Phishing Nedir? Sahte E-postaları Tanıma
Oltalama e-postalarının ele veren ipuçlarını, tıklandığında yapılması gerekenleri ve çalışanları bu saldırılara karşı eğitmenin pratik yollarını anlatıyoruz.
Aurora YazılımEditör ekibi
6 dk okuma
Phishing nedir sorusunun yanıtı: güvenilir bir kurum ya da kişi gibi görünen e-posta, SMS veya mesajlarla kullanıcıyı kandırıp şifre, kart bilgisi ya da para transferi elde etmeye çalışan oltalama saldırısıdır. Aciliyet yaratan dil, benzer görünen sahte alan adları, beklenmedik ekler ve giriş isteyen bağlantılar en yaygın ipuçlarıdır.
Oltalama Saldırısı Nasıl İşler?
Phishing, adını İngilizcedeki balık tutma (fishing) kelimesinden alır: saldırgan çok sayıda kişiye yem atar ve birinin oltaya gelmesini bekler. Türkçede bu yüzden oltalama saldırısı olarak da anılır. Teknik bir açıktan çok insan psikolojisinden yararlanır; korku, merak, aciliyet ve otoriteye güven en sık kullanılan kaldıraçlardır.
Tipik senaryo şöyle ilerler: bir banka, kargo firması, e-devlet hizmeti ya da şirketin kendi yöneticisi gibi görünen bir mesaj gelir. Mesaj, bir bağlantıya tıklamanızı, bir ek açmanızı ya da acil bir ödeme yapmanızı ister. Bağlantı, gerçeğinin birebir kopyası olan sahte bir giriş sayfasına götürür ve girilen bilgiler doğrudan saldırgana gider.
Saldırganlar artık yazım hatalarıyla dolu, kolay fark edilen mesajlar göndermek zorunda değil. Yapay zeka araçları sayesinde akıcı Türkçe ve kişiye özel içerik üretmek kolaylaştı. Bu yüzden dil bilgisine değil, mesajın ne istediğine odaklanmak gerekir.
Phishing Türleri
İşletmeler için en pahalı tür genellikle ödeme talimatı dolandırıcılığıdır. Saldırgan, bir tedarikçinin e-postasını taklit ederek “banka hesabımız değişti” der ve sonraki ödemenin kendi hesabına yapılmasını sağlar. Teknik bir zararlı yazılım yoktur; yalnızca inandırıcı bir mesaj vardır.
| Tür | Nasıl gelir? | Tipik hedef |
|---|---|---|
| Toplu oltalama | Binlerce kişiye aynı e-posta | Şifre ve kart bilgisi |
| Hedefli oltalama (spear phishing) | Kişinin adı, görevi, iş ortağıyla kişiselleştirilmiş e-posta | Şirket hesapları |
| CEO / tedarikçi dolandırıcılığı | Yönetici ya da tedarikçi kılığında ödeme talebi | Muhasebe ve finans ekibi |
| Smishing | SMS ile kargo, ceza ya da iade bildirimi | Kart bilgisi, uygulama kurdurma |
| Vishing | Banka ya da resmi kurum adına telefon araması | Doğrulama kodu, havale |
| QR oltalama | Afiş, e-posta ya da faturada sahte QR kod | Sahte ödeme ve giriş sayfası |
Sahte E-posta Nasıl Anlaşılır?
Tek bir ipucu her zaman yeterli değildir; birkaçı bir araya geldiğinde alarm zilleri çalmalıdır. Şüphelendiğiniz anda en iyi refleks durmak ve mesajı göndereni başka bir kanaldan doğrulamaktır.
- Aciliyet ve tehdit: “24 saat içinde işlem yapmazsanız hesabınız kapatılacak”
- Gönderen adresi görünen adla uyuşmuyor ya da tek harfle farklı (ornek.com yerine 0rnek.com)
- Bağlantının üzerine gelindiğinde görünen adres, mesajdaki kurumla ilgisiz
- Beklemediğiniz bir fatura, kargo ya da ödül bildirimi
- Şifre, kart bilgisi ya da doğrulama kodu isteyen mesaj
- Makro çalıştırmanızı isteyen belge ya da şifreli arşiv eki
- Genel hitap (“Sayın müşterimiz”) ya da alışılmadık bir üslup
Tıkladıysanız Ne Yapmalı?
Herkes bir gün dikkatsiz bir anına denk gelebilir. Önemli olan hızlı ve sakin hareket etmek, durumu saklamak yerine hemen bildirmektir. Erken fark edilen bir olay çoğu zaman küçük bir aksaklık olarak kapanır.
- Sahte sayfaya şifre girdiyseniz o hesabın şifresini gerçek siteden hemen değiştirin
- Aynı şifreyi kullandığınız diğer hesapları da değiştirin
- Kart bilgisi girdiyseniz bankanızı arayıp kartı kapattırın
- Ek açtıysanız cihazı ağdan ayırın ve bilgi işlem sorumlusuna haber verin
- Hesaplarınızdaki oturumları kapatın, iki adımlı doğrulamayı açın
- Olayı ekip içinde bildirin; aynı mesaj başkalarına da gelmiş olabilir
Şifreden Öte Korunma Katmanları
Oltalamaya karşı en güçlü teknik önlem, çalınan şifreyi tek başına işe yaramaz hale getirmektir. İki adımlı doğrulama, şifre ele geçirilse bile saldırganın girişini zorlaştırır. Daha da ileri bir adım olan passkey ile şifresiz giriş, alan adına bağlı çalıştığı için sahte sitelerde hiç kullanılamaz.
Şifre yöneticisi de sessiz bir koruma sağlar: otomatik doldurma yalnız kayıtlı alan adında devreye girer. Yönetici şifreyi önermiyorsa adresin yanlış olma ihtimalini ciddiye alın. Benzersiz şifreler için güçlü şifre oluşturma rehberimize göz atabilirsiniz.
Çalışan Eğitimi Nasıl Yapılır?
Oltalama bir insan sorunu olduğu için çözümün büyük kısmı da insandadır. Ancak bir kerelik uzun bir sunum, birkaç hafta içinde unutulur. Etkili eğitim kısa, düzenli ve uygulamalıdır.
Eğitimin amacı çalışanı suçlamak değil, şüpheli durumu hızla bildirmesini sağlamaktır. Hata yapan ama hemen haber veren bir çalışan, saldırıyı erken durduran kişidir; bu davranış ödüllendirilmelidir.
- Yılda birkaç kez 15–20 dakikalık, gerçek örneklerle desteklenen oturumlar
- Şüpheli e-postaları bildirmek için tek ve kolay bir kanal
- Ödeme ve hesap değişikliklerinde telefonla, bilinen numaradan çift kontrol kuralı
- Yeni başlayan çalışanlar için kısa bir güvenlik oryantasyonu
- Ekiple paylaşılan güncel oltalama örnekleri
Muhasebe Ekibi İçin Ek Kurallar
Banka hesabı değişikliği bildiren her e-posta, kayıtlı telefon numarasından aranarak doğrulanmalıdır. Yeni bir IBAN'a yapılan ilk ödeme için ikinci bir yetkilinin onayı istenebilir. Bu iki basit kural, ödeme talimatı dolandırıcılığının önündeki en etkili engellerdendir. Kuralların yazılı olması da önemlidir; acele eden bir “yönetici” mesajı karşısında çalışan, kuralı gerekçe göstererek doğrulama yapmaktan çekinmez. Saldırganın en güvendiği şey, kimsenin üst makamı sorgulamaya cesaret edemeyeceği düşüncesidir.
Alan Adınızı Taklitten Koruyun
Saldırganlar yalnız sizi değil, müşterilerinizi de sizin adınızla kandırmaya çalışabilir. Kurumsal alan adınız için SPF, DKIM ve DMARC kayıtlarını doğru tanımlamak, sizin adınıza gönderilen sahte e-postaların alıcı sunucularda reddedilmesine ya da istenmeyen klasöre düşmesine yardımcı olur.
DMARC politikasına önce izleme modunda başlamak, raporları inceledikten sonra adım adım sıkılaştırmak güvenli bir yoldur. Kayıtlardaki sağlayıcı adresi, kullandığınız e-posta hizmetine göre değişir.
ornek.com. TXT v=spf1 include:_spf.eposta-saglayicisi.com ~all
_dmarc.ornek.com. TXT v=DMARC1; p=none; rua=mailto:dmarc@ornek.comWeb Sitenizde Alınacak Önlemler
Müşterilerinizin sahte sayfalarla karşılaşma riskini azaltmak için sitenizin kendisi de güven vermelidir. Tüm sayfaların HTTPS üzerinden açılması, tek ve tutarlı bir alan adı kullanılması ve giriş sayfalarının sade, tanıdık bir tasarıma sahip olması kullanıcının farkı görmesini kolaylaştırır. Bir e-ticaret altyapısında müşteriye giden e-postaların şablonlarının tutarlı olması da sahte mesajların daha kolay ayırt edilmesini sağlar.
Firmaya özel geliştirilen yazılım çözümlerinde yönetici girişleri için iki adımlı doğrulama, oturum süresi sınırı ve şüpheli giriş bildirimleri baştan kurgulanabilir. Mevcut sitenizin güncel tutulması, sertifika ve bağlantı ayarlarının düzenli denetlenmesi ise hız ve performans yönetimi kapsamındaki bakımın bir parçasıdır.
Sahte bir siteyle karşılaştığınızda ulusal siber olaylara müdahale merkezi USOM üzerinden ihbarda bulunabilir, taklit edilen kurumu da kendi resmi kanalından bilgilendirebilirsiniz.
Sık Sorulan Sorular
01Sadece e-postayı açmak tehlikeli mi?
Güncel bir e-posta istemcisinde mesajı yalnız açıp okumak genellikle tek başına tehlike yaratmaz. Asıl risk bağlantıya tıklamak, eki açmak ya da istenen bilgiyi girmektir; yine de uzaktan görsel yüklemeyi kapalı tutmak ek bir önlemdir.
02Dolandırıcı maili nereye bildirmeliyim?
Şirket içinde belirlenen bildirim kanalına iletin ve e-posta istemcinizin oltalama bildirme özelliğini kullanın. Banka ya da kurum adına geldiyse o kurumun resmi kanallarına haber verin; sahte siteleri USOM'a ihbar edebilirsiniz.
03Antivirüs programı oltalamayı engeller mi?
Güvenlik yazılımları ve e-posta filtreleri bilinen sahte siteleri ve zararlı ekleri yakalayabilir ama yeni kurulmuş bir sahte sayfayı her zaman tanıyamaz. Bu yüzden teknik önlemler, dikkatli kullanıcı alışkanlıklarıyla birlikte çalışmalıdır.
Phishing, teknik açıklardan çok insan dikkatini hedef aldığı için en etkili savunma; bilinçli çalışanlar, iki adımlı doğrulama ve alan adı korumasının birlikte kurulmasıdır. Aurora Yazılım, güvenli giriş ve yetkilendirmeyi işletmenize özel yazılım çözümlerinde baştan tasarlar; kurumsal web sitesi projelerinde de HTTPS, tutarlı alan adı ve güvenli form yapısını standart olarak ele alır. Sorularınız için iletişim sayfamızdan bize ulaşın.
