Phishing ya da Türkçe adıyla oltalama saldırısı, dolandırıcıların kendilerini banka, kargo firması, kamu kurumu ya da tanıdık bir kişi gibi göstererek insanları parola, kart bilgisi ve kimlik bilgisi gibi hassas verileri paylaşmaya ikna ettiği bir siber saldırı türüdür. Saldırı çoğunlukla sahte bir e-posta, mesaj ya da internet sitesi üzerinden yürütülür. Teknik bir açıktan çok insanın güvenini ve dikkatsizliğini hedef aldığı için hem bireyler hem işletmeler açısından en yaygın tehditlerden biridir.
Phishing Saldırısı Nedir?
Phishing nedir sorusunu anlamanın en kolay yolu adına bakmaktır: saldırgan tıpkı bir balıkçı gibi yem atar ve birinin oltaya gelmesini bekler. Yem genellikle aciliyet ya da merak uyandıran bir mesajdır: hesabınız askıya alındı, kargonuz teslim edilemedi, ödemeniz reddedildi, hediye kazandınız gibi.
Tipik bir oltalama saldırısı şu adımlarla ilerler:
- Saldırgan güvenilir bir kurumu taklit eden bir mesaj hazırlar ve çok sayıda kişiye gönderir.
- Mesajda bir bağlantı ya da ek bulunur. Bağlantı, gerçeğine çok benzeyen sahte bir giriş sayfasına yönlendirir.
- Kullanıcı bilgilerini bu sayfaya girdiğinde veriler saldırgana ulaşır; ek açıldığında ise cihaza zararlı yazılım bulaşabilir.
- Ele geçirilen bilgiler hesaplara izinsiz erişim, para transferi, kimlik hırsızlığı ya da yeni saldırılar için kullanılır.
İşletmelerde tek bir çalışanın hatası müşteri verilerinin sızmasına, mali kayba ve itibar zedelenmesine yol açabilir. Bu yüzden konu yalnızca bilgi işlem ekibinin değil, tüm çalışanların sorumluluğundadır.
Phishing Saldırı Türleri
- E-posta oltalaması: En yaygın türdür. Toplu gönderilen sahte e-postalarla kullanıcılar sahte sitelere yönlendirilir.
- Hedefli oltalama (spear phishing): Belirli bir kişi ya da kuruma özel hazırlanır. Saldırgan, hedef hakkında topladığı bilgileri kullanarak mesajı inandırıcı hale getirir.
- Üst düzey yönetici avı (whaling): Yöneticiler ve mali yetkisi olan kişiler hedef alınır; amaç genellikle yüksek tutarlı ödeme talimatı almaktır.
- SMS oltalaması (smishing): Kısa mesajla gönderilen sahte kargo, fatura ya da banka bildirimleridir.
- Sesli oltalama (vishing): Telefonla arayan kişi kendini banka ya da kamu görevlisi olarak tanıtır ve bilgi ya da para talep eder.
- Kopya oltalama (clone phishing): Daha önce alınmış gerçek bir e-postanın kopyası hazırlanır, içindeki bağlantı ya da ek zararlı olanla değiştirilir.
- İş e-postası dolandırıcılığı: Saldırgan tedarikçi ya da yönetici gibi davranarak sahte fatura veya hesap numarası değişikliği bildirir.
- Sahte site yönlendirmesi (pharming): Kullanıcı doğru adresi yazsa bile sahte siteye yönlendirilir.
- Sosyal medya oltalaması: Sahte destek hesapları, çekiliş duyuruları ve özel mesajlarla hesap bilgileri hedeflenir.
- QR kod oltalaması: Sahte QR kodlar kullanıcıyı zararlı sitelere götürür.
Sahte bir mesaj nasıl anlaşılır?
- Gönderen adresi kurumun resmi alan adından farklıdır ya da küçük harf oyunları içerir.
- Mesaj acele ettirir, korkutur ya da gerçek olamayacak kadar cazip bir vaat sunar.
- Genel hitap, yazım ve dil bilgisi hataları dikkat çeker.
- Bağlantının üzerine gelindiğinde görünen adres, metinde yazandan farklıdır.
- Beklenmedik bir ek, fatura ya da belge gönderilmiştir.
- Parola, doğrulama kodu ya da kart bilgisi istenir. Kurumlar bu bilgileri e-posta veya telefonla talep etmez.
Phishing’den Korunma Yolları
Bireyler için
- Bağlantılara tıklamadan önce düşünün: Şüpheli mesajdaki bağlantıyı kullanmak yerine kurumun adresini tarayıcıya kendiniz yazın ya da resmi uygulamasını açın.
- İki adımlı doğrulamayı etkinleştirin: Parolanız ele geçse bile hesabınıza girişi zorlaştırır.
- Her hesap için farklı ve güçlü parola kullanın: Parola yöneticileri bu konuda kolaylık sağlar.
- Doğrulama kodlarını kimseyle paylaşmayın: Arayan kişi kendini görevli olarak tanıtsa bile.
- Cihazlarınızı güncel tutun: İşletim sistemi, tarayıcı ve güvenlik yazılımı güncellemelerini ertelemeyin.
- Hesap hareketlerinizi izleyin: Banka ve kart bildirimlerini açık tutun.
- Alışverişte dikkatli olun: Online alışverişte güvenlik kurallarını uygulayın; kart bilgilerinizi yalnızca güvendiğiniz sitelerde girin.
İşletmeler için
- Çalışanları eğitin: Düzenli farkındalık eğitimleri ve tatbikatlar en etkili savunmadır.
- E-posta güvenliğini yapılandırın: Alan adınız için gönderen doğrulama kayıtlarını tanımlayın, istenmeyen e-posta filtrelerini kullanın.
- Ödeme süreçlerine çift onay ekleyin: Hesap numarası değişikliği ve acil ödeme taleplerini ikinci bir kanaldan, örneğin telefonla teyit edin. Mail order gibi kart bilgisi paylaşılan ödeme yöntemlerinde bu teyit ayrıca önemlidir.
- Yetkileri sınırlandırın: Her çalışan yalnızca işi için gereken sistemlere erişebilmelidir.
- Bildirim kültürü oluşturun: Şüpheli mesajların çekinmeden raporlanabildiği bir ortam hataların erken fark edilmesini sağlar.
- Yedekleme ve olay planı hazırlayın: Bir ihlal durumunda kimin ne yapacağı önceden belli olmalıdır.
Oltaya geldiyseniz ne yapmalısınız?
- İlgili hesabın parolasını ve aynı parolayı kullandığınız diğer hesapların parolalarını hemen değiştirin.
- Kart ya da banka bilgisi paylaştıysanız bankanızı arayıp kartı kapattırın ve şüpheli işlemlere itiraz edin.
- Cihazınızı güvenlik yazılımıyla tarayın.
- İş hesabı söz konusuysa bilgi işlem birimine haber verin.
- Mağduriyet durumunda yetkili mercilere başvurun; hukuki süreçle ilgili güncel bilgi için resmi kaynaklara ya da bir hukukçuya danışın.
Müşteri verilerini korumak aynı zamanda güven ilişkisinin temelidir; bu yönüyle güvenlik, müşteri tutma oranını da dolaylı olarak etkiler.
Sonuç
Phishing, güvenilir bir kaynağı taklit ederek kişileri hassas bilgilerini vermeye yönlendiren bir aldatma yöntemidir. E-posta, SMS, telefon, sosyal medya ve QR kod gibi pek çok kanaldan gelebilir. Korunmanın temeli şüpheci olmak, bağlantıları doğrulamak, iki adımlı doğrulama kullanmak ve işletmelerde çalışan farkındalığını sürekli canlı tutmaktır. Şüphe duyduğunuz her mesajda acele etmeyip kurumu resmi kanalından teyit etmek en basit ve en etkili önlemdir.
