{"id":5651,"date":"2019-02-05T16:42:51","date_gmt":"2019-02-05T13:42:51","guid":{"rendered":"https:\/\/www.kaspersky.com.tr\/blog\/?p=5651"},"modified":"2019-11-15T14:33:34","modified_gmt":"2019-11-15T11:33:34","slug":"ss7-hacked","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.tr\/blog\/ss7-hacked\/5651\/","title":{"rendered":"Siber su\u00e7lular, hesaplar\u0131n\u0131z\u0131 bo\u015faltmak i\u00e7in bankac\u0131l\u0131kta kullan\u0131lan kodlar\u0131 ele ge\u00e7iriyor"},"content":{"rendered":"

\u0130ki fakt\u00f6rl\u00fc kimlik do\u011frulama (2FA), m\u00fc\u015fterilerinin paras\u0131n\u0131 g\u00fcvende tutmak i\u00e7in finansal kurumlar taraf\u0131ndan d\u00fcnya \u00e7ap\u0131nda yayg\u0131n bir \u015fekilde kullan\u0131lan bir y\u00f6ntemdir: Bu y\u00f6ntemde, bankan\u0131z bir i\u015flemi onaylamak i\u00e7in size 4-6 haneli kodlar g\u00f6nderir. Bankalar bu tek kullan\u0131ml\u0131k \u015fifreleri genellikle SMS mesaj\u0131 arac\u0131l\u0131\u011f\u0131yla iletir. Ne yaz\u0131k ki SMS, 2FA y\u00f6ntemini uygulaman\u0131n en zay\u0131f yollar\u0131ndan biridir. \u00c7\u00fcnk\u00fc k\u0131sa mesajlar\u0131n\u0131z ba\u015fkalar\u0131 taraf\u0131ndan ele ge\u00e7irilebilir. K\u0131sa bir s\u00fcre \u00f6nce Birle\u015fik Krall\u0131k\u2019ta i\u015fte tam da b\u00f6yle bir olay ya\u015fand\u0131.<\/p>\n

Su\u00e7lular mesajlar\u0131n\u0131z\u0131 nas\u0131l ele ge\u00e7irebilir? Bunun i\u00e7in farkl\u0131 y\u00f6ntemler var. Mesaj ve aramalar\u0131 y\u00f6nlendirmek i\u00e7in telekom\u00fcnikasyon \u015firketleri taraf\u0131ndan kullan\u0131lan bir protokol SS7 protokol\u00fcndeki bir g\u00fcvenlik kusurundan faydalanmak, bunlardan sadece bir tanesi (daha fazla bilgiye bu g\u00f6nderiden ula\u015fabilirsiniz<\/a>). SS7 a\u011f\u0131, talebin kim taraf\u0131ndan g\u00f6nderildi\u011fini kontrol etmez. Yani, k\u00f6t\u00fc niyetli ki\u015filer a\u011fa giri\u015f yapmay\u0131 ba\u015far\u0131rsa<\/a>, mesajlar\u0131 veya aramalar\u0131 y\u00f6nlendiren a\u011f, bu ki\u015filerin komutlar\u0131n\u0131, t\u0131pk\u0131 normal komutlar gibi yerine getirecektir.<\/p>\n

Bu kurnaz plan \u015fu \u015fekilde uygulan\u0131r: Siber su\u00e7lular \u00f6nce hedef ki\u015finin internet bankac\u0131l\u0131\u011f\u0131 kullan\u0131c\u0131 ad\u0131 ve \u015fifresini \u2013 muhtemelen kimlik av\u0131, tu\u015f kaydediciler veya Bankac\u0131l\u0131k Truva Atlar\u0131 yoluyla \u2013 ele ge\u00e7irir. Daha sonra, internet bankac\u0131l\u0131\u011f\u0131na giri\u015f yap\u0131p para transferi talebinde bulunur. Art\u0131k \u00e7o\u011fu banka, para transferi i\u00e7in ekstra do\u011frulama talep etmekte ve hesap sahibine do\u011frulama ama\u00e7l\u0131 bir kod yollamaktad\u0131r. Banka bu i\u015flemi mesaj yoluyla yapt\u0131\u011f\u0131 takdirde, k\u00f6t\u00fc niyetli ki\u015filer SS7 g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 k\u00f6t\u00fcye kullanabilir: Bu ki\u015filer telefonunuza sahipmi\u015f gibi mesaj\u0131 ele ge\u00e7irir ve gelen kodu girer. Banka ise bu transferi tamam\u0131yla me\u015fru bir i\u015flem olarak onaylar, \u00e7\u00fcnk\u00fc i\u015flem \u00f6nce \u015fifrenizle, sonra da tek kullan\u0131ml\u0131k kodla olmak \u00fczere iki defa do\u011frulanm\u0131\u015ft\u0131r \u0130\u015fte bu \u015fekilde paran\u0131z su\u00e7lular\u0131n eline ge\u00e7er.<\/p>\n

Birle\u015fik Krall\u0131k\u2019ta hizmet veren Metro Bank, Motherboard<\/a> platformuna yapt\u0131\u011f\u0131 a\u00e7\u0131klamada, baz\u0131 m\u00fc\u015fterilerinin bu t\u00fcr bir doland\u0131r\u0131c\u0131l\u0131ktan etkilendi\u011fini do\u011frulad\u0131. 2017 y\u0131l\u0131nda S\u00fcddeutsche Zeitung<\/a> gazetesi, Alman bankalar\u0131n\u0131n da b\u00f6yle bir problem ya\u015fad\u0131\u011f\u0131n\u0131 bildirmi\u015fti.<\/p>\n

Ama iyi haberlerimiz de var. Metro Bank yetkililerinin de a\u00e7\u0131klad\u0131\u011f\u0131 \u00fczere, m\u00fc\u015fterilerinin \u00e7ok k\u00fc\u00e7\u00fck bir k\u0131sm\u0131 bu olaydan etkilendi ve \u201cbunun sonucunda hi\u00e7biri paras\u0131n\u0131 kaybetmedi.\u201d<\/p>\n

E\u011fer bankalar mesaja dayal\u0131 olmayan ba\u015fka bir 2FA y\u00f6ntemi kullanm\u0131\u015f olsalard\u0131 (mesela, kimlik do\u011frulay\u0131c\u0131 uygulama<\/a> veya Yubikey gibi bir donan\u0131m bazl\u0131 bir kimlik do\u011frulay\u0131c\u0131) b\u00f6yle bir olay hi\u00e7 ya\u015fanmayabilirdi. Ne yaz\u0131k ki g\u00fcn\u00fcm\u00fczde, finansal kurumlar (nadir g\u00f6r\u00fclen istisnalar d\u0131\u015f\u0131nda) genel olarak SMS d\u0131\u015f\u0131nda iki fakt\u00f6rl\u00fc kimlik do\u011frulama y\u00f6ntemi kullanm\u0131yor. Umuyoruz ki yak\u0131n gelecekte, d\u00fcnya \u00e7ap\u0131nda daha fazla banka m\u00fc\u015fterilerini daha iyi korumak i\u00e7in farkl\u0131 se\u00e7enekler sunacakt\u0131r.<\/p>\n

Bu haberden \u015fu dersi \u00e7\u0131karabiliriz:<\/p>\n