Kimlik avı kampanyası · Finans direktörü (SOC'a iletilen dahili şikayet)

Tedarikçi faturası kılığında hedefli dolandırıcılık

Orta

İSTİHBARAT SORUSUFinans ekibine gelen 'güncellenmiş IBAN' e-postası gerçek bir tehdit mi, kurumu etkiler mi?

Finans ekibinden bir ödeme uzmanı, düzenli çalıştığınız bir tedarikçiden geldiğini düşündüğü bir e-postayla IBAN değişikliği talebi aldığını bildirdi. Ödeme henüz yapılmadı ama e-posta ikna edici görünüyor: gerçek yazışma zincirinin içine yerleştirilmiş.

İK olayının aksine burada tek bir kampanya listesi yok; kendi topladığın e-posta başlıkları, bir tehdit raporu, bir sandbox özeti ve pasif DNS kaydını birleştirip karar vermen gerekiyor.

Tehdit istihbaratı raporu

İş e-postası ele geçirme (BEC) kampanyaları — bölgesel özet

Sektörel Bilgi Paylaşım Merkezi · 2026-09-10

Son dönemde saldırganlar, tedarikçi hesaplarını doğrudan ele geçirip mevcut e-posta zincirine sızıyor; yeni bir kimlik avı e-postası göndermek yerine gerçek yazışmaya 'yanıt' şeklinde IBAN değişikliği talebi ekliyorlar.

Bu yöntem, klasik sahte alan adı kontrollerini atlatıyor çünkü gönderen adresi gerçek tedarikçiye ait. Ele geçirme genellikle tedarikçi tarafında daha önce yaşanmış bir kimlik avıyla başlıyor.

Saldırgan, orijinal yazışmaya bir e-posta iletme (forwarding) kuralı ekleyerek gelecekteki mesajları da görmeye devam ediyor; bu da tespiti zorlaştırıyor.

Gösterge (IOC) listesi

Şüpheli e-postadan çıkarılan başlık bilgileri

SOC iç analiz · 2026-09-21

Değer	Tür	Not
[email protected]	E-posta	Gerçek tedarikçi adresi — mesaj bu adresten görünüyor
185.199.108.153	IP adresi	Gönderen sunucunun gerçek IP'si (tedarikçinin bilinen posta sunucusu değil)
guncel-iban-bildirimi.example	Alan adı	E-posta içindeki 'belgeyi görüntüle' bağlantısının hedefi

Sandbox analiz özeti

'Belgeyi görüntüle' bağlantısının incelenmesi

Özet b7e2f4a6c8d0… · 2026-09-21

Sonuç: Sahte 'güvenli belge' giriş sayfası — kurumsal e-posta hesabı hedefli

Süreç ağacı

tarayıcı → sayfa render
sayfa üzerinde 'Office 365 ile görüntüle' butonu

Ağ etkinliği

GET https://guncel-iban-bildirimi.example/belge — Microsoft 365 giriş ekranının kopyası
POST https://guncel-iban-bildirimi.example/oturum — girilen kurumsal e-posta/şifre iletiliyor
Sayfa, IBAN bilgisi içermiyor; asıl amaç finans çalışanının e-posta hesabını ele geçirmek görünüyor

Dosya notları

Kalıcı dosya yok; tamamen sayfa içi kimlik avı

Pasif DNS kaydı

guncel-iban-bildirimi.example için pasif DNS geçmişi

2 kayıt

Alan adı	IP	İlk görülme	Son görülme
guncel-iban-bildirimi.example	198.51.100.77	2026-09-19	2026-09-21
guncel-iban-bildirimi.example	198.51.100.201	2026-09-21	2026-09-21

Whois sorgusu

tedarikci-firma.example kayıt bilgisi (karşılaştırma amaçlı)

tedarikci-firma.example

Kayıt şirketi	Kurumsal Kayıt Ltd.
Tescil tarihi	2014-03-02
Güncelleme	2025-11-04
Kayıt sahibi	Tedarikçi Firma (bilinen, uzun süredir kayıtlı)
İsim sunucuları	ns1.tedarikci-firma.example, ns2.tedarikci-firma.example
Gizlilik koruması	Yok