Bankanızdan geldiğini sandığınız bir e-posta, kargo firmasından gelen bir teslimat bildirimi ya da yöneticinizin acil ödeme talebi… Hepsi gerçek olabilir, hepsi sahte de olabilir. “Phishing nedir” sorusunun cevabı tam da bu belirsizlikte saklıdır. Türkçede oltalama olarak adlandırılan bu yöntem, teknik bir açıktan çok insanın güvenine ve aceleciliğine oynar. Hem bireyler hem de işletmeler için en yaygın siber tehditlerden biri olan oltalama saldırısı, tanındığında büyük ölçüde etkisiz hale getirilebilir.
Phishing Saldırısı Nedir?
Phishing, saldırganın kendisini güvenilir bir kurum ya da kişi gibi göstererek kurbandan parola, kart bilgisi, kimlik verisi gibi hassas bilgileri alması ya da ona zararlı bir dosya açtırması esasına dayanan dolandırıcılık yöntemidir. Adı, İngilizcedeki balık tutma kelimesinden gelir: saldırgan yemi atar ve birinin oltaya gelmesini bekler.
Saldırı genellikle şu akışla ilerler: önce gerçeğe çok benzeyen bir mesaj hazırlanır. Mesajda korku, merak ya da aciliyet duygusu yaratan bir konu işlenir; hesabınızın kapatılacağı, bir ödemenin başarısız olduğu ya da bir hediye kazandığınız söylenir. Ardından sizi sahte bir giriş sayfasına yönlendiren bir bağlantı ya da zararlı yazılım içeren bir ek sunulur. Bilgilerinizi girdiğiniz anda bu veriler saldırganın eline geçer.
Sonuçları yalnızca maddi kayıpla sınırlı değildir. Ele geçirilen bir e-posta hesabı, diğer hesapların parolalarını sıfırlamak için kullanılabilir. İşletmelerde ise müşteri verilerinin sızması, sistemlerin fidye yazılımıyla kilitlenmesi ve itibar kaybı gibi ağır sonuçlar doğabilir.
Phishing Saldırı Türleri
- E-posta oltalaması: En yaygın türdür. Çok sayıda kişiye aynı sahte mesaj gönderilir ve bir kısmının tıklaması beklenir.
- Hedefli oltalama (spear phishing): Belirli bir kişi ya da kurum için özel hazırlanır. Saldırgan, hedefin adını, görevini ve iş ilişkilerini önceden araştırdığı için mesaj çok inandırıcıdır.
- Yönetici avı (whaling): Üst düzey yöneticileri ve finans yetkililerini hedef alan, yüksek tutarlı kazanç amaçlayan türdür.
- SMS oltalaması (smishing): Kısa mesajla gönderilen sahte kargo, banka ya da resmî kurum bildirimleridir.
- Sesli oltalama (vishing): Telefonla arayıp kendini banka görevlisi, polis ya da savcı gibi tanıtan kişilerin yaptığı dolandırıcılıktır.
- Sahte fatura ve yönetici talimatı dolandırıcılığı: Saldırgan bir tedarikçi ya da şirket yöneticisi gibi yazarak ödemenin farklı bir hesaba yapılmasını ister.
- Klon oltalama: Daha önce aldığınız gerçek bir e-postanın kopyası, bağlantısı ya da eki değiştirilerek yeniden gönderilir.
- Karekod oltalaması: Sahte bir siteye yönlendiren karekodlar e-postalara, afişlere ya da masa üstü kartlara yerleştirilir.
- Sosyal medya oltalaması: Sahte müşteri hizmetleri hesapları, çekiliş duyuruları ve doğrudan mesajlar üzerinden yürütülür.
Sahte Bir Mesaj Nasıl Anlaşılır?
- Gönderen adresi kurumun gerçek alan adıyla birebir örtüşmüyorsa
- “Hemen”, “son uyarı”, “hesabınız kapatılacak” gibi baskı kuran ifadeler varsa
- Size adınızla değil genel bir hitapla sesleniliyorsa
- Yazım ve dil bilgisi hataları dikkat çekiyorsa
- Bağlantının üzerine geldiğinizde görünen adres, yazan adresten farklıysa
- Beklemediğiniz bir ek gönderilmişse
- Parola, doğrulama kodu ya da kart güvenlik numarası isteniyorsa
Yapay zeka araçlarıyla hazırlanan sahte mesajlarda yazım hatası artık çok daha az görülüyor. Bu nedenle tek bir ipucuna değil, talebin kendisinin mantıklı olup olmadığına odaklanmak gerekir.
Phishing’den Korunma Yolları
Bireysel Önlemler
- Mesajdaki bağlantıya tıklamak yerine kurumun adresini tarayıcıya kendiniz yazın ya da resmî uygulamayı kullanın.
- Her hesap için farklı ve güçlü parola belirleyin; bir parola yöneticisi bu işi kolaylaştırır. Ayrıntılar için şifre güvenliğini artırma yöntemleri yazımıza bakabilirsiniz.
- İki adımlı doğrulamayı tüm önemli hesaplarınızda etkinleştirin.
- Telefonla ya da mesajla gelen doğrulama kodlarını kimseyle paylaşmayın. Bankalar ve resmî kurumlar bu kodu sizden istemez.
- İşletim sisteminizi, tarayıcınızı ve güvenlik yazılımınızı güncel tutun.
- Şüphelendiğiniz bir talebi, kurumun resmî sitesinde yazan iletişim kanalından arayarak doğrulayın.
İşletmeler İçin Önlemler
- Çalışanlara düzenli farkındalık eğitimi verin ve oltalama tatbikatları yapın.
- Ödeme talimatları ve hesap numarası değişiklikleri için ikinci bir kanaldan teyit kuralı koyun.
- E-posta alan adınız için kimlik doğrulama kayıtlarını (SPF, DKIM, DMARC) yapılandırın.
- Çalışanlara yalnızca işleri için gereken yetkileri tanımlayın.
- Verilerinizi düzenli yedekleyin ve yedekleri ayrı bir ortamda saklayın.
- Şüpheli e-postaların kolayca bildirilebileceği bir süreç oluşturun; hata yapan çalışanı cezalandırmak yerine hızlı bildirimi teşvik edin.
E-ticaret siteleri, kendi markalarını taklit eden sahte siteler konusunda müşterilerini uyarmalıdır. Sahte sitelerle karşılaşıldığında başvurulabilecek merciler için e-ticaret sitelerini şikayet edebileceğiniz kurumlar yazımız yol gösterebilir.
Sık Sorulan Sorular
Oltalama bağlantısına tıkladım, ne yapmalıyım?
Bilgi girdiyseniz ilgili hesabın parolasını hemen değiştirin ve aynı parolayı kullandığınız diğer hesapları da güncelleyin. Kart bilgisi paylaştıysanız bankanızı resmî müşteri hizmetleri kanalından arayarak kartı kapattırın. Cihazınızı güvenlik yazılımıyla taratın ve gerekirse savcılığa ya da kolluk birimlerine başvurun.
Phishing ile spam aynı şey mi?
Hayır. Spam, çoğunlukla reklam amaçlı istenmeyen e-postadır. Phishing ise bilgi çalmayı ya da zararlı yazılım bulaştırmayı amaçlayan bir dolandırıcılık girişimidir.
İki adımlı doğrulama oltalamayı tamamen engeller mi?
Riski önemli ölçüde azaltır ama tek başına yeterli değildir. Saldırganlar doğrulama kodunu da sahte sayfa ya da telefon görüşmesiyle ele geçirmeye çalışabilir. Bu yüzden kodu hiçbir koşulda paylaşmamak gerekir.
