Bir gün e-posta kutunuza bankanızdan gelmiş gibi görünen bir mesaj düşüyor: “Hesabınız askıya alındı, hemen giriş yapın.” Mesajdaki bağlantıya tıklayıp bilgilerinizi girdiğinizde ise aslında saldırganlara kapıyı açmış oluyorsunuz. İşte phishing nedir sorusunun en basit cevabı budur. Türkçede oltalama saldırısı olarak bilinen bu yöntem, kullanıcıyı kandırarak şifre, kart bilgisi ve kimlik gibi hassas verileri ele geçirmeyi amaçlar. Bu yazıda saldırının nasıl çalıştığını, türlerini ve korunma yollarını anlatıyoruz.
Phishing Saldırısı Nedir?
Phishing, İngilizce “fishing” (balık avlama) kelimesinden türetilmiş bir siber saldırı yöntemidir. Saldırgan, güvenilir bir kurum, firma ya da kişi gibi davranarak yem atar; kurban bu yemi yutarsa bilgileri çalınır. Saldırının temelinde teknik bir açıktan çok insan psikolojisi vardır: acele ettirme, korku yaratma, ödül vaat etme ya da merak uyandırma gibi yöntemlerle kişi düşünmeden hareket etmeye yönlendirilir.
Tipik bir oltalama saldırısı şu adımlarla ilerler:
- Saldırgan, bilinen bir kurumun logosunu ve dilini taklit eden bir mesaj hazırlar.
- Mesaj; e-posta, SMS, sosyal medya mesajı ya da telefon araması yoluyla geniş bir kitleye ya da belirli bir kişiye gönderilir.
- Kullanıcı sahte bir bağlantıya tıklar veya zararlı bir dosyayı açar.
- Sahte sayfaya girilen bilgiler saldırganın eline geçer ya da cihaza zararlı yazılım bulaşır.
- Çalınan bilgilerle hesaplara girilir, ödeme yapılır ya da kimlik hırsızlığı gerçekleştirilir.
Phishing Saldırı Türleri
Oltalama saldırıları zamanla çeşitlendi. Günümüzde en sık karşılaşılan türler şunlardır:
- E-posta phishing: En yaygın türdür. Rastgele kişilere toplu halde gönderilen sahte bildirimler, fatura veya kargo mesajları bu gruba girer.
- Spear phishing (hedefli oltalama): Belirli bir kişi veya şirket çalışanı hedef alınır. Saldırgan kurban hakkında önceden bilgi toplayarak mesajı kişiselleştirir, bu yüzden daha inandırıcıdır.
- Whaling: Yönetici ve üst düzey çalışanlar gibi “büyük balıkları” hedef alan spear phishing türüdür.
- Smishing: SMS ile yapılan oltalamadır. Kargo takip, ceza ya da banka bildirimi gibi kısa mesajlarla bağlantı tıklatılmaya çalışılır.
- Vishing: Telefon araması ile yapılan sesli oltalamadır. Arayan kişi kendini banka çalışanı veya kamu görevlisi olarak tanıtabilir.
- Sahte web siteleri ve klon sayfalar: Gerçeğine çok benzeyen, adresi küçük harf değişiklikleriyle taklit edilmiş sayfalarda kullanıcıdan giriş bilgileri istenir.
- Sosyal medya oltalaması: Sahte çekiliş, “hesabınız kapatılacak” uyarısı ya da tanıdık birinin hesabından gelen şüpheli bağlantılar kullanılır.
Ödeme alırken ve verirken de benzer tuzaklara düşmemek önemlidir. Bu konuda mail order ile ödeme alma ve yapma rehberimiz dikkat edilecek noktaları özetliyor.
Phishing’den Korunma Yolları
Oltalama saldırılarından tamamen kaçınmak zor olsa da birkaç alışkanlıkla riski ciddi biçimde azaltabilirsiniz. Önce şüpheli mesajı tanımayı öğrenin. Şu işaretler genellikle uyarı niteliğindedir:
- Gönderen adresinin kurum alan adıyla birebir uyuşmaması veya garip karakterler içermesi
- Yazım hataları, bozuk Türkçe ve alışılmadık hitaplar
- “Hemen işlem yapın, aksi halde hesabınız kapanacak” gibi aciliyet baskısı
- Şifre, kart numarası veya doğrulama kodu isteyen mesajlar; gerçek kurumlar bunu mesajla istemez
- Beklenmedik ek dosyalar ve kısaltılmış bağlantılar
Korunmak için uygulayabileceğiniz önlemler ise şöyle:
- Bağlantıya tıklamadan önce üzerine gelip gerçek adresine bakın; emin değilseniz tarayıcıya adresi kendiniz yazın.
- Her hesap için farklı ve güçlü şifre kullanın, bir şifre yöneticisinden yararlanın.
- Mümkün olan her hesapta iki aşamalı doğrulamayı etkinleştirin.
- İşletim sistemi, tarayıcı ve antivirüs yazılımınızı güncel tutun.
- Bilmediğiniz kişilerden gelen ekleri açmayın, sahte olduğundan şüphelendiğiniz mesajları e-posta hizmetinizde “oltalama olarak bildir” seçeneğiyle raporlayın.
- Bankanızdan geldiğini söyleyen bir arama aldıysanız telefonu kapatıp kartınızın arkasındaki resmi numaradan kendiniz arayın.
Alışverişte de dikkatli olun. Bir siteden satın almadan önce güvenilirliğini araştırın; sorun yaşarsanız e-ticaret sitelerini şikâyet edebileceğiniz kurumlar yazımız yol gösterebilir. Siber güvenliğin kariyer boyutu ilginizi çekiyorsa siber güvenlik uzmanlığı konusuna da göz atabilirsiniz.
Tuzağa düştüğünüzü fark ederseniz hızlı davranın: ilgili hesabın şifresini hemen değiştirin, kart bilgisi paylaştıysanız bankanızı arayarak kartı kapattırın, cihazınızda virüs taraması yapın ve gerekirse resmi mercilere başvurun. Oltalama, hatalı bir tıklamayla başlayan ama bilinçle kolayca engellenebilen bir tehdittir; en güçlü savunma şüpheci ve yavaş davranmaktır.
Kurumsal tarafta da çalışanların düzenli olarak bilgilendirilmesi büyük fark yaratır. Şirketler benzetim amaçlı sahte e-posta tatbikatları yaparak çalışanların tepkisini ölçebilir; böylece gerçek bir saldırıda kimin hangi mesaja tıkladığı önceden görülür. Evde ise aile bireylerini, özellikle çocukları ve yaşlıları, bilinmeyen bağlantılara tıklamamaları konusunda uyarmak çok değerlidir. Unutmayın, saldırganlar çoğu zaman en bilinçsiz halkayı hedef alır.
