Derin Sahtekarlıklar Yeni Spam Aramaları mı? Onlara Karşı Nasıl Korunabiliriz

Eğer şirketinizin CEO’sunun bir derin sahtekarlığını görseydiniz, gerçek olmadığını anlardınız mı? Bu, dünya çapındaki organizasyonların sık sık karşılaştığı endişe verici bir zorluktur. Aslında, sadece son zamanlarda, bir reklam devi CEO’sunun bir derin sahtekarlığına hedef oldu. Kamuya açık bir resim, şirketin teknolojisini kullanarak bir Microsoft Teams toplantısı düzenlemek için kullanıldı ve bu toplantıda bir YouTube videosundan alınan CEO’nun ses klonu kullanıldı. Bu konkrét saldırı başarısız olsa da, siber suçluların kamuoyuna açık bilgiyi kullanarak kullandıkları yeni taktiklerin daha büyük bir resmini çiziyor ve bu sadece buzdağının görünen kısmı.

Bugün teknoloji o kadar gelişti ki, sadece yarısı IT liderleri, CEO’larının bir derin sahtekarlığını tespit etme yeteneklerine yüksek güven duymaktadır. Durumu daha da kötüleştiren, siber suçluların sadece CEO’ları taklit etmediği, aynı zamanda tüm liderlik ekibini taklit ettiği, özellikle de CFO’ların popüler hedefler haline geldiği yönündedir. Derin sahtekarlıkların oluşturulması giderek daha kolay hale geliyor. Aslında, “derin sahtekarlık oluşturmayı öğrenmek” için yapılan hızlı bir Google araması, tam olarak nasıl oluşturulacağını gösteren çeşitli makaleler ve YouTube öğreticileri üretiyor. Maliyetler artık önemli değil, yani derin sahtekarlıklar temelde yeni spam aramaları haline geliyor.

Spam aramaları bugün çok yaygın. Aslında, Federal İletişim Komisyonu (FCC), ABD’li tüketicilerin yaklaşık 4 milyar robocall aldığını iddia ediyor ve teknoloji ilerlemeleri nedeniyle bunlar çok ucuz ve düşük bir başarı oranıyla bile çok kazançlı hale geliyor. Derin sahtekarlıklar da aynı yolu izliyor. Siber suçlular, derin sahtekarlık teknolojisini, bugünden daha fazla, çalışanları kandırmak için kullanacaklar ve derin sahtekarlıklar sonunda ortalama bir tüketici için günlük bir olay haline gelecek. Liderlerin organizasyonlarını, çalışanlarını ve müşterilerini bu tehditlerden korumak için uygulayabilecekleri stratejileri keşfedelim.

Güçlü Rehberler Oluşturun

İlk olarak, liderler organizasyonlarında güçlü rehberler oluşturmalıdır. Bu rehberler, CEO’dan başlayarak en üst düzeyden gelmeli ve sık sık iletilmelidir. Örneğin, CEO, tüm şirkete, hiçbir zaman bir çalışana garip veya rastgele bir talep yapmayacağını, örneğin birkaç 100 dolarlık hediye kartı satın almayı, sık görülen bir phishing taktiği, açıkça açıklamalıdır. Bu saldırılar genellikle başarılı olur çünkü liderlikten gelir ve sorgulanmaz. Ancak, CEO derin sahtekarlıkları daha yaygın hale geldikçe, aslında gerçek olmadıklarını daha fazla fark ediyoruz. Sonuç olarak, bunların organizasyonun daha aşağısına, VP’ler, Direktörler, ön cephe yöneticileri ve hatta eş düzey çalışanlara kadar ilerleyeceğini öngörüyorum.

Sadece düşünün: Bir peer veya doğrudan yöneticinizin size bir talepte bulunması oldukça yaygın. Neden bunu sorgulamalısınız? Rehberler, organizasyon içinde bu derin sahtekarlık araçlarının kullanımına ilişkin kurallarla da ilgili olabilir, örneğin şirket teknolojisini kullanarak bunları kullanmayı yasaklayabilir. Bu rehberleri ve sınırları oluşturmak sadece ilk adımdır.

Çoklu Kanallardan Talepleri Onaylayın

İkinci olarak, talepler yapıldığında, bunları birden fazla iletişim kanalıyla onaylama stratejisi olmalıdır. Bir örnek, CEO’dan gelen bir talebin e-posta ile paylaşıldığı ve ayrıca işyerinde kullanılan anlık mesajlaşma platformu üzerinden takip edildiği olabilir. Eğer takip edilmezse, çalışan talebi ignor edebilir veya güvenlik politikalarına uygun olarak iç güvenlik ekiplerini bilgilendirmek için Slack üzerinden talebi onaylayabilir. Benzer şekilde, belki de bir Teams toplantısında, reklam şirketinin derin sahtekarlık taktiğine benzer bir talep yapılır. Bu talep daha sonra e-posta ile onaylanmalı ve/veya Slack onaylanmalıdır. Daha da iyisi, fiziksel masasına yürüyerek gitmek mümkün değilse, kısa bir telefon görüşmesiyle onaylanmalıdır. Bu süreçler, tüm organizasyona sık sık iletilmeli ve herkesin aklında tutması için oluşturulmalıdır. Ardından, bir saldırı bekannt olduğunda, örneği tüm organizasyon boyunca paylaşmak için bir süreç oluşturmak gerekir, böylece herkesin farkında olması gereken tehdit türleri için bir model oluşturulur.

Sık Sık Eğitim Verin

Üçüncü olarak, organizasyonlar, derin sahtekarlıkları ve diğer tür kimlik sahtekarlığı saldırılarını, çalışanların aklında tutmak için sık sık şirket genelinde eğitimler uygulamalıdır. Bu eğitimler birkaç nedenden dolayı faydalıdır. Bir çalışanın ne olduğunu bilmeyebileceği bir derin sahtekarlık olabilir veya ses ve videoların sahte olabileceğini bilmeyebilir. Ayrıca, çalışanlar “görmedikçe unuturlar” zihniyetine başvurabilirler – derin sahtekarlıklar aklında değilse, kolayca bir saldırıya maruz kalabilirler. Araştırmalar gösteriyor ki, siber güvenlik eğitimi alan çalışanlar, potansiyel siber tehditleri tanımada önemli ölçüde iyileşme göstermiştir.

Derin sahtekarlıklar gitgide daha yaygın hale geliyor ve giderek daha zor tespit ediliyor. Ancak, rehberler oluşturarak, talepleri çeşitli yollarla onaylayarak ve organizasyon çapında tutarlı eğitim uygulayarak, bu tehditlere karşı daha iyi hazırlanabilir ve korunabiliriz. Artan bir dijital dünyada, dijital kimliğimizin güvenliğini ve bütünlüğünü korumak için daha az güvenmek ve daha fazla doğrulamak bizim için çok önemli olacaktır.