Şirket E-postası Tuzağı (BEC): Tedarikçi Taklidiyle Değişen Fatura IBAN'ı
Bildirilen zarar: tek vakada yaklaşık 37 milyon dolar; FBI verilerine göre küresel kayıplar yılda milyarlarca dolar
BEC dolandırıcılığında sahte tedarikçi e-postasıyla fatura IBAN'ı değiştiriliyor. Toyota Boshoku'nun 37 milyon dolarlık kaybı, yöntemin dev şirketleri bile vurduğunu gösteriyor.
Olay
Ağustos 2019'da Toyota grubunun otomobil parçaları üreticisi Toyota Boshoku'nun Avrupa iştirakinde, muhasebe birimine tanıdık görünen bir e-posta ulaştı. Yazışma olağan bir ticari talimat gibiydi ve bir ödemenin belirtilen hesaba gönderilmesini istiyordu. Transfer yapıldı; tutar yaklaşık 4 milyar yen, yani 37 milyon dolardı. Kısa süre sonra talimatın sahte olduğu anlaşıldı ve şirket, hukukçularla birlikte paranın iadesi için harekete geçtiğini açıklamak zorunda kaldı.
Bu yönteme "business email compromise" (BEC — şirket e-postasının ele geçirilmesi/taklidi) deniyor ve kurbanları yalnızca devler değil. CBS Chicago'nun haberleştirdiği bir vakada, Tayvan'dan makine ithal eden küçük bir Amerikan şirketi, yıllardır çalıştığı tedarikçisinden geldiğini sandığı bir e-postayla 326 bin doları dolandırıcıların hesabına gönderdi; adresteki tek fark, tedarikçinin alan adından tek bir harfin eksik olmasıydı. FBI'ın internet suçları merkezi IC3'ün raporlarına göre BEC, yıllardır en pahalı çevrimiçi suç kategorisi: Bildirilen yıllık kayıplar milyarlarca dolar, son on yılın birikimli zararı ise on milyarlarca dolar düzeyinde.
Yöntem Nasıl İşliyor?
- Sessiz izleme: Dolandırıcılar, oltalama yoluyla bir çalışanın e-posta hesabına sızar veya yazışmaları başka yoldan ele geçirir; haftalarca hiçbir şey yapmadan ticari trafiği okurlar. Kim kime ne zaman fatura kesiyor, ödeme dili nasıl — hepsini öğrenirler.
- Taklit kimlik: Gerçek tedarikçinin alan adına bir harf farkla benzeyen sahte bir adres kurulur ya da ele geçirilen gerçek hesap doğrudan kullanılır.
- Doğru anda müdahale: Gerçek bir fatura tam ödenecekken araya girilir: "Banka hesabımız değişti, ödemeyi yeni IBAN'a yapın." Yazışmanın geçmişi, imzası ve üslubu gerçek olduğu için şüphe uyandırmaz.
- Aciliyet ve otorite: Kimi sürümlerde e-posta, şirket yöneticisinin ağzından yazılır ("Bu transferi bugün kapatmamız lazım, gizli bir işlem"). Çalışan, üstünü sorgulamamak ve işi geciktirmemek baskısıyla davranır.
- Paranın parçalanması: Transfer, yurt dışındaki aracı hesaplara gider ve saatler içinde parçalanıp aktarılır; geç fark edilen vakalarda iade şansı hızla düşer.
Şiddet yok, yazılım açığı çoğu zaman yok; istismar edilen şey kurumsal güven ve rutin.
Türkiye'ye Yansıması
Türkiye'de ihracat-ithalat yapan KOBİ'ler bu yöntemin bilinen hedefleri arasında; basına yansıyan vakalarda yurt dışı müşteriyle yazışma araya giren sahte e-postalarla kesilip mal bedelleri başka hesaplara yönlendirildi. Aynı "güvenilen kanaldan gelen acil para talebi" mantığı bireysel ölçekte de işliyor: İstanbul'da WhatsApp hesabı ele geçirilen esnafın rehberindekilere acil para mesajı atılan vaka bunun sokaktaki karşılığı. Kanal taklidine dayalı diğer örnekler SMS ve Oltalama kategorimizde yer alıyor.
Uyarı Sinyalleri
- Uzun süredir çalıştığınız tedarikçiden gelen ani "banka hesabımız değişti" bildirimi.
- Gönderen adresinde tek harflik farklar, değişen alan adı uzantıları.
- Olağandışı aciliyet, gizlilik talebi ("bu işlemi şimdilik aramızda tutalım") veya mesai bitimine sıkıştırılan talimatlar.
- Ödeme talimatının her zamanki ülkeden veya bankadan farklı bir hesaba işaret etmesi.
- Yöneticiden geldiği söylenen ama üslubu, imzası veya saati alışılmadık olan e-postalar.
Nasıl Korunursunuz?
- Demir kural: IBAN değişikliği e-postayla kabul edilmez. Her hesap değişikliğini, e-postadaki değil kayıtlarınızdaki telefon numarasından karşı tarafı arayarak sesli teyit edin.
- Belli tutarın üzerindeki transferlerde çift onay (iki ayrı çalışanın imzası) kuralını yazılı prosedür haline getirin.
- Muhasebe ve finans çalışanlarına bu senaryoyu düzenli anlatın; "acil ve gizli" talimatların sorgulanmasını kültür haline getirin.
- Şirket e-postalarında iki adımlı doğrulamayı zorunlu tutun; alan adınıza benzeyen adreslerin kaydını izleyen uyarı servislerinden yararlanın.
- Sahte transferi fark ettiğinizde dakikalar değerlidir: Derhal kendi bankanızı ve alıcı bankayı arayıp geri çağırma (recall) talebi açtırın, aynı gün savcılığa başvurun. Toyota Boshoku ve Mattel gibi vakalarda erken bildirim, paranın kısmen veya tamamen kurtarılmasını sağladı.
Kaynaklar
Deneyiminizi Paylaşın
Bu yöntemle karşılaştıysanız deneyiminiz başkalarını koruyabilir. Yorumlar, güvenliğiniz için incelendikten sonra yayımlanır; bağlantı ve telefon numarası içeremez.