İnternette geçirdiğimiz zaman arttıkça “phishing nedir” sorusu da herkesin bilmesi gereken konuların başına yerleşti. Türkçede oltalama saldırısı olarak bilinen bu yöntem, teknik bir açıktan çok insanın dikkatsizliğini ve güvenini hedef alır. Bu yazıda saldırının nasıl işlediğini, hangi türlerinin bulunduğunu ve kendinizi nasıl koruyabileceğinizi sade bir dille anlatıyoruz.
Phishing Saldırısı Nedir?
Phishing, dolandırıcıların kendilerini güvenilir bir kurum ya da tanıdık bir kişi gibi göstererek sizden şifre, kart bilgisi, kimlik numarası veya doğrulama kodu gibi hassas verileri almaya çalıştığı bir dolandırıcılık türüdür. İsmi İngilizcedeki “balık tutma” kelimesinden gelir; saldırgan yemi atar ve birinin oltaya gelmesini bekler. Yem çoğu zaman bir e-posta, kısa mesaj ya da sosyal medya mesajıdır.
Bu mesajlar genellikle bir aciliyet duygusu yaratır. “Hesabınız askıya alındı”, “kargonuz teslim edilemedi”, “ödemeniz başarısız oldu” ya da “hediye kazandınız” gibi ifadelerle sizi düşünmeden bir bağlantıya tıklamaya yönlendirir. Tıkladığınız sayfa, gerçek sitenin neredeyse birebir kopyası olabilir. Oraya yazdığınız her bilgi ise doğrudan saldırganın eline geçer.
Kısacası phishing nedir diye sorulduğunda verilecek en yalın cevap şudur: Karşı tarafın sizi kandırarak bilgilerinizi kendi elinizle teslim etmenizi sağlamasıdır. Bu yüzden en güçlü antivirüs programı bile tek başına yeterli olmaz; asıl savunma farkındalıktır.
Phishing Saldırı Türleri
Oltalama saldırısı tek bir kalıpla sınırlı değildir. Saldırganlar kullandıkları kanala ve hedef aldıkları kişiye göre farklı yöntemler geliştirir. En sık karşılaşılan türler şunlardır:
- E-posta oltalaması: En yaygın türdür. Banka, kargo firması, e-ticaret sitesi ya da resmi kurum adına gönderilmiş gibi görünen toplu e-postalarla yapılır. Gönderen adresi ilk bakışta gerçek gibi durur, ancak dikkatli bakıldığında harf oyunları fark edilir.
- Hedefli oltalama (spear phishing): Rastgele değil, belirli bir kişiye ya da kuruma özel hazırlanır. Saldırgan önce hedefi hakkında bilgi toplar; adınızı, çalıştığınız yeri, hatta yöneticinizin ismini kullanarak mesajı inandırıcı hale getirir.
- Üst düzey yönetici oltalaması (whaling): Şirket yöneticilerini ya da onların adına işlem yapan çalışanları hedef alır. Çoğunlukla acil bir para transferi ya da gizli bir belge talebi şeklinde karşınıza çıkar.
- SMS oltalaması (smishing): Kısa mesaj yoluyla yapılır. Kargo takibi, borç bildirimi ya da kampanya duyurusu gibi görünen mesajlardaki bağlantılar sahte sayfalara açılır.
- Sesli oltalama (vishing): Telefonla arayıp kendini banka görevlisi, polis ya da savcı olarak tanıtan kişilerin yaptığı dolandırıcılıktır. Amaç, sizi paniğe sokup bilgi vermeye ya da para göndermeye ikna etmektir.
- Sosyal medya ve mesajlaşma oltalaması: Ele geçirilmiş bir arkadaş hesabından gelen “bu videodaki sen misin?” tarzı mesajlar ya da sahte çekiliş sayfaları bu gruba girer.
- Sahte site yönlendirmesi: Arama sonuçlarındaki reklamlar ya da adresi çok benzeyen alan adları üzerinden kullanıcıyı kopya sitelere çekme yöntemidir.
Türler değişse de mantık hep aynıdır: Güven kazanmak, acele ettirmek ve bilgi almak. Bu üç adımı tanıyan biri, hangi kanaldan gelirse gelsin tuzağı daha kolay fark eder.
Phishing’den Korunma Yolları
Oltalama girişimlerinin tamamını engellemek mümkün olmasa da birkaç basit alışkanlık riski büyük ölçüde azaltır. Aşağıdaki adımlar hem bireysel kullanıcılar hem de çalışanlar için geçerlidir.
- Bağlantıya tıklamadan önce durun: Mesaj ne kadar acil görünürse görünsün, bağlantıya tıklamak yerine ilgili kurumun adresini tarayıcıya kendiniz yazın ya da resmi uygulamasını açın.
- Gönderen adresini kontrol edin: Görünen isim yerine e-posta adresinin tamamına bakın. Eksik ya da fazla harf, tuhaf uzantılar ve anlamsız karakterler uyarı işaretidir.
- Dil ve üsluba dikkat edin: Yazım hataları, genel hitaplar ve tehdit içeren cümleler şüphe uyandırmalıdır. Ancak günümüzde çok düzgün yazılmış sahte mesajlar da olduğunu unutmayın.
- Şifre ve doğrulama kodunu kimseyle paylaşmayın: Bankalar ve resmi kurumlar telefonda ya da mesajla şifrenizi, kartınızın güvenlik kodunu veya tek kullanımlık kodunuzu istemez.
- İki adımlı doğrulamayı açın: Şifreniz ele geçse bile ikinci bir doğrulama adımı hesabınıza girilmesini zorlaştırır.
- Her hesap için farklı şifre kullanın: Tek bir şifrenin çalınması tüm hesaplarınızı riske atmasın. Bir şifre yöneticisi bu konuda işinizi kolaylaştırabilir.
- Cihazlarınızı güncel tutun: İşletim sistemi, tarayıcı ve güvenlik yazılımı güncellemeleri bilinen açıkları kapatır.
- Tanımadığınız ekleri açmayın: Beklemediğiniz fatura, dekont ya da belge ekleri zararlı yazılım içerebilir.
Şirketlerde çalışanlar için de benzer kurallar geçerlidir. Para transferi, fatura ödemesi ya da şifre paylaşımı gibi talepler e-postayla geldiğinde, isteği gönderen kişiyi bildiğiniz bir telefon numarasından arayarak doğrulamak basit ama etkili bir önlemdir. Kurum içinde düzenli farkındalık eğitimleri yapılması ve şüpheli mesajların bilgi işlem birimine iletilmesi, tek bir çalışanın hatasının tüm kurumu etkilemesini önlemeye yardımcı olur.
Bir oltalama saldırısı ile karşılaştığınızı düşünüyorsanız mesajı silmeden önce ilgili kuruma bildirin. Bilgilerinizi paylaştıysanız hiç vakit kaybetmeden şifrelerinizi değiştirin, bankanızı arayarak kartınızı kapattırın ve gerekirse yetkili mercilere başvurun. Erken davranmak zararı sınırlamanın en etkili yoludur.
Oltalama, teknolojiden çok insan psikolojisine dayanan bir yöntemdir ve herkes bir an dalgınlıkla hedef olabilir. Acele ettiren her mesajda bir nefes alıp kaynağı doğrulamak, çoğu zaman tek başına yeterli bir korumadır. Bu alışkanlığı ailenizle ve özellikle yaşça büyük yakınlarınızla paylaşmak da en az kendi önlemleriniz kadar değerlidir.
