle işimizi kolaylaştıracaktır. Kimin ne bildiğini ve kimin neyi nasıl öğrendiğini takip ederek hangi sorunun çözümü için kime gideceğimizi bilecek ve firmaya yeni katılanların neyi bildiğini takip etme şansımız olacak. Bu tarafı biraz patronları ilgilendiriyor gerçi, beni kimden ne öğrenebileceğim ilgilendiriyor.
“Kurumsal ilk izlenim uzmanı” arkadaş veya nizamiyedeki güvenlik görevlisiyle konuşarak sizin hakkınızda ne öğrenebilirim?

Varan 1: Banka

Bir banka şubesinin önünde bir süre beklemek zorunda kaldığım bir gün, “Senin işin de zor be abi” diye başlayan sohbet zamanla derinleşti ve 2 ayın sonunda edindiğim bilgilerin bazıları şunlardı:
Para geliş ve gidiş saatleri
Para nakil prosedürün detayları
Akşam paranın kasaya konmadan önce konulduğu yer
Paranın sayılmayı beklediği bu yere dışarıdan kolayca erişmenin yolu
“Patlar maazallah” diyerek güvenlik görevlisinin silahı boş taşıdığını
Güvenlik görevlisinin hoşlandığı kadın tipini
Şubede bulunan ortalama para miktarı (günlük bilgi verebiliyordu)
Net göstermeyen ve bir nedenden çalışmayan güvenlik kameralarının hangileri olduğu
Şube alarm sisteminin kodu
Kısaca kaliteli bir soygun planlamak için gerekli olacak bilgilerin çoğunu uğraşmadan elde etmiştim.

Varan 2: kullanılmayan x-ray

Devletin ciddi ve güvenlik seviyesi hayli yüksek kurumlarından birisinin kapısından giriyorum. Sakin hareketlerle cebimden anahtarlarımı ve cep telefonumu çıkartıp elimdeki 3 adet kalınca kitapla birlikte metal detektörünün yanındaki bu iş için yapılmış yere koyuyorum ve detektörden geçiyorum.

Kitapları, anahtarlarımı ve cep telefonumu alıp danışma bankosuna yürüyorum. Kendimden emin bir ses tonuyla “başkan bey’e kitap getirdim” diyorum. “Buyurun” diyorlar, bir kart verip beni binanın içerisine tek başıma salıyorlar. Bu arada nüfus cüzdanım yanımda olmadığı için ve ehliyetimi de arabayla otoparka girerken aldıkları için kartvizit vermeyi öneriyorum, yardımsever güvenlik görevlisi kabul ediyor.

Tek başınayım, başkan’ın odasına kadar çıkacak yetkiye sahip bir geçiş kartım var, buna karşılık ellerinde benim olup olmadığını bilmedikleri bir kartvizit var. İşin ilginç tarafı içerisine herhangi bir şey saklayabileceğim kalınlıkta 3 cilt kitaba ne bakan oldu, ne metal detektöründen geçti ne de mevcut x-ray cihazından geçirildi. Bu arada sözünü ettiğim yerin misafir otoparkı olmadığı için ehliyetimi oraya vermiş olma ihtimalim hiç olmadı.

Güvenlik görevlisi varsa, x-ray ve metal detektörü yatırımı da yapıldıysa kullanılsın bir zahmet.

Beni ne mühendisler istedi de varmadım!

Toplum mühendisi: Temsili (Şekil 3-A)

Toplum mühendisliği herhangi bir saldırıdan önce yapılan araştırma (reconnaissance) döneminde önemli bir araçtır. Pasif bilgi toplama kısmını diğer bilgi toplama yöntemlerinden ayıran temel özellik pasif bilgi toplamanın “normal işleyişten” farkının olmaması gerektiğidir. Bu durumda saldıracağınız bir firmanın adını google’a yazmanın fiziksel karşılığı oraya normal şekilde girmek olacaktır. Bir müşteri gibi veya yol sorma bahanesiyle girebilirsiniz, bu normaldir. Ancak bir banka şubesine girip fotoğraf çekmek normal karşılanmayacağı için bu aktif bilgi toplama sınıfına girecektir.

İyi niyetli kişiler olduğu gibi gelenlerin bir kısmının kötü niyetli olabileceğini de hatırlamakta fayda var.

Kimin ne bildiğini bilmek ve bu kişilere karşı oluşabilecek tehditleri doğru analiz etmek ileride başınızın ağrımasını engelleyecektir. Verdiğim ikinci örnek ise konunun tersten ele alınması gibidir. Bu durumda güvenlik görevlisinin neyi bilmediğini bilmek önem kazanmaktadır. Görünen o ki girişteki arkadaşlar dışarıdan gelebilecek tehditlere karşı tamamen bilgisizler.
Korsanları bayraklı gemilerle beklediğimiz dönem bitti; onlar artık güler yüzlü, esprili, konuşkan ve halinizden anladığı için dertlerinizi anlattığınız kişiler.

Korsan: Temsili (Şekil 4-A)