Avrupa'da binlerce okula giden sahte bomba ihbarları gerçek kurumların ele geçirilmiş e-posta hesaplarından gönderildi
İtalya, İskoçya ve İrlanda'daki okullara giden tehdit e-postalarının Tayvan'daki bir üniversitenin ele geçirilmiş hesabından çıktığı bildirildi. Meşru hesaplar spam filtrelerini aşıyor, soruşturmayı da birden çok ülkeye yayıyor.
Avrupa'da havalimanlarını ve haber merkezlerini hedef alan sahte bomba ihbarı dalgası bu hafta okullara sıçradı. The Record'un haberine göre Çarşamba günü İtalya'daki binlerce devlet okuluna "soykırım" tehdidi içeren ve okullara patlayıcı yerleştirildiğini iddia eden bir e-posta gönderildi; Milano'dan Sicilya'ya kadar tahliyeler yapıldı. Benzer mesajlar İskoçya, Kuzey İrlanda ve İrlanda'daki yüzlerce okula da ulaştı. İskoçya polisi yaklaşık bin okulun tehdit mesajı aldığını, mesajların güvenilir bir tehdit içermediğini açıkladı; İrlanda polisi de tahliye önermediğini duyurdu.
E-postaların Tayvan'daki Da-Yeh Üniversitesi'ne ait ele geçirilmiş bir hesaptan gönderildiği bildirildi; üniversite hesabı askıya aldığını açıkladı. Perşembe sabahı İtalyan okullarına giden bir başka tehdidin Filipinler Eğitim Bakanlığı'na ait bir adresten geldiği aktarıldı. Geçen hafta havalimanlarına giden ihbarlar ise Bogotá'daki bir sağlık kurumunun hesabıyla ilişkilendirilmişti (ilk haberimiz).
Neden ele geçirilmiş hesaplar?
Proofpoint, incelediği tehditlerin hepsinin sahte adresten değil gerçek, ele geçirilmiş hesaplardan çıktığını söyledi. Abnormal Security de Litvanya uzantılı bir alan adındaki meşru bir hesaptan gönderilen başka bir tehdit tespit ettiğini bildirdi. Gerçek kurumların webmail hesaplarından çıkan mesajlar e-posta authentication kontrollerinden geçiyor ve spam filtrelerine takılmıyor. Teknik izler de büyük ölçüde e-posta sağlayıcısının kendi altyapısına çıkıyor; hesaplara VPN veya proxy üzerinden girildiyse giriş kayıtları da sonuçsuz kalabiliyor. Hesapların farklı ülkelere dağılması, soruşturmacıları yavaş işleyen uluslararası adli yardım taleplerine mahkûm ediyor.
Proofpoint'e göre mesajlarda zararlı link veya ek yok; amaç kimlik bilgisi çalmak değil, kesinti ve korku yaratmak. Hiçbir hükümet saldırıyı belirli bir aktöre atfetmedi. Proofpoint bazı unsurların devlet bağlantılı bir aktörle "uyumlu olabileceğini" ama bu sonuca varacak kanıtı olmadığını belirtti. Mesajlardaki imzalar da göndericiyi kanıtlamıyor.
Ne yapılmalı?
- Okullar ve kurumlar, e-postayla gelen tehditler için önceden yazılı bir değerlendirme akışı belirlemeli: tahliye kararı yerel kolluk ile birlikte verilmeli, mesaj silinmeden başlık bilgileriyle saklanmalı.
- Gönderici "güvenilir bir kurum" gibi görünse bile, DMARC/SPF kontrolünden geçmesinin mesajın meşru olduğunu göstermediği personel eğitimlerine eklenmeli.
- Kurumlar kendi hesaplarının bu tür kampanyalarda kullanılmaması için webmail hesaplarında MFA zorunlu tutmalı, olağan dışı ülkelerden girişleri ve toplu gönderimleri izlemeli.
- Kurum hesabından tehdit gönderildiği fark edilirse hesap hemen askıya alınmalı ve giriş kayıtları kolluk için korunmalı.
