Güvendiğiniz mesaj, güvendiğiniz kişiden mi geliyor?

Apartman yöneticisinden gelen bir mesajı düşünün: 'Aidatlar için bu hesaba yatırın.' Çoğumuz sorgulamadan yatırırız, çünkü mesaj tanıdık bir yerden geliyor ve beklediğimiz bir şey söylüyor. Siber saldırganlar bu sıradan güveni çok iyi biliyor. Bu hafta Binance'in anlattığı olayın bir halkası tam olarak bunun üzerine kurulmuş: meşru bir iş arama platformunda bir 'Proje Direktörü' mesajı.

İş arayan biri ya da daha iyi bir fırsata açık biri, görüşme davetini geri çevirmez. Görüşme yapılıyor; önce bir İK temsilcisi ile video görüşme, ardından var olmayan bir şirketin CEO'su olduğunu söyleyen biriyle ikinci görüşme. Binance'in anlattığına göre İK temsilcisi güven kurmak için bir sosyal medya hesabı paylaşıyor, kişisel fotoğraflar ve videolarla dolu. Bunlar sahtekârlığın işareti değil, tam tersine güven inşasının araçları. Bizim 'gerçek insan' dediğimiz şey, ekranda birkaç fotoğraf ve birkaç video.

Sonra 'ödev' geliyor. Görüşmenin sonunda mühendisten bir kod deposunu çalışma bilgisayarına indirmesi isteniyor. Bu istek, bir iş görüşmesinde tuhaf değil; birçok teknik görüşme gerçekten bir ödev veya küçük bir projeyle devam eder. Kurulum sırasında kod çalışıyor. Ortada kimsenin 'tıklama hatası' diye suçlayabileceği bir an yok; olağan bir görüşme akışı var.

Burada insanı suçlamak en kolay yol, ama en yanlışı. Çalışanın hatası, bir görüşme davetinde nazik ve açık olmaktı. Şirketin görevi, bu nezaketi bir güvenlik zaafına dönüştürmemek. Yani çalışan iş görüşmesinde 'ödevi' kendi kişisel bilgisayarında ya da yalıtılmış bir ortamda açabilmeli ve kimse bunun için ondan gerekçe istememeli. Güvenlik kültürü, doğru davranışı kolay davranış yapmaktır.

Evde de aynı şey geçerli. Gençlerimiz yarı zamanlı iş ilanlarına, aile bireylerimiz 'size özel yatırım fırsatı' mesajlarına açık. Onlara 'hiçbir şeye tıklamayın' demek işe yaramaz; çünkü hayat tıklamayı gerektiriyor. İşe yarayan, bir mesajı ikinci bir kanaldan doğrulamayı alışkanlık hâline getirmek: teklif eden kişiyi şirketin resmî sitesindeki numaradan aramak, dosyaları ana bilgisayarda değil ayrı bir cihazda açmak.

Evdeki mutfak masasında da bunun bir karşılığı var: çocuğunuz internetten tanıştığı biri için bir dosya indirmek istediğinde 'neden' diye sorduğunuzda tartışma çıkmasın, 'hadi birlikte bakalım' diyebilin. Aynı cümle şirkette bir yönetici ile ekibi arasında kurulabilirse, saldırganın en güvendiği boşluk, yani utanç ve acele, kapanmaya başlar. Güvenlik biraz da birbirine soru sormayı ayıp saymamaktır.

Bu hafta okuduğum en önemli cümle Binance'in kendi cümlesiydi: 'Bu tek bir izole ihlal ya da basit bir kimlik avı olayı değildi.' Evet; ama bir halkası basit bir insan güveniydi. Bu yüzden bu olaydan çıkaracağımız ders teknik olduğu kadar insani: çalışanlarınıza güvenlik eğitimi verirken onları şüpheci olmaya değil, doğrulamayı kolay ve utanç verici olmayan bir hâle getirmeye davet edin. İş görüşmesinde 'bunu önce güvenlik ekibine göstereyim' diyebilmek, bir şirketin sahip olabileceği en değerli refleks.