Çalışan Savunuculuğu ve Bilgi Güvenliği: Aşırı Paylaşımın Zorlukları ve Korunma Stratejileri

Kurumsal savunuculuk, uzun süredir iş dünyasının dikkatini çeken bir kavramdır. İyi niyetle başlayan bu uygulama, düşünce liderliğini güçlendirmek ve pazarlamayı desteklemek amacıyla paylaşımları artırırken, bazı istenmeyen sonuçları da beraberinde getirebilir. Siber güvenlik alanında önde gelen ESET, paylaşımlarda dikkat edilmesi gereken noktaları vurgulayarak önemli uyarılar yapıyor.

Profesyonellerin işlerini, şirketlerini ve rollerini dile getirirken benzer düşünen kişilerle birlikte potansiyel müşterilere ve ortaklara ulaşmayı hedeflediği görülür. Kamuya açık olduğu düşünülen bu bilgiler, kötü niyetli aktörler tarafından hedefli kimlik avı (spearphishing) veya iş e-postası dolandırıcılığı (BEC) gibi saldırılar için kullanılabilir. Ne kadar çok bilgi paylaşılıyorsa, kuruluş için o kadar çok tehdit doğar. Şirket bilgileri nerede paylaşılıyor? En belirgin örneklerden biri LinkedIn’dir; dünyanın en büyük açık kurumsal bilgi veri tabanlarından biri olan LinkedIn, iş ilanları ve profesyonel profiller aracılığıyla ayrıntıların aşırı paylaşılmasına zemin hazırlar. Ayrıca GitHub, siber güvenlik bağlamında sabit kodlanmış anahtarlar, IP adresleri ve müşteri verileri gibi bilgilerin sızmasına yol açabilir. Tüketici odaklı platformlar olan Instagram ve X üzerinde de çalışanlar, konferans ve etkinliklerle ilgili seyahat planlarını paylaşabilir; bu bilgiler, kötü niyetli aktörlerin elinde silah haline gelebilir.

Güçlü bir soru ortaya çıkar: Şirket bilgileri silah olarak kullanılır mı? Tipik bir sosyal mühendislik saldırısının ilk adımı, bilgi toplamak üzerinedir. İkinci adımda ise elde edilen bu istihbarat, alıcıyı cihazına zararlı yazılım yüklemeye ikna etmek veya kurumsal kimlik bilgilerini paylaşmaya zorlamak amacıyla spearphishing ya da diğer dolandırıcılık yöntemlerine karşı kullanılabilir. Bu bilgiler, e-posta, SMS veya telefon görüşmeleri üzerinden de kullanılabilir ve bazen bir C‑seviye yöneticinin veya bir tedarikçinin kimliğine bürünerek acil bir havale talebinde bulunulabilir.

Aşırı paylaşımdan doğan risklere karşı en güçlü silah: eğitim Güvenlik farkındalığını artırmak için yönetimden çalışanlara kadar herkesin sosyal medya üzerinde aşırı paylaşım yapmamanın önemini kavraması gerekir. Bu çerçevede, kullanıcıları tanıdıkları durumlarda dahi istenmeyen mesajları kabul etmemeye yönlendirmek, phishing, BEC ve derin sahte (deepfake) girişimlerini tanıma becerisini güçlendirmek için kritik öneme sahiptir. Katı bir sosyal medya politikası ile paylaşılabilir ve paylaşılmaması gereken bilgiler arasındaki kırmızı çizgileri netleştirmek gerekir. Ayrıca kurumsal web siteleri ve hesapları üzerinden silah olarak kullanılabilecek bilgilerin kaldırılması için periyodik gözden geçirme yapılmalıdır. Özellikle profesyonel hesaplar, hesapların ele geçirilme riskine karşı çok faktörlü kimlik doğrulama (MFA) ve güçlü parolalar (parola yöneticisinde saklanması) ile korunmalıdır. Spearphishing ve BEC için kullanılabilecek herhangi bir bilgi halkalı hesaplarda sürekli izlenmelidir.