Son zamanlarda, iki faktörlü kimlik doğrulama (2FA) zafiyetlerini kullanarak gerçekleştirilen siber saldırılarda önemli bir artış gözlemlenmiştir. Siber suçlular, kullanıcıların tek seferlik şifrelerini (OTP) açığa çıkarmalarını sağlamak için OTP botları gibi sofistike araçlar kullanmaktadır. Bu yöntemler, saldırganların kurbanları ikna ederek OTP’lerini paylaşmalarını sağlayan sosyal mühendislik taktiklerine dayanmaktadır.
İstismar Taktikleri
Siber suçlular, OTP’leri ele geçirmek için özel olarak tasarlanmış kötü amaçlı yazılımlar olan OTP botlarını kullanmaktadır. Bu botlar, kurbanın giriş bilgilerini elde eder ve ardından kurbanın cihazına bir OTP gönderilmesini tetikler. Bot daha sonra güvenilir bir kurum gibi davranarak kurbanı telefon üzerinden OTP’yi açıklamaya ikna eder. Saldırgan, bu OTP’yi kullanarak kurbanın hesaplarına yetkisiz erişim sağlayabilir.
Kimlik Avı Teknikleri
Kimlik avı dolandırıcılıkları, saldırganların giriş bilgilerini elde etmek için kullandıkları başka bir yaygın yöntemdir. Bu dolandırıcılıklar, bireyleri meşru olanlara çok benzeyen sahte web sitelerine bilgilerini girmeye kandırır. Bilgiler toplandıktan sonra, saldırganlar toplanan bilgileri OTP botları ile birleştirerek 2FA’yı atlatır ve kurbanın e-posta veya telefon numarasına bağlı birden fazla hesaba erişir.
Temel Çıkarımlar
- Saldırganlar, iki faktörlü kimlik doğrulamayı atlatmak için sosyal mühendislik kullanır.
- OTP botları, güvenilir kurumları ikna edici şekilde taklit etmek için gelişmiş özelleştirme seçenekleri sunar.
- Gerçek zamanlı kimlik avı kitleri, OTP’leri ele geçirerek yetkisiz erişimi kolaylaştırır.
OTP botlarının ve kimlik avı kitlerinin sofistikasyonu, katı güvenlik önlemlerinin sürdürülmesinin önemini vurgulamaktadır. 2FA ek bir koruma katmanı eklemesine rağmen, gelişmiş sosyal mühendislik tekniklerine karşı tam olarak güvenli değildir. Kullanıcılar, OTP’ler için yapılan istenmeyen taleplere karşı dikkatli olmalı ve bu tür iletişimlerin doğruluğunu doğrulamalıdır. Kuruluşlar, güvenlik protokollerini sürekli güncellemeli ve çalışanları ile müşterileri kimlik avı ve sosyal mühendislik riskleri konusunda eğitmeli.
