Oltalama Phishing Saldırısı Nedir? Korunma Yolları Nelerdir?
İnternet ortamında kötü niyetli insanlar genellikle, bilgisiz ve savunmasız insanlara oltalama (phishing) yöntemini uygular. Phishing yöntemi ile yeni kurban adaylarına kötü niyetli insanlar genellikle yanıltıcı mailler, kısa mesajlar ve telefon ile iletişime geçerler.
Siber suç olarak nitelendirilen bu yöntem tamamen yasaktır ve hukuken bu yöntemi uygulayan kişi bulunduğunda çeşitli yaptırımlara maruz kalabiliyor. Kurban kişilerin genellikle mobil bankacılık şifreleri, mail şifreleri, kredi ve banka kartı şifreleri gibi bilgileri ele geçiriliyor.
Oltalama (Phishing) Saldırısı Nedir?
Oltalama saldırısı, siber suçluların kullanıcıları kandırarak hassas bilgilerini çalmaya yönelik gerçekleştirdiği bir sosyal mühendislik saldırısıdır. Genellikle e-posta, sahte web siteleri veya mesajlar aracılığıyla gerçekleştirilen bu saldırılar, kullanıcıların kredi kartı bilgileri, kimlik bilgileri ve giriş şifreleri gibi kritik verilerini ele geçirmeyi amaçlar.
Saldırganlar, genellikle güvenilir kurum veya şirketlerin taklidini yaparak kullanıcıları kandırır. Örneğin, bir banka veya sosyal medya platformundan gelmiş gibi görünen sahte bir e-posta, kullanıcının giriş bilgilerini girmesini isteyerek hesapların ele geçirilmesine neden olabilir.
Oltalama (Phishing) Saldırısı Türleri
En çok rağbet gören para birimi olan kripto paralarda ise bu durum oldukça riskli. Eğer ki kötü niyetli kişinin oltalama (phishing) yöntemine maruz kaldıysanız, sizin kripto para borsalarında bulunan tüm varlıklarınızı ele geçirebiliyor ve siz bu durumda hiçbir hak talep edemiyorsunuz. Oltalama saldırıları farklı teknikler kullanılarak gerçekleştirilebilir. İşte en yaygın türleri:
| Oltalama Türü | Açıklama |
|---|---|
| E-posta Phishing | Banka, e-devlet veya şirket gibi görünen e-postalarla veri tuzağı kurma |
| Spear Phishing | Belirli bir kişiye/kuruma özel hazırlanmış hedefli saldırı |
| Whaling | Şirket yöneticilerini hedef alan saldırı türü |
| Vishing (Voice Phishing) | Telefon araması ile bilgi alma girişimi |
| Smishing (SMS Phishing) | Sahte SMS ile link gönderilerek bilgi çalma |
| Social Media Phishing | Sahte sosyal medya profilleri üzerinden kimlik avı |
1. E-Posta Oltalama Saldırıları (Email Phishing)
E-posta oltalama, phishing saldırılarının en yaygın türüdür. Bu yöntemde saldırgan, kurbanın güvenini kazanmak için genellikle bir banka, sosyal medya platformu, kargo şirketi ya da devlet kurumuymuş gibi davranır. Gönderilen e-postalar, kullanıcıyı bir bağlantıya tıklamaya veya zararlı bir ek dosyayı açmaya ikna etmeyi amaçlar. Bağlantı genellikle sahte bir web sitesine yönlendirme içerir ve burada kurbanın:
- Kullanıcı adı ve şifresi
- Kredi kartı bilgileri
- T.C. kimlik numarası gibi
hassas verileri girilmesi istenir.
Bu tür saldırılarda dil bilgisi hataları, garip e-posta adresleri ve acil işlem talepleri en belirgin ipuçlarıdır.
2. Spear Phishing (Hedefe Yönelik Oltalama)
Spear phishing, genel e-posta saldırılarından farklı olarak belirli bir kişiye ya da kuruma özel olarak hazırlanır. Saldırgan, hedef kişiyle ilgili sosyal medya, internet, hatta veri ihlali gibi kaynaklardan bilgi toplayarak, e-postayı son derece kişiselleştirilmiş hale getirir. Bu yüzden tespit edilmesi çok daha zordur.
Örneğin: Bir şirketin muhasebe müdürüne gönderilen e-posta, CEO’dan geliyormuş gibi gösterilir ve fatura ödemesi talep edilir. İletişim dili ve içerik genellikle hedef kişinin tanıdığı biriyle olan yazışmaları taklit eder. Amaçları;
- Şirket içi sistemlere erişmek
- Finansal dolandırıcılık yapmak
- Yüksek profilli veri elde etmek
3. Vishing (Sesli Oltalama)
Vishing saldırısı, telefon aracılığıyla gerçekleşir. Saldırgan genellikle kendisini şu şekilde tanıtır:
- Banka çalışanı
- Polis memuru
- Vergi dairesi görevlisi
- Telekom operatörü yetkilisi
Kurbanı ikna etmek için “hesabınızda şüpheli işlem tespit edildi”, “vergi borcunuz var”, “telefon hattınız yasa dışı kullanılıyor” gibi panik yaratıcı ifadeler kullanılır. Bu tür saldırılarda hedeften genellikle:
- Kart bilgileri
- SMS onay kodu
- Kimlik bilgileri talep edilir
4. Smishing (SMS Oltalama)
Smishing, SMS yoluyla gerçekleştirilen bir oltalama saldırısı türüdür. Bu yöntemde saldırgan, kullanıcıya genellikle aşağıdaki içeriklerle mesaj atar:
- Kargonuz teslim edilemedi: [link]
- Hesabınız askıya alındı: [link]
- Banka hesabınıza giriş denemesi yapıldı: [link]
Gönderilen bağlantılar, kullanıcıyı sahte sitelere yönlendirir. Bu siteler tasarım olarak orijinal sitelerle neredeyse aynıdır. Kurban, bu sahte sitede giriş yaptığında bilgileri saldırganın eline geçer.
Ekstra Risk: Bazı smishing mesajları, sahte uygulama indirmeye yönlendirerek cihaza zararlı yazılım yüklenmesine de yol açabilir.
5. Clone Phishing (Klonlanmış Oltalama)
Clone phishing, önceden alınmış ve meşru bir e-postanın birebir kopyalanarak yeniden gönderildiği bir saldırı yöntemidir. Buradaki fark, içeriğin ya da bağlantının kötü niyetli olarak değiştirilmiş olmasıdır.
Örnek Senaryo: Daha önce bir banka tarafından gönderilmiş gerçek e-postayı birebir kopyalayan saldırgan:
- Gönderen adresini neredeyse aynı hale getirir
- E-postadaki “Hesabınıza giriş yapmak için tıklayın” linkini sahte siteye yönlendirir
- Maildeki ek dosya virüs içerir
Bu saldırı türü özellikle iş dünyasında ve çok e-posta trafiği olan ortamlarda oldukça etkilidir. Kullanıcı, daha önce benzer bir e-postayı hatırladığı için içeriğe kolayca güvenir.
Oltalama Saldırısı Nasıl Anlaşılır?
Bir e-posta ya da mesajın oltalama olup olmadığını anlamak için aşağıdaki unsurlara dikkat edilmelidir:
- Gönderen adresi alışılmadık mı?
- Mesajda yazım hataları veya bozuk dil kullanımı var mı?
- “Acil işlem yapılmalı” gibi baskı oluşturan ifadeler içeriyor mu?
- Tıkladığınızda yönlendirildiğiniz site güvenli mi (https var mı)?
- Kredi kartı ya da şifre gibi hassas bilgiler isteniyor mu?
Örnek E-posta Oltalama Belirtileri
| Gözlenen Unsur | Açıklama |
|---|---|
support@bank | Gerçek domain yerine benzer sahte adres |
| “24 saat içinde hesabınız kapanacaktır!” | Acil işlem baskısı |
| Link yönlendirmesi | Orijinal gibi görünen ama farklı uzantı |
| Ekli dosya | Virüs içeren .exe, .zip ya da .doc dosyası |
Oltalama Saldırılarından Korunma Yolları
Oltalama saldırılarına karşı bilinçli ve dikkatli olmak, siber güvenliğinizi sağlamanın en etkili yollarından biridir. İşte bu saldırılardan korunmak için alabileceğiniz önlemler:
1. Bilinmeyen Kaynaklardan Gelen E-Postaları Açmayın
Güvenmediğiniz bir kaynaktan gelen e-postaları açmayın ve e-postadaki bağlantılara tıklamadan önce gönderen adresini dikkatlice kontrol edin.
2. Şüpheli Linklere Tıklamadan Önce URL’yi Kontrol Edin
Bir bağlantıya tıklamadan önce üzerine gelerek gerçek URL’yi kontrol edin. Eğer bağlantı güvenilir bir web sitesine yönlendirmiyorsa tıklamaktan kaçının.
3. İki Aşamalı Kimlik Doğrulama (2FA) Kullanın
Hesaplarınıza ek güvenlik sağlamak için iki aşamalı kimlik doğrulama sistemini etkinleştirin. Bu sayede, şifreniz ele geçirilse bile hesabınıza erişim zorlaşacaktır.
4. Güvenlik Yazılımlarını Kullanın
Güncel bir antivirüs programı ve güvenlik duvarı kullanarak oltalama saldırılarına karşı ek koruma sağlayabilirsiniz. Herhangi bir internet sitesi a.co gibi bir alan adını ele alalım, bu linke tıkladığında bir kişi ve antivirüs yoksa o bilgisayarda otomatik olarak birden fazla pencere açılır ya da exe çalıştırılır daha sonrasında bilgisayara istenilen yazılım yüklenebilir. Bu tür durumlar oltalama saldırılarında kullanılmaktadır. Oltalama yöntemine maruz kalmamak için şu adımlara uymalısınız:
- Kısaltma sitelerinin url linklerine tıklamayın: tiyurl.com, ow.ly, tiny.cc, goo.gl, bit.ly gibi alan adlarında url kısaltma yöntemi kullanılmaktadır.
- Sosyal medya hesaplarında bilmediğiniz linklere kesinlikle tıklamayın.
- Sosyal medya hesapları ile mail adreslerinizin şifreleri kesinlikle birbirinden farklı olmalıdır.
- Kişisel bilginizi isteyen mesajlara ya da maillerde bilgilerinizi kesinlikle vermeyin.
- Bilgisayarınıza yükleyeceğiniz programı ya da herhangi bir dosyayı bilindik kaynaklardan yükleyin.
- Sahte mail hesaplarına hiçbir şekilde dönüş yapmayın ve gönderdikleri maillerde linklere tıklamayın.
5. Kişisel Bilgilerinizi Telefon veya E-Posta Üzerinden Paylaşmayın
Bankalar ve resmi kurumlar asla şifre veya kredi kartı bilgilerinizi telefon veya e-posta yoluyla istemez. Eğer böyle bir talep alırsanız, doğrudan ilgili kurumla iletişime geçerek durumu doğrulayın.
6. Web Sitelerinin Güvenliğini Kontrol Edin
Girdiğiniz web sitelerinin URL’sinin “https://” ile başlamasına ve tarayıcıda kilit simgesi bulunmasına dikkat edin. Bu, sitenin güvenli olduğunu gösterir.
Kötü niyetli kişiler genellikle internet ortamında çok kolay şekilde phishing yöntemini kullanabilirler. Bilmediğiniz bir dosyayı çalıştırdığınızda, herhangi bir linke tıkladığınızda ya da herhangi bir programı (warez) bilgisayarınıza yüklediğinizde bilgisayarınızda sizin bilgilerinizi kötü niyetli kişiye log halinde yansıtır.
7. Eğitim ve Farkındalık Programlarına Katılın
Özellikle şirketler için düzenlenen siber güvenlik eğitimlerine katılarak oltalama saldırılarını tanımayı ve önlemeyi öğrenebilirsiniz. Çünkü yatırımlarınızı kaybettiğiniz zaman kripto para verilerinde alıcı kişinin cüzdan bilgisi haricinde hiçbir bilgisini öğrenemiyorsunuz. Bu durumda ise kripto para piyasasına mail attığınızda ve mağduriyetinizi anlattığınızda “Bizlik birşey yok” gibi cevaplar alacaksınız.
8. Şifrelerinizi Düzenli Olarak Güncelleyin ve Şüpheli Durumları Yetkililere Bildirin
Aynı şifreyi birden fazla hesapta kullanmaktan kaçının ve şifrelerinizi belirli aralıklarla güncelleyin.
- Bankalar, şirketler ve resmi kurumlarla doğrudan iletişime geçerek sahte içerikleri bildirin.
- Oltalama saldırısına maruz kalmanız durumunda, ilgili mercilere başvurun.
Oltalama Saldırısına Maruz Kalındığında Ne Yapılmalı?
Eğer bir phishing saldırısına maruz kaldığınızı düşünüyorsanız hemen harekete geçilmelidir. Yapılması gerekenler:
- Hemen giriş yaptığınız hesapların şifresini değiştirin
- Banka veya ödeme sistemlerini bilgilendirin
- Cihazınızı antivirüs programıyla taratın
- İlgili kurumlara ve BT departmanına olayı bildirin
- Gerekirse Emniyet Siber Suçlar Birimi’ne başvurun
Phishing ve GDPR – Yasal Süreçler
Avrupa Birliği ve Türkiye’de KVKK kapsamına göre, kişisel verilerin oltalama ile ele geçirilmesi hem bireysel hem de kurumsal cezai yaptırımlara neden olabilir. Eğer bir şirkette veri ihlali yaşanırsa, KVKK bildirimi yapılmalı, mağdurlar haberdar edilmeli ve gerekli önlemler alınmalıdır.
Bilinçli Kullanıcı, Güvende Kullanıcıdır
Oltalama (phishing) saldırıları, dijital dünyada en yaygın siber tehditlerden biridir. Kullanıcıları kandırarak kişisel ve finansal bilgilerini çalmaya çalışan siber suçlulara karşı dikkatli ve bilinçli olmak büyük önem taşır. Yukarıda belirtilen önlemleri uygulayarak, oltalama saldırılarına karşı kendinizi ve bilgilerinizi koruyabilirsiniz.
