Hizmet masası sosyal mühendislik, saldırganların kurumsal sistemlere erişim sağlamak için kullandığı en etkili yöntemlerden biridir. 2025’te Birleşik Krallık’taki Marks & Spencer (M&S), Co-op ve Harrods gibi perakendecilere yönelik saldırılar, bu taktiklerin önemini gözler önüne serdi; ancak bu durum, yalnızca izole vakalar değildir.
Saldırı Nasıl Çalışıyor?
M&S durumunda, Yönetim Kurulu Başkanı Archie Norman, saldırganların bir çalışanı taklit edip, üçüncü taraf hizmet masası uzmanını kimlik bilgilerini sıfırlamaya ikna ederek iç sistemlere erişim sağladığını doğrulamıştır.
Daha yakın zamanda, Carnival Corporation bir siber güvenlik olayı bildirmiştir; bu olayda bir saldırgan, sosyal mühendislik kullanarak bir çalışanı kandırarak şirketin BT ortamına sınırlı bir erişim sağlamıştır.
Aynı dönemde, FBI, tehdit aktörleri Silent Ransom Group ile ilgili kuruluşları uyarmıştır; bu grup üyeleri, IT destek personeli gibi davranarak çalışanları meşru yönetim araçları kullanarak uzaktan erişim oturumlarına katılmaya ikna etmiştir.
Daha güçlü düzenlemeler, artan farkındalık ve yüksek profilli tutuklamalara rağmen, saldırganların bu yöntemle kurumsal ortamlara yönelik ilgisini azaltmakta yetersiz kalmaktadır. Bu tür saldırıların sürekli başarılı olması, basit bir gerçeği gözler önüne sermektedir: bir hizmet masasını ele geçirmek, koruduğu teknolojiyi ele geçirmekten genellikle daha kolaydır.
Neden Saldırganlar Hizmet Masalarını Hedef Alıyor?
Scattered Spider ve benzeri hackerlar, hizmet masalarını yüksek verimle düşük dirençle kurumsal ağlara giriş noktası olarak hedef almaktadır. İşte saldırganların hizmet masalarını neden başarıyla hedef almaya devam ettiğinin bazı nedenleri:
- İnsan zafiyeti: Hizmet masası personeli, sosyal mühendislik saldırıları konusunda bazı eğitim almış olsalar bile, temel olarak yardım etmeye odaklanmıştır. Bu da onları taklit girişimlerine karşı savunmasız hale getirebilir.
- Kimlik bilgilerine ve sıfırlara erişim: Hizmet masası ajanları genellikle parolaları sıfırlama, hesap oluşturma veya çok faktörlü kimlik doğrulamasını devre dışı bırakma yeteneğine sahiptir; bu da saldırganlara meşru erişim yolu sunmaktadır.
- Teknik engellerin aşılması: Saldırganlar, güvenlik duvarlarını aşmak veya yamalanmamış yazılımları istismar etmek yerine, sosyal mühendislik ile güveni ve manipülasyonu kullanarak kapıdan içeri girebilmektedir.
- Hız ve gizlilik: İyi hazırlanmış bir çağrı veya sohbet, genellikle güvenlik uyarılarını tetiklemeden, hızlı bir şekilde erişim sağlarken, saldırganlar iç süreçleri taklit edebilir veya iç numaraları taklit edebilirler.
Etkilenen Sistemler
Verizon’ın Veri İhlali Araştırma Raporu, çalınan kimlik bilgilerin %44,7’sinin ihlallere karıştığını bulmuştur.
Aktif Dizin güvenliğini sağlam, uyumlu parola politikaları ile güvence altına alarak 6 milyardan fazla ihlal edilmiş parolayı bloke edin!
Hizmet Masası Saldırısı Nasıl Gerçekleşiyor?
1. Keşif ve Hazırlık
- Hedefler: Merkezi olmayan veya dış kaynak kullanarak BT desteği olan büyük şirketleri belirleyin (örn. perakendeciler, kumarhaneler, havayolları).
- Bilgi toplama: LinkedIn, şirket şemaları veya veri sızıntılarını kullanarak çalışan adları, rolleri ve biletleme sistemlerine (örn. ServiceNow) dair bilgi edinin.
- Sahte telefon numaraları: İç telefon numaralarını taklit etmek için VoIP hizmetleri kurun; bazen SIM değiştirilmiş telefonlar veya Slack/e-posta sahtelemesi kullanın.
2. Taklit ve Sosyal Mühendislik
Yaklaşım: Hizmet masasını arayarak gerçek bir çalışan veya acil yardım gerektiren bir yüklenici taklidi yapın.
Yaygın bahaneler:
- “Kritik bir toplantı öncesi hesabıma giremiyorum.”
- “Telefonum kayboldu; bordro/e-posta erişimim için MFA’yı sıfırlamam gerekiyor.”
- “Bir olay yaşıyoruz ve çözmek için yönetici kimlik bilgisine ihtiyacım var.”
Ses tonu ve dil:
- Destek temsilcisini zorlamak için arkadaşça, aceleci veya biraz stresli bir ton kullanın.
- İç jargon veya referanslar kullanın (“Geçen hafta Mike’ın İşletme departmanını sıfırlarken girdiğin Okta’ya girebilir misin?”).
- Güven oluşturmak için yerel olaylardan bahsedin (hatta hava durumundan bile yorum yapın!).
3. Kimlik Bilgisi Sıfırlama ve MFA Aşma
Hedef: Hizmet masasını şöyle kandırın:
- Gerçek bir kullanıcının hesabındaki parolayı sıfırlama.
- Çok faktörlü kimlik doğrulamasını kaldırma veya yeniden kaydetme.
- Özel erişimi olan yeni bir hesap oluşturma.
Taktikler:
- Arayan kimliğini taklit etme veya doğrulama için sızdırılmış insan kaynakları bilgilerini kullanma.
- Eğer engellenirse, başka biri olarak yeniden arayın veya “Yönetici ile konuşabilir miyim?” gibi bir taktikle yükseltin.
- MFA kodlarını engellemek veya yeni bir cihaza gönderilmesini talep etmek için SIM değiştirilmiş telefonları kullanın.
4. Erişim ve Yanal Hareketlilik
- Taklit edilen çalışanın hesabından oturum açma.
- Gruplar politikası hataları, biletleme sistemleri veya iç araçlar (örn. Okta, Citrix, Azure AD) kullanarak yetkileri artırma.
- Zararlı yazılımlar kurma, verileri dışa aktarma veya kalıcılık sağlama (arka kapılar, sahte hesaplar).
5. Fidye yazılımı veya veri hırsızlığı
Hedefe bağlı olarak:
- Bir ortak aracılığıyla fidye yazılımı dağıtma, örneğin DragonForce (M&S saldırısında olduğu gibi).
- İkna veya şantaj amacıyla hassas verileri dışa aktarma (Caesars/MGM saldırılarında olduğu gibi).
- Gizlilik sağlama ve ilerideki kampanyalar için kezzaharet etme (özellikle aynı sektördeki birden fazla kurumu hedefliyorlarsa).
Çözüm ve Korunma
Kuruluşların, Scattered Spider gibi hizmet masası tabanlı sosyal mühendislik saldırılarına karşı kendilerini koruma yöntemleri şunlardır:
- Parola sıfırlamaları için katı kimlik doğrulama gereksinimleri koyun; mesaj ile onay ya da bilinen ikinci bir iletişim yöntemi kullanın.
- Kolayca sıfırlanamayacak veya aktarılmayacak şekilde MFA uygulayın, bunun için yüz yüze doğrulama veya yönetici onayı gerektir.
- Hizmet masası personelini sosyal mühendislik taktiklerini tanımaları konusunda eğitin; özellikle acil veya histerik talepler ve sahte iç numaralara dikkat etmelerini sağlayın.
- Yüksek ayrıcalıklı hesaplar için tekrar eden parola sıfırlamaları veya MFA kaldırımları gibi anormal hizmet masası etkinliklerini izleyin.
- Yardım masası yetkilerini sınırlayın; ajanların yönetici veya BT kullanıcıları için erişimi sıfırlamalarını, yükseltmeden yapmalarına izin vermeyin.
- Dış kaynaklı hizmet masası düzenlemelerini düzenli olarak gözden geçirerek, doğrulama prosedürleri, yükseltme yolları ve onay akışlarının düzgün bir şekilde belgelenmiş ve test edilmiş olmasına dikkat edin.
- Rol tabanlı erişim denetimini kullanın ve tüm kimlik bilgisi değişikliklerini kaydedin; yüksek riskli kullanıcılar için uyarılar oluşturun.
- Özellikle telefon ve sohbet bazlı saldırılar için düzenli olarak kimlik avı ve sosyal mühendislik simülasyonları gerçekleştirin.
Özellikle Scattered Spider gibi saldırılara karşı hizmet masanızı güvence altına almanın bir yolu olan Specops Secure Service Desk, kimlik doğrulama ekleyerek, parola sıfırlama ve hesap kurtarma taleplerinde güvenlik katmanları sağlar. Arayanların, herhangi bir işlem yapılmadan önce MFA, dizin nitelikleri veya özel zorluk soruları ile doğrulanması mümkündür.
Bir saldırgan bir çalışanın adını, rolünü veya iç terimleri biliyorsa bile kimliğini kanıtlamak zorundadır. Çözüm ayrıca denetim izleri ve hesap kurtarma işlemlerinin kontrolünü sağlar, bu da taklit ve yetkisiz erişim riskini azaltmaya yardımcı olur.
Ön saflarınızı koruyun. Scattered Spider’a karşı hizmet masanızı nasıl güçlendirebileceğinizi görmek için Specops Secure Service Desk’i inceleyin.
Bugün ücretsiz deneyin.
Bu makale Specops Software tarafından sponsorlu ve yazılmıştır.
