Kimlik avı sayfalarının yaşam döngüsünü analiz eden Kaspersky araştırmacıları, kimlik avı sayfalarının üçte birinin bir gün içinde devre dışı kaldığını ve sayfa ömrünün ilk saatlerinin kullanıcılar açısından en tehlikeli zaman dilimi olduğunu keşfetti. Bu, söz konusu site kimlik avına karşı koruma sistemleri tarafından tespit edilip veritabanlarına girilmeden önce saldırıların gerçekleştiği ana karşılık geliyor.
Bu çalışmada araştırmacılar 19 Temmuz- 2 Ağustos 2021 tarihleri arasında 5.307 kimlik avı sayfası örneğini analiz etti. Bağlantıların önemli bir kısmı (1.784) izlemenin ilk gününden sonra aktif olmayı bırakırken çoğu sayfa ilk saatlerde yok oldu. Sonuçta izlemenin başlangıcından 13 saat sonra sayfaların dörtte biri etkinliğini yitirdi ve yarısı 94 saatten fazla dayanamadı.
Kimlik avı sayfasının ömrü, site yöneticileri tarafından görünür hale geldiği ve onlar tarafından kaldırıldığı ana bağlı. Kimlik avcıları satın alınan etki alanında kendi sunucularını konuşlandırmış olsa ve sahtekarlık faaliyetinden şüphelenilse bile, barındırma şirketleri kimlik avcılarını bu alandaki verileri barındırma hakkından mahrum edebilir.
Bu amaçla açılan her yeni site, ömrünün her saatinde daha fazla kimlik avı önleme veritabanında belirir. Bu da daha az potansiyel kurbanın siteyi ziyaret edeceği anlamına gelir. Bu tür sayfaların yaşam döngüsü çok kısa olduğu için kimlik avcıları, siteleri hala aktifken ilk saatlerde potansiyel kurbanlara mümkün olan en geniş erişimi sağlamak için ilk oluşturuldukları anda kimlik avı sayfalarına bağlantılar dağıtmaya odaklanırlar.
Saldırganlar çok daha sık biçimde mevcut bir sayfayı değiştirmek yerine yeni bir sayfa oluşturmayı seçer. Ayrıca kimlik avcıları nadiren engellenmemek için sayfayı değiştirebilir. Örneğin kimlik avcıları bir markayı yem olarak kullanırsa, onu başka bir markayla değiştirebilirler. Ancak çoğu sayfa, kimlik avcılarının etkinlik biçimini değiştirmeye karar vermesiyle engellenir. Bunun yanında başka bir yöntem de kullanıcı tarafından görülmeyen, ancak kimlik avı önleme motorlarının belirsiz bir süre boyunca bunları engellemesini önleyen rastgele hazırlanmış kod öğeleri oluşturmaktır. Neyse ki Kaspersky kimlik avı önleme motoru bu hileleri ustaca atlatabilme yeteneğine sahip.
İçeriği engellenmemesi için değiştirilen sayfaların büyük çoğunluğu, popüler çevrimiçi oyunun en bilinen etkinliklerinden biri olan PUBG çekilişini taklit ediyor. Saldırganlar, yeni sezonla oyundaki geçici bir olayı eşleştirmek veya kimlik avı sayfasının orijinaline olabildiğince yakın olmasını sağlamak için sayfanın içeriğini zamanla değiştiriyor.
Kaspersky Güvenlik Araştırmacısı Egor Bubnov, şunları söylüyor: “Bu tür araştırmalar yalnızca veritabanlarımızı güncellemek adına yararlı olmakla kalmıyor, aynı zamanda olay yanıtını iyileştirmek için de kullanılabiliyor. Örneğin bir kuruluş sahte bağlantılarla spam saldırısı geçiriyorsa, kimlik avcılarının etkinliği için en faydalı zaman olması nedeniyle ilk saatlerde bunu püskürtmek önemli. Buna karşılık kullanıcıların bir bağlantı aldıklarında ve sitenin meşruluğu konusunda şüpheleri olduğunda birkaç saat beklemelerini tavsiye ettiğimizi hatırlatırız. Bu süre zarfında yalnızca kimlik avı önleme veritabanlarına eklenme olasılığı artmakla kalmayacak, kimlik avı sayfasının kendisi de etkinliğini durdurabilecektir. Yalnızca kimlik avını yakalamakla kalmayıp aynı zamanda saldırıları başarıyla savuşturmak üzere yaptığımız araştırmalar sayesinde kullanıcılarımız iyi korunduklarından emin olabilirler.”
Kimlik avının kurbanı olmaktan kaçınmak için yapılması gerekenler
- Halka açık Wi-Fi ağları aracılığıyla çevrimiçi bankacılık ve benzeri hizmetlere giriş yapmaktan kaçının. Bunun için güvenli bir ağ kullanmak daha iyidir. Açık ağlar, diğer şeylerin yanı sıra bağlantı üzerinden web sitesi adreslerini taklit eden ve böylece sizi sahte bir sayfaya yönlendiren suçlular tarafından oluşturulabilir.
- Bazen e-postalar ve web siteleri tıpkı gerçekler gibi görünür. Bu suçluların ödevlerini ne kadar iyi yaptıklarına bağlı. Ancak köprüler büyük olasılıkla yazım hatalarıyla veya sizi farklı bir yere yönlendirebilirler.
- Güvenli bir bağlantı üzerinden yalnızca kullanıcı adı ve parola girmek güvenli olsa da dolandırıcılar da SSL sertifikası yayınlayabildiğinden HTTPS öneki bile her zaman siteye yapılan bağlantının güvenli olduğunun göstergesi değildir.
- Güvenilir bir güvenlik çözümü kurun ve tavsiyelerine uyun. Güvenlik çözümleri, sorunların çoğunu otomatik olarak çözecek ve gerekirse sizi uyaracaktır.
Kuruluşların kendini korunması için Kaspersky aşağıdakileri öneriyor:
- Personelinize temel siber güvenlik hijyeni eğitimi verin. Kimlik avı e-postalarını nasıl ayırt edeceklerini bildiklerinden emin olmak için bir kimlik avı simülasyonu saldırısı gerçekleştirin.
- Kimlik avı e-postası yoluyla bulaşma olasılığını azaltmak için, uç noktalar ve posta sunucularına yönelik Kaspersky Endpoint Security for Business gibi kimlik avına karşı koruma özelliklerine sahip bir koruma çözümü kullanın.
- Microsoft 365 bulut hizmetini kullanıyorsanız onu da korumayı unutmayın. Kaspersky Security for Microsoft Office 365, güvenli iş iletişimi için SharePoint, Teams ve OneDrive uygulamalarına yönelik korumanın yanı sıra istenmeyen posta önleme ve kimlik avı korumasına sahiptir.
