Çerezlerin kurbanı olmayın: Kaspersky, web oturumu ele geçirme tehdidinin yaklaştığı konusunda uyarıyor

Kaspersky’nin yeni raporuna göre rastgele seçilen web sitelerinin %87’sinde çerez bildirimleri görüntüleniyor, lakin birçok kullanıcı bu küçük data belgelerinin oluşturduğu tehditlerin farkında değil. Çerezler, web sitelerinin fonksiyonelliğini artırmak ve kullanıcı etkinliklerini izlemek için tarayıcılar tarafından depolanan metin belgeleridir. Lakin bazen siber taarruzların gayesi haline de gelirler. Bu tıp tehditlerden biri olan oturum kimliği ele geçirme, saldırganların kullanıcıların web sitelerindeki etkin oturumlarına yetkisiz erişim sağlamasına aracı olur. Bu teknik, saldırganlara hassas datalara erişim yahut hedeflenen kişi ismine yetkisiz süreçler yapma üzere hareketler gerçekleştirme imkanı verebilir. GDPR ve öbürleri üzere data toplama konusunda şeffaflığı zarurî kılan global düzenlemelerle birlikte, raporda şahsî ve kurumsal bilgileri berbata kullanımdan korumak için sağlam bir çerez idaresinin kritik kıymeti vurgulanıyor.

Web sitesinin yapılandırmasına bağlı olarak çerez evrakları tarama tercihleri, telefon numaraları yahut ödeme bilgileri üzere ferdî detaylar, hatta oturum açma kimlik bilgileri dahil olmak üzere çeşitli bilgiler depolayabilir. Saldırganlar, bir web sitesinde kullanıcının oturumunu ele geçirmek için bu çerezleri çalabilirler. Örneğin, oturum dinleme tekniği ile saldırganlar, kamuya açık Wi-Fi ağında yahut site HTTPS yerine HTTP protokolünü kullanıyorsa kullanıcının oturum kimliğini ele geçirebilir. Çapraz site komut evrakı (XSS), saldırganların bir web sitesine berbat hedefli komut evrakları enjekte etmesine imkan tanır. Bu komut belgeleri, kullanıcının tarayıcısında çalıştırılarak oturum kimliklerini yahut öbür çerez bilgilerini çalar. Oturum sabitleme, saldırganlar tarafından kurbanları evvelce ayarlanmış bir oturum kimliği kullanmaya yönlendirmek için kullanılır ve kimlik doğrulamasının akabinde hesaplarına erişim sağlar.

Gerçek hayatta bir saldırgan, bir çevrimiçi mağazaya giriş yapmış kullanıcının oturum kimliğini ele geçirirse, örneğin oturum hesabın ödeme ayarlarına erişim müsaadesi veriyorsa, gönderim adresini alabilir yahut kullanıcının ödeme bilgilerine erişebilir. Bu yüzden oturum kimliği ele geçirme, saklılık ihlallerine, mali kayıplara, hesap güvenliğinin tehlikeye girmesine ve hatta kimlik hırsızlığına yol açabilir. Saldırgan, kullanıcının hesabını berbata kullanarak düzmece bildiriler gönderdiğinde yahut yetkisiz paylaşımlar yaptığında, kullanıcı prestij kaybına da uğrayabilir.

Kaspersky’nin Kıdemli Web İçeriği Analisti Natalya Zakuskina, şunları söylüyor: “Çerezler, şahsileştirilmiş ayarlardan oturum açma sürecini kolaylaştırmaya kadar her şeyi mümkün kılan, sıkıntısız çevrimiçi tecrübelerin temelidir. Lakin dikkatli kullanılmadıkları takdirde siber saldırganların amacı haline gelirler. Uygun güvenlik tedbirleri alınmadığında, saldırganlar oturum kimliklerini kullanarak kullanıcı hesaplarını ele geçirebilir, hassas bilgileri çalabilir ve hatta web sitesi etkileşimlerini manipüle edebilir. Bu nedenle, geliştiricilerin güvenlik tedbirlerine öncelik vermesi ve kullanıcıların dijital ayak izlerini korumak için proaktif davranması zaruridir.” 

Bu üzere tehditlere karşı koymak için Kaspersky, aşağıdakileri tedbirleri tavsiye ediyor:

• HTTP tabanlı web sitelerini taramaktan kaçının ve bu web sitelerine hassas bilgilerinizi asla girmeyin. Bu bilgiler basitçe ele geçirilebilir. Ayrıyeten sanal özel ağ (VPN) olmadan halka açık Wi-Fi ağlarını kullanırken hassas yahut bâtın bilgileri paylaşmaktan kaçının.
• Mümkün olduğunda asgarî çerez kabulünü seçin. Tarayıcının çerezlerini ve önbelleğini nizamlı olarak temizlemeyi unutmayın.
• İki faktörlü kimlik doğrulamayı aktifleştirin. Kuşkulu irtibatlara tıklamayın ve tarayıcı bilgilerini nizamlı olarak temizleyin.
• Web sitesi geliştiricileri HTTPS’yi devreye almalı, HttpOnly ve Secure bayraklarını kullanmalı, CSRF belirteçlerini uygulamalı ve kriptografik olarak inançlı oturum kimliği oluşturmayı benimsemelidir.

Kaynak: (BYZHA) Beyaz Haber Ajansı