Tanım
Oltalama (phishing), saldırganın güvenilir bir kişi veya kurum gibi davranarak sizi bir bağlantıya tıklamaya, bir eki açmaya, bilgi vermeye veya para göndermeye ikna etmeye çalıştığı sosyal mühendislik saldırısıdır. Adı, İngilizce "fishing" (balık tutma) kelimesinden gelir: Saldırgan bir yem atar ve birinin takılmasını bekler.
Oltalama neden bu kadar yaygın?
- Ucuzdur: Binlerce mesaj çok düşük maliyetle gönderilebilir.
- Ölçeklenebilir: Alıcıların küçük bir kısmının bile takılması saldırgan için yeterlidir.
- Teknik engelleri aşar: En güçlü güvenlik duvarı bile kullanıcının kendi eliyle girdiği parolayı engelleyemez.
- Başlangıç noktasıdır: Fidye yazılımı ve veri sızıntısı gibi büyük olaylar sıklıkla tek bir oltalama mesajıyla başlar.
Bir oltalama saldırısının anatomisi
- Hazırlık: Saldırgan hedefi seçer; toplu bir saldırıda bu, rastgele bir e-posta listesidir. Hedefli saldırıda ise kurumun web sitesi, sosyal medya hesapları ve iş ilanları incelenerek isimler, unvanlar ve iş süreçleri öğrenilir.
- Yem: İnandırıcı bir senaryo hazırlanır: kargo teslimatı, fatura, parola süresi dolması, paylaşılan belge, vergi iadesi, maaş bordrosu.
- Kanca: Mesaj, sizi düşünmeden harekete geçirecek bir duygu tetikler: aciliyet, korku, merak veya otorite.
- Eylem: Sahte bir giriş sayfasına bilgi girmeniz, zararlı bir dosyayı açmanız veya ödeme yapmanız istenir.
- İstismar: Elde edilen bilgilerle hesap ele geçirilir, ağa sızılır veya para transferi gerçekleşir.
Toplu oltalama ve hedefli oltalama
| Özellik | Toplu oltalama | Hedefli oltalama (spear phishing) |
|---|---|---|
| Hedef | Çok sayıda rastgele alıcı | Belirli kişi, ekip veya kurum |
| Kişiselleştirme | Düşük ("Sayın müşterimiz") | Yüksek (isminiz, projeniz, yöneticiniz) |
| Senaryo | Genel (kargo, banka, abonelik) | İşinize özgü (fatura, sözleşme, toplantı) |
| Tanıma zorluğu | Görece kolay | Zor |
Üst düzey yöneticileri hedef alan hedefli oltalamaya balina avı (whaling) da denir.
Oltalamanın hedefledikleri
- Kimlik bilgileri: E-posta, bulut, bankacılık ve sosyal medya hesap bilgileri.
- Doğrulama kodları: Gerçek zamanlı çalışan sahte sayfalar MFA kodunu da isteyebilir.
- Zararlı yazılım kurulumu: Ekli dosyalar veya "belgeyi görüntülemek için indirin" bağlantıları.
- Finansal işlem: Sahte fatura ödemesi, hediye kartı satın alma, hesap bilgisi değişikliği.
- Hassas veri: Çalışan listeleri, müşteri bilgileri, maaş bordroları.
Yapay zekâ destekli araçlar, dil bilgisi hatası olmayan ve hedefe özel yazılmış mesajları kolaylaştırdı. Bu yüzden "Yazım hatası yoksa güvenlidir" düşüncesi artık geçerli değildir. Talebin kendisine ve bağlama odaklanın.
Temel kural: Dur, düşün, doğrula
Bu eğitim boyunca tekrar tekrar karşınıza çıkacak alışkanlık şudur:
- Dur: Aciliyet hissettiğinizde hemen tıklamayın.
- Düşün: Bu mesajı bekliyor muydum? Talep olağan mı?
- Doğrula: Gönderene bildiğiniz, bağımsız bir kanaldan ulaşın.
Çalışanlarınızın veya kendinizin oltalama farkındalığını ölçmek için Çalışan Farkındalık Testi aracımızı deneyebilirsiniz.