KOBİ’lere IBAN tuzağı! E-postalar sahte tedarikçilerin hedefinde

İSTANBUL (İGFA) – Siber saldırganlar, hedef aldıkları şirketin sistemlerine sızdıktan sonra aylarca sessiz kalarak tedarikçilerle olan yazışmaları, fatura tarihlerini ve ödeme alışkanlıklarını adım adım izliyor.

Tam ödeme zamanı geldiğinde ise devreye girerek, “Muhasebe departmanımız değişti”, “Mevcut hesabımız denetimde” veya “Acil nakit akışı düzenlemesi” gibi son derece makul ve profesyonel bahanelerle yeni bir IBAN paylaşıyorlar.

Şüphe uyandırmayan bu değişiklik talebi, genellikle şirketin güvendiği bir ismin e-posta adresinden veya tek bir harf farkıyla oluşturulmuş kopyasından geldiği için muhasebe çalışanları tarafından sorgulanmadan işleme alınıyor.

Bitdefender Türkiye Distribütörü Laykon Bilişim Operasyon Direktörü Alev Akkoyunlu, bu yöntemin teknik bir sızıntıdan çok psikolojik bir manipülasyon içerdiğini, bu yüzden geleneksel güvenlik duvarlarını kolayca aşabildiğini vurguladı. Akkoyunlu, bu dolandırıcılık türünün tamamen sosyal mühendisliğe dayandığını belirterrek, şirketleri fatura dolandırıcılığından korumak için dikkat edilmesi gereken 5 noktaya dikkati çekti.

İşte işletmelerin binlerce liralık zarara uğramaması ve ticari ilişkilerinin zedelenmemesi için alması gereken önlemler…

1. Farklı Kanaldan Teyit Edin: Eğer bir tedarikçinizden ödeme bilgilerinin değiştiğine dair bir e-posta alırsanız, asla sadece e-posta ile yanıt verip onay istemeyin. Mutlaka karşı tarafı telefonla arayın ve güvendiğiniz bir yetkiliye durumu sözlü olarak doğrulatın.

2. E-posta Adreslerini Harf Harf Kontrol Edin: Gelen iletinin “Gönderen” kısmını dikkatlice inceleyin. Kurumsal alan adlarında yapılan küçük harf oyunları (örneğin ‘m’ yerine ‘rn’ yazılması veya ‘.com’ yerine ‘.co’ kullanılması) en sık kullanılan yöntemdir.

3. “Acil” Baskısına Aldanmayın: Dolandırıcılar, düşünmenize fırsat vermemek için “Ödeme bugün yapılmazsa sevkiyat duracak” gibi aciliyet ifadeleri kullanır. Finansal işlemlerde aciliyet talebi, genellikle bir dolandırıcılık belirtisidir. Sakin olun ve prosedürlerinizi uygulayın.

4. Çalışanlarınızı Eğitin: Muhasebe ve finans departmanındaki çalışanlarınızı bu tür sosyal mühendislik yöntemlerine karşı bilinçlendirin. “Banka değişikliği” taleplerinin, standart bir onay sürecinden geçmeden işleme alınmayacağı bir şirket politikası oluşturun.

5. E-posta Güvenliğini Sıkılaştırın: Şirket e-postalarınızda mutlaka İki Faktörlü Kimlik Doğrulama (2FA) kullanın. Ayrıca, oltalama (phishing) girişimlerini ve sahte e-postaları gelen kutusuna düşmeden engelleyen, Bitdefender GravityZone gibi kurumsal güvenlik çözümlerinden faydalanın.