İnternette her gün milyonlarca e-posta, SMS, sosyal medya mesajı ve bildirim gönderiliyor. Bu mesajların büyük bölümü normal iletişimlerden oluşurken bazıları kullanıcıları kandırarak kişisel veya finansal bilgilerini ele geçirmeyi amaçlıyor.

İşte phishing, Türkçede yaygın olarak oltalama veya yemleme olarak adlandırılan bu tür siber saldırıları ifade eder.

Phishing saldırılarında saldırganlar genellikle banka, kargo şirketi, sosyal medya platformu, e-ticaret sitesi veya tanınmış bir marka gibi davranarak kullanıcıyı belirli bir işlem yapmaya yönlendirmeye çalışır. Amaç; kullanıcı adı, parola, kart bilgileri veya başka hassas bilgileri ele geçirmek olabilir.

Peki phishing nedir, nasıl anlaşılır ve phishing saldırılarından nasıl korunulur? Gelin tüm detayları inceleyelim.

Phishing Nedir?

Phishing, saldırganların güvenilir bir kişi, kurum veya hizmeti taklit ederek kullanıcıları kandırmaya ve hassas bilgilerini ele geçirmeye çalıştığı bir siber saldırı yöntemidir.

Türkçede oltalama veya yemleme saldırısı olarak da bilinir.

Saldırganın amacı çoğu zaman doğrudan bilgisayarınıza saldırmak değil, sizi kendi isteğinizle belirli bir bağlantıya tıklamaya, dosya açmaya veya bilgi girmeye ikna etmektir.

Örneğin telefonunuza şöyle bir mesaj geldiğini düşünün:

“Hesabınızda şüpheli bir işlem tespit edildi. Hesabınızı korumak için hemen doğrulama yapın.”

Mesajda sizi bir internet sitesine yönlendiren bağlantı bulunuyor olabilir.

Bağlantı ilk bakışta gerçek bir bankanın veya popüler bir hizmetin internet sitesine benzer. Ancak site aslında saldırganlar tarafından hazırlanmış sahte bir sayfa olabilir.

Kullanıcı burada kullanıcı adı ve şifresini girdiğinde bilgiler saldırgana gönderilebilir.

Bu nedenle phishing saldırılarının en önemli özelliği teknik bir açığı kullanmak yerine insanları kandırmaya dayanmasıdır.

Phishing Nasıl Çalışır?

Phishing saldırıları genellikle birkaç aşamada gerçekleşir.

1. Hedef belirlenir

Saldırganlar geniş bir kullanıcı grubunu veya belirli bir kişiyi hedefleyebilir.

Örneğin:

• Banka müşterileri
• E-ticaret kullanıcıları
• Şirket çalışanları
• Sosyal medya kullanıcıları
• E-posta hesabı sahipleri

hedef olabilir.

2. Sahte mesaj hazırlanır

Saldırgan, gerçek bir kurum veya kişi tarafından gönderilmiş gibi görünen bir mesaj hazırlar.

Mesaj e-posta, SMS, sosyal medya mesajı veya başka bir iletişim kanalı üzerinden gönderilebilir.

3. Kullanıcı acele ettirilir

Phishing saldırılarında aciliyet ve korku sık kullanılan yöntemlerdir.

Örneğin:

• “Hesabınız kapatılacak.”
• “Ödemeniz başarısız oldu.”
• “Paketiniz teslim edilemedi.”
• “Şüpheli giriş tespit edildi.”
• “Hesabınızı bugün doğrulamanız gerekiyor.”

gibi ifadeler kullanıcıyı düşünmeden hareket etmeye yönlendirebilir.

4. Sahte bağlantı veya dosya gönderilir

Mesajın içerisinde bir bağlantı veya dosya bulunabilir.

Bağlantı sahte bir giriş sayfasına yönlendirebilir. Dosya ise zararlı yazılım içerebilir.

5. Bilgiler ele geçirilmeye çalışılır

Kullanıcı sahte siteye bilgilerini girdiğinde saldırganlar bu bilgileri ele geçirebilir.

Bu bilgiler daha sonra hesap ele geçirme, kimlik hırsızlığı veya finansal dolandırıcılık gibi amaçlarla kullanılabilir.

Phishing Nasıl Anlaşılır?

Phishing mesajlarını anlamanın en önemli yolu mesajın sizden ne istediğine ve sizi nereye yönlendirdiğine dikkat etmektir.

Tek başına yazım hatası veya kötü tasarım yeterli bir gösterge değildir. Günümüzde bazı phishing saldırıları oldukça profesyonel görünebilir.

Bu nedenle birkaç farklı işareti birlikte değerlendirmek gerekir.

1. Beklenmedik Mesajlara Dikkat Edin

Hiçbir işlem yapmadığınız halde bir şirketten gelen:

“Hesabınızda sorun var.”

veya

“Ödemenizi doğrulamanız gerekiyor.”

gibi mesajlar şüpheyle karşılanmalıdır.

Özellikle mesaj sizden bağlantıya tıklamanızı veya kişisel bilgilerinizi girmenizi istiyorsa dikkatli olun.

2. Aciliyet ve Korku Oluşturan Mesajlara Dikkat Edin

Phishing saldırılarında kullanıcıyı düşünmeden harekete geçirmek için psikolojik baskı sıkça kullanılır.

Örneğin:

• Hesabınız birazdan kapatılacak.
• Ödemeniz iptal edilecek.
• Hesabınız ele geçirildi.
• Son uyarı.
• Hemen doğrulama yapın.
• Aksi halde hesabınız silinecek.

gibi ifadeler kullanılabilir.

Amaç genellikle kullanıcının mesajı araştırmadan bağlantıya tıklamasını sağlamaktır.

3. Linki Kontrol Edin

Phishing saldırılarında en önemli ipuçlarından biri bağlantının adresidir.

Mesaj gerçek bir markadan geliyormuş gibi görünse bile bağlantının yönlendirdiği adres farklı olabilir.

Bağlantıya tıklamadan önce adresi kontrol etmek önemlidir.

Özellikle:

• Alan adının farklı olması
• Harf değişiklikleri
• Fazladan karakterler
• Şüpheli alt alan adları
• Tanımadığınız alan adları
• Kısaltılmış bağlantılar

dikkat edilmesi gereken işaretlerdir.

USOM da sahte internet sitelerine karşı URL'nin doğrulanmasını ve sitenin güvenilirliğinin kontrol edilmesini öneriyor.

HTTPS Varsa Site Güvenli midir?

Bu konuda sık yapılan bir hata vardır.

Adres çubuğunda HTTPS bulunması, internet sitesinin kesinlikle güvenilir olduğu anlamına gelmez.

HTTPS, bağlantının şifrelenmesine yardımcı olur. Ancak saldırganlar da HTTPS kullanan sahte internet siteleri oluşturabilir.

Bu nedenle:

“HTTPS var, o halde site güvenlidir.”

şeklinde düşünmek doğru değildir.

Asıl önemli noktalardan biri alan adının gerçekten ulaşmak istediğiniz kuruma ait olup olmadığını kontrol etmektir.

Phishing E-Postası Nasıl Anlaşılır?

Phishing'in en yaygın yöntemlerinden biri e-posta üzerinden gerçekleştirilen saldırılardır.

Şüpheli bir e-postada şu işaretlere dikkat edebilirsiniz:

Gönderen adresini kontrol edin

Gönderenin görünen adı gerçek bir şirketi temsil ediyor olabilir. Ancak e-posta adresi farklı bir alan adına sahip olabilir.

Mesaj sizden ne istiyor?

Şifre, kart bilgisi veya başka hassas bilgiler isteniyorsa dikkatli olun.

Bağlantı nereye gidiyor?

Bağlantının gerçek adresini kontrol edin.

Ek dosya var mı?

Beklemediğiniz bir e-posta ekini açmayın. USOM, bilinmeyen veya güvenilmeyen kaynaklardan gelen e-posta eklerinin açılmamasını özellikle öneriyor.

Mesaj sizi acele ettiriyor mu?

Acil işlem yapmanız isteniyorsa ekstra dikkatli olun.

Phishing SMS Nedir?

Phishing yalnızca e-posta yoluyla yapılmaz.

SMS üzerinden gerçekleştirilen oltalama saldırılarına bazen smishing adı verilir.

Örneğin telefonunuza:

“Kargonuz teslim edilemedi. Teslimat adresinizi güncellemek için bağlantıya tıklayın.”

şeklinde bir mesaj gelebilir.

Mesajdaki bağlantı sizi sahte bir ödeme veya bilgi formuna yönlendirebilir.

Bu nedenle beklemediğiniz SMS'lerdeki bağlantılara doğrudan tıklamak yerine ilgili şirketin resmi internet sitesine kendiniz girmeniz daha güvenlidir.

Sosyal Medyada Phishing Olur mu?

Evet.

Saldırganlar sosyal medya platformlarında da sahte mesajlar ve hesaplar kullanabilir.

Örneğin:

• Sahte destek hesabı
• Sahte çekiliş
• Sahte kampanya
• Sahte yatırım fırsatı
• Hesap doğrulama mesajı
• Telif hakkı ihlali uyarısı

gibi yöntemler kullanılabilir.

Amaç yine kullanıcıyı bir bağlantıya tıklatmak veya hassas bilgi paylaşmasını sağlamaktır.

Bu nedenle sosyal medya üzerinden gelen beklenmedik hesap doğrulama veya güvenlik uyarılarına karşı dikkatli olmak gerekir.

Phishing Saldırılarında Hangi Bilgiler Çalınabilir?

Phishing saldırılarının hedefi saldırının türüne göre değişebilir.

Saldırganlar:

• Kullanıcı adı
• Şifre
• E-posta bilgileri
• Banka hesap bilgileri
• Kart bilgileri
• Kimlik bilgileri
• Tek kullanımlık doğrulama kodları
• Hesap kurtarma bilgileri

gibi hassas verilere ulaşmaya çalışabilir.

Ele geçirilen bilgiler daha sonra hesaplara erişmek veya başka dolandırıcılık faaliyetlerinde kullanılmak üzere değerlendirilebilir.

Phishing ile Malware Arasındaki Fark Nedir?

Phishing ve malware aynı şey değildir.

Phishing, kullanıcıyı kandırmaya yönelik saldırı yöntemidir.

Malware ise kötü amaçlı yazılımların genel adıdır.

Ancak ikisi birlikte kullanılabilir.

Örneğin saldırgan size sahte bir e-posta gönderebilir. E-postadaki bağlantıya tıkladığınızda zararlı bir dosya indirilebilir ve cihazınıza malware bulaşabilir.

Yani phishing bazen malware bulaştırmak için kullanılan araçlardan biri olabilir.

Phishing Saldırısından Nasıl Korunulur?

Phishing'e karşı en önemli savunma dikkatli davranmak ve beklenmedik mesajları doğrulamaktır.

1. Şüpheli bağlantılara tıklamayın

Beklenmedik e-posta veya SMS'lerdeki bağlantıları açmayın.

Bir hizmetle ilgili sorun olduğunu düşünüyorsanız ilgili şirketin internet sitesini kendiniz yazarak açın.

FTC de beklenmedik mesajlardaki bağlantılara tıklamak yerine şirketle bilinen resmi kanallar üzerinden iletişim kurulmasını öneriyor.

2. Şifrelerinizi paylaşmayın

E-posta veya SMS üzerinden sizden şifre isteyen mesajlara karşı dikkatli olun.

Özellikle banka ve önemli hesap bilgileriniz konusunda ekstra dikkatli davranın.

3. İki faktörlü kimlik doğrulamayı kullanın

2FA veya MFA, hesabınıza giriş sırasında ikinci bir doğrulama katmanı ekler.

Bu sayede saldırgan kullanıcı adı ve şifrenizi ele geçirse bile hesabınıza erişmesi daha zor hale gelebilir.

4. Yazılımlarınızı güncel tutun

İşletim sistemi, tarayıcı ve güvenlik yazılımlarının güncel tutulması önemlidir. Güncellemeler yeni güvenlik tehditlerine karşı koruma sağlayabilir.

5. Beklenmeyen ekleri açmayın

Tanımadığınız veya beklemediğiniz kişilerden gelen e-posta eklerini açmayın.

Ek dosyalar zararlı yazılım içerebilir.

6. Mesajı farklı bir kanaldan doğrulayın

Bankanızdan veya başka bir kurumdan geldiğini düşündüğünüz şüpheli bir mesaj varsa mesajdaki telefon numarasını veya bağlantıyı kullanmayın.

Kurumun resmi internet sitesinde bulunan iletişim bilgilerini kullanarak kendiniz doğrulama yapın.

Phishing Linkine Tıkladıysanız Ne Yapmalısınız?

Yanlışlıkla şüpheli bir bağlantıya tıkladıysanız öncelikle panik yapmayın.

Ne olduğuna bağlı olarak farklı önlemler almanız gerekebilir.

Bilgi girmediyseniz

Sayfayı kapatın ve şüpheli dosya indirildiyse açmayın.

Güvenlik yazılımınızla cihazınızı taramak da faydalı olabilir.

Şifrenizi girdiyseniz

Şifreyi hemen değiştirin.

Aynı şifreyi başka hesaplarda da kullanıyorsanız bu hesapların şifrelerini de değiştirin.

Ardından mümkünse iki faktörlü kimlik doğrulamayı etkinleştirin.

Banka veya kart bilgilerinizi verdiyseniz

Bankanızla resmi iletişim kanallarından mümkün olan en kısa sürede iletişime geçin ve durumu bildirin.

Zararlı dosya indiyse

Dosyayı açmayın ve güvenlik yazılımınızla cihazınızı tarayın. FTC, zararlı yazılım indirilmiş olabileceğinden şüphelenilen durumlarda güvenlik yazılımının güncellenmesini ve tarama yapılmasını öneriyor.

Phishing Saldırısı ile Spam Arasındaki Fark Nedir?

Spam ve phishing birbirine benzeyebilir ancak aynı şey değildir.

Spam, istenmeyen mesajların genel adıdır.

Phishing ise kullanıcıyı kandırarak bilgi veya para elde etmeye yönelik kötü niyetli bir saldırıdır.

Her spam mesaj phishing değildir.

Örneğin istemediğiniz bir reklam e-postası spam olabilir ancak sizden şifre veya banka bilgilerinizi isteyen sahte bir mesaj phishing olabilir.

Phishing Neden Bu Kadar Etkilidir?

Phishing saldırılarının başarılı olmasının önemli nedenlerinden biri insan davranışlarını hedeflemesidir.

Saldırganlar teknik bir güvenlik açığını bulmak yerine kullanıcıya:

“Hemen işlem yap.”

mesajını vermeye çalışabilir.

Korku, merak, aciliyet, ödül beklentisi veya güven duygusu gibi psikolojik faktörler saldırının başarısında rol oynayabilir.

Bu nedenle siber güvenlik yalnızca teknik yazılımlardan ibaret değildir.

Kullanıcı farkındalığı da önemli bir güvenlik katmanıdır.

Günümüzde Phishing Saldırıları Neden Daha Zor Anlaşılıyor?

Eskiden phishing mesajlarında bariz yazım hataları ve amatör tasarımlar sık görülürdü.

Günümüzde ise saldırılar daha profesyonel görünebilir.

Gerçek şirketlerin logoları taklit edilebilir, benzer tasarımlar kullanılabilir ve mesajlar belirli bir olay üzerinden hazırlanabilir. FTC de phishing mesajlarının tanınmasının zorlaşabildiğini ve saldırganların güncel olaylara göre yöntemlerini değiştirdiğini belirtiyor.

Bu nedenle sadece:

“Yazım hatası var mı?”

sorusuna bakmak yeterli değildir.

Mesajın kaynağı, bağlantı adresi, istenen bilgiler ve mesajın oluşturduğu aciliyet birlikte değerlendirilmelidir.

Phishing Saldırısından Korunmanın En Önemli 7 Kuralı

Konuyu kısaca özetlemek gerekirse:

1. Beklenmedik bağlantılara tıklamayın.
2. Şüpheli e-posta eklerini açmayın.
3. Gönderen adresini dikkatlice kontrol edin.
4. Bağlantının gerçek alan adını inceleyin.
5. Şifre ve hassas bilgilerinizi mesaj üzerinden paylaşmayın.
6. Önemli hesaplarda 2FA/MFA kullanın.
7. Şüpheli mesajları resmi kanallardan doğrulayın.

Bu temel alışkanlıklar phishing saldırılarına karşı önemli bir savunma katmanı oluşturabilir.

Sonuç: Phishing Nedir?

Phishing, saldırganların güvenilir kişi veya kurumları taklit ederek kullanıcıları kandırmaya ve hassas bilgilerini ele geçirmeye çalıştığı siber saldırı yöntemidir.

E-posta, SMS, sosyal medya mesajları ve sahte internet siteleri phishing saldırılarında kullanılabilir.

Phishing'i anlamanın en önemli yolları; beklenmedik mesajlara karşı dikkatli olmak, bağlantıları kontrol etmek, aciliyet oluşturan talepleri sorgulamak ve kişisel bilgileri paylaşmadan önce mesajın kaynağını doğrulamaktır.

Özellikle banka, e-posta ve sosyal medya hesaplarında iki faktörlü kimlik doğrulama kullanmak, güçlü ve benzersiz şifreler tercih etmek ve cihazları güncel tutmak ek güvenlik sağlar.

Unutulmaması gereken en önemli nokta ise şu:

Bir mesaj profesyonel görünüyor diye gerçek olmak zorunda değildir.

İnternette birkaç saniye durup bağlantıyı ve mesajın kaynağını kontrol etmek, ciddi bir güvenlik sorununu önleyebilir.