1. Giriş
Çalışanlara, yöneticilere ve yönetim kurulu üyelerine yönelik güçlü siber güvenlik önlemleri, dolandırıcıları giderek daha fazla başka hedefler bulmaya itiyor ve öyle de oluyor. Siber suçlular (cyber criminals), yönetim kurulu üyelerinin evlerini ve hatta ailelerini hedef alarak, güvenliği ihlal edilmiş hesaplardan oluşan insani tedarik zincirine erişim sağlayabilir.
Bilgisayar korsanları (hackers) sürekli olarak yeni kurumsal kurbanların peşindedir. Ancak şirketler (web, internet) ağlarının güvenliğini sağlama konusunda daha iyi hale geldikçe, birçok tehdit aktörü, korumaların genellikle daha gevşek olduğu kilit şirket personeline yüksek hedefli kişisel saldırılar[1] gerçekleştirerek bu savunmaları atlıyor.
Yönetim kurulu üyeleri (board members) bu saldırılar için ideal bir hedeftir, çünkü onlar şirket bilgilerine yüksek düzeyde erişime sahiptirler, sıklıkla birden fazla şirkette hizmet verirler [bir tür ‘insan kaynağı tedarik zinciri’ (human supply chain) oluştururlar] ve onların bir nevi otorite figürü statüleri, federal suç verilerine[2] göre en maliyetli dolandırıcılık türlerinden biri olan, ‘ticari elektronik posta (e-posta) gizliliğinin ihlali’ (business email compromise-BEC) olarak da bilinen, diğer şirket yöneticilerine ve çalışanlarına yönelik alt düzey kimlik avı saldırıları için de mükemmel bir fırsattır.
Bir yönetim kurulu üyesine yapılan başarılı bir (siber) saldırı, siber suçlu için yalnızca bir şirkette değil birden fazla kuruluşta kapsamlı erişim ve fırsatlarla sonuçlanabileceğinden, yönetim kurulu üyelerinin yetersiz korunmayı göze almaları mümkün değildir. Bu konu, yönetim kurulu üyelerinin siber güvenlik riskleri konusunda daha fazla gözetim yapmasını gerektiren yeni Amerika Birleşik Devletleri (ABD) Menkul Kıymetler ve Borsa Komisyonu (United States Securities and Exchange Commission-SEC) düzenlemeleri ile daha da önemli hale geliyor.
2. Bilgisayar Korsanlarının Saldırma İhtimalinin En Yüksek Olduğu Üç Alan
Yönetim kurulu üyeleri bilgisayar korsanları tarafından çeşitli şekillerde hedef alınabilir ancak bu durumlarda genellikle üç ana saldırı türünü görürüz:
2.1. İhlal edilen kişisel hesaplar (breached personal accounts)
Ortalama bir kişinin düzinelerce çevrimiçi hesabı vardır ve yönetim kurulu üyeleri de bundan istisna değildir. Bu kişisel hesapların çok sayıda olması (e-posta, sosyal medya, çevrimiçi alışveriş, akış, uçak milleri vb. dâhil), bilgisayar korsanlarının bir ticaret/iş ağından çok daha kolay bir şekilde yararlanabileceği muazzam bir çevrimiçi saldırı yüzeyi oluşturur.
Bilgisayar korsanları iş dışı hesaplarla neyi isterler/hedeflerler? Siber suçlular, birçok türde hassas bilgiyi toplamak, diğer hesaplara (iş/işletme hesapları dâhil) geçiş yapmak ve kurbanın iş arkadaşları da dâhil olmak üzere bağlantı kurduğu kişilere saldırılar düzenlemek için kişisel hesapları kullanabilir.
En değerli kişisel hesaplardan biri (kuşkusuz) e-postadır. Bir bilgisayar korsanı, bir yönetim kurulu üyesinin özel e-posta adresini ele geçirebilirse, bunu diğer çalışanlara kimlik avı saldırıları (launch phishing attacks[3]) başlatmak amacıyla kendisini taklit etmek için kullanabilir. Yönetim kurulu üyesinin yüksek statüsü nedeniyle bu saldırılar, hassas şirket dosyalarının ve bilgilerinin istenmesi, çalışanların suçlu tarafından kontrol edilen hesaplara para aktarmaları konusunda kandırılması veya bilişim teknolojisi ekibinin yönetim kurulu üyesinin ağ şifrelerini paylaşmaya veya sıfırlamaya ikna edilmesinde bilgisayar korsanının son derece hassas kurumsal sistemlere doğrudan erişmesini sağlayabilir.
Bilgisayar korsanları ayrıca şirket tarafından paylaşılmış olabilecek depolanan dosyaları veya diğer hassas bilgileri bulmak için kişisel e-posta hesaplarını da kullanacaktır. Bu, bir bilgisayar korsanının gerçek iş/işletme ağına sızmaya gerek kalmadan önemli bir kurumsal veri ihlalini gerçekleştirebileceği anlamına gelir.
Hassas kişisel bilgiler, dosyalar ve yazışmalar şantaj ve gasp (blackmail and extortion) amacıyla da kullanılabilir[4]. Özellikle belge gaspı giderek büyüyen bir tehdittir; çünkü bilgisayar korsanları vergi belgeleri, resimler ve boşanma belgeleri gibi belirli türden utanç verici algısı olan kişisel bilgilerin peşinde olacak ve bunları büyük tutarlarda tazminat talep etmek için kullanabileceklerdir.
Çoğu kişisel hesap, zayıf şifreler ve çok faktörlü kimlik doğrulamanın olmaması nedeniyle yeterince korunmamakta, bu da onları saldırılara açık hale getirmektedir. Daha da kötüsü, çalınan şifreler için devasa bir suç piyasası vardır (tahmini olarak 24 milyar) ve bu da bilgisayar korsanının deyim yerindeyse çoğu zaman doğrudan ön kapıdan içeri girebileceği anlamına gelmektedir ki; kendi araştırmamızda yöneticilerin %69’unun şifrelerinin internete sızdırıldığını tespit ettik.
2.2. Ev ağına sızmalar/izinsiz girişler (home network intrusions)
Çoğu ev ağının hacklenmesi/yontulması son derece kolaydır ve bu özellikle yönetim kurulu üyeleri için geçerlidir. Her ne kadar mantığa aykırı gibi görünse de, ev ne kadar pahalıysa, sömürülmeyi bekleyen önemli güvenlik açıklarına sahip olma olasılığı da o kadar yüksektir.
Bunun nedeni, daha varlıklı bireylerin, ev otomasyonu ve kamera sistemleri de dâhil olmak üzere birçok akıllı teknolojiyi evlerine dâhil etme eğiliminde olmalarıdır. Bu sistemler birinci sınıf olsa da, genellikle entegratör tarafından doğru bir şekilde güvenlik altına alınmıyor veya düzenli olarak yamalanmıyor ki, bu da zayıflıklara ve güvenlik açıklarına yol açıyor.
Diğer durumlarda, evlerin içinde Nesnelerin İnterneti cihazları [örneğin, televizyonlar, hoparlörler, termostatlar, DIY (Do It Yourself installation; kendi kendine kurulum) kameralar vb.] bol miktarda bulunur. Bu cihazlar akıllı olarak adlandırılsa da, siber güvenlik söz konusu olduğunda genellikle oldukça basittirler ve çoğunda çift faktörlü kimlik doğrulama gibi gelişmiş kontroller varsayılan olarak kapalıdır. Bu cihazların çoğunda mahremiyet ve güvenliğin ev sahibine bırakılması sorunu da vardır ve kontrollere veya seçeneklere sahip olmak, daha derin siber güvenlik bilgisi gerektirmektedir.
Wi-Fi yönlendiricileri de önemli risk vektörleridir. Bu cihazın varsayılan bir şifresi veya yama yapılmamış herhangi bir güvenlik açığı varsa, bilgisayar korsanı ev ağına tam erişim sağlayabilir. Bir bilgisayar korsanı, ev ağına girdikten sonra şifrelenmemiş bilgileri aramak için Wi-Fi trafiğini ‘dinleyebilir,’ evdeki dizüstü bilgisayarlar ve yazıcılar gibi diğer cihazlara geçebilir, hassas telefon görüşmelerini dinleyebilir, bağlı kameralar aracılığıyla kişileri ve ailelerini gözetleyebilir ve hatta alarm sistemlerini ve kapı kilitlerini devre dışı bırakmak suretiyle fiziksel tehditler bile oluşturabilir.
Çoğu zaman, bir ev ağını hacklemenin/yontmanın tek gerçek zorluğu, hedeflenecek doğru olanı bulmaktır. Bu nedenle bir yönetim kurulu üyesinin kişisel IP (Internet Protocol) adresi korunması gereken hassas bir bilgidir. Bir bilgisayar korsanı bu bilgiyi bulabilirse, istismar edilebilecek savunmasız cihazları bulmak için o IP aralığında bir ‘bağlantı noktası tarama’ (port scanning) saldırısı gerçekleştirebilir. Araştırmamız[5], yönetim kurulu üyelerinin ve yöneticilerin %40’ının çeşitli veri komisyoncusu web sitelerinde listelenen ve neredeyse herkesin erişebileceği ev IP adreslerine sahip olduğunu buldu.
2.3. Hedeflenen aile üyeleri (targeted family members)
Yönetim kurulu üyelerinin hesaplarına ve sonuçta şirkete ulaşmanın bir başka yolu da aile üyelerine yönelik hedefli saldırılardır. Bu saldırılar yüksek net değere sahip kişilere karşı giderek daha yaygın hale gelmektedir.
Bilgisayar korsanları, bir kişinin aile üyelerini, sosyal medya gönderileri veya herkese açık biyografiler gibi açık kaynaklı istihbarat araştırmaları yoluyla veya bilgileri doğrudan bir veri komisyoncusundan satın alarak bulabilir. Geçen yıl, yönetim kurulu üyelerinin ve yöneticilerin (analiz ettiğimiz bin kişiden) %95’inin bu web sitelerinde gizli kişisel ve aile bilgilerinin satıldığını tespit ettik[6]. Aynı siteler aynı zamanda kişinin telefon, e-posta ve sosyal medya dâhil olmak üzere iletişim bilgilerini de satarak bilgisayar korsanlarının bu kişileri hedeflemesini kolaylaştırmaktadır.
Bir yönetim kurulu üyesini bir bağlantıya tıklaması veya ciddi bir ihlale yol açabilecek bilgileri paylaşması için kandırmak için gereken tek şey, bir eşten veya çocuktan çalınan bir mesajlaşma hesabıdır. Bazı suç aktörleri, yönetim kurulu üyelerine şantaj yapmak için aile üyelerini gasp (cinsi ilişki şantajı dâhil) ve sanal adam kaçırma (virtual kidnapping) yoluyla hedef alarak bu saldırılarda daha da ileri gidiyor.
3. Hedefli Saldırılara Karşı Savunma
Hedefli kişisel saldırıları önlemenin en iyi yolu yönetim kurulu üyesinin kişisel saldırı yüzeyini azaltmaktır. Bu, hassas bilgilerin ‘web’den kaldırılmasını ve cihazların ve çevrimiçi hesapların sağlamlaştırılmasını içerir.
Kişisel bilgilerin veri aracıları (brokers) tarafından kamuya ifşa edilmesi, günümüzde yönetici siber güvenliğinde en çok gözden kaçan sorunlardan biridir. Yönetim kurulu üyelerinin bu bilgilerin kaldırılması kesinlikle kritik öneme sahiptir. Piyasada yüzlerce veri komisyoncusu olduğundan bu kolay bir iş değildir.
Yönetim kurulu üyelerinin ayrıca kişisel cihazlarını, ev ağını, Nesnelerin İnterneti cihazlarını ve çevrimiçi hesaplarını korumak için birkaç temel adım atması gerekir. Bu, tüm varsayılan şifrelerin güçlü, benzersiz şifrelerle değiştirilmesini ve mümkün olduğunda çift faktörlü kimlik doğrulamanın eklenmesini içerir. Ayrıca tüm cihazlar en son yazılım, donanım yazılımı ve güvenlik yamalarıyla güncel tutulmalıdır. Tüm cihazlarda güçlü bir kötü amaçlı yazılımdan koruma yazılımının ve bu cihazları korumak için ağda bir güvenlik duvarının bulunması da önemlidir.
Nesnelerin İnterneti cihazları bilgisayar korsanları için bir ağ geçidi olabileceğinden, ana Wi-Fi ağının dışında tutulmalı ve bir misafir ağına taşınmalıdır.
Yönetim kurulu üyelerinin ayrıca saldırıya uğrayıp uğramadıklarına değil, ne zaman saldırıya uğrayacaklarına ilişkin bir acil durum planlaması olmalıdır. Bu amaçla, tüm hassas dosya ve bilgilerin şifreli tutulması ve harici sabit sürücüler veya bulut tabanlı yedeklemeler gibi ev ağının dışında tutulan veri yedeklerinin bulunması kritik öneme sahiptir.
Son olarak, yönetim kurulu üyeleri, hizmet verdikleri şirketlerin kişisel hayatlarını ilgilendiren önemli bir siber güvenlik riskini kamuya ifşa etme ihtiyacı duymamaları için ev ağlarının, cihazlarının ve çevrimiçi hesaplarının uygun şekilde korunduğundan emin olmak için düzenli güvenlik değerlendirmeleri yapmalıdır.
[1] < https://finance.yahoo.com/news/hackers-targeting-c-suite-executives-110308190.html >
[2] < https://www.ic3.gov/Media/Y2023/PSA230609 >
[3] < https://www.zdnet.com/article/ransomware-is-scary-but-another-scam-is-costing-victims-much-much-more-says-fbi/ >
[4] < https://www.cnbc.com/2023/05/07/in-a-new-hacking-crime-wave-more-personal-data-is-being-held-hostage.html >
[5] < https://blackcloak.io/99-of-executives-listed-on-more-than-three-dozen-data-broker-websites/ >
[6] < https://www.technewsworld.com/story/pii-of-many-fortune-1000-execs-exposed-at-data-broker-sites-176668.html >
Yavuz Akbulak
1966 yılında, Gence-Borçalı yöresinden göç etmiş bir ailenin çocuğu olarak Ardahan/Çıldır’da doğdu. 1984 yılında yapılan sınavda Gazi Üniversitesi İktisadi ve İdari Bilimler Fakültesi Maliye bölümünü kazandı. 1985 yılında Marmara Üniversitesi İktisadi ve İdari Bilimler Fakültesi Maliye bölümüne yatay geçiş yaptı ve 1988’de Marmara Üniversitesi İktisadi ve İdari Bilimler Fakültesi Maliye bölümünü birincilikle, Fakülteyi ise 11’inci olarak bitirdi.
1997 yılında Amerika Birleşik Devletleri’nin Denver şehrinde yer alan ‘Spring International Language Center’da; 65’inci dönem müdavimi olarak 2008-2009 döneminde Milli Güvenlik Akademisi’nde (MGA) eğitim gördü ve MGA’dan dereceyle mezun oldu. MGA eğitimi esnasında ‘Sınır Aşan Sular Meselesi’, ‘Petrol Sorunu’ gibi önemli başlıklarda bilimsel çalışmalar yaptı.
• Türkiye’de Yatırımların ve İstihdamın Durumu ve Mevcut Ortamın İyileştirilmesine İlişkin Öneriler (Maliye Hesap Uzmanları Vakfı Araştırma Yarışması İkincilik Ödülü);
• Türk Sosyal Güvenlik Sisteminde Yaşanan Sorunlar ve Alınması Gereken Önlemler (Maliye Hesap Uzmanları Vakfı Araştırma Yarışması İkincilik Ödülü, Sevinç Akbulak ile birlikte);
• Kayıp Yıllar: Türkiye’de 1980’li Yıllardan Bu Yana Kamu Borçlanma Politikaları ve Bankacılık Sektörüne Etkileri (Bankalar Yeminli Murakıpları Vakfı Eser Yarışması, Övgüye Değer Ödülü, Emre Kavaklı ve Ayça Tokmak ile birlikte),
• Türkiye’de Sermaye Piyasası Araçları ve Halka Açık Anonim Şirketler (Sevinç Akbulak ile birlikte) ve
• Türkiye’de Reel ve Mali Sektör: Genel Durum, Sorunlar ve Öneriler (Sevinç Akbulak ile birlikte)
başlıklı kitapları yayımlanmıştır.
• Anonim Şirketlerde Kâr Dağıtımı Esasları ve Yedek Akçeler (Bilgi Toplumunda Hukuk, Ünal TEKİNALP’e Armağan, Cilt I; 2003),
• Anonim Şirketlerin Halka Açılması (Muğla Üniversitesi İktisadi ve İdari Bilimler Fakültesi Tartışma Tebliğleri Serisi II; 2004)
ile
• Prof. Dr. Saim ÜSTÜNDAĞ’a Vefa Andacı (2020), Cilt II;
• Prof. Dr. Saim Üstündağ’a İthafen İlmi Makaleler (2021);
• Prof. Dr. Saim Üstündağ’a İthafen İlmi Makaleler II (2021);
• Sosyal Bilimlerde Güncel Gelişmeler (2021);
• Ticari İşletme Hukuku Fasikülü (2022);
• Ticari Mevzuat Notları (2022);
• Bilimsel Araştırmalar (2022);
• Hukuki İncelemeler (2023);
• Prof. Dr. Saim Üstündağ Adına Seçme Yazılar (2024);
• Hukuka Giriş (2024);
• İşletme, Pazarlama ve Hukuk Yazıları (2024),
• İnterdisipliner Çalışmalar (e-Kitap, 2025)
başlıklı kitapların bazı bölümlerinin de yazarıdır.
1992 yılından beri Türkiye’de yayımlanan otuza yakın Dergi, Gazete ve Blog’da 3 bini aşkın Telif Makale ve Telif Yazı ile tamamı İngilizceden olmak üzere Türkçe Derleme ve Türkçe Çevirisi yayımlanmıştır.
1988 yılında intisap ettiği Sermaye Piyasası Kurulu’nda (SPK) uzman yardımcısı, uzman (yeterlik sınavı üçüncüsü), başuzman, daire başkanı ve başkanlık danışmanı; Özelleştirme İdaresi Başkanlığı GSM 1800 Lisansları Değerleme Komisyonunda üye olarak görev yapmış, ayrıca Vergi Konseyi’nin bazı alt çalışma gruplarında (Menkul Sermaye İratları ve Değer Artış Kazançları; Kayıt Dışı Ekonomi; Özkaynakların Güçlendirilmesi) yer almış olup; halen başuzman unvanıyla SPK’da çalışmaktadır.
Hayatı dosdoğru yaşamak ve çalışkanlık vazgeçilmez ilkeleridir. Ülkesi ‘Türkiye Cumhuriyeti’ her şeyin üstündedir.