Bankanızdan geldiği izlenimi veren acil bir e-posta ya da kargonuzun teslim edilemediğini söyleyen bir kısa mesaj, günümüzde en yaygın dolandırıcılık yöntemlerinden birinin parçası olabilir. Phishing nedir sorusunun kısa yanıtı şudur: İnsanları kandırarak şifre, kart bilgisi ya da kimlik bilgisi gibi verilerini ele geçirmeyi amaçlayan bir aldatmaca yöntemidir. Bu yazıda oltalama saldırısının nasıl işlediğini, türlerini ve korunma yollarını anlatıyoruz.
Phishing Saldırısı Nedir?
Phishing, İngilizcede balık tutmak anlamına gelen kelimeden türetilmiştir ve Türkçede oltalama olarak anılır. Saldırgan tıpkı bir balıkçı gibi yemini atar ve birinin oltaya gelmesini bekler. Buradaki yem; güvenilir bir kurumdan, tanıdık bir kişiden ya da resmi bir makamdan geliyormuş gibi görünen sahte bir iletidir.
Saldırı genellikle şu şekilde ilerler. Kullanıcıya e-posta, kısa mesaj, sosyal medya mesajı ya da telefon yoluyla ulaşılır. İletide hesabın kapatılacağı, bir ödemenin yapılamadığı ya da bir ödül kazanıldığı söylenerek aciliyet duygusu yaratılır. Kullanıcı verilen bağlantıya tıkladığında gerçeğine çok benzeyen sahte bir sayfayla karşılaşır ve bilgilerini kendi eliyle girer. Bazı durumlarda ise iletideki ek dosya açıldığında cihaza zararlı yazılım bulaşır.
Oltalamayı tehlikeli kılan, teknik bir açıktan çok insan psikolojisini hedef almasıdır. Korku, merak, acele ve güven duygusu saldırganın en önemli araçlarıdır. Ele geçirilen bilgiler hesapların boşaltılması, kimlik hırsızlığı ya da kurumların ağlarına sızılması gibi amaçlarla kullanılabilir.
Phishing Saldırı Türleri
Oltalama tek bir biçimde karşımıza çıkmaz. Yöntemler zamanla çeşitlenmiştir ve yenileri eklenmeye devam etmektedir. En bilinen türler şunlardır:
- E-posta oltalaması: En yaygın türdür. Aynı sahte ileti çok sayıda kişiye toplu olarak gönderilir.
- Hedefli oltalama (spear phishing): Belirli bir kişi ya da kurum seçilir; iletide kişinin adı, görevi ve çalıştığı yer gibi bilgiler kullanılarak inandırıcılık artırılır.
- Üst düzey yönetici avı (whaling): Şirket yöneticileri ve yetkili kişiler hedef alınır.
- SMS oltalaması (smishing): Kargo, fatura ya da banka bildirimi görünümündeki kısa mesajlarla yapılır.
- Sesli oltalama (vishing): Saldırgan telefonda kendisini banka görevlisi, polis ya da savcı gibi tanıtarak bilgi ya da para talep eder.
- Kopya oltalama: Daha önce alınmış gerçek bir iletinin birebir kopyası hazırlanır, yalnızca bağlantı ya da ek zararlı olanla değiştirilir.
- Sahte siteler ve yönlendirme: Kullanıcı, adresi gerçeğine çok benzeyen sahte bir siteye yönlendirilir.
- Sosyal medya oltalaması: Sahte çekilişler, taklit destek hesapları ve ele geçirilmiş arkadaş hesaplarından gelen mesajlar kullanılır.
- Karekod oltalaması: Sahte bir karekod, okutulduğunda kullanıcıyı zararlı bir sayfaya götürür.
Phishing’den Korunma Yolları
Oltalamaya karşı en etkili savunma dikkatli olmaktır. Şüpheli bir iletiyi ele veren bazı işaretler vardır:
- Hemen işlem yapmanızı isteyen, tehdit ya da ödül içeren bir dil
- Gönderen adresinde ya da bağlantıda gerçeğinden küçük farklarla ayrılan alan adları
- Yazım ve dil bilgisi hataları, “Sayın müşterimiz” gibi genel hitaplar
- Şifre, kart numarası ya da doğrulama kodu gibi bilgilerin istenmesi
- Beklemediğiniz ek dosyalar
Bu işaretlerin bulunmaması iletinin güvenli olduğu anlamına gelmez; özenle hazırlanmış saldırılar kusursuz görünebilir. Bu nedenle aşağıdaki alışkanlıkları edinmek önemlidir:
- Bağlantılara tıklamak yerine kurumun adresini tarayıcıya kendiniz yazın ya da resmi uygulamasını kullanın.
- Bilgi girmeden önce adres çubuğundaki alan adını dikkatle kontrol edin. Kilit simgesi tek başına sitenin gerçek olduğunu kanıtlamaz.
- Hesaplarınızda iki adımlı doğrulamayı etkinleştirin.
- Her hesap için farklı ve güçlü bir şifre belirleyin; bunları hatırlamak için bir şifre yöneticisinden yararlanabilirsiniz.
- İşletim sisteminizi, tarayıcınızı ve güvenlik yazılımınızı güncel tutun.
- Telefonda ya da mesajla size iletilen doğrulama kodlarını kimseyle paylaşmayın. Bankalar ve resmi kurumlar sizi arayarak şifrenizi istemez.
- Kaynağından emin olmadığınız ekleri açmayın ve karekodları okutmayın.
- Şüphelendiğiniz bir durumda kurumu, resmi sitesinde yazan iletişim kanalları üzerinden kendiniz arayın.
- İş yerinde çalışanların düzenli olarak bilgilendirilmesi kurumsal riskleri azaltır.
Bir oltalama saldırısına maruz kaldığınızı düşünüyorsanız hızlı davranmak zararı sınırlayabilir. İlgili hesabın şifresini hemen değiştirin, aynı şifreyi kullandığınız diğer hesapları da güncelleyin. Kart bilgilerinizi paylaştıysanız bankanızla iletişime geçerek kartı kullanıma kapattırın. Hesap hareketlerinizi izleyin, olayı ilgili kuruma bildirin ve gerekirse yetkili mercilere başvurun. Hukuki süreçle ilgili sorularınız için bir avukattan destek alabilirsiniz.
Yapay zekâ araçlarının yaygınlaşmasıyla birlikte sahte iletiler daha düzgün bir dille yazılabiliyor, hatta ses ve görüntü taklit edilebiliyor. Bu nedenle bir tanıdığınızdan ya da yöneticinizden gelen olağan dışı bir para veya bilgi talebini, farklı bir iletişim kanalından doğrulamadan yerine getirmemek iyi bir alışkanlıktır.
Sonuç olarak oltalama, teknolojiden çok dikkatsizliğimizden yararlanan bir yöntemdir. Acele ettiren her iletiye bir an durup şüpheyle bakmak, bağlantıları kontrol etmek ve hesapları ek doğrulamayla korumak bu tuzakların büyük bölümünü boşa çıkarır.
