Sözlük / Gizlilik ve güvenlik
Sosyal mühendislik
- Sosyal mühendislik nedir?
- Sosyal mühendislik, bir kişinin saldırganın işini onun yerine yapmasını sağlama zanaatıdır: bir transferi onaylamak, bir kodu yüksek sesle okumak veya uygulamak üzere eğitildiği bir kuralı atlatmak.
Bu tür bir saldırıda bir insanın muhakemesinden başka hiçbir şey bozulmaz. Saldırganlar müşteriler kadar çalışanları da hedef alır: 15 Temmuz 2020 tarihinde Twitter çalışanlarına yönelik bir telefon kampanyası 130 hesaba ulaştı ve tek bir öğleden sonra içinde yaklaşık 12,86 Bitcoin topladı. Onaylanmış bir Bitcoin ödemesi geri alınamadığı için dolandırıcılığın bütünüyle yalnızca bir kez işlemesi yeterlidir.
Nasıl çalışır
Her sosyal mühendislik saldırısı aynı dört parçayı aynı sırayla bir araya getirir.
Bir bahane (pretext), saldırgana sizinle konuşmak için bir gerekçe verir: dolandırıcılık departmanı, borsa desteği, bir teslimat sorunu, bir iş teklifi, bir flört uygulamasında yeni bir eşleşme. Yetki veya tanıdıklık, bu bahaneyi sağlamlaştırır; sahte bir arayan kimliği, sızdırılmış bir veritabanından gerçek bir ayrıntı ya da yalnızca adınızı ve hangi borsayı kullandığınızı bilmekle sağlanır. Aciliyet, kontrol etme yetinizi ortadan kaldırır, çünkü ele geçirilmiş bir hesap ya da süresi dolmak üzere olan bir fırsat, kararın hemen şimdi verilmesi gerektiği anlamına gelir. Son olarak geri alınamaz eylem gelir: bitcoinleri göndermek, kodu yüksek sesle okumak, uzaktan erişim aracını kurmak, kelimeleri yazmak.
Bitcoin bu son adımı keskinleştirir. Kart dolandırıcılığında bir işlemi geri alabilen bir kart çıkaran kuruluş ve zararın bir kısmını üstlenen bir banka vardır. Onaylanmış bir zincir üstü ödemenin ikisi de yoktur, bu yüzden saldırganın kazancı ilk onay anında kesinleşir; bu da genellikle siz gönder düğmesine bastıktan yaklaşık on dakika sonradır.
En zarar verici kampanyalar müşteriyi tamamen atlar ve şirketin çalışanlarını hedef alır; burada tek bir başarı binlerce hesaba ulaşır. Coinbase, 15 Mayıs 2025 tarihinde yurt dışındaki müşteri destek yüklenicilerine müşteri verilerini teslim etmeleri için rüşvet verildiğini, bu verilerin ardından ikna edici “hesabınız ele geçirildi” aramaları yürütmek için kullanıldığını açıkladı. Şirket 20 milyon dolarlık bir fidye talebini reddetti ve 180 ile 400 milyon dolar arasında düzeltme ve geri ödeme maliyeti öngördü.
Nerede karşılaşırsınız
Altı sosyal mühendislik kalıbı kayıpların büyük çoğunluğunu kapsar ve her birinin onu boşa çıkaran mekanik bir kuralı vardır.
Güvenli cüzdan araması. Borsanızdan ya da cüzdan sağlayıcınızdan geldiğini söyleyen biri, hesabınızın ele geçirildiğini söyler ve fonları kendisinin verdiği “güvenli bir adrese” taşımanız için size adım adım yol gösterir. Hiçbir meşru şirket sizden kripto varlıklarınızı taşımanızı asla istemez. Bunu isteyen her arayan saldırının kendisidir, bu yüzden telefonu kapatın.
Arama motorlarında ve sohbetlerde taklit destek. Ücretli arama reklamları ve doğru logoyu taşıyan Telegram veya Discord hesapları, siz herkese açık bir şikayet yayımladığınız anda ortaya çıkar. Gerçek destek önce mesaj atmaz. Desteğe yalnızca kendinizin gittiği bir sayfa üzerinden ulaşın.
Kurtarma dolandırıcılıkları. Bir kayıptan sonra ikinci bir saldırgan, peşin bir ücret karşılığında bitcoinlerinizi izleyip kurtarmayı teklif eder. Mağdur listeleri tam da bunun için yeniden satılır. Hiçbir özel hizmet bir Bitcoin işlemini geri alamaz.
İçeriden erişim. Rüşvet verilmiş destek yüklenicileri ve operatör çalışanları, bir şirketin olağan araçlarını bir saldırı yüzeyine dönüştürür; Coinbase açıklamasının gösterdiği gibi. Borsanın varlıklarınızı ve adresinizi bildiğini varsayın ve uzun vadeli birikiminizi borsanın ulaşamayacağı bir yerde tutun.
Sahte iş görüşmeleri ve kod. Geliştiricilere bir “eve götürme görevi” ya da bilgi çalan bir yazılım kuran bir görüntülü görüşme eklentisi gönderilir; bu yazılım daha sonra diskte cüzdan dosyalarını ve kurtarma ifadesi yedeklerini arar.
Fiziksel zorlama. Sızdırılan müşteri adres listeleri, bilinen Bitcoin sahiplerini hedef alan eve zorla girişlere yol açmıştır, bu yüzden varlıklarınızı konuşmadığınız ve sergilemediğiniz bir şey olarak görün.
İki kural altısını da kapsar. Bitcoinleriniz üzerinde, size gelen bir iletişimin tetiklediği hiçbir işlemi asla yapmayın ve her zaman kendinizin bulduğu bir numarayı arayarak geri dönün. Planlanmamış her transfer için kişisel bir 24 saatlik bekleme süresi ekleyin, çünkü aciliyet hiçbir saldırganın vazgeçemeyeceği bileşendir.