BEC Saldırısı Nedir? Kurumsal E-posta Dolandırıcılığı

BEC saldırısı (Business Email Compromise, kurumsal e-posta dolandırıcılığı), saldırganın bir şirketin ya da iş ortağının e-posta kimliğini ele geçirerek veya taklit ederek ödeme ya da hassas veri talep ettiği hedefli bir dolandırıcılık türüdür. İletide çoğu zaman bağlantı veya zararlı ek bulunmaz; tek silah, inandırıcı bir yazışma ve zaman baskısıdır. Bu yüzden BEC'e karşı en güçlü korunma, teknik filtrelerin yanında ödeme süreçlerinde bağımsız doğrulamadır.

BEC saldırısı nasıl işler?

BEC iki temel yolla yapılır ve savunma da buna göre değişir:

Hesap ele geçirmede saldırgan çoğu zaman hemen harekete geçmez. Posta kutusunu haftalarca sessizce izler, fatura ve ödeme döngülerini öğrenir, sonra en uygun anda devam eden bir yazışmaya yanıt verir. Bu yönteme yazışma ele geçirme (thread hijacking) denir ve alıcı açısından neredeyse hiçbir teknik uyarı işareti taşımaz.

En sık görülen BEC senaryoları

Tedarikçi faturası ve IBAN değişikliği

Saldırgan, gerçek bir tedarikçinin hesabından ya da ona çok benzeyen bir adresten "banka hesabımız değişti, bu ayki ödemeyi yeni IBAN'a yapınız" diye yazar. Fatura tutarları ve tarihleri gerçektir, çünkü ya ele geçirilen hesaptaki yazışmalardan okunmuş ya da önceki e-postalardan kopyalanmıştır. Bu senaryoyu sahte fatura e-postası yazımızda adım adım ele aldık.

Maaş hesabı yönlendirme

İnsan kaynaklarına çalışan adına bir e-posta gelir: "Bankamı değiştirdim, bu aydan itibaren maaşımı şu hesaba yatırabilir misiniz?" Gönderen, çalışanın kişisel adresine benzeyen bir ücretsiz posta hesabı ya da çalışanın ele geçirilmiş kurumsal hesabıdır. Bordro dönemi yaklaşırken gelen bu tür talepler, rutin bir güncelleme gibi işlenebilir.

Yönetici veya avukat taklidi

"Gizli bir satın alma sürecindeyiz, avukatımız sizinle iletişime geçecek" diye başlayan yazışmalar, finans ekibini kimseye danışmadan havale yapmaya yönlendirir. Yönetici taklidine dayanan bu kurguyu CEO dolandırıcılığı yazımızda ayrıca inceledik.

Veri talebi

Her BEC doğrudan para istemez. Personel listesi, bordro bilgileri veya müşteri verisi isteyen sahte yönetici e-postaları, sonraki saldırılar için malzeme toplar ve kişisel verilerin yetkisiz kişilere aktarılması nedeniyle KVKK kapsamında bir veri ihlaline dönüşebilir.

BEC'te hangi ekipler hedef alınır?

Saldırganlar, para veya veri akışını kontrol eden kişileri seçer:

• Finans ve muhasebe: Ödeme talimatlarını uygular, banka bilgisi değişikliklerini sisteme işler.
• Satın alma: Tedarikçilerle sürekli yazışır, fatura ve sipariş döngüsünü bilir.
• İnsan kaynakları: Bordro ve maaş hesabı bilgilerini yönetir, kişisel verilere erişir.
• Yönetici asistanları: Yöneticiler adına yazışır ve takvimlerini bilir.
• Satış ve müşteri ekipleri: Ele geçirilen hesaplarından müşterilere sahte fatura gönderilebilir; bu durumda zarar gören taraf müşteriniz olur.

Son madde sık gözden kaçar: BEC yalnızca sizin paranızı değil, iş ortaklarınızın size duyduğu güveni de hedef alır. Kendi hesaplarınızın güvenliği, müşterilerinizin korunmasının da bir parçasıdır.

Örnek senaryo: devam eden yazışmaya sızma

Kurgusal örnek. Örnek Gıda A.Ş.'nin satın alma uzmanı, ambalaj tedarikçisiyle aylardır aynı e-posta zinciri üzerinden yazışmaktadır. Bir gün aynı zincire tedarikçiden yeni bir mesaj düşer: "Yıl sonu banka değişikliğimiz nedeniyle ödemeleri ekteki güncel hesap bilgilerine yapmanızı rica ederiz." Gönderen adres, imza ve önceki mesajlar birebir aynıdır. Gerçekte tedarikçinin muhasebe sorumlusunun parolası iki hafta önce bir oltalama sayfasında çalınmıştır. Örnek Gıda'nın finans ekibi yeni IBAN'ı, tedarikçinin cari kartta kayıtlı numarasını arayarak doğrulamaya çalıştığı için ödeme yapılmaz; tedarikçi de hesabının ele geçirildiğini bu aramayla öğrenir.

BEC neden filtrelere takılmaz?

Klasik e-posta güvenliği zararlı ekleri, bilinen kötü bağlantıları ve toplu spam kalıplarını arar. BEC iletisi ise çoğunlukla:

• Ek veya bağlantı içermeyen kısa, düz bir metindir.
• Ele geçirilmiş gerçek bir hesaptan gönderildiğinde SPF, DKIM ve DMARC kontrollerinden geçer.
• Tek bir alıcıya, mesai saatinde ve doğal bir dille yazılır.
• Gerçek fatura numaraları, kişi adları ve önceki yazışmalarla desteklenir.

Bu nedenle BEC savunması yalnızca kötü içeriği bulmak değil, bağlamı ve süreci denetlemektir. Bir tedarikçinin banka bilgisinin değiştiğini bildiren e-posta teknik olarak sıradandır; onu tehlikeli kılan, ardından yapılacak ödemedir.

BEC'e karşı teknik kontroller

• DMARC: Kendi alan adınızda p=quarantine veya p=reject politikası, alıcı sunucuların birebir sizin alan adınızla gönderilen sahte iletileri spam klasörüne almasını ya da reddetmesini sağlar. Kurulumu DMARC nedir yazımızda anlattık.
• Benzer alan adı tespiti: Alan adınızın harf farkı, tire veya uzantı değişikliğiyle taklit edildiği iletiler işaretlenmelidir.
• İki adımlı doğrulama: Hesap ele geçirmenin başlıca yolu olan parola hırsızlığının etkisini azaltır.
• Yönlendirme ve kural denetimi: Dış adreslere otomatik yönlendirme kısıtlanmalı, yeni oluşturulan gelen kutusu kuralları izlenmelidir.
• Giden trafik izleme: Ele geçirilen hesap çoğu zaman toplu oltalama göndermeye de başlar; olağan dışı gönderim hacmi erken bir uyarıdır.

MXZilla, gönderen ve yanıt adreslerindeki alan adını korunan alan adlarınızla karşılaştırarak benzer alan adlarını tespit eder; "yeni IBAN", "acil havale" gibi Türkçe kalıpları ve yanıtların ücretsiz bir posta servisine yönlendirilmesini de ayrıca puanlar.

Süreç kontrolleri: asıl savunma hattı

1. Bağımsız kanaldan doğrulama: Banka bilgisi değişikliği, yeni alıcı veya acil havale talebi; e-postadaki numaradan değil, sistemde önceden kayıtlı numaradan aranarak teyit edilir.
2. Çift onay: Belirli bir tutarın üzerindeki ve yeni bir IBAN'a yapılan ödemeler en az iki kişinin onayı olmadan çıkmaz.
3. Bekleme süresi: Yeni eklenen veya değiştirilen alıcı hesabına ilk ödeme, doğrulama tamamlanmadan yapılmaz.
4. Yazılı politika: "E-postayla gelen hesap değişikliği talepleri, telefonla teyit edilmeden işleme alınmaz" kuralı tedarikçilere de duyurulur.
5. Eğitim: Finans, satın alma ve insan kaynakları ekipleri BEC senaryolarını gerçekçi örneklerle tanır.

Saldırıya uğradıysanız ne yapmalısınız?

Para gönderildiyse dakikalar önemlidir. Hemen bankanızı arayarak işlemin durdurulması veya geri çağrılması için talepte bulunun ve alıcı bankaya bildirim yapılmasını isteyin; bu adım paranın geri alınmasını garanti etmez ama şansı artırır. Ardından tüm e-postaları başlık bilgileriyle birlikte saklayın, ele geçirilmiş olabilecek hesapların parolalarını sıfırlayıp oturumlarını kapatın ve en yakın emniyet birimine ya da Cumhuriyet Başsavcılığına şikâyette bulunun. Kendi hesabınızın kullanıldığından şüpheleniyorsanız ele geçirilmiş hesap belirtileri yazımızdaki kontrolleri uygulayın ve müşterilerinizi sahte ödeme talimatlarına karşı telefonla uyarın.

BEC'e karşı ilk teknik adım, alan adınızın birebir taklit edilmesini zorlaştırmaktır. DMARC, SPF ve DKIM kayıtlarınızın durumunu ücretsiz güvenlik kontrolü sayfamızda birkaç saniyede görebilirsiniz.

Sık sorulan sorular

BEC ile phishing aynı şey mi?

BEC, oltalamanın (phishing) özel ve hedefli bir türü olarak görülebilir. Klasik oltalama genellikle bağlantı veya ek yoluyla kimlik bilgisi çalmaya çalışırken BEC doğrudan para transferi veya hassas veri ister. Birçok BEC saldırısı da bir oltalama e-postasıyla çalınan parolayla başlar.

DMARC BEC saldırılarını tamamen engeller mi?

Hayır. DMARC, alan adınızın birebir taklit edilmesini engellemeye yardımcı olur; ancak benzer bir alan adından, ücretsiz posta hesabından veya ele geçirilmiş gerçek bir hesaptan gelen iletileri durdurmaz. Bu yüzden DMARC; benzer alan adı tespiti, iki adımlı doğrulama ve ödeme doğrulama süreçleriyle birlikte kullanılmalıdır.

Tedarikçimizin hesabı ele geçirildiyse sorumluluk kimde?

Bu, sözleşmelere, tarafların aldığı önlemlere ve olayın ayrıntılarına göre değişen hukuki bir sorudur; genel bir yanıtı yoktur. Uyuşmazlık riskini azaltmak için tedarikçi sözleşmelerine banka bilgisi değişikliğinin nasıl doğrulanacağını yazmak ve her değişikliği kayıt altına almak faydalıdır. Somut durumlar için hukuk danışmanınıza başvurun.

BEC saldırısı hangi belirtilerle fark edilir?

Banka bilgisi değişikliği, alışılmadık aciliyet, gizlilik talebi, telefonla görüşmekten kaçınma ve yanıt adresinin farklı olması en yaygın işaretlerdir. Yazım üslubundaki küçük değişiklikler ve olağan saatler dışında gelen ödeme talepleri de dikkat gerektirir.

Küçük işletmeler BEC'ten nasıl korunur?

En etkili ve en ucuz önlem, her banka bilgisi değişikliğini kayıtlı bir telefon numarasıyla doğrulama kuralıdır. Buna iki adımlı doğrulama, DMARC kaydı ve ödemeler için ikinci bir onaycı eklemek, küçük ekiplerde bile uygulanabilir ve riski belirgin biçimde azaltır.