“Hesabınız askıya alındı, hemen doğrulayın”, “Kargonuz teslim edilemedi, adresinizi güncelleyin”, “Tebrikler, hediye kazandınız”… Bu tür mesajlardan en az birini almamış olan yok gibidir. Çoğu zaman tek bir tıklamayla başlayan bu tuzakların adı phishing’dir. Bu yazıda phishing nedir, hangi biçimlerde karşımıza çıkar ve kendimizi nasıl koruruz sorularını yanıtlıyoruz.
Phishing Saldırısı Nedir?
Phishing, Türkçede oltalama saldırısı olarak adlandırılan, saldırganın kendisini güvenilir bir kurum ya da kişi gibi göstererek kurbanı kandırdığı ve şifre, kart bilgisi, kimlik numarası gibi hassas verileri ele geçirmeye çalıştığı bir dolandırıcılık yöntemidir. Adı, İngilizce “balık tutma” kelimesinden gelir: saldırgan yemi atar ve birinin oltaya takılmasını bekler. Saldırı teknik bir açıktan çok insan psikolojisine dayanır; korku, aciliyet, merak ve kazanç beklentisi gibi duygular kullanılır.
Tipik bir saldırı şöyle işler: kurbana banka, kargo şirketi, sosyal medya platformu ya da resmî kurumdan gelmiş gibi görünen bir ileti ulaşır. İletideki bağlantı, gerçeğine çok benzeyen sahte bir sayfaya götürür. Kurban bilgilerini girdiğinde bu bilgiler doğrudan saldırganın eline geçer. Bazı durumlarda bağlantı ya da ek, cihaza zararlı yazılım yükler.
Phishing Saldırı Türleri
- E-posta oltalaması: En yaygın türdür. Çok sayıda kişiye aynı anda gönderilen, tanınmış kurumları taklit eden e-postalar.
- Hedefli oltalama (spear phishing): Belirli bir kişi ya da kurum için hazırlanır. Kurbanın adı, görevi ve çalıştığı yer gibi bilgiler kullanıldığı için çok daha inandırıcıdır.
- Yönetici taklidi (whaling ve sahte yönetici e-postası): Üst düzey yöneticiler hedef alınır ya da yönetici gibi davranılarak muhasebe çalışanından acil para transferi istenir.
- SMS oltalaması (smishing): Kargo, banka, fatura ya da ceza bildirimi kılığındaki kısa mesajlar.
- Sesli oltalama (vishing): Kendini banka görevlisi, polis ya da savcı olarak tanıtan kişilerin telefonla bilgi ve para talep etmesi.
- Sosyal medya oltalaması: Sahte çekilişler, sahte destek hesapları ve ele geçirilmiş arkadaş hesaplarından gelen mesajlar.
- Klon oltalama: Daha önce aldığınız gerçek bir e-postanın kopyalanıp bağlantısının değiştirilerek yeniden gönderilmesi.
- Sahte site yönlendirmesi (pharming): Doğru adresi yazsanız bile sahte siteye yönlendirilmeniz.
- Karekod oltalaması: Sahte karekodlarla zararlı sitelere yönlendirme.
- Arama sonucu ve reklam oltalaması: Arama motorlarında üst sıralara çıkarılan sahte banka ve destek sayfaları.
Oltalama iletisini ele veren işaretler:
- “Hemen”, “son 24 saat”, “hesabınız kapatılacak” gibi acele ettiren ifadeler,
- Gönderen adresinin kurumun gerçek alan adıyla uyuşmaması ya da harf oyunları içermesi,
- Bağlantının üzerine gelindiğinde farklı bir adres görünmesi,
- Yazım ve dil bilgisi hataları, özensiz tasarım,
- “Sayın müşterimiz” gibi genel hitaplar,
- Şifre, doğrulama kodu ya da kart bilgisi istenmesi,
- Beklenmedik ekler ve gerçek olamayacak kadar iyi teklifler.
Yapay zekâ araçlarıyla hazırlanan güncel saldırılar kusursuz bir dille yazılabiliyor ve ses taklidi içerebiliyor; bu yüzden yazım hatası olmaması iletinin güvenli olduğu anlamına gelmez.
Phishing’den Korunma Yolları
- Bağlantıya tıklamak yerine adresi kendiniz yazın: Bankanıza ya da hesabınıza, iletideki bağlantıdan değil, tarayıcıya adresi yazarak ya da resmî uygulamadan girin.
- Göndereni doğrulayın: Şüphe duyduğunuzda kurumu, iletide yazan numaradan değil, resmî sitesindeki numaradan arayın.
- Kodlarınızı kimseyle paylaşmayın: Hiçbir banka ya da kurum sizden şifrenizi ve telefonunuza gelen doğrulama kodunu istemez.
- İki adımlı doğrulamayı açın: Şifreniz ele geçse bile hesabınıza girilmesini zorlaştırır.
- Her hesap için farklı şifre kullanın: Bir parola yöneticisi bunu kolaylaştırır ve sahte sitelerde şifreyi otomatik doldurmayarak uyarı işlevi görür.
- Yazılımlarınızı güncel tutun: İşletim sistemi, tarayıcı ve güvenlik yazılımı güncellemeleri bilinen açıkları kapatır.
- Ekleri dikkatle açın: Beklemediğiniz dosyaları, tanıdığınız birinden gelse bile, teyit etmeden açmayın.
- Acele etmeyin: Baskı hissettiğiniz an durun; gerçek kurumlar düşünmeniz için zaman tanır.
- Sosyal medyada paylaştıklarınıza dikkat edin: Doğum tarihi, iş yeri ve aile bilgileri hedefli saldırılarda kullanılır.
- İş yerinde doğrulama kuralı koyun: Ödeme talimatı ve hesap değişikliği taleplerini ikinci bir kanaldan teyit edin.
- Bildirin: Şüpheli iletiyi e-posta sağlayıcınıza ve taklit edilen kuruma bildirin, sonra silin.
Oltaya takıldıysanız: Hemen ilgili hesabın şifresini ve aynı şifreyi kullandığınız diğer hesapları değiştirin. Kart bilgisi verdiyseniz bankanızı arayıp kartı kapattırın ve şüpheli işlemlere itiraz edin. Cihazınızı güvenlik yazılımıyla tarayın. Maddi kayıp varsa kolluk birimlerine ya da savcılığa başvurun.
Hesap güvenliği için çevrimiçi hesaplarda güvenlik önlemleri yazımıza, sahte destek hatlarına karşı Instagram destek hattı içeriğimize, mağduriyet hâlinde başvuru yolları için şikâyet edebileceğiniz kurumlar rehberimize göz atabilirsiniz.
