Avrupa havalimanlarındaki sahte bomba ihbarı dalgası: Bogotá, bir sağlık kurumunun e-posta adresinin ele geçirilip geçirilmediğini araştırıyor
Roma Fiumicino Havalimanı'na gönderilen sahte bomba ihbarlarından biri, Bogotá'daki bir kamu hastane ağının alan adından gelmiş gibi görünüyor. Belediye, hesabın ele geçirilmiş mi yoksa adresin taklit mi edildiğini araştırıyor.
Kolombiya'nın başkenti Bogotá'da belediye, şehrin güneybatısındaki kamu hastane ağı Subred Sur Occidente'ye ait bir e-posta adresinin Avrupa'daki sahte bomba ihbarı dalgasında kullanılıp kullanılmadığını araştırmaya başladı. The Record'un gördüğü bir ihbar e-postası Roma Fiumicino Havalimanı'ndaki alıcılara gönderilmiş ve bu kurumun alan adından geliyormuş gibi görünüyor.
Pazartesiden bu yana süren dalga, onlarca uçuşu aksattı; uçaklar rotalarından çevrilip arandı, şimdiye kadar hiçbir patlayıcı bulunmadı. Söz konusu e-posta, Helsinki ve Dublin'den Roma'ya giden Finnair ve Aer Lingus uçuşlarında patlayıcı olduğunu öne sürüyordu. Finnair uçağı İtalyan hava kuvvetleri jetleri eşliğinde Roma'ya indi, Aer Lingus uçağı ise Fransa'daki bir askeri üsse yönlendirildi.
Hesap mı ele geçirildi, adres mi taklit edildi?
Belediye 6 Kasım'daki açıklamasında uluslararası bir uyarı aldığını, kamu kurumlarına yönelik son şüpheli siber saldırılar nedeniyle uluslararası saldırganların müdahalesini ya da hesapların ele geçirilmesini dışlayamadığını belirtti. Ancak e-postanın gerçekten bu hesaptan mı gönderildiği, yoksa gönderen adresin sahte mi gösterildiği (spoofing) henüz bilinmiyor. Kurum çalışanlarını işaret eden bir kanıt da ortaya çıkmadı.
Mesajların bir kısmı Rusya'da yasaklı bir kadın düşmanı hareket adına imzalanmış olsa da uzmanlar yalnızca mesajdaki imzaya bakarak resmî atıf yapmaktan kaçınıyor.
Dalga medyaya da uzandı
Cuma günü benzer tehditler İrlanda'daki birkaç medya kuruluşuna gönderildi ve bu mesajların da havayolu ihbarlarının arkasındaki grupla bağlantılı olduğu bildirildi. İrlanda hükümeti tehditleri "çok ciddi" olarak niteledi ve sorumlunun henüz bilinmediğini, ancak bunun koordineli bir kesinti kampanyası olmasının muhtemel göründüğünü açıkladı.
Neden önemli?
Bu tür kampanyalar fiziksel bir patlayıcı olmadan da uçuşları, havalimanlarını ve kamu kurumlarını saatlerce meşgul edebiliyor. Güvenilir görünen bir kamu kurumunun alan adının kullanılması, ihbarın ciddiye alınma olasılığını artırıyor; adresin taklit edilebilmesi ise kurumların e-posta kimlik doğrulama yapılandırmasının ne kadar sıkı olduğu sorusunu gündeme getiriyor.
Ne yapılmalı?
- Kurumlar kendi alan adları için SPF, DKIM ve DMARC kayıtlarını gözden geçirmeli; DMARC politikası yalnızca izleme modundaysa sıkılaştırma planı yapılmalı. Mevcut kaydı görmek için salt okunur bir sorgu yeterli:
nslookup -type=TXT _dmarc.ornekkurum.gov- DMARC raporları düzenli okunmalı; kurum adına başka sunuculardan gönderim denemeleri bu raporlarda görünür.
- E-posta hesaplarında olağan dışı oturum açma ve toplu gönderim için uyarılar tanımlı olmalı; MFA kapsamı dışında kalan hesap bırakılmamalı.
- Kurum adına bir tehdit e-postası gönderildiği bildirilirse ilk iş, gönderim kayıtlarından mesajın kurum sunucusundan çıkıp çıkmadığını doğrulamak ve sonucu yetkililerle paylaşmaktır.
