CEO Dolandırıcılığı E-postası Nasıl Anlaşılır ve Önlenir?

CEO dolandırıcılığı, saldırganın şirketin genel müdürü, yönetim kurulu üyesi veya başka bir üst yöneticisi gibi davranarak çalışanlardan acil ve gizli bir ödeme, hediye kartı ya da hassas bilgi istediği e-posta dolandırıcılığıdır. Bu saldırılar teknik bir açıktan değil, hiyerarşiye duyulan saygıdan ve zaman baskısından yararlanır. Kayıtlı bir numaradan geri arama ve çift onay kuralı, saldırının en kolay kırıldığı noktadır.

CEO dolandırıcılığı nasıl başlar?

Saldırgan önce şirketi tanır. Web sitesindeki yönetim kadrosu, LinkedIn'deki unvanlar, basın bültenleri ve sosyal medya paylaşımları; kimin kime bağlı olduğunu, finans ekibinde kimin çalıştığını ve yöneticinin ne zaman seyahatte olduğunu ortaya koyar. Genel müdürün yurt dışındaki bir fuardan paylaşım yapması, "toplantıdayım, telefonla konuşamıyorum" bahanesini çok daha inandırıcı kılar.

İlk mesaj çoğu zaman masum görünür: "Müsait misiniz? Küçük bir konuda yardımınız lazım." Çalışan yanıt verdiğinde talep netleşir: bugün yapılması gereken gizli bir havale, bir müşteriye "hediye" olarak alınacak dijital hediye kartları ya da yönetim kurulu için hazırlanacak bir personel listesi.

Görünen ad hileleri nasıl çalışır?

E-posta uygulamaları, özellikle mobilde, çoğu zaman yalnızca gönderenin görünen adını gösterir. Görünen ad ise gönderen tarafından istenildiği gibi yazılabilir. Aşağıdaki üç ileti telefon ekranında aynı görünebilir:

From: "Ahmet Yılmaz" <[email protected]>       gerçek adres
From: "Ahmet Yılmaz" <[email protected]>    ücretsiz posta
From: "Ahmet Yılmaz" <[email protected]>      benzer alan adı

Üçüncü satırdaki alan adında "m" harfinin yerine yan yana yazılmış "r" ve "n" kullanılmıştır; küçük ekranda fark neredeyse görünmez. Saldırganların sık başvurduğu yöntemler şunlardır:

Ücretsiz posta adresi: "Kurumsal hesabıma erişemiyorum, bu adresten yazıyorum" bahanesiyle Gmail veya Outlook.com gibi bir servisten yazılır. Adreste yöneticinin adının geçmesi kimliği hakkında hiçbir şey kanıtlamaz.
Benzer alan adı: Şirketinizin alan adına tek harf farkla, araya tire eklenerek veya farklı bir uzantıyla kaydedilmiş bir alan adı kullanılır. Bu teknikleri typosquatting yazımızda ayrıntılı anlattık.
Yanıt adresi farkı: Gönderen kurumsal görünse bile "Yanıtla" dediğinizde ileti başka bir adrese gider.
Görünen adda sahte adres: Görünen ad alanına gerçek yönetici adresi yazılır, asıl gönderen adres ise tamamen farklıdır.

Örnek senaryo: cuma öğleden sonra gelen talep

Kurgusal örnek. Örnek Dokuma A.Ş.'nin muhasebe uzmanı Burak Bey'e cuma günü saat 16.40'ta genel müdür adına şu e-posta gelir: "Burak Bey, şu an bir toplantıdayım ve telefona çıkamıyorum. Gizli yürüttüğümüz bir satın alma için bugün mesai bitmeden yurt dışındaki danışmanlık firmasına ödeme yapmamız gerekiyor. Konu duyurulana kadar kimseyle paylaşmayın lütfen, banka bilgilerini birazdan iletiyorum."

İleti genel müdürün adını ve imzasını taşır, ancak ornekdokuma.com.tr yerine ornek-dokuma.com.tr alan adından gelmiştir. Saat, aciliyet, gizlilik ve telefonla ulaşılamama aynı mesajda bir araya gelmiştir. Burak Bey, şirketin ödeme prosedürü gereği genel müdürü kayıtlı cep telefonundan arar; genel müdürün böyle bir talepten haberi yoktur.

Hediye kartı ve acil havale talepleri

CEO dolandırıcılığının iki yaygın biçimi vardır:

Acil havale veya EFT: Tutar, çalışanın tek başına onaylayabileceği sınırın hemen altında tutulabilir ya da "istisnai bir durum" denilerek onay süreci atlatılmaya çalışılır. Alıcı genellikle daha önce hiç ödeme yapılmamış bir hesaptır.
Hediye kartı veya dijital kod: "Müşterilere sürpriz yapacağız" bahanesiyle çalışandan dijital mağaza veya oyun platformu hediye kartları alması, ardından kodların fotoğrafını göndermesi istenir. Kodlar paylaşıldığı anda harcanabildiği için parayı geri almak çok zordur.

Her iki talep de şirket içindeki olağan iş akışının dışındadır. Bir yöneticinin çalışandan kişisel kartıyla hediye kartı almasını istemesi, tek başına güçlü bir uyarı işaretidir.

Geri arama doğrulama prosedürü

Ödeme içeren her alışılmadık talep için yazılı ve herkesin bildiği bir prosedür olmalıdır:

Talebi e-postayı yanıtlayarak doğrulamaya çalışmayın; e-postadaki, imzadaki veya "beni şu numaradan arayın" denilen numarayı kullanmayın.
Talebi gönderen kişiyi, şirket rehberinde veya İK kayıtlarında önceden kayıtlı numarasından arayın.
Kişiye ulaşamıyorsanız ödemeyi bekletin; yöneticinin asistanı veya bir üst onaycı ile teyit edin.
Görüşmeden sonra bile şüphe sürerse önceden belirlenmiş bir doğrulama sorusu ya da ikinci bir onaycı kullanın. Yapay zekâ ile ses taklidi yapılabildiği için yalnızca sesi tanımak yeterli kabul edilmemelidir.
Doğrulamanın sonucunu; kimin, ne zaman ve hangi numarayı aradığıyla birlikte kayda geçirin.

Yöneticilerin bu prosedüre bizzat sahip çıkması kritik önemdedir. "Genel müdür bile olsa geri arıyoruz" kuralı açıkça duyurulduğunda, çalışanlar doğrulama yaptıkları için azar işitme kaygısı yaşamaz.

Finans ekibi için kontrol listesi

Talep, olağan ödeme kanalı yerine doğrudan e-postayla mı geldi?
Gönderen adresin alan adı, karakter karakter şirketinizin alan adıyla aynı mı?
"Yanıtla" dediğinizde alıcı adresi değişiyor mu?
Gizlilik ("kimseye söylemeyin") ve aciliyet ("bugün mesai bitmeden") birlikte mi kullanılıyor?
Alıcı hesap yeni mi, yurt dışında mı ya da hesap sahibi şirket unvanıyla uyumsuz mu?
Talep sahibi telefonla görüşmekten kaçınıyor mu?
Tutar, onay sınırının hemen altında mı?

Bu sorulardan birine bile "evet" yanıtı veriyorsanız ödemeyi durdurun ve geri arama prosedürünü uygulayın. Aynı mantık, tedarikçi kaynaklı BEC saldırısı senaryolarında da geçerlidir.

Yöneticiler ne yapabilir?

CEO dolandırıcılığına karşı en etkili adımların bir kısmı doğrudan yöneticilerin elindedir:

Ödeme veya hediye kartı taleplerini hiçbir zaman yalnızca e-postayla iletmeyeceklerini çalışanlara açıkça duyurmak.
Kendi e-posta hesaplarında iki adımlı doğrulamayı açmak; yönetici hesabının ele geçirilmesi, dışarıdan yapılan taklitten çok daha inandırıcı saldırılara yol açar.
Seyahat ve fuar planlarını, gerçekleşmeden önce herkese açık paylaşmamak.
Geri arama yapan çalışanı takdir etmek ve bu davranışı ekip toplantılarında örnek göstermek.
Kişisel e-posta adreslerinden iş talebi göndermemek; böylece "kişisel adresimden yazıyorum" bahanesi kendiliğinden geçersiz olur.

Hangi teknik önlemler yardımcı olur?

Kendi alan adınız için DMARC politikasını p=reject seviyesine taşımak, saldırganın birebir sizin adresinizi kullanmasını büyük ölçüde engeller; geriye benzer alan adları ve ücretsiz posta hesapları kalır. Kurum dışından gelen iletileri etiketlemek de çalışanların "genel müdürden" gelen ama aslında dışarıdan gönderilmiş e-postayı fark etmesini kolaylaştırır. MXZilla, korunan alan adınıza benzeyen gönderen adreslerini ve "toplantıdayım", "acil havale", "kimseye söylemeyin" gibi Türkçe yönetici taklidi kalıplarını puanlar; sahte iletinin, adı taklit edilen kurumun kendi çalışanlarına gönderilmesini de ek bir risk işareti sayar.

Çalışanların bu senaryoları gerçekçi örneklerle tanıması için kısa ve düzenli eğitimler önemlidir; önerilerimizi e-posta güvenliği eğitimi yazımızda bulabilirsiniz.

Alan adınızın taklide karşı ne kadar korunduğunu görmek için ücretsiz güvenlik kontrolü aracımızla DMARC, SPF ve DKIM durumunuzu birkaç saniyede inceleyebilirsiniz.

Sık sorulan sorular

CEO dolandırıcılığı ile BEC arasındaki fark nedir?

CEO dolandırıcılığı, BEC (kurumsal e-posta dolandırıcılığı) şemsiyesi altındaki senaryolardan biridir. BEC; tedarikçi faturası, maaş yönlendirme ve avukat taklidi gibi başka kurguları da kapsar. CEO dolandırıcılığını ayıran unsur, talebin şirket içindeki bir üst yöneticiden geliyormuş gibi gösterilmesidir.

Saldırganlar yöneticinin adını ve unvanını nereden öğrenir?

Çoğunlukla açık kaynaklardan öğrenirler: şirket web sitesindeki yönetim sayfası, LinkedIn profilleri, basın haberleri ve sosyal medya paylaşımları. Bu yüzden yönetici seyahat planları ve finans ekibinin doğrudan iletişim bilgileri gibi ayrıntıların herkese açık paylaşımı sınırlandırılmalıdır.

Ses taklidiyle arama gelirse ne yapmalıyım?

Gelen aramayı değil, kendi bildiğiniz kayıtlı numarayı arayarak görüşmeyi siz başlatın. Yapay zekâ ile ses klonlama mümkün olduğundan yalnızca sesi tanımak doğrulama sayılmaz. Önceden belirlenmiş bir doğrulama sorusu veya ikinci onaycı kuralı bu riski büyük ölçüde azaltır.

Hediye kartı kodlarını gönderdiysem ne yapabilirim?

Kartları satın aldığınız mağaza veya platformun müşteri hizmetlerine kart numaraları ve satın alma belgeleriyle hemen başvurun; kodlar henüz kullanılmadıysa bazı durumlarda engellenebilir. Ardından BT ekibinize ve yöneticinize haber verin, e-postaları silmeden saklayın ve emniyet birimlerine şikâyette bulunun.

Gerçek bir acil ödeme talebinde prosedür işi yavaşlatmaz mı?

Geri arama birkaç dakika sürer; sahte bir havaleyi geri almak ise çoğu zaman mümkün olmaz. Prosedürü yönetimin onayıyla yazılı hâle getirip istisnasız uygulamak, gerçek acil durumlarda da güveni artırır. Yöneticilerin doğrulama yapan çalışanı açıkça desteklemesi, kuralın kültüre yerleşmesini sağlar.