Oltalama (Phishing) Saldırılarını Tanıma Rehberi

Güvenlik olaylarının büyük bölümü karmaşık bir sıfır gün açığıyla değil, birinin tek bir bağlantıya tıklamasıyla başlar. Oltalama (phishing), saldırganın kendini güvenilir biri gibi göstererek sizden parola, kod, ödeme ya da bir dosyayı açma gibi bir eylem koparmaya çalışmasıdır. İyi haber: çoğu oltalama girişimi, nelere baktığınızı bilirseniz fark edilebilir.

Oltalama nasıl çalışır?

Saldırgan size bir mesaj gönderir. Mesaj sizi iki şeyden birine yönlendirir: kimlik bilgilerinizi çalan sahte bir giriş sayfasına ya da cihazınıza zararlı yazılım bulaştıran bir dosyaya. Tüm yöntemlerin ortak noktası acelecilik ve güven üzerinden çalışmasıdır: "hesabınız kapatılacak", "kargonuz bekliyor", "fatura ekte", "yöneticiniz acil bir şey istiyor".

Mesajın türleri

• E-posta (phishing): En yaygını. Genel ya da kuruma/kişiye özel hazırlanmış olabilir.
• Hedefli oltalama (spear phishing): Adınızı, görevinizi, çalıştığınız kişileri bilen, kişiselleştirilmiş mesajlar. Çok daha inandırıcıdır.
• SMS (smishing): Kargo, banka, e-Devlet ya da vergi borcu temalı kısa mesajlar.
• Telefon (vishing): "Bankanızdan arıyoruz" diyen aramalar. Karşı taraf sizden SMS ile gelen kodu söylemenizi isteyebilir.
• QR kod (quishing): Posta kutusuna bırakılmış ya da e-postaya gömülmüş QR kodlar. Bağlantıyı göremediğiniz için kontrolü zorlaşır.
• İş e-postası sahteciliği (BEC): Yönetici ya da tedarikçi kılığında "bu IBAN'a ödeme yap" gibi talepler. Zararı çoğu zaman en yüksek olan türdür.

Fark etmek için bakılacak işaretler

1. Gönderen adresi. Görünen isme değil, gerçek adrese bakın. destek@banka-guvenlik-onay.com ile destek@banka.com.tr aynı şey değildir. Harf değiştirilmiş alan adlarına dikkat: rn ile m, büyük I ile küçük l.

2. Aciliyet ve tehdit. "24 saat içinde işlem yapmazsanız hesabınız kapatılacak" gibi ifadeler, düşünmenizi engellemek için vardır. Gerçek kurumlar genellikle böyle iletişim kurmaz.

3. Bağlantının gittiği yer. Tıklamadan önce bağlantının üzerine gelin (mobilde basılı tutun) ve gerçek adresi görün. Kısaltılmış bağlantılar (kısa URL'ler) ek bir şüphe sebebidir.

4. Beklenmeyen ek dosyalar. Özellikle .html, .zip, .iso, makro içeren Office dosyaları ve "faturanız" gibi adlandırılmış arşivler. Beklemediğiniz bir ek, tanıdık birinden gelse bile doğrulanana kadar açılmamalıdır.

5. Alışılmadık talep. Şifre, SMS kodu, kart bilgisi ya da "hediye kartı al ve kodunu gönder" gibi taleplerin meşru bir kurumdan gelmesi son derece nadirdir. Hiçbir banka veya kurum parolanızı ya da tek kullanımlık kodunuzu sizden e-posta, SMS veya telefonla istemez.

6. Mesajın tonu ve dil hataları. Garip çeviriler, tuhaf hitaplar bir ipucudur. Ama artık yapay zekâ ile yazılmış kusursuz Türkçe oltalama mesajları da var; bu yüzden yazım düzgünlüğüne bakarak güvende hissetmeyin.

Mesaj şüpheli geldiğinde ne yapmalı?

1. Tıklamayın, cevap vermeyin.
2. Bağımsız bir kanaldan doğrulayın. Bankanızı mesajdaki numaradan değil, kartın arkasındaki numaradan arayın. Siteye bağlantıdan değil, adresi kendiniz yazarak gidin.
3. Kurumunuzda bildirin. İş yerinizde BT/güvenlik ekibine iletmek, aynı mesajı alan diğer çalışanları da korur.
4. Zararlı bağlantıları bildirin. Türkiye'de USOM (usom.gov.tr) üzerinden zararlı bağlantı bildirimi yapabilirsiniz.
5. Silin.

Tıkladıysanız ya da bilgi verdiyseniz

Panik yapmayın ama hızlı davranın. Sorun, ne kadar çabuk müdahale ettiğinizle büyür ya da küçülür:

• Parola girdiyseniz: O hesabın parolasını hemen değiştirin ve aynı parolayı kullandığınız her yerde de değiştirin. Açık oturumları sonlandırın.
• Kart bilgisi verdiyseniz: Bankanızı arayıp kartı bloke ettirin.
• Dosya açtıysanız: Cihazı ağdan ayırın (Wi-Fi'yi kapatın, kabloyu çekin), güvenlik yazılımıyla tarama yapın ve BT ekibinize bildirin. Zararlı yazılım bulaşmış olabilecek bir cihazdan hesaplarınıza giriş yapmayın.
• İş hesabıysa: Hemen BT/güvenlik ekibine haber verin. Gizlemeye çalışmak olayı büyütür; erken bildirim en değerli savunmadır.

Sizi gerçekten koruyan önlemler

Parola yöneticisi kullanın. Parola yöneticileri, sahte bir sitede parolanızı otomatik doldurmaz, çünkü alan adı kayıtlı olanla eşleşmez. Bu, insan gözünün kaçırdığı sahte siteyi sizin yerinize fark eder.

İki adımlı doğrulamayı açın, mümkünse güçlüsünü seçin. SMS ile gelen kod hiç yoktan iyidir, ama sahte siteler bu kodu da gerçek zamanlı olarak çalabilir. Güvenlik anahtarları ve passkey'ler (FIDO2/WebAuthn) ise kimlik bilgisini yalnızca doğru alan adına verir; sahte sitede çalışmaz. Önemli hesaplarda (e-posta, banka, bulut yönetimi) passkey'e geçmek, oltalamaya karşı en etkili adımlardan biridir.

Yazılımları güncel tutun. Ek dosyayla gelen zararlılar çoğu zaman eski güvenlik açıklarını kullanır. Tarayıcı, işletim sistemi ve ofis yazılımlarının güncel olması riski belirgin biçimde düşürür.

Ödeme taleplerini ikinci bir kanalla doğrulayın. Kurumsal ortamda IBAN değişikliği ya da acil ödeme talebi gelirse, telefonla (e-postadaki numara değil, bilinen numarayla) teyit etme kuralı koyun. BEC saldırılarına karşı tek başına en etkili yöntemlerden biridir.

Düzenli farkındalık eğitimi ve simülasyon. Kurumlar için, çalışanlara gerçekçi oltalama simülasyonları göstermek ve "bildir" düğmesini kolaylaştırmak, tıklama oranlarını düşürür.

Kısa kontrol listesi

• Gönderen adresi gerçekten kurumun mu?
• Beni acele ettiren ya da korkutan bir ifade var mı?
• Bağlantı, görünen adrese mi gidiyor?
• Beklemediğim bir ek mi geldi?
• Parola, kod ya da ödeme mi isteniyor?

Bu soruların birine bile "evet" diyorsanız durun, bağımsız bir yoldan doğrulayın. Şüphe duymak ve kontrol etmek hiçbir zaman yanlış değildir.