BEC Saldırıları: Milyonlarca Euro Zarara Yol Açan İş E-Postası Ele Geçirme Tehditinin Anatomisi

Bir pazartesi sabahı, İstanbul merkezli bir dış ticaret firmasının finans müdürü ofisine geldiğinde, CEO'sundan acil bir e-posta ile karşılaştı. Mesajda, gizli bir satın alma işlemi için 250.000 Euro'nun derhal transfer edilmesi isteniyordu. E-posta adresi doğruydu, yazışma stili tanıdıktı ve konunun hassasiyeti nedeniyle telefon görüşmesi yerine yazılı iletişim tercih edilmişti. Finans müdürü, hiçbir şüphe duymadan transferi onayladı. İki gün sonra gerçek CEO ile yaptığı toplantıda, böyle bir talimat asla verilmediğini öğrendiğinde ise çoktan iş işten geçmişti. Şirket, Business Email Compromise (BEC) - İş E-Postası Ele Geçirme saldırısının kurbanı olmuştu.

Bu gerçek hikaye, maalesef küresel iş dünyasında her gün tekrar eden bir senaryonun yalnızca bir örneğidir. FBI'ın Internet Crime Complaint Center (IC3) verilerine göre, BEC saldırıları 2013-2022 yılları arasında dünya çapında 43 milyar doları aşan zarara neden olmuştur. Sadece 2022 yılında ise bu rakam 2.7 milyar dolara ulaşmıştır. Bu istatistikler, BEC'in neden modern siber güvenliğin en ciddi tehditlerinden biri olarak kabul edildiğini açıkça göstermektedir.

BEC (Business Email Compromise) Nedir?

BEC, Türkçe karşılığıyla İş E-Postası Ele Geçirme saldırısı, siber suçluların sosyal mühendislik teknikleriyle kurumsal e-posta hesaplarını ele geçirerek veya taklit ederek finansal kazanç sağladıkları son derece gelişmiş bir siber saldırı türüdür. Geleneksel phishing saldırılarından farklı olarak, BEC saldırıları hedefli, kişiselleştirilmiş ve derinlemesine araştırma gerektiren operasyonlardır.

Saldırganlar, kurbanlarını kandırmak için detaylı istihbarat çalışmaları yapar, şirket içi hiyerarşiyi öğrenir, iş süreçlerini inceler ve en uygun zamanı kollar. Bu özelliği nedeniyle BEC, spear phishing'in (hedefli oltalama) daha sofistike ve tehlikeli bir versiyonu olarak kabul edilir. Teknik zafiyetler yerine, insan psikolojisi ve organizasyonel güven mekanizmalarını hedef alan bu saldırılar, çoğu güvenlik yazılımı tarafından tespit edilemez.

İş e-postası saldırısı uyarısı

BEC Saldırılarının Temel Özellikleri

• Sosyal Mühendislik Ağırlıklı: Teknik zafiyet yerine insan psikolojisini ve güven ilişkilerini hedef alır
• Hedefli ve Araştırma Odaklı: Saldırganlar kurbanları ve organizasyonu hakkında haftalarca detaylı istihbarat toplar
• Yüksek Değerli Hedefler: Finansal işlemlere yetkili C-seviye yöneticiler ve finans departmanı çalışanları öncelikli hedeftir
• Güven İstismarı: Üst düzey yöneticiler, CEO'lar, CFO'lar veya güvenilir iş ortakları taklit edilerek kurumsal güven istismar edilir
• Aciliyet ve Gizlilik: Kurbanı düşünmeden hareket etmeye zorlayan acil durumlar ve gizlilik vurgusu yapılır
• Düşük Tespit Oranı: Malware içermeyen, meşru görünümlü e-postalar olduğu için geleneksel güvenlik çözümleri tarafından nadiren tespit edilir

BEC Saldırıları Nasıl Gerçekleşir? Adım Adım Anatomi

BEC saldırıları, genellikle uzun soluklu ve çok aşamalı bir planlama sürecinin ardından gerçekleştirilir. Başarılı bir BEC operasyonu için saldırganlar sistematik bir yaklaşım izler:

1. Keşif ve İstihbarat Toplama Aşaması

Siber suçlular, hedef şirket ve çalışanları hakkında kapsamlı bir OSINT (Open Source Intelligence - Açık Kaynak İstihbaratı) araştırması yürütür. LinkedIn profillerini inceler, şirket web sitesindeki organizasyon şemasını çıkarır, sosyal medya hesaplarını tarar ve hatta şirket çalışanlarının sosyal paylaşımlarından tatil zamanlarını bile öğrenirler. Üst düzey yöneticilerin kim olduğunu, kiminle çalıştığını, hangi tedarikçilerle iş yaptıklarını ve iletişim tarzlarını detaylıca analiz ederler.

2. Giriş ve Kontrol Kazanma

Toplanan istihbarat kullanılarak, saldırganlar üç farklı teknikle hareket edebilir:

• E-posta Hesabının Ele Geçirilmesi: Credential phishing (kimlik bilgisi hırsızlığı), keylogger veya şifre kırma yoluyla gerçek bir yönetici hesabına tam erişim sağlanır
• E-posta Spoofing (Sahteciliği): Gerçek e-posta adresine tipografik olarak çok benzer bir sahte adres oluşturulur (örneğin: [email protected] yerine [email protected] veya [email protected])
• Domain Taklidi: Şirket alan adına benzer bir alan adı kaydedilir ve profesyonel görünümlü e-posta altyapısı kurulur

3. İlişki Kurma ve Güven Oluşturma

Saldırgan, hemen para talebinde bulunmaz. Önce normal iş yazışmaları başlatarak güven oluşturur, kurbanın şüphesini azaltır ve meşru bir iletişim geçmişi yaratır. Bazı durumlarda gerçek e-posta zincirine dahil olarak tespit edilmeyi zorlaştırır.

4. Manipülasyon ve İkna

Güven oluştuktan sonra, aciliyet ve gizlilik vurgusu yapan kritik bir talep gelir. Genellikle para transferi, fatura ödemesi, banka hesap bilgisi güncelleme veya hassas bilgi paylaşımı gibi finansal içerikli talepler söz konusudur. Mesajlar profesyonelce hazırlanmış, hedefin şüphelenmesini engelleyecek şekilde kişiselleştirilmiş ve "telefon görüşmesi yapılamayacak" gerekçeleriyle desteklenmiştir.

5. Saldırının Gerçekleşmesi ve İz Silme

Kurban talimatları yerine getirdiğinde, saldırganlar hızla parayı farklı hesaplara dağıtır ve izlerini kaybettirir. Genellikle birkaç gün sonra, gerçek bir iletişimle dolandırıcılık ortaya çıktığında, paranın izini sürmek neredeyse imkansız hale gelmiştir.

Gerçek Vaka 1: İstanbul'da 250.000 Euro'luk CEO Dolandırıcılığı

2019 yılının sonbaharında yaşanan bu gerçek vaka, BEC saldırılarının Türkiye'deki etkisini acı bir şekilde gözler önüne sermektedir. İstanbul merkezli, uluslararası ticaret yapan orta ölçekli bir dış ticaret şirketinin finans müdürü, bir pazartesi sabahı işe geldiğinde CEO'dan gelen acil bir e-posta ile karşılaştı.

E-postada, "gizli bir satın alma işlemi" için 250.000 Euro'nun derhal belirtilen bir hesaba transfer edilmesi talep ediliyordu. Mesajda şu ifadeler yer alıyordu:

"Sabah erken saatte önemli bir toplantıdayım ve telefonla ulaşılamayacağım. Üzerinde çalıştığımız gizli satın alma işlemi için bugün akşama kadar ödemenin yapılması kritik öneme sahip. Lütfen aşağıdaki hesaba 250.000 Euro transfer edin. Bu konu şu an sadece siz ve ben biliyoruz, başka kimseyle paylaşmayın."

Finans müdürü için her şey normal görünüyordu: E-posta adresi CEO'ya aitti, yazışma stili ve imza formatı tanıdıktı, kullanılan terminoloji şirket içi jargona uygundu. Ayrıca, CEO'nun gerçekten de o hafta yoğun bir toplantı takvimi olduğunu biliyordu. Konunun hassasiyeti nedeniyle telefon görüşmesi yerine yazılı iletişim tercih edilmiş olması da mantıklı geldi.

Finans müdürü, şirket içi onay prosedürlerini "CEO'nun doğrudan talimatı" gerekçesiyle atlayarak, aynı gün öğleden sonra transferi gerçekleştirdi. Hatta bir sorun çıkmaması için saldırgana - CEO olduğunu düşünerek - "transfer yapıldı" diye onay e-postası bile gönderdi.

İki gün sonra, rutin bir yönetim toplantısında gerçek CEO finansal raporları incelerken, şirket hesabından çıkan bu büyük transferi fark etti ve finans müdürüne sordu. O an her şey ortaya çıktı: CEO hiçbir zaman böyle bir e-posta göndermemişti. Acil olarak banka ve kolluk kuvvetlerine başvurulsa da, para çoktan birden fazla ülkedeki hesaplara dağıtılmış ve izleri kaybolmuştu.

Yapılan teknik inceleme, saldırganların CEO'nun gerçek e-posta hesabını ele geçirdiğini ortaya çıkardı. Bir ay önce CEO'nun bir phishing e-postasına tıklayarak kimlik bilgilerini kaptırmış olduğu anlaşıldı. Saldırganlar, hesaba erişim sağladıktan sonra haftalarca sessizce e-posta trafiğini izlemiş, şirketin iş süreçlerini öğrenmiş ve en uygun zamanı beklemişti. Hatta gelen e-postaları "okundu" olarak işaretlemek için otomatik kurallar oluşturmuş, böylece şüphe çekmemiş ve CEO günlük e-postalarını kontrol ederken saldırının farkına varamamıştı.

Bu vaka, şirket için sadece 250.000 Euro'luk doğrudan mali kayıptan ibaret kalmadı. Sigorta şirketi, "yeterli güvenlik önlemleri alınmadığı" gerekçesiyle tazminat ödemesini reddetti. Şirketin itibarı zarar gördü ve iş ortakları güvenlik konusunda endişeler dile getirmeye başladı.

Gerçek Vaka 2: Avrupa'da 470.000 Euro'luk Tedarikçi Dolandırıcılığı

2020 yılının başlarında, Avrupa merkezli orta ölçekli bir teknoloji şirketi, daha da sofistike bir BEC saldırısının hedefi oldu. Bu vakada, saldırganlar CEO'yu değil, şirketin uzun süredir çalıştığı bir tedarikçiyi taklit etti. Sonuç: toplam 470.000 Euro kayıp ve ardından gelen 385.000 Euro'luk ikinci bir saldırı girişimi.

Saldırı, şirketin muhasebe departmanına tedarikçi firmanın CFO'sundan geldiği iddia edilen bir e-posta ile başladı. E-postada, tedarikçi şirketin bankacılık bilgilerinde değişiklik yapıldığı ve bundan sonraki tüm ödemelerin yeni hesaba yapılması gerektiği belirtiliyordu. Mesaj son derece profesyonel ve detaylıydı:

"Değerli İş Ortağımız, bankamızla yaşadığımız operasyonel sorunlar nedeniyle ana hesabımızı değiştirmek zorunda kaldık. 15 Mart tarihinden itibaren geçerli olmak üzere, tüm ödemelerin aşağıdaki yeni IBAN numarasına yapılmasını rica ederiz. Ekteki resmi banka mektubunu inceleyebilirsiniz. İşbirliğiniz için teşekkür ederiz."

E-posta, tedarikçinin gerçek alan adına çok benzeyen ancak tek bir harf farkı içeren sahte bir alan adından gönderilmişti (örneğin: supplier.com yerine supplierr.com). İmza bloğu, logo ve belge formatı tamamen orijinaline benziyordu. Hatta ekte, sahte ama profesyonel görünümlü bir banka mektubu bile vardı.

Muhasebe departmanı çalışanı, yıllardır bu tedarikçiyle çalıştıkları ve benzer bildirimler aldıkları için şüphe duymadı. Normal prosedür gereği tedarikçi bilgilerini sistemde güncellediler. İki hafta sonra, rutin bir fatura ödemesi yapıldığında 185.000 Euro, sahte hesaba transfer edildi.

Kurumsal e-posta ele geçirme saldırısı

Ertesi ay, daha büyük bir proje ödemesi olan 285.000 Euro yine aynı sahte hesaba gönderildi. Toplam kayıp 470.000 Euro'ya ulaşmıştı. Saldırı, ancak gerçek tedarikçi firma ödeme gecikmesi nedeniyle telefon edip durum sorduğunda ortaya çıktı. Muhasebe departmanı "ödemeleri yeni hesabınıza yaptık" dediğinde, tedarikçi firma böyle bir hesap değişikliği olmadığını belirtti ve alarm çanları çaldı.

Daha da endişe verici olan, yapılan soruşturma sırasında şirketin e-posta sisteminde başka bir BEC girişiminin daha tespit edilmesidir. Saldırganlar, bu sefer 385.000 Euro'luk bir ödeme için benzer bir senaryo denemiş, ancak tesadüfen muhasebe sorumlusunun şüphelenerek telefon doğrulaması yapması sayesinde bu saldırı son anda engellenebilmişti.

Yapılan teknik analiz şu detayları ortaya çıkardı: Saldırganlar, şirketin muhasebe departmanındaki bir çalışanın e-posta hesabını daha önce ele geçirmiş ve aylarca sessizce e-posta trafiğini izlemişti. Tedarikçilerle yapılan yazışmaları, fatura döngülerini, ödeme tutarlarını ve iletişim tarzlarını detaylıca öğrenmişlerdi. Sahte alan adını kaydettikten sonra, tedarikçinin e-posta imzasını, logosunu ve belge şablonlarını birebir kopyalamışlardı.

Bu vaka, şirket için ciddi mali ve hukuki sonuçlar doğurdu. Sigorta poliçesi BEC saldırılarını kapsadığı için kısmi bir tazminat alındı, ancak tam kayıp karşılanamadı. Şirket, tüm tedarikçi ve müşterileriyle iletişime geçerek güvenlik ihlalini bildirmek zorunda kaldı. Avrupa