Silent Ransom Group adlı bir gasp çetesinden sızdırılan iç yazışmalar, savunuculara bir BT taklidi yardım masası dolandırıcılığının perde arkasında nasıl organize edildiğine dair nadir bir bakış sunuyor. GuidePoint Security'nin araştırma ekibi GRIT'in analizine göre, yazışmalar BT taklidi taktiklerini, yüz yüze ajanların kullanımını ve toplamda 206,95 milyon dolara ulaşan bir ödeme defterini ortaya koyuyor.
Yayımlanan özet kısa olduğundan, bu yazı yalnızca belirtilenlere bağlı kalıyor ve okuyucuların bununla ne yapabileceğine odaklanıyor.
Silent Ransom Group sızıntısı neleri ortaya koyuyor
Sızıntı, saldırganların kendisinden gelmesi nedeniyle dikkat çekici. Araştırmacılar bir kampanyayı mağdur raporlarından yeniden kurgulamak yerine grubun kendi konuşmalarına erişim sağladı. Özetlenen GRIT analizi üç şeyi vurguluyor:
- BT taklidi taktikleri: grup yaklaşımını teknik destek gibi davranmak üzerine kuruyor.
- Yüz yüze ajanlar: operasyon tamamen uzaktan yürütülmüyor.
- 206,95 milyon dolarlık ödeme defteri: operasyonun ölçeğine işaret eden bir ödeme kaydı.
Yazışmaları veya defteri bağımsız olarak doğrulamadık ve özet, bu rakamın nasıl hesaplandığını açıklamıyor. Bunu, kesin ve denetlenmiş bir toplam olarak değil, bu tarz bir saldırının ne kadar kârlı göründüğünün bir işareti olarak okumak en doğrusu.
Yardım masası taklidi nasıl işliyor
Herhangi bir yardım masası taklidinin ardındaki temel fikir basittir: saldırganlar, çalışanların sorunları çözmek için zaten güvendiği kişiler gibi davranır. Çoğumuz BT ile işbirliği yapmaya koşullanmışızdır. Biri destekten olduğunu ve bir dakikanızı istediğini söylerse varsayılan tepki yardımcı olmaktır.
İstismar edilen zayıflık bu güvendir. Saldırgan bir yazılım kusuru aramak yerine insani bir kararı hedefler: bir talebi onaylamak, bir kod paylaşmak veya birinin içeri girmesine izin vermek. Saldırı iknaya dayandığı için güvenlik araçları iyi yapılandırılmış olsa bile işe yarayabilir.
Aynı örüntü diğer son kampanyalarda da görülüyor. Bir hacker grubunun kurumsal ağlara girmek için Microsoft Teams'i kötüye kullandığı bildirildi; bu konu Microsoft Teams'de sahte BT desteğinin fidye yazılımı saldırılarını körüklemesi başlıklı yazımızda ele alındı. 2026'nın başlarında ortaya çıkan bir başka operasyon şifrelemeyi tamamen atladı; bunu da BlackFile vishing gaspı ve kötü amaçlı yazılım olmadan veri hırsızlığı yazımızda açıkladık. Kanal değişiyor (sohbet, telefon, e-posta), ancak "biz BT'yiz ve bir şey yapmanızı istiyoruz" bahanesi aynı kalıyor.
Yüz yüze ajanlar ve 206,95 milyon dolarlık defter neden önemli
Sızıntıdaki iki ayrıntı öne çıkıyor.
Birincisi, yüz yüze ajanlar. Birçok güvenlik farkındalığı dersi taklidin bir ekran veya telefon hattı üzerinden gerçekleştiğini varsayar. Sahada insanları da kullanan bir operasyon, bir arayanın iddiasının, bir isim kartının veya kendinden emin bir tavrın kimlik kanıtı olarak kabul edilmemesi gerektiğini gösteriyor. Doğrulama yalnızca e-posta ve telefona değil, her kanala uygulanmalı.
İkincisi, defter. 206,95 milyon dolarlık bir ödeme kaydı, temkinli yaklaşılsa bile, sosyal mühendisliğe dayalı gaspın fırsatçı değil, organize ve tekrarlanabilir olabileceğini gösteriyor. Bu özellikle küçük kuruluşlar için önemli. Suçluların yalnızca büyük işletmelerin peşine düştüğünü varsaymak kolaydır, ancak süreç odaklı bir ekip, telefonu açan herkese karşı aynı oyun planını uygulamak için her türlü teşvike sahiptir.
Bu aynı zamanda bu yöntemlerin ne kadar uzun süredir varlığını sürdürdüğünü de yansıtıyor. Scattered Spider'ın eski bir sosyal numarayla yeni bir kurbanı hedef alması yazımızda benzer bir noktaya değinmiştik: kendini kanıtlamış ikna yöntemleri, kodu değil insanları hedef aldığı için işlemeye devam ediyor.
Bu sizin için ne anlama geliyor
Bireyseniz, ders şudur: talep etmediğiniz, meşru görünen bir "BT" iletişimi, ne kadar profesyonel kulağa gelirse gelsin şüpheyle karşılanmayı hak eder. Küçük bir işletme yönetiyorsanız, muhtemelen özel bir güvenlik ekibiniz yoktur; bu da net ve basit bir süreci herhangi bir araçtan daha değerli kılar.
Pratik hedef, sizinle kimin iletişime geçtiğini kime güvendiğinizden ayırmaktır. Bir arayan herkes olduğunu iddia edebilir. Kendinizin bulduğu bir telefon numarası veya zaten kullandığınız bir bilet sistemi, bir yabancının senaryosuyla taklit edilemez.
Beklenmedik BT destek iletişimlerini nasıl doğrulayabilirsiniz
Bu adımlar, iletişim telefon, sohbet, e-posta veya yüz yüze gelsin geçerlidir:
- İletişim istenmeyen bir iletişimse durun. Bir bilet açmadıysanız veya yardım talep etmediyseniz, iletişimi varsayılan olarak doğrulanmamış kabul edin.
- Geri arama alışkanlığı edinin. Telefonu kapatın veya sohbeti sonlandırın, ardından BT'ye iletişimin size verdiği numaradan değil, resmi şirket materyallerinden zaten bildiğiniz bir numara veya kanal üzerinden ulaşın.
- İstek üzerine asla kod paylaşmayın veya istemleri onaylamayın. Çok faktörlü kodlar ve giriş onayları kendi oturum açmalarınız içindir, bir yardımcının kullanması için değil.
- Uzaktan erişim taleplerine karşı dikkatli olun. Beklenmedik bir iletişime dayanarak araç kurmayın veya ekran kontrolü vermeyin.
- Ziyaretçileri doğrulayın. Biri BT'den olduğunu iddia ederek gelirse, bir cihaza veya odaya erişim vermeden önce gerçek BT sağlayıcınız veya yöneticinizle teyit edin.
- Önceden bir süreç üzerinde anlaşın. Küçük ekipler meşru BT taleplerinin nasıl yapılacağına önceden karar vermeli ki personel gerçek bir talebin nasıl göründüğünü bilsin.
- Bildirin. Şüpheli girişimleri, kanmasanız bile BT iletişimcinize veya yöneticinize anlatın. Sıradaki hedef başkaları olabilir.
Çıkarılacak ders
Sızdırılan Silent Ransom Group yazışmaları, bir BT taklidi yardım masası dolandırıcılığının onu yürütenler için bir iş süreci olduğunu, tek seferlik bir numara olmadığını vurguluyor. Savunma da bir süreçtir: yavaşlayın, telefonu kapatın ve güvendiğiniz bir kanal üzerinden geri arayın. Bu geri arama doğrulamasını istenmeyen her BT iletişimi için alışkanlık haline getirin ve ekibinizle veya ailenizle paylaşın. Aynı taktiğin daha fazla örneği için Microsoft Teams'de sahte BT desteği ve vishing tabanlı gasp yazılarımızı okuyun.
