Bir çalışan sabah panele girdiğinde parolasının kabul edilmediğini söylüyor. Ya da bir müşteri, acentenin e-posta adresinden gelen garip bir ödeme talebini soruyor. Belki yönetici, işlem kayıtlarında bir kullanıcının gece saatlerinde tanınmayan bir cihazdan yoğun kayıt görüntülediğini fark ediyor. Bu durumların ortak noktası, bir kullanıcı hesabının başkası tarafından kullanılıyor olabileceği şüphesidir.
Böyle bir anda ilk dakikalarda atılan adımlar, olayın küçük bir sorun olarak kalmasıyla geniş bir veri ihlaline dönüşmesi arasındaki farkı belirleyebilir. Bu yazı, kapsamlı bir olay müdahale planının yerini tutmaz; yöneticinin şüphe anında elinin altında bulunması gereken, sıralı ve pratik bir ilk müdahale rehberi sunar.
Şüpheyi ciddiye almak
Hesap ele geçirme şüphesinde en sık yapılan hata, kesin kanıt beklemektir. "Belki çalışan kendisi girmiştir" ya da "muhtemelen bir sistem hatasıdır" düşüncesiyle geçen her saat, saldırgana veri toplama ve iz silme fırsatı verir. İlk müdahale adımlarının çoğu geri alınabilir niteliktedir: Bir oturumu sonlandırmak ya da parolayı değiştirmek, şüphe yersiz çıksa bile yalnızca kısa bir rahatsızlık yaratır. Bu nedenle makul bir şüphe, harekete geçmek için yeterlidir.
İlk müdahale sırası
- Durumu ve zamanı not edin: Şüpheyi neyin tetiklediğini, ne zaman fark edildiğini ve kimin bildirdiğini yazın. Bu not, sonraki tüm adımların başlangıç noktasıdır.
- Kullanıcıyla bilinen bir kanaldan konuşun: Çalışana, şüpheli e-posta veya mesaj üzerinden değil, bilinen telefon numarasından ya da yüz yüze ulaşın. İlgili işlemleri kendisinin yapıp yapmadığını sorun.
- Tüm oturumları sonlandırın: Kullanıcının web paneli ve mobil uygulamadaki tüm açık oturumlarını kapatın. Saldırgan oturum açık durumdaysa erişimi bu adımla kesilir.
- Parolayı sıfırlayın: Parolayı yeni ve benzersiz bir parolayla değiştirin. Kullanıcının aynı parolayı başka hizmetlerde kullandıysa oralarda da değiştirmesini sağlayın.
- Doğrulama yöntemlerini gözden geçirin: Hesaba kayıtlı çok faktörlü doğrulama yöntemlerini kontrol edin. Saldırgan kendi cihazını ikinci doğrulama yöntemi olarak eklemiş olabilir; tanınmayan yöntemleri kaldırın ve kullanıcının yöntemlerini yeniden kaydedin.
- Gerekirse hesabı geçici olarak askıya alın: Kullanıcıya ulaşılamıyorsa ya da durum netleşmiyorsa hesabı geçici olarak devre dışı bırakın.
Etkinin kapsamını belirlemek
Erişim kesildikten sonra, saldırganın hesapla neler yaptığını anlamak gerekir. İşlem kayıtları bu aşamada temel kaynaktır:
- Şüpheli dönemde hangi müşteri kartları görüntülendi?
- Dışa aktarım veya toplu indirme yapıldı mı?
- Hangi teklifler hazırlandı; trafik, kasko veya DASK akışlarında olağan dışı sorgular var mı?
- Kullanıcı ayarlarında, yetkilerde veya iletişim bilgilerinde değişiklik yapıldı mı?
- Maskeli alanlar talep üzerine açıldı mı?
- Hesap, başka kullanıcılara mesaj veya görev göndermek için kullanıldı mı?
Bu sorulara verilen yanıtlar, olayın ne kadar ciddi olduğunu ve hangi ek adımların gerektiğini belirler.
Bağlantılı hesapları düşünmek
Bir hesabın ele geçirilmesi çoğu zaman tek başına bir olay değildir. Çalışanın parolası bir oltalama e-postasıyla ele geçirildiyse, aynı e-posta başka çalışanlara da gönderilmiş olabilir. Çalışanın e-posta hesabı da ele geçirilmişse, saldırgan buradan acentenin müşterilerine veya sigorta şirketlerine mesaj gönderebilir. Bu nedenle şu kontroller de yapılmalıdır:
- Çalışanın e-posta hesabında tanınmayan oturumlar, yönlendirme kuralları veya gönderilmiş şüpheli iletiler var mı?
- Aynı dönemde başka kullanıcılarda da başarısız giriş veya yeni cihaz sinyalleri görülüyor mu?
- Çalışanın erişebildiği sigorta şirketi portal kimlik bilgileri varsa, bunların yenilenmesi gerekiyor mu?
Yazılım sağlayıcısını bilgilendirmek
Kullandığınız acente yazılımının sağlayıcısına olayı bildirmek, hem ek kayıtlara erişim hem de benzer saldırıların diğer hesaplarda tespit edilmesi açısından faydalıdır. Bildirimde etkilenen kullanıcı, şüphenin başladığı zaman, alınan önlemler ve fark edilen olağan dışı işlemler paylaşılmalıdır. Bu bilgileri paylaşırken parola veya doğrulama kodu gibi hassas bilgileri iletmemeye dikkat edin.
Müşteri ve hukuki boyut
İnceleme sonucunda müşteri verisine yetkisiz erişim olduğu anlaşılırsa, kişisel veri ihlaline ilişkin yükümlülükler gündeme gelebilir. Bu yükümlülüklerin kapsamı ve süreleri hukuki değerlendirme gerektirir; bu nedenle hukuk danışmanının erken aşamada bilgilendirilmesi önerilir. Saldırganın acente adına müşterilere mesaj gönderdiği tespit edilirse, müşterilerin bu mesajlara itibar etmemesi için açık ve sakin bir bilgilendirme yapılması da gerekebilir.
Kaçınılması gerekenler
- Çalışanı suçlayarak başlamak: Hesabı ele geçirilen çalışan çoğu zaman bir saldırının hedefidir. Suçlayıcı bir tutum, gelecekte olayların gizlenmesine yol açar.
- Kayıtları silmek veya cihazı hemen sıfırlamak: Olayı anlamak için gereken izler kaybolur.
- Yalnızca parolayı değiştirmekle yetinmek: Açık oturumlar ve saldırganın eklediği doğrulama yöntemleri, parola değişikliğine rağmen erişimin sürmesine izin verebilir.
- Olayı kapatıp ders çıkarmamak: Hesabın nasıl ele geçirildiği anlaşılmadan aynı yol tekrar kullanılabilir.
Tüm bu adımların kim tarafından, hangi saatte atıldığının kısa bir zaman çizelgesi halinde tutulması, hem sonraki incelemeyi hem de olası bildirim süreçlerini kolaylaştırır.
Olay sonrası güçlendirme
İlk müdahale tamamlandıktan sonra, olayın kök nedenine göre kalıcı önlemler alınmalıdır. Oltalama kaynaklı bir olaysa, kimlik avına dayanıklı doğrulama yöntemlerine geçiş ve ekip bilgilendirmesi gündeme alınabilir. Tekrar kullanılan parolalar etkili olduysa parola politikası gözden geçirilebilir. Tespit gecikmişse işlem kayıtlarının inceleme rutini sıklaştırılabilir. Web paneli ve mobil uygulama oturumlarının tek ekrandan yönetilmesi, bir sonraki müdahalenin hızını doğrudan etkiler.
Hazırlıklı yönetici, kısa olay
Hesap ele geçirme şüphesi her acentenin karşılaşabileceği bir durumdur. Önemli olan bu anı hazırlıksız yakalanmadan, sakin ve sıralı adımlarla yönetebilmektir. Kullanıcı oturumlarını, doğrulama yöntemlerini ve işlem kayıtlarını yönetici ekranlarından nasıl kontrol edebileceğinizi görmek için demo talep formunu doldurabilirsiniz.