Tek Bakışta
- Kimlik avı (phishing): güvenilir bir kişi ya da kurum kimliğine bürünerek parola, doğrulama kodu, ödeme veya dosya erişimi isteyen saldırı türü.
- Neden işe yarıyor: teknik bir açık değil, acele ettiren bir mesajla kısaltılan karar süresi hedeflenir.
- En yaygın türler: e-posta kimlik avı, hedefli saldırı (spear phishing), BEC, SMS/sesli arama, sahte giriş sayfası ve QR kod yönlendirmesi.
- İlk savunma: tıklamadan önce gönderen adresini kontrol etmek, talebi kendi kayıtlarınızdaki numaradan doğrulamak ve olayı BT'ye bildirmek.
Kimlik avı nedir?
Kimlik avı (phishing), saldırganın güvenilir bir kişinin ya da kurumun kimliğine bürünerek karşısındakini hassas bilgi vermeye, bir bağlantıya tıklamaya veya bir dosyayı açmaya ikna etmeye çalıştığı saldırı türüdür. Saldırı e-posta ile gelebileceği gibi kısa mesaj, telefon araması, sosyal medya hesabı ya da sahte bir giriş sayfası üzerinden de gelebilir.
Bu saldırıların ortak noktası teknik bir açık değil, kişinin karar anıdır. Mesaj, zaten güvendiğiniz bir kanaldan ve tanıdık bir dilde geldiği için makul görünür; asıl amaç o makullüğü kullanmaktır.
Saldırganın elde etmeye çalıştığı şeyler genellikle şunlardır:
- Kullanıcı adı ve parola
- Tek kullanımlık doğrulama kodu veya oturum bilgisi
- Kurumsal e-posta kutusuna erişim
- Kart ve banka hesabı bilgileri
- Ödeme talimatı, IBAN ya da fatura değişikliği
- Kurum içi belge, sözleşme ve kişisel veri
Kimlik avının istediği şey çoğu zaman parola değil, tek bir tıklamadır. Tıklamadan sonra ne olduğunu kullanıcı görmez; gördüğünde ise genellikle iş işten geçmiş olur.
Neden hâlâ işe yarıyor?
Yıllardır anlatılmasına, filtrelerin ve eğitimlerin artmasına rağmen kimlik avı hâlâ en sık kullanılan giriş yöntemlerinden biri. Bunun birkaç nedeni var.
İlk neden, hedefin duygular olması. Acele ettiren, korkutan, otorite kuran ya da yardımseverliğe oynayan bir mesaj, doğru zamanda gelirse iyi eğitimli bir çalışanı bile yanıltabilir. "Bugün son gün", "hesabınız kapatılacak" veya "ödemeyi bugün tamamlamamız gerekiyor" cümleleri teknik olarak hiçbir şey söylemez, ama karar süresini kısaltır.
İkinci neden ölçek. Saldırgan tek bir kurumu değil, binlerce kişiyi aynı anda dener; tek bir kişinin tıklaması yeterlidir. Üçüncüsü ise mesajın sıradanlığı: sahte bir fatura ya da şifre sıfırlama bildirimi, çalışma gününün olağan akışının içinde kaybolur.
Üstelik birkaç yıldır dil bilgisi hataları tek başına bir uyarı işareti değil. Saldırganlar da yapay zekâ araçlarıyla akıcı, kişiye özel ve kurumsal tona uygun mesajlar yazabiliyor.
Bir e-postanın güvenlik filtrelerinden geçmiş olması, içindeki talebin doğru olduğu anlamına gelmez. Filtre göndereni engelleyebilir; talebin makul olup olmadığını yalnızca siz değerlendirebilirsiniz.
En yaygın türler
- E-posta kimlik avı: Tanıdık bir markanın görselini ve dilini taklit eden, geniş kitleye gönderilen mesajlar. Amaç bir bağlantıya tıklatmak veya ek dosyayı açtırmaktır.
- Hedefli kimlik avı (spear phishing): Belirli bir kişiye, onun görevine ve çalıştığı ekibe göre hazırlanmış mesaj. Genel hitap yerine doğru isim, doğru proje adı geçer.
- Yönetici hedefli saldırı: Üst yönetimdeki kişileri hedefler; yetki ve erişim düzeyi yüksek olduğu için tek bir yanlış kararın etkisi büyüktür.
- İş e-postası ele geçirme (BEC): Saldırgan gerçek bir hesabı ele geçirir ve o hesabın doğal yazışma dilini kullanarak ödeme yönlendirmesi veya veri talebi gönderir. Ortada sahte alan adı bile yoktur.
- Kısa mesaj ve sesli arama: SMS ya da telefon üzerinden kargo, banka, operatör veya BT desteği kimliğiyle gelen talepler. Kullanıcıyı aceleyle bir kod paylaşmaya veya uygulama kurmaya yönlendirir.
- Klonlanmış mesaj: Daha önce gerçekten aldığınız bir e-postanın birebir kopyası, ek veya bağlantısı değiştirilerek yeniden gönderilir.
- Sahte giriş sayfası: Alan adındaki tek harf farkı, tire veya alt alan adı hilesiyle gerçek sayfanın kopyası oluşturulur; girilen bilgi doğrudan saldırgana gider.
- QR kod ve sosyal medya yönlendirmesi: Karekod ya da mesajlaşma uygulaması üzerinden gelen bağlantılar, mobil cihazda adres çubuğu kontrol edilmediği için daha kolay yutulur.
Bu liste tam değil. Yöntemler değişse de değişmeyen şey, saldırının sizden bir şey yapmanızı istemesidir: tıklamak, indirmek, aramak, kod paylaşmak ya da ödemek.
Bir mesajı nasıl okursunuz?
Tek bir işaret mesajı kesin olarak suçlu yapmaz; ama birden fazla işaretin bir arada bulunması yeterince açık bir uyarıdır. Bakılacak yerler şunlar:
- Aciliyet ve baskı: Hemen yanıt, bugün son gün, aksi hâlde hesap kapanır gibi ifadeler.
- Gönderen uyuşmazlığı: Görünen ad tanıdık, adres değil. Alan adı tek harf farklı ya da tanıdık markanın arkasına eklenmiş.
- Beklenmeyen ek ve bağlantı: Konuşmanın akışında olmayan bir dosya veya hiç girmediğiniz bir sayfaya yönlendiren bağlantı.
- Bilgi talebi: Parola, doğrulama kodu, kart bilgisi veya oturum onayı isteyen mesaj. Kurumsal BT ekipleri bu bilgileri mesajla istemez.
- Ödeme ve hesap değişikliği: Tedarikçi IBAN değişikliği, sıra dışı fatura, acele ödeme talebi.
- Süreci atlama isteği: "Bunu kimseye söylemeyin", "telefonla teyide gerek yok" gibi normal iş akışını devre dışı bırakan cümleler.
İşaret listesi bir eleme aracıdır, garanti değil. Hiçbir işaret görünmüyorsa mesaj güvenli demek değildir; sadece daha dikkatli bakmanız gereken bir mesajdır.
Ne yapmalısınız?
- Tıklamayın, yanıtlamayın ve ek dosyayı açmayın. Talebi doğrulamak istiyorsanız mesajdaki iletişim bilgisini değil, kendi kayıtlarınızdaki numarayı veya adresi kullanın.
- Çok faktörlü doğrulamayı her yerde açın; mümkünse kod yazmaya dayanmayan, kimlik avına dirençli yöntemleri tercih edin. Kodu yanlış sayfaya yazan kullanıcı için tek faktör de düşer, iki faktör de.
- Yanlış bir bağlantıya tıkladıysanız beklemeden bildirin. Aynı cihazdan değil, güvenilir bir cihazdan parolalarınızı değiştirin ve hesap hareketlerini kontrol edin.
- Şüpheli mesajı BT ya da güvenlik ekibine iletin. Bildirilen bir mesaj, aynı kampanyanın diğer çalışanlara ulaşmasını engellemenin en hızlı yoludur.
- Farkındalık çalışmalarını tek seferlik bir eğitim olarak değil, düzenli tatbikat ve geri bildirim döngüsü olarak kurun. Çalışanın "şüphelendim ama emin olamadım" diyebildiği bir bildirim kültürü, cezalandıran bir yaklaşımın önüne geçer.
Kurum tarafında mesele yalnızca çalışan davranışı değil. E-posta filtreleme ve bağlantı denetimi, koşullu erişim politikaları, yönetici hesaplarının ayrıştırılması ve uç nokta izleme aynı zincirin parçaları. Kimlik avı bir kapıdır; asıl belirleyici olan, o kapıdan giren birinin ne kadar hızlı fark edildiğidir. Bunu ölçmenin yolu, tehdit istihbaratını günlük operasyona bağlamaktan geçiyor.
Kimlik avı eğitimini ve teknik kontrolleri ayrı iki iş kalemi olarak ele almak, çoğu kurumda boşluğun tam olarak burada oluşmasına neden oluyor.