Sahte aramayla yön değiştirilen mücevher kargolarına uyarı

Erdal OĞUZ | Kuyumcum
NEW YORK / ABD 
 Jewelers’ Security Alliance, çalışan veya müşteri gibi davranan kişilerin yüksek değerli mücevher kargolarını meşru adresten başka bir teslim noktasına yönlendirdiği yeni dolandırıcılık vakalarına karşı sektör işletmelerini uyardı.
10 Eylül tarihli uyarı ABD’deki vakalara dayanıyor; yöntem Türk tedarikçi ve ihracatçılar için de tanıdık bir zayıflığı hedefliyor: arayan kişinin içeriden bilgi biliyor görünmesi, acil sevk talebi ve teslimattan sonra taşıyıcıya yapılan adres değişikliği.
Arayanlar şirket içi ayrıntıları önceden topluyor
IDEX’in aktardığı Jewelers’ Security Alliance açıklamasına göre birlik son dönemde aynı yöntemle yürütülen çok sayıda ihbar aldı. Arayan kişiler çalışan veya müşteri kimliğine bürünüyor; hedef şirketin personel adlarını, sevkiyat usullerini, stok bilgisini ve çevrim içi listelenmiş ürün kodlarını önceden araştırıyor.
Bu ayrıntılar çağrının inandırıcılığını yükseltiyor. Bir çalışan, arayan kişinin doğru mağaza adını, ürün kodunu veya meslektaşının adını bilmesini kimlik doğrulaması sanabiliyor. Oysa bu bilgilerin önemli bölümü şirket sitesi, sosyal medya, e-ticaret sayfası, açık katalog veya önceki telefon görüşmelerinden toplanabiliyor.
JSA’nın tanımladığı sosyal mühendislik, teknik sisteme girmek yerine çalışanı olağan süreçten sapmaya ikna ediyor. Dolandırıcı için amaç, siparişin ilk aşamada meşru görünmesini sağlamak. Böylece şirket paketi kendi eliyle hazırlar ve güvenilir bir taşıyıcıya teslim eder.
Kargo önce gerçek adrese, sonra başka noktaya dönüyor
Uyarıya göre saldırganlar yüksek değerli bir ürünün gece teslimatıyla meşru görünen adrese gönderilmesini istiyor. Paket taşıyıcıya verildikten sonra FedEx, UPS veya başka bir kargo firmasıyla temasa geçerek teslimat adresini kendi kontrol ettikleri noktaya çevirmeye çalışıyor. İlk sipariş adresi doğru olduğu için sevkiyat öncesi kontrol tek başına yetmiyor.
Çok şubeli işletmelerde yöntemin başka bir biçimi kullanılıyor. Arayan kişi farklı şubedeki müdür, satış danışmanı veya sevkiyat çalışanı olduğunu söylüyor ve pahalı ürünün acilen başka şubeye gönderilmesini istiyor. Paket talep edilen gerçek şubeye yönelse bile taşıma aşamasında adresi değiştirilmeye çalışılıyor.
Tedarikçi hedefli varyantta ise kişi bir kuyum mağazası çalışanı gibi davranıp ürünü mağaza adresine sipariş ediyor. Amaç yine taşıyıcının sisteminde sonradan değişiklik yapmak. Bu nedenle “adres müşterimizin gerçek mağazası” kontrolü önemli olsa da tek başına koruma sağlamıyor.
Bağımsız geri arama ve adres kilidi birlikte kurulmalı
JSA, yüksek değerli sevkiyat veya olağan dışı işlem talebinde arayan kişinin kimliğinin bağımsız kanaldan doğrulanmasını öneriyor. Doğrulama, arayanın verdiği numaraya dönmek değil; şirketin daha önce kayıtlı resmî numarasını veya tanınan yetkiliyi kullanarak ayrı bir temas kurmak anlamına geliyor. Bilinmeyen kişilere personel, stok, sevk usulü ve takip numarası verilmemesi de uyarının parçası.
Türk tedarikçi için bu tedbir taşıyıcıyla yapılan sözleşmeye de yazılabilir: gönderici onayı olmadan adres değişikliği yapılmaması, yüksek değerli paketin şubeden teslim alınamaması, takip numarasının sınırlı kişilerle paylaşılması ve değişiklik taleplerinin çift onayla kayda girmesi. E-posta alan adının benzer görünmesi veya WhatsApp profil fotoğrafı kimlik doğrulaması sayılmamalı.
Olay yaşanırsa telefon numarası, saat, talep metni, paket numarası, taşıyıcıyla görüşme kaydı ve adres değişikliği zamanı korunmalı. Hızlı delil kaydı, hem kargonun durdurulması hem de sigorta ve kolluk süreci açısından sözlü anlatımdan daha değerlidir.
Şirketin internet sitesinde herkese açık personel ve stok bilgisinin miktarı da gözden geçirilmeli. Ürün kodunun aramada görünmesi satış için yararlı olabilir; ancak kodla birlikte şube stok durumu, sorumlu çalışan adı ve sevkiyat günü yayımlanıyorsa saldırganın senaryosu kolaylaşır. E-ticaret görünürlüğü tamamen kapatılmadan, operasyon bilgisi müşteri bilgisinden ayrılabilir.
Acil sevkiyat taleplerinde istisna yetkisinin kimde olduğu önceden belirlenmeli. Müşteri veya yönetici baskısıyla normal doğrulama adımını atlayan çalışan tek başına sorumlu bırakılmamalı; sistem acil işlemi de aynı çift onaydan geçirecek şekilde kurulmalı. Güvenlik, çalışan cesaretine değil süreç tasarımına dayanır.