Siber güvenlik araştırmacılarını hedef alan yeni bir saldırı girişiminde, saldırganların sahte bir kripto para etkinliği üzerinden güven kazanmaya çalıştığı ortaya çıktı.
Sosyal medya mesajlarıyla başlayan girişimde, hedef kişilere gerçek görünümlü bir Google Doküman bağlantısı gönderildi. Belgenin içine yerleştirilen sahte “şifre çözme” adımlarının amacı ise kurbanları kripto vaadi ile kandırıp kötü amaçlı yazılım yüklemeye yönlendirmekti. Saldırının dikkat çekici yanı, doğrudan şüpheli bir dosya göndermek yerine, kripto gibi çok yaygın ve güvenilir bir iş aracını kullanması. Google Dokümanlar; ekiplerin ortak dosya hazırladığı, etkinlik planladığı ve profesyonel yazışmalar yürüttüğü yaygın bir platform. Saldırganlar bu alışkanlıktan yararlanarak hedeflerine konferans programı, iş birliği belgesi veya planlama dosyası gibi görünen bağlantılar gönderdi. Böylece ilk bakışta şüpheli görünmeyen bir iletişim kurmaya çalıştılar.
Kampanyanın zamanlaması da rastgele seçilmedi. Büyük siber güvenlik konferanslarının ardından araştırmacılar, şirketler ve bağımsız uzmanlar çok sayıda davet, bağlantı ve takip mesajı alabiliyor. Saldırganlar bu yoğun iletişim ortamından yararlanarak sahte etkinlik duyurusunu daha inandırıcı göstermeyi hedefledi. Bir kişi, konferans sonrası yeni iş bağlantısı kurduğunu veya bir panel daveti aldığını düşünerek belgeyi açabilir. Bu tür hedefli saldırılarda kullanılan asıl yöntem, teknik açıktan çok insan güvenini istismar etmek oluyor.
Olayda kullanılan belge gerçek bir Google Doküman olarak açılıyor ve bu belge doldurulması şartı ile kripto vaat ediyor. Ancak dokümanın yan panelinde, belgenin şifrelendiğini ve erişim için belirli bir anahtar girilmesi gerektiğini öne süren yanıltıcı bir arayüz yer alıyor. Bu panelin oluşturulmasında Google Apps Script teknolojisinden yararlanıldığı belirtiliyor. Apps Script, geliştiricilerin Google hizmetlerine menü, yan panel ve otomasyon eklemesine olanak tanıyan meşru bir araç. Saldırganlar, bu meşru özelliği kötü niyetli bir akışın parçası hâline getirerek güven algısını artırmaya çalıştı.
Kullanıcının sahte anahtarı girmesi, saldırının ilk aşamasını oluşturuyor. Sonraki aşamada hedef kişi, işletim sistemine göre farklı zararlı bileşenler indirmeye yönlendiriliyor. macOS kullanıcıları için bilgi çalmaya yönelik zararlı yazılımlar; Windows kullanıcıları için ise uzaktan erişim, trafik yönlendirme veya kripto cüzdanlarını hedefleyen sahte kurulum dosyaları kullanılabiliyor. Saldırganların aynı kampanyada farklı işletim sistemlerine göre ayrı yükler kullanması, hedefleme sürecinin planlı yürütüldüğünü gösteriyor.
Bu tür saldırılar, yalnızca teknik uzmanları değil, günlük işinde belge paylaşımı yapan herkesi ilgilendiriyor. Pazarlama ekipleri, serbest çalışanlar, yatırımcılar, gazeteciler, yazılım geliştiriciler ve akademisyenler; etkinlik davetleri, toplantı notları veya proje dokümanları üzerinden benzer tuzaklarla karşılaşabilir. Saldırganların amacı her zaman doğrudan banka hesabına erişmek olmayabilir. E-posta oturumlarını ele geçirmek, tarayıcıdaki kayıtlı parolaları almak, kripto cüzdanlarına ulaşmak ya da kurumsal ağda ilk erişimi sağlamak da hedefler arasında bulunabilir.
Saldırılara karşı alınabilecek en etkili önlem, belgenin gerçek görünmesine aldanmamak. Bir doküman bağlantısının güvenilir olması, belgenin içindeki her yönergenin güvenilir olduğu anlamına gelmez. Özellikle kullanıcıyı komut çalıştırmaya, ayrı bir uygulama indirmeye, şifre kopyalamaya veya güvenlik aracını kapatmaya çağıran talimatlar yüksek risk işareti olarak görülmeli. Bir konferans veya iş daveti gerçekten varsa, organizasyonun resmî kanallarından doğrulama yapmak önemli bir savunma adımıdır.
Sosyal medya hesapları üzerinden gelen davetlerde de dikkatli davranmak gerekiyor. Yeni açılmış hesaplar, eksik profil bilgileri, alışılmadık yazım hataları, acele ettiren mesajlar veya doğrudan dosya paylaşımı talepleri şüphe uyandırmalı. Saldırganlar bazen gerçek bir kişinin ya da kurumun adını kullanarak güvenilirlik izlenimi yaratabilir. Bu nedenle kullanıcı adı, e-posta alan adı ve resmî etkinlik sayfası gibi ayrıntılar ayrı ayrı kontrol edilmeli.
Kurumsal tarafta ise çalışanların yalnızca klasik oltalama e-postalarına karşı değil, iş birliği araçları içindeki saldırılara karşı da eğitilmesi gerekiyor. Güvenlik politikalarının Slack, Teams, bulut depolama servisleri ve çevrim içi belge araçları gibi platformları kapsaması önemli. Çünkü saldırganlar kullanıcıların en çok güvendiği çalışma ortamlarını hedef aldığında, teknik güvenlik önlemlerini aşma ihtimalleri artıyor.
Bu olay, siber saldırıların giderek daha ikna edici sosyal mühendislik yöntemleriyle birleştiğini gösteriyor. Modern saldırılar, çoğu zaman karmaşık kodlardan önce basit bir mesajla başlıyor. Kullanıcıların belge, davet ve dosya paylaşım süreçlerinde birkaç dakikalık doğrulama yapması; hem kişisel hem de kurumsal verilerin korunmasında kritik fark yaratabilir.
