Yer altı forumlarındaki sohbetler artık yeni sömürü yöntemleri veya sıfır gün açıkları üzerine değil. Konu süreçler. Özellikle, çalınan kimlikleri ve finansal iş akışlarına dair derin bir anlayışı sistematik olarak kullanarak, özellikle küçük kredi birliklerini hedef alarak meşru borçlular gibi görünmek.
Bu, dedenizin oltalama (phishing) dolandırıcılığı değil. Kompromize uğramış kişisel verileri, sosyal mühendislik ve bir kredi birliğinin ilk kredi kontrollerinden kredi dağıtımına kadar nasıl çalıştığına dair samimi bir bilgi birikimini birleştiren sofistike, yapılandırılmış bir yaklaşımla karşı karşıyayız.
Bu yaklaşım, yazılım açıklarından yararlanmaya dayanmıyor, bunun yerine başvuran kişinin gerçekmiş gibi davranarak meşru işe alım ve kredi verme süreçlerinde ilerlemeye odaklanıyor.
Flare’ın analizindeki bu alıntı, meselenin özüne işaret ediyor. Bunlar bilgisayar korsanları değil; endüstriyel düzeyde kimlik taklitçileri. Sisteme kırmıyorlar; ikna edici bir sahte kimlikle ön kapıdan giriyorlar. Buradaki saldırı vektörü, kurumun kendi operasyonel tasarımı.
Kimlik Edinme: Veri Aracısının Yeni İşi
Bu yöntemin temeli veri. Sadece bir isim ve adres değil, kapsamlı bir dijital hayalet. Tam kimlik setlerinden bahsediyoruz: isimler, doğum tarihleri, geçmiş adresler, kredi geçmişleri, hatta istihdam ve aile bağlantıları. Bunlar havadan kapılmıyor. Veri ihlallerinden toplanıyor, sosyal medyadan hasat ediliyor ve genellikle dark web’de paketlenmiş kimlik kitleri halinde satılıyor. Suçlular daha sonra bu bilgileri, birçok kurum için önemli bir engel olmaya devam eden bilgi tabanlı kimlik doğrulama (KBA) sorularını tahmin etmek ve eksiksiz yanıtlamak için kullanıyor.
Koruma amacıyla tasarlanan bir kontrolün öngörülebilir bir engel haline gelmesinin çarpıcı bir örneği. Saldırganlar sadece veri toplamakla kalmıyor; sahte başvuruyu, fonlar çoktan gitmiş olana kadar gerçek bir başvurudan ayırt edilemez hale getirerek titizlikle bir dijital kişilik yeniden inşa ediyorlar.
Neden Küçük ve Orta Boy Kredi Birlikleri Yükü Taşıyor?
Bu eğilim rastgele değil. Küçük ve orta ölçekli kredi birliklerine odaklanmak tesadüfi değil; stratejik. Bu kurumlar, genellikle üye hizmetlerine öncelik verse de, daha az gelişmiş dolandırıcılık tespit yeteneklerine sahip oldukları algılanıyor. Geleneksel doğrulama yöntemlerine daha fazla güvenebilirler ve bu kendi başına bir kusur olmasa da, bu belirli kontrolleri aşmayı başarmış saldırganlar için daha yumuşak bir hedef sunuyor.
Düşünün: Derin cepleri ve gelişmiş yapay zeka destekli dolandırıcılık tespit sistemleri olan büyük bankalar, kırılması daha zor cevizler. Dolandırıcı için risk-ödül hesaplaması dramatik bir şekilde değişiyor. Bir kaleye girmeye çalışmak yerine, iyi döşenmiş ama daha az korunan bir malikaneye neden giremiyorsunuz?
Gelişen Dolandırıcılık İş Akışı
Sürecin kendisi ürpertici derecede doğrusal bir kontrol listesi:
- Kimlik Edinme: Tam bir dijital kimlik paketi temin etme.
- Kredi Profili Değerlendirmesi: Kredi uygunluğunu belirlemek için mağdurun kredisini analiz etme.
- Doğrulama Hazırlığı (KBA Hazırlığı): KBA’yı geçmek için yeterli kişisel bilgiyi toplama.
-
Hedef Seçimi: Daha zayıf kontrollere sahip olduğu algılanan kredi birliklerini belirleme.
-
Kredi Başvurusu Sunma: Çalınan kimliği kullanarak başvuruyu yapma.
- Kimlik Doğrulama Geçildi: KBA ve diğer standart kontrolleri başarıyla geçme.
- Kredi Onayı ve Fon Serbest Bırakılması: Krediyi güvence altına alma ve parayı alma.
- Fon Hareketi ve Nakde Çevirme: Fonları birden fazla hesap üzerinden dağıtma ve izlenemez varlıklara dönüştürme.
Bu metodik yaklaşım, kredi birliğinde bir kırmızı bayrak yükselene kadar, “sıkı çalışma” — yani kimlik hırsızlığı ve kimlik taklidi — zaten tamamlanmış demektir. Saldırganlar, kurumla herhangi bir iletişim kurmadan çok önce gerekli verileri temin ederek önemli bir avantaja sahip.
Teknoloji Değil, Tetikte Olma Çağrısı
Bu, tek bir yazılımla çözülebilecek bir sorun değil. Gelişmiş dolandırıcılık tespit araçları çok önemli olsa da, gerçek savunma operasyonel iş akışlarını anlama ve güçlendirmede yatıyor. Kişisel verilerin artık bir engel değil, bir meta olduğu gerçeğini hesaba katacak şekilde doğrulama süreçlerini uyarlamakla ilgili.
Kurumların sadece kutuları işaretlemenin ötesine geçmesi gerekiyor. Belki davranışsal biyometri veya statik KBA sorularının ötesine geçen daha dinamik risk değerlendirmeleri dahil ederek denetim katmanları oluşturmaları gerekiyor. Tehdit aktörünün oyun kitabı, teknik saldırıdan insan merkezli süreçleri sömürmeye kaydı. Savunma da buna ayak uydurmalı.
