CEO Dolandırıcılığı (BEC) E-postaları Nasıl Tespit Edilir? Şirket Çalışanlarını Nasıl Korursunuz?

Bir Pazartesi sabahı muhasebe veya finans departmanınızdaki yetkili personelinize şirket Genel Müdüründen (CEO) acil bir e-posta geldiğini düşünün:

“Çok gizli bir satın alma sürecindeyiz. Şu an toplantıdayım, telefonumu açamıyorum. Ekteki tedarikçi IBAN numarasına 450.000 TL transfer yapıp dekontunu bana iletir misin?”

Gelen e-posta adresi, profil adı ve imza şablonu ilk bakışta şirket CEO’sunun orijinal e-postasıyla neredeyse birebir aynıdır. Personel panikle transferi gerçekleştirir ve dakikalar içinde şirket bütçesi geri dönülemez bir dolandırıcılık hesabına aktarılmış olur.

Siber güvenlik literatüründe bu saldırı modeline Business Email Compromise (BEC) ya da Türkçe adıyla CEO Dolandırıcılığı (Oltalama) adı verilir. FBI verilerine göre BEC saldırıları, fidye yazılımlarından (ransomware) bile daha fazla finansal kayba yol açmakta ve dünya genelinde yılda milyarlarca dolar zarara neden olmaktadır.

Bu kapsamlı rehberde; CEO sahtekarlığının anatomisini, saldırganların kullandığı psikolojik ve teknik taktikleri, sahte iletilerin nasıl tespit edileceğini ve şirket çalışanlarınızı bu tehdide karşı nasıl koruyacağınızı inceliyoruz.

⚡ Hızlı Bakış: Geleneksel Spam ile BEC Saldırısı Arasındaki Fark

1. CEO Dolandırıcılığı (BEC) Nasıl Çalışır? 3 Yaygın Senaryo

Saldırganlar rastgele bir mail atmak yerine, öncelikle LinkedIn, Ticaret Sicil Gazetesi ve kurumsal web siteniz üzerinden şirketin hiyerarşik yapısını haritalandırır:

Senaryo A: Sahte Alan Adı ile Kimlik Taklidi (Typosquatting)

Saldırganlar şirket alan adınızın neredeyse farksız bir benzerini satın alır:

• Şirketinizin Gerçek Domaini: atlas-holding.com.tr
• Saldırganın Sahte Domaini: atIas-holding.com.tr (büyük I harfi ile l harfi taklidi) veya atlas-holdlng.com.tr

Gözle dikkatlice incelenmediğinde alıcı personel mailin gerçekten şirket içinden geldiğini zanneder.

Senaryo B: Doğrudan Yönetici Hesabının Ele Geçirilmesi (Account Takeover)

Eğer şirket yöneticisinin e-posta şifresi zayıfsa veya iki aşamalı doğrulama (2FA) kullanılmıyorsa, saldırgan doğrudan gerçek e-posta hesabına sızar. Günlerce sessizce gelen/giden kutusunu izler, şirketin fatura kesme tarihlerini ve hitap dilini öğrenir; ardından en kritik anda devreye girer.

Senaryo C: Tedarikçi Fatura ve IBAN Değişikliği Sahtekarlığı

Şirketinizin düzenli çalıştığı bir lojistik veya hammadde tedarikçisinin e-posta sistemi ele geçirilir. Gerçek tedarikçi kimliğiyle gönderilen faturada “Bankamız değişmiştir, yeni IBAN hesabımıza ödeme yapınız” denilerek şirket ödemesi dolandırıcıların hesabına yönlendirilir.

2. Şüpheli Bir E-postayı Ele Veren 6 Kırmızı Bayrak (Red Flag)

Çalışanlarınıza aşağıdaki 6 kuralı bir kurum kültürü olarak aşılayarak BEC saldırılarını %95 oranında önleyebilirsiniz:

1. Aşırı Aciliyet ve Gizlilik Baskısı: “Çok acil”, “Hemen şimdi yap”, “Kimseye bahsetme, gizli anlaşma”, “Toplantıdayım, arama” gibi ifadeler dolandırıcıların personelin teyit almasını engellemek için kurduğu psikolojik tuzaklardır.
2. Normal Prosedürlerin Dışına Çıkma Talebi: Genel müdürün veya finans direktörünün şirketin standart onay mekanizmasını (çift imza, ERP onayı, satın alma formu) by-pass etmeyi istemesi.
3. Yeni veya Farklı Bir Banka / IBAN Numarası: “Eski hesap bloke oldu, yeni açılan bu hesaba havale yapın” talepleri.
4. Yanıtla (Reply-To) Başlığı Uyuşmazlığı: Gönderici alanında [email protected] görünse bile, farenizi üzerine getirdiğinizde veya “Yanıtla” butonuna bastığınızda alıcı adresinin yabancı bir adrese ([email protected] vb.) dönmesi.
5. Hitap ve Üslup Farklılıkları: Şirket yöneticisinin alışılagelmiş selamlaşma, imza ve Türkçe karakter kullanımındaki bariz tutarsızlıklar.
6. Mesai Saatleri Dışında Gönderim: Cuma akşam mesai bitimine dakikalar kala veya hafta sonu gelen acil para transferi talepleri.

3. Şirketinizi Korumak İçin Alınması Gereken Teknik Önlemler

Yalnızca personel dikkati yeterli değildir; kurumsal e-posta altyapınızın teknik düzeyde bu sahtekarlıkları kapıda engellemesi gerekir:

1. DMARC Politikasını p=reject Seviyesine Yükseltin

DMARC kaydı, alan adınız adına dışarıdan sahte e-posta gönderilmesini engelleyen en güçlü kalkandır. Politikanızı p=reject yaptığınızda, saldırganlar domaininizi taklit ederek şirket personelinize e-posta gönderemez; dünya genelindeki sunucular bu sahte mailleri doğrudan imha eder.

2. Tüm Kullanıcılarda İki Aşamalı Doğrulamayı (2FA) Zorunlu Kılın

Şifreler çalınsa veya oltalama ile ele geçirilse dahi, SMS veya Authenticator uygulaması olmadan saldırganlar Webmail veya posta kutularına giriş yapamaz.

3. Dış Kaynaklı E-postalara Otomatik Güvenlik Uyarısı Ekleyin

Şirket dışından gelen tüm maillerin en üstüne Mail Gateway tarafından otomatik olarak:

[DİKKAT: Bu e-posta şirket dışı bir kaynaktan gelmiştir. Para transferi ve şifre taleplerine dikkat ediniz]

uyarısı eklenmelidir. Bu sayede yöneticinin adını taklit eden harici mailler anında fark edilir.

4. Gelişmiş Mail Gateway (MG) Filtreleme Katmanı Kullanın

Gelen iletileri yapay zekâ, alan adı benzerlik algoritmaları (lookalike domain detection) ve itibar testlerinden geçiren kurumsal filtreler, CEO sahtekarlığı amaçlayan domainleri kullanıcıya ulaşmadan karantinaya alır.

4. Olası Bir Saldırıda İlk 30 Dakikada Ne Yapılmalı?

Eğer bir çalışanınız sahte bir maile inanarak para transferi yaptıysa:

1. Derhal Bankanızı Arayın: Transferin bloke edilmesi ve dolandırıcılık şüphesi bildirilerek paranın karşı hesaptan çekilmesinin engellenmesi gerekir (EFT/FAST havuzunda geçen dakikalar hayatidir).
2. Bilgi İşlem Ekibine Haber Verin: İlgili e-posta başlıkları (headers) saklanmalı, hesap ele geçirilmişse derhal tüm oturumlar kapatılıp şifreler sıfırlanmalıdır.
3. Siber Suçlarla Mücadele Şube Müdürlüğü’ne Başvurun: Hukuki sürecin derhal başlatılması ve ilgili hesaplara savcılık kanalıyla bloke konulması sağlanmalıdır.

🛡️ ProMail ile Şirket E-postalarınız %100 Güvende

ProMail Kurumsal E-Posta altyapısı, şirketleri siber saldırılara ve CEO dolandırıcılığına karşı kurumsal düzeyde korur:

• Çift Katmanlı Mail Gateway: Yapay zekâ destekli analiz motoru, alan adı taklidi (spoofing) ve oltalama girişimlerini kullanıcı gelen kutusuna düşmeden engeller.
• Zorunlu 2FA Desteği: Yönetici ve personel hesapları iki aşamalı kimlik doğrulama ile güvenceye alınır.
• 2048-Bit DKIM: Şirket alan adınız adına üçüncü şahısların yetkisiz e-posta göndermesi imkansız hale getirilir.
• Türkiye Lokasyonlu Güvenli Altyapı: Tüm e-posta verileriniz yerli, şifrelenmiş ve KVKK uyumlu sunucularda barındırılır.

❓ Sıkça Sorulan Sorular (SSS)

Küçük veya orta ölçekli bir şirketiz, dolandırıcılar bizi de hedefler mi?

Kesinlikle evet. Dolandırıcılar genellikle büyük holdingler yerine siber güvenlik bütçesi ve IT prosedürleri daha esnek olan KOBİ’leri daha kolay av olarak görür.

Şirket yöneticisinin e-posta adresi yazılımsal olarak nasıl taklit edilebilir?

SMTP protokolü ilk tasarlandığında kimlik doğrulama zorunluluğu içermiyordu. Alan adında SPF, DKIM ve özellikle DMARC (p=reject) kaydı bulunmayan her şirket, saldırganlar tarafından kolayca taklit edilebilir.

Bir e-postanın sahte olduğunu doğrulamak için nereye bakmalıyız?

E-postanın teknik başlıklarındaki (Message Headers) Return-Path, Authentication-Results ve Reply-To satırları incelenmelidir. Gönderen adresi ile bu satırlar uyuşmuyorsa posta sahtedir.