Sahte BT Çalışanları Kimlik Kontrollerini Aşarak Şirket Ağlarına Erişim Sağlıyor

Kuzey Kore bağlantılı sahte BT çalışanları, kimliklerini gizleyerek uzaktan işlere yerleşiyor ve işe alındıktan sonra şirket ağlarına erişerek veri hırsızlığı ile diğer siber suç faaliyetlerini gerçekleştirebiliyor. ABD Federal Soruşturma Bürosu (FBI), bu kişilerin sahte kimlikler, yapay zekâ destekli profiller, üçüncü taraf aracılar, proxy bilgisayarlar ve farklı ödeme hesapları kullanarak işe alım kontrollerini aşabildiği konusunda şirketleri uyarıyor. Saldırı modelinde özgeçmiş, kimlik belgesi, mülakat, cihaz teslimatı ve bordro kontrollerinin ayrı ayrı geçilmesi, hesabı gerçekten kimin kullandığını kanıtlamak için tek başına yeterli olmayabiliyor.

Sahte Çalışanlar Kimlik Doğrulamasını Gerçek Kullanıcı Doğrulamasından Ayırıyor

İşe alım sırasında incelenen kimlik belgesi gerçek bir kişiye ait olsa bile şirket, hesabı kullanan kişinin aynı kişi olduğunu otomatik olarak doğrulamış olmuyor. Kuzey Koreli BT çalışanlarının kullandığı operasyonlarda çalınmış kimlikler, başkalarının bilgileriyle oluşturulan hesaplar ve üçüncü tarafların sağladığı adresler bu boşluğu kullanırken FBI, bazı vakalarda sahte adayların gerçek kişilerin kimlik bilgilerini kullanarak şirketlerde uzaktan görev aldığını bildiriyor.

İşe alım ekibinin gördüğü özgeçmiş adayın teknik geçmişini gerçek gösterebilirken yapay zekâ destekli sahte profiller sosyal medya hesaplarını, iletişim dilini ve mesleki geçmişi daha inandırıcı hale getirebiliyor. FBI ayrıca Kuzey Koreli BT çalışanlarının video mülakatlarında yapay zekâ ile yüz değiştirme teknolojilerinden yararlandığını belirtiyor.

Şirket tarafından gönderilen dizüstü bilgisayarın ABD’deki bir adrese ulaşması, cihazın gerçekten işe alınan kişi tarafından kullanılacağını garanti etmiyor. FBI’ın tespitlerine göre ABD’deki kolaylaştırıcılar şirket cihazlarını teslim alabiliyor, cihazları sürekli açık tutabiliyor, uzaktan masaüstü bağlantılarını kurabiliyor ve Kuzey Kore’deki çalışanların bilgisayarlara uzaktan erişmesine aracılık edebiliyor.

Üçüncü taraf aracılar yalnızca cihaz teslimatıyla sınırlı kalmayarak yerel internet bağlantısı, iş arama platformu hesapları ve finansal hesaplar da sağlayabiliyor. Böylece şirketin adres doğrulaması, cihaz teslimatı ve ağ erişimi gibi ayrı kontrolleri aynı operasyon içinde birbirini tamamlayan parçalar haline geliyor.

Çalışanın bağlantısının ABD’den geliyor görünmesi, kişinin fiziksel olarak ABD’de bulunduğunu kanıtlamıyor. Proxy altyapısı, VPN hizmetleri ve uzaktan masaüstü yazılımları, yurtdışındaki bir kullanıcının şirket tarafından teslim edilen yerel bilgisayar üzerinden çalışmasına olanak sağlayabiliyor.

FBI, kısa süre içinde farklı ülkelerle ilişkilendirilen IP adreslerinden aynı hesaba yapılan çok sayıda girişin önemli bir uyarı işareti olduğunu belirtiyor. Kurum ayrıca şirketlerin uzak bağlantıları, yasaklanmış uzaktan masaüstü yazılımlarını ve olağandışı ağ trafiğini izlemesini öneriyor.

Bordro sürecinde adayın adı ile ödeme hesabının sahibinin farklı olması, sahte çalışan operasyonlarında önemli bir risk göstergesi oluşturuyor. FBI, bazı Kuzey Koreli BT çalışanlarının ABD’deki üçüncü tarafların finansal hesaplarını kullandığını ve bu aracılara elde edilen gelirden pay verdiğini belirtiyor.

İşe alım platformlarındaki telefon numaraları ile e-posta adresleri de benzer bağlantıları ortaya çıkarabiliyor. FBI, farklı adaylara ait görünen birden fazla özgeçmişte aynı telefon numarası veya e-posta adresinin yeniden kullanıldığını tespit ettiğini bildirirken şirketlerin aday iletişim hesaplarını da kontrol etmesini tavsiye ediyor.

Şirket ağına erişim sağlayan sahte çalışanlar yalnızca maaş elde etmekle sınırlı kalmayabiliyor. FBI, Kuzey Koreli BT çalışanlarının GitHub gibi kaynak kod depolarını kendi hesaplarına veya kişisel bulut depolama alanlarına kopyaladığını, hassas şirket verilerini dışarı çıkardığını ve bazı vakalarda çalınan kod ile verileri yayımlamakla tehdit ederek şantaj yaptığını belirtiyor.

Kurumsal güvenlik açısından tehdit, geleneksel bir dış saldırıdan farklı olarak yetkili bir çalışan hesabının normal davranışları içine saklanabiliyor. Saldırganın geçerli kimlik bilgileriyle sisteme girmesi, güvenlik ekiplerinin yalnızca başarısız oturum açma girişimlerine odaklandığı ortamlarda kötüye kullanımı daha zor fark edilir hale getiriyor.

Kimlik belgesi doğrulaması, adayın sunduğu belgenin gerçek olduğunu gösterebilir ancak belgenin çalınmadığını veya belgeyi sunan kişinin gerçek sahibi olduğunu tek başına kanıtlamaz. Kurumların daha güçlü bir onboarding sürecinde kimlik belgesi doğrulamasını kişinin fiziksel varlığını doğrulayan biyometrik canlılık kontrolüyle desteklemesi, iki ayrı güvenlik katmanı oluşturuyor.

Canlılık tespiti, kameranın karşısında gerçek bir kişinin bulunduğunu doğrulamaya çalışırken fotoğraf, kayıt veya manipüle edilmiş görüntü kullanımına karşı ek kontrol sağlıyor. Kimlik belgesi doğrulaması ile biyometrik canlılık kontrolünün birlikte uygulanması, yalnızca belgeye veya yüz eşleşmesine güvenen süreçlere kıyasla aday ile hesabı kullanan kişi arasındaki bağlantıyı daha güçlü biçimde doğrulamaya yardımcı oluyor.

Uzaktan işe alım güvenliği yalnızca adayın kabul edildiği ana bırakıldığında saldırganlar sonraki aşamalardaki kontrolleri kullanarak gerçek çalışma konumlarını gizleyebiliyor. FBI, işe alım, onboarding ve çalışma sürecinin tamamında kimlik doğrulamasının sürdürülmesini; adres değişikliklerinin, ödeme bilgilerindeki farklılıkların, aynı kimlikle açılan hesapların ve kısa süre içinde farklı ülkelerden gerçekleşen girişlerin izlenmesini öneriyor.

Türkiye’deki uzaktan çalışan istihdam eden şirketler açısından da aynı model, özellikle kaynak kodu, bulut yönetimi, müşteri verileri veya üretim sistemlerine erişen BT personeli için önem taşıyor. İnsan kaynakları kontrollerinin BT erişim politikalarıyla birleştirilmesi, şirket cihazlarının teslim edildiği adresin doğrulanması ve ayrıcalıklı hesapların en az yetki ilkesiyle sınırlandırılması, sahte çalışanların işe girdikten sonra oluşturabileceği etkiyi azaltıyor.

FBI’ın son uyarıları, modern işe alım süreçlerinde güvenlik sınırının artık yalnızca adayın kimliğini doğrulamaktan geçmediğini ortaya koyuyor. Kurumların asıl sorusu, işe alınan kişinin gerçekten kim olduğu kadar verilen hesabı, cihazı ve yetkileri çalışma süresince gerçekten kimin kullandığı olmalı; özellikle uzaktan BT rollerinde kimlik, cihaz, konum ve hesap davranışının birlikte doğrulanması giderek daha önemli hale geliyor.