Kurumlar, çok faktörlü kimlik doğrulama (MFA) sistemleri ve koşullu erişim politikaları aracılığıyla giriş işlemlerini güvence altına almak için büyük meblağlar harcarken, tüm bu savunmaları boşa çıkarabilecek bir "arka kapı" varlığını koruyor: Teknik Destek Ofisleri (Service Desks) aracılığıyla erişim kurtarma süreci. Sorun şu ki, erişim kaybı durumunda uygulanan doğrulama standartları genellikle standart giriş prosedürlerinden çok daha zayıftır ve bu da sosyal mühendislik için geniş bir kapı aralamaktadır.
Bilgiye Dayalı Doğrulama Modelinin Çöküşü
Birçok teknik destek ofisi hala doğrudan yöneticinin adı, departman veya diğer kişisel detaylar gibi bilgiye dayalı doğrulama (Knowledge-based verification) yöntemlerine güvenmektedir. Bu model günümüz dijital çağında güvensiz hale gelmiştir; saldırganlar bu bilgileri LinkedIn, şirketlerin resmi web siteleri veya sızdırılmış veriler gibi platformlardan kolayca toplayabilmektedir.
Saldırgan bu detayları elde ettiğinde, çalışanın kimliğine bürünerek teknik destek personelini şifreyi sıfırlamaya veya yeni bir kimlik doğrulama cihazı kaydetmeye ikna edebilir; böylece hesabı teknik olarak hacklemeye gerek kalmadan MFA koruması aşılmış olur.
Yapay Zeka: Sosyal Mühendislik İçin Yeni Bir Silah
Saldırılar artık geleneksel oltalama e-postalarıyla sınırlı kalmayıp, üretken yapay zeka sayesinde çok daha karmaşık bir seviyeye taşınmıştır. Veriler, saldırganların yöntemlerinde tehlikeli bir değişime işaret ediyor:
- Deepfake (Derin Sahte): Saldırganlar, çalışanın ses tonunu taklit etmek için ses taklit teknolojilerini kullanabilir, bu da teknik destek personelinin gerçek arayan ile dolandırıcıyı ayırt etmesini çok zorlaştırır.
- Saldırı Başarısında Artış: 2026 Verizon raporuna göre, kısa mesaj ve sesli aramalar yoluyla gerçekleştirilen sosyal mühendislik operasyonları, e-posta yoluyla yapılan oltalama saldırılarına kıyasla %40 daha yüksek başarı oranı kaydetmiştir.
- Kapsamın Genişlemesi: Gartner tarafından yapılan bir anket, kurumların %62'sinin geçtiğimiz yıl deepfake saldırılarına veya otomatik sosyal mühendislik operasyonlarına maruz kaldığını göstermiştir.
Pratikte Neler Değişiyor?
Bu açığı aşmak sadece çalışan eğitimini değil, hesap kurtarma süreçlerinin yapısında köklü bir değişikliği gerektirir. Artık "sezgilere" veya çalışanın sesi ya da üslubu ayırt etme yeteneğine güvenmek yeterli değildir; doğrulama süreci zorunlu ve tartışmaya kapalı teknik bir adıma dönüştürülmelidir.
Güvenli dijital doğrulamaya geçiş şunları içerir:
- Bilgiye dayalı soruların; e-posta, kısa mesaj (SMS) veya harici kimlik doğrulama uygulamaları (Duo gibi) aracılığıyla gönderilen kodlar gibi dijital doğrulama yöntemleriyle değiştirilmesi.
- Doğrulama süreçlerinin teknik destek iş akışına entegre edilmesi, böylece dijital doğrulama süreci başarıyla tamamlanmadan hiçbir hassas işlemin (şifre sıfırlama gibi) gerçekleştirilmemesi.
- "Bu kişi gerçekten çalışan mı?" kararında insan faktörüne olan bağımlılığın azaltılması ve kararın dijital kanıtlara dayalı teknik bir karara dönüştürülmesi.
Erişim kurtarma yolunun güvenliğini ihmal etmek sadece bir güvenlik riski oluşturmakla kalmaz, aynı zamanda ağır operasyonel maliyetlere de yol açar; tek bir şifre sıfırlama işleminin maliyeti yaklaşık 70 dolar olarak tahmin edilmektedir, buna bir de çalışan verimliliğindeki düşüş ve siber saldırıların veya düzensiz destek taleplerinin neden olduğu kesinti süreleri eklenmelidir.