Saldırganlar çalınan kimlik bilgileri içinde artık şirket, alan adı veya hesap bazlı arama yaptırıyor. Hedefli saldırılara kapı açan pazarın riskini inceledik.
Ne oldu?
BleepingComputer'da yer alan ve Flare tarafından hazırlanan gözlemlere göre, yeraltı pazarlarındaki çalınan kimlik bilgisi veritabanlarında artık "tümünü satın al" mantığı terk ediliyor. Bunun yerine, belirli şirket adı, e-posta alan adı, kullanıcı adı veya daha spesifik hesap bilgileriyle sorgu yapılan "hedefini ara" hizmetleri öne çıkıyor. Bu modeller, alıcının istediği hedefe ait parçaları (örneğin bir kurumun çalışan e-postaları veya belirli bir sektörün kullanıcıları) ayrı ayrı listelemeyi vaat ediyor ve arama başına veya sonuç başına ücretlendirme yapıyor. Böylece, büyük veri yığınlarını tek tek taramak yerine, saldırgan doğrudan işine yarayacak kimlik bilgilerini daha hızlı ve düşük maliyetle elde edebiliyor.
Neden önemli?
Bu pazarın büyümesi, kimlik tabanlı saldırıların hem hedeflenmesini hem de hızını artırıyor. Eski yöntemde bir saldırgan, milyonlarca satırlık bir veri setini ele geçirip içinden kendisi ayıklamak zorundaydı; bu da zaman, teknik bilgi ve depolama maliyeti demekti. Yeni arama hizmetleri, bu süreci "Credential-as-a-Service" mantığına yaklaştırarak herkesin erişebileceği kadar basit bir hale getiriyor. Sonuç olarak, düşük seviyeli tehdit aktörleri bile kurumsal hesaplara yönelik hedefli oltalama, kimlik doldurma (credential stuffing) veya ilk erişim sağlama girişimlerini kolaylaştırabiliyor.
Ayrıca bu durum, büyük veri sızıntılarının değerini ve yaygınlığını yeniden tanımlıyor. Sızan bir veri setinin tamamını satmak giderek zorlaşırken, parçalı ve hedefli arama sonuçları daha fazla talep görüyor. Saldırganlar, "kimlik bilgisi" pazarından "hedefli istihbarat" pazarına geçiş yapıyor. Bu da kurumların sadece kendi sistemlerindeki sızıntıyı değil, üçüncü taraflarda, tedarikçilerinde veya çalışanların kişisel hesaplarında sızan verileri de takip etmesini zorunlu kılıyor.
Kim veya ne etkileniyor?
Doğrudan hedef her türlü kurumsal ve bireysel hesap olabilir. Özellikle kurumsal alan adlarına (domain) ait çalışan e-postaları, yönetici hesapları, sosyal medya profilleri ve müşteri portalleri bu aramaların odak noktasında. Finans, sağlık, teknoloji ve e-ticaret gibi veri yoğun sektörler, hem yüksek değerli hesapların yoğunluğu hem de saldırganın elde edeceği fayda nedeniyle daha fazla risk altında. Şirket dışında, tedarikçi zincirindeki küçük iş ortakları da büyük kurumların "zayıf halkası" olarak bu modellerde tercih edilebilir.
Ne yapılmalı?
Kurumlar, bu trendi sadece kendi güvenlik duvarları içinde değil, tedarikçi ve çalışan kimlikleri boyunca ele almalı. İlk adım, çok faktörlü kimlik doğrulama (MFA) ve kimlik bilgisi tabanlı tehdit istihbaratı sistemleriyle leaked credential'ları sürekli izlemek olmalı. Parola yöneticileri ve her hesap için benzersiz parola zorunluluğu, çalışanların şirket e-postalarıyla başka hizmetlere kaydolmasını ve aynı şifreyi tekrar kullanmasını engellemek için kritik. Ayrıca, sıfır güven (zero trust) prensipleri, koşullu erişim kuralları ve yönetici hesapları için ayrıcalıklı erişim yönetimi (PAM), çalınan bir kimlik bilgisinin tek başına şirket ağına girilmesine izin vermeyecek katmanlar oluşturur. Son olarak, çalışanlara hedefli oltalama ve kimlik bilgisi yeniden kullanımı konusunda düzenli eğitim vermek, teknik önlemlerin insan hatasıyla devre dışı kalmasını önler.