Giriş
Son dönemde, Amazon Simple Email Service (SES) üzerinden gerçekleştirilen sahtekarlık saldırıları dikkat çekmektedir. Kaspersky tarafından yapılan bir rapor, bu hizmetin, standart güvenlik filtrelerini geçerek güvenilir görünen phishing e-postaları göndermek için kötüye kullanıldığına dair artış olduğunu ortaya koyuyor.
Saldırı Nasıl Çalışıyor?
Kaspersky araştırmacıları, Amazon SES’in sahtekarlık saldırıları için nasıl kullanıldığına dair detaylı bilgiler sunmaktadır:
- AWS Identity and Access Management (IAM) erişim anahtarlarının, kamuya açık kaynaklarda (örneğin, GitHub, .ENV dosyaları, Docker görüntüleri) yaygın olarak bulunduğu belirtiliyor.
- Bu anahtarlar, genellikle açık kaynak bir araç olan TruffleHog kullanılarak otomatik şekilde tespit edilmektedir.
- Saldırganlar, bu anahtarları kullanarak yüksek hacimli phishing mesajları yaymakta, SPF, DKIM ve DMARC gibi kimlik doğrulama kontrollerinden kaçabilmektedir.
Araştırmalar, saldırılardaki phishing kalitesinin yüksek olduğunu, gerçek hizmetleri taklit eden özel HTML şablonları ve katılaştırılmış giriş akışları ile kullanıcıları hedef aldığını göstermektedir.
Etkilenen Sistemler
Kaspersky’nin raporuna göre, Amazon SES üzerinde gerçekleştirilen sahtekarlık saldırıları şunları içermektedir:
- Sahte belge imzalama bildirimleri (örneğin, DocuSign ‘dan taklit edilen mesajlar)
- Finans departmanlarına gönderilen sahte faturalar
- Otomatik olarak oluşturulmuş e-posta dizileri ile sahtekarlığın inandırıcılığını artırma
Bu durum, tüm e-posta trafiğinin, ilgili IP adresleri engellense bile etkilenmesine neden olmaktadır.
Çözüm ve Korunma
Kaspersky, organizasyonların alması gereken bazı önlemleri öneriyor:
- IAM izinlerini en az ayrıcalık prensibi temelinde kısıtlamak
- Çok faktörlü kimlik doğrulama (MFA) kullanmak
- Erişim anahtarlarını düzenli olarak döndürmek
- IP bazlı erişim kısıtlamaları ve şifreleme kontrolleri uygulamak
Ayrıca, Amazon, kullanıcılarına kötüye kullanım durumlarını bildirebilecekleri bir platform sunmaktadır. AWS kullanıcıları, şüpheli faaliyetler gördüklerinde bunu AWS Trust & Safety‘ye rapor edebilirler.
Sonuç
Bu bağlamda, şirketlerin aşağıdaki adımları atması önemlidir:
- IAM izinlerini güncelleyerek en az ayrıcalık prensiplerine uygun hale getirin.
- Çok faktörlü kimlik doğrulama yöntemlerini etkinleştirin.
- Sistemlerinizi periyodik olarak izleyerek kimlik bilgisi sızıntılarını önleyin.
Siber güvenliğinizi artırmak için bu önlemleri almayı ihmal etmeyin.
