İnsan Faktörü: En Büyük Güvenlik Zafiyeti
Kurumsal siber saldırıların büyük çoğunluğu teknik açıklıklardan değil, insan faktöründen kaynaklanmaktadır. Verizon DBIR raporlarına göre güvenlik ihlallerinin önemli bir kısmında ilk erişim vektörü sosyal mühendislik veya phishing saldırılarıdır. Teknik savunma sistemleri ne kadar güçlü olursa olsun, kimlik bilgilerini bir phishing e-postasıyla sağlayan çalışan bu katmanları işlevsiz kılabilmektedir.
Phishing simülasyonları; çalışanların gerçekçi sosyal mühendislik saldırılarına karşı ne ölçüde dirençli olduğunu objektif biçimde ölçen ve eksiklikleri eğitim programlarıyla giderme fırsatı sunan kritik bir güvenlik değerlendirmesidir.
TUGAY'ın phishing hizmetleri, hazır şablon kullanan standart simülasyon araçlarından farklıdır. Her kampanya, kuruma özgü araştırma yapılarak tasarlanan, gerçek tehdit aktörlerinin kullandığı teknikleri yansıtan hedefli saldırı senaryolarını içermektedir.
Phishing Hizmeti Kapsamı
TUGAY Red Team, kuruluşun risk profiline ve sektöre göre özelleştirilmiş phishing kampanyaları tasarlamaktadır:
- E-posta phishing — kuruma özel sosyal mühendislik senaryoları
- Spear phishing — yönetici ve kritik rol sahiplerine yönelik hedefli saldırılar
- Smishing (SMS) — mobil cihaz kullanıcılarını hedef alan mesaj kampanyaları
- Vishing (sesli arama) — telefon tabanlı sosyal mühendislik testleri
- QR kod phishing — fiziksel ve dijital QR tabanlı saldırı senaryoları
- BEC (İş E-postası Ele Geçirme) simülasyonları
- USB drop testleri (fiziksel güvenlik değerlendirmesi)
Kampanya Süreci
- OSINT ve Hedef Araştırması: Kurum, çalışanlar ve organizasyon yapısı hakkında açık kaynak istihbaratı toplanır; inandırıcı senaryo için zemin hazırlanır.
- Senaryo Tasarımı: Sektöre, kuruma ve hedef kitleye özel phishing senaryosu ve e-posta içeriği hazırlanır.
- Kampanya Uygulaması: Kontrollü koşullarda phishing kampanyası başlatılır; tıklama, kimlik bilgisi girişi ve raporlama oranları izlenir.
- Analiz ve Raporlama: Departman, rol ve deneyim düzeyi bazında kırılmış sonuçlar analiz edilir; yüksek riskli segmentler belirlenir.
- Eğitim ve Farkındalık: Test sonuçlarına dayanan hedefli farkındalık eğitimi planlanır; süreç periyodik kampanyalarla pekiştirilir.
Raporlama ve Sürekli Program
Phishing simülasyonlarının değeri, tek seferlik bir testten ziyade sürekli bir program olarak yürütülmesinde yatmaktadır. TUGAY'ın çalışan güvenlik farkındalık programı, simülasyonları eğitimle entegre eden döngüsel bir yaklaşım sunmaktadır.
- Departman ve rol bazında detaylı tıklama/raporlama analizi
- Önceki dönemlerle karşılaştırmalı eğilim raporları
- Hedefli mikro-öğrenme modülleri entegrasyonu
- Yönetim kuruluna sunulabilir risk gösterge tablosu