Phishing (oltalama), güvenilir bir kişi veya kurumdan geliyormuş gibi görünen mesajlarla kullanıcıları yanıltmayı amaçlayan bir siber saldırı yöntemidir. Bu yazıda oltalamanın nasıl çalıştığını, yaygın türlerini ve örnek senaryolar üzerinden şüpheli mesajları tanıma ve hesaplarınızı koruma yollarını bulabilirsiniz.
Phishing (Oltalama) Nedir?
Phishing, kullanıcıları kandırarak giriş bilgilerini, kişisel veya finansal verilerini ele geçirmeyi; para göndermelerini ya da zararlı yazılım çalıştırmalarını sağlamayı amaçlayan bir sosyal mühendislik saldırısıdır. Saldırganlar, güvenilir bir kaynaktan geliyormuş gibi görünen e-postalar, mesajlar, aramalar veya web siteleri kullanabilir. Örneğin, bankanızdan veya bir sosyal medya platformundan geldiğini iddia eden sahte bir e-posta, sizi taklit bir giriş sayfasında şifrenizi paylaşmaya yönlendirebilir.
Phishing Nasıl Çalışır?
Sahte bir giriş sayfası kullanan phishing saldırısı iki temel adımla açıklanabilir:
- 1. Sahte İletişim: Saldırgan, güvenilir bir kaynaktan geliyormuş gibi görünen bir e-posta veya mesaj gönderir. Kullanıcıyı hemen harekete geçirmek için aciliyet duygusu yaratabilir. Örneğin, “Hesabınızda şüpheli bir aktivite tespit ettik!” diyebilir. Ancak her oltalama mesajı acil durum iddiası içermez.
- 2. Bilgi Toplama: Mesajdaki bağlantı, kullanıcıyı gerçek bir banka veya platformun sayfasına benzetilmiş sahte bir siteye yönlendirir. Kullanıcı burada şifresini, kimlik bilgilerini veya kredi kartı bilgilerini girerse bu bilgiler saldırganın eline geçebilir.
Ele geçirilen bilgiler hesaplara izinsiz erişim veya dolandırıcılık için kullanılabilir. Oltalama her zaman sahte bir siteye yönlendirme içermez; saldırgan mesajın yanıtında bilgi isteyebilir, bir ekin açılmasını sağlayabilir veya telefon görüşmesinde ödeme yapmaya ikna etmeye çalışabilir.
Phishing Saldırı Türleri
Phishing’in farklı türleri bulunmaktadır ve her biri farklı yöntemlerle çalışır:
| Phishing Türü | Açıklama |
|---|---|
| E-posta Phishing | Güvenilir kaynaklardan geliyormuş gibi görünen e-postalarla bilgi paylaşımı, ödeme veya zararlı bir ekin açılması gibi eylemler istenir. |
| Spear Phishing | Belirli bir kişiyi veya kurumu hedef alan, hedefe ilişkin bilgilerle kişiselleştirilen oltalama saldırısıdır. |
| Vishing | Sesli görüşmeler üzerinden yapılan oltalamadır. Saldırgan, güvenilir bir kişi veya kurum gibi davranarak hassas bilgi, doğrulama kodu veya ödeme isteyebilir. |
| Smishing | SMS yoluyla yapılan oltalamadır. Mesaj, sahte bir bağlantı içerebilir veya kullanıcıyı bir numarayı aramaya ya da bilgi paylaşmaya yönlendirebilir. |
| Clone Phishing | Meşru bir e-postanın içeriği ve görünümü taklit edilir; bağlantısı veya eki zararlı bir içerikle değiştirilerek mesaj yeniden gönderilmiş gibi sunulur. |
Phishing Örnekleri
Phishing saldırılarının nasıl görünebileceğini iki varsayımsal senaryoyla inceleyelim:
- Banka Güncelleme Talebi: Kullanıcıya bankasından geliyormuş gibi görünen bir e-posta gönderilir. E-postada, “Hesabınız güncellenmeli, hemen giriş yapın” gibi bir mesaj vardır. Kullanıcı sahte bir bankacılık sayfasına yönlendirilir ve giriş bilgilerini burada girer.
- Sosyal Medya Güvenlik Uyarısı: Popüler bir sosyal medya platformundan geldiği iddia edilen bir e-posta ile kullanıcıya “Hesabınızda güvenlik sorunu tespit edildi” denir. Kullanıcı, sahte bir sosyal medya sitesine giriş yaparak bilgilerini paylaşır.
Phishing Saldırılarından Nasıl Korunabilirsiniz?
Phishing saldırılarından korunmak için alabileceğiniz bazı temel önlemler şunlardır:
1. Şüpheli E-postalara Karşı Dikkatli Olun
E-posta, oltalama için kullanılan kanallardan biridir. Yalnızca görünen gönderen adına güvenmeyin; gönderenin tam e-posta adresini ve varsa farklı yanıt adresini inceleyin. Tanıdığınız bir kişinin hesabı da ele geçirilmiş olabilir, bu nedenle beklenmedik bilgi veya ödeme taleplerini ayrı ve önceden bildiğiniz bir iletişim kanalıyla doğrulayın. Mesajla şifre veya tek kullanımlık doğrulama kodu paylaşmayın; beklenmedik ekleri açmayın. Düzgün dil kullanımı ve tanıdık bir logo, mesajın gerçek olduğunu kanıtlamaz.
2. Bağlantıları Doğrulamadan Tıklamayın
Bilgisayarda bağlantıya tıklamadan önce farenizi üzerine getirerek görünen hedef adresini kontrol edin. Mobil cihazda bağlantıyı açmadan hedefi görüntüleyen bir seçenek varsa kullanın; hedefi güvenle inceleyemiyorsanız bağlantıyı açmayın. Alan adını dikkatle okuyun: örnek adres olarak banka.example kullanılıyorsa banka-guvenlik.example farklı bir alan adıdır; banka.example.sahte.example ise banka.example alan adına ait değildir. HTTPS veya kilit simgesi tek başına sitenin meşru olduğunu göstermez; yalnızca bağlantının şifrelendiğini belirtir. Görünen hedef adresi de sonradan başka bir sayfaya yönlendirebilir. Hesabınızı kontrol etmek için mesajdaki bağlantı yerine kurumun resmi uygulamasını, önceden kaydettiğiniz yer imini veya bildiğiniz adresi kendiniz yazarak açın.
3. Çok Faktörlü Kimlik Doğrulama (MFA) Kullanın
Hesaplarınızda çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmek, şifreniz ele geçirilse bile izinsiz erişimi zorlaştırır. Ancak SMS veya uygulama kodları sahte sitelerde çalınabilir; beklenmedik giriş bildirimlerini onaylamayın ve kodlarınızı paylaşmayın. Hizmet destekliyorsa FIDO2/WebAuthn tabanlı geçiş anahtarlarını (passkey) veya güvenlik anahtarlarını tercih edin. Bu yöntemler doğrulamayı ilgili siteye bağladığı için sahte giriş sayfaları üzerinden yapılan oltalamaya karşı daha dayanıklıdır.
4. Antivirüs Yazılımı Kullanın ve Güncel Tutun
Güvenilir ve güncel bir antivirüs yazılımı, özelliklerine bağlı olarak bazı zararlı ekleri veya bağlantıları tespit edebilir. E-posta filtreleri ve tarayıcının güvenli gezinme korumaları da yardımcı olabilir; ancak bu araçlar her oltalama girişimini yakalayamaz. İşletim sistemi, tarayıcı ve uygulamalarınızın güvenlik güncellemelerini yükleyerek bilinen açıkların giderilmesine yardımcı olun. Güncel yazılım kullanmak, sahte bir sayfada bilgilerinizi paylaşmanızı tek başına engellemez.
Sonuç: Doğrulayın, Sonra İşlem Yapın
Oltalama riskini azaltmak için beklenmedik talepleri bağımsız bir kanaldan doğrulayın, hesaplarınıza mesaj bağlantıları yerine resmi uygulama veya bildiğiniz adres üzerinden erişin ve MFA kullanın. Hiçbir araç tek başına tüm saldırıları engellemez.
Sahte bir sayfaya şifrenizi girdiyseniz güvenilir bir cihazdan gerçek hizmete erişerek şifrenizi hemen değiştirin, aynı şifreyi kullandığınız diğer hesapları da güncelleyin ve açık oturumları sonlandırın. Hesabın kurtarma bilgilerini ve MFA ayarlarını kontrol edin. Kart bilgisi paylaştıysanız veya ödeme yaptıysanız bankanızla resmi kanaldan hemen iletişime geçin. İş hesabı söz konusuysa kurumunuzun BT veya güvenlik ekibine bildirin.
