Uber’in veri ihlali sosyal mühendislik hakkında ne ortaya koyuyor?

Siber suçlular arasında sosyal mühendislik kadar popüler olan çok az teknik vardır. Araştırmalar, BT personelinin yılda ortalama 40 hedefli kimlik avı saldırısı aldığını ve birçok kuruluşun çok geç olmadan onları engellemek için mücadele ettiğini gösteriyor.

Daha dün, bir saldırgan kuruluşun dahili BT sistemlerine, e-posta panosuna, Slack sunucusuna, uç noktalara, Windows etki alanına ve Amazon Web Hizmetleri konsoluna erişmeyi başardıktan sonra Uber, sosyal mühendislik tarafından mağlup edilen uzun şirketler listesine eklendi.

New York Times [subscription required] 18 yaşındaki bir bilgisayar korsanının, destek personeli kimliğine bürünen bir Uber çalışanına şifrelerini vermeleri için kandırmak için bir SMS mesajı gönderdiğini bildirdi. Bilgisayar korsanı daha sonra diğer kritik sistemlere erişmeden önce bireyin Slack hesabının kontrolünü ele geçirmek için bunu kullandı.

Veri ihlali, sosyal mühendislik tekniklerinin etkinliğine ışık tutuyor ve işletmelerin, çalışanlarının çevrimiçi hesaplarını güvence altına almak için çok faktörlü kimlik doğrulamaya (MFA) güvenmeyi yeniden değerlendirmeleri gerektiğini öne sürüyor.

Sosyal mühendislik: hacklemenin düşük bariyerli yolu

Birçok yönden, Uber veri ihlali, çevrimiçi hesaplara erişimi kontrol etmek için şifre tabanlı kimlik doğrulamaya güvenme sorununu daha da göstermektedir. Parolalar, kaba kuvvet saldırıları ve sosyal mühendislik dolandırıcılıklarıyla kolayca çalınabilir ve saldırganların istismar etmesi için uygun bir giriş noktası sağlar.

Aynı zamanda, bir şirketin savunması ne kadar iyi olursa olsun, çevrimiçi hesapların güvenliğini sağlamak için parolalara güveniyorlarsa, bir ihlalin gerçekleşmesi için yalnızca bir çalışanın oturum açma bilgilerini paylaşması yeterlidir.

“Uber, bir dizi sosyal mühendislik saldırısı kurbanının en sonuncusu. Titaniam’ın CEO’su ve kurucusu Arti Raman, “Çalışanlar yalnızca insandır ve sonunda korkunç sonuçları olan hatalar yapılacaktır” dedi. “Bu olayın kanıtladığı gibi, yürürlükteki güvenlik protokollerine rağmen, bilgilere ayrıcalıklı kimlik bilgileri kullanılarak erişilebilir, bu da bilgisayar korsanlarının temel verileri çalmasına ve bunları dünyayla paylaşmasına olanak tanır.”

Çok faktörlü kimlik doğrulamayı açmak gibi önlemler, hesap ele geçirme girişimleri olasılığını azaltmaya yardımcı olsa da, bunları tam olarak engellemez.

Hesap güvenliğini yeniden düşünmek

Genel olarak, kullanıcı farkındalığı, bir kuruluşun sosyal mühendislik tehditlerine karşı en iyi savunmasıdır. Çalışanlara kimlik avı e-postaları veya SMS mesajları şeklindeki manipülasyon girişimlerinin nasıl tespit edileceğini öğretmek için güvenlik bilinci eğitimi kullanmak, hassas bilgileri teslim etmeleri için kandırılma ihtimallerini azaltabilir.

Egnyte siber güvenlik evangelizmi direktörü Neil Jones, “Genel siber güvenlik farkındalık eğitimi, sızma testi ve kimlik avı eğitimi bu tür saldırılara karşı güçlü caydırıcılardır” dedi.

Kuruluşlar, çevrimiçi hesaplara yetkisiz erişimi önlemek için çok faktörlü kimlik doğrulamanın yeterli olduğunu düşünme hatasına düşmeyi göze alamazlar. Bunun yerine, şirket liderlerinin, hesap sağlayıcı tarafından desteklenen kimlik doğrulama seçeneklerine dayalı olarak risk düzeyini değerlendirmesi ve buna göre ek kontroller uygulaması gerekir.

“Tüm MFA faktörleri eşit yaratılmamıştır. Tessian CISO’su Josh Yavor, Push, tek seferlik şifreler (OTP’ler) ve sesli aramalar gibi faktörler daha savunmasızdır ve sosyal mühendislik yoluyla atlanması daha kolaydır” dedi.

Bunlara güvenmek yerine Yavor, FIDO2 gibi tasarımlarında yerleşik kimlik avı direncine sahip modern MFA protokollerine dayalı güvenlik anahtarı teknolojisinin uygulanmasını önerir. Bunlar daha sonra, kullanıcılara çevrimiçi kaynaklara erişim sağlamadan önce cihaz tabanlı gereksinimleri zorlamak için güvenli erişim kontrolleriyle genişletilebilir.