Phishing (Oltalama) Nedir? Türleri ve Korunma Yolları

Phishing (Türkçede oltalama), saldırganın bir banka, kargo firması, kamu kurumu veya iş arkadaşı gibi güvenilir bir taraf rolüne bürünerek kurbanı parola, kart bilgisi ya da doğrulama kodu paylaşmaya, zararlı bir bağlantıya tıklamaya veya para göndermeye ikna ettiği bir sosyal mühendislik saldırısıdır. Teknik bir açıktan çok insan davranışını hedef alır.

Phishing neden bu kadar yaygın?

Oltalama, saldırgan açısından düşük maliyetli ve ölçeklenebilir bir yöntemdir. Tek bir kampanya çok sayıda kişiye ulaşabilir ve yalnızca birkaç kişinin tuzağa düşmesi yeterli olabilir. Saldırganlar şu psikolojik tetikleyicilerden yararlanır:

• Aciliyet: "Hesabınız 24 saat içinde kapatılacak."
• Otorite: Genel müdür, vergi dairesi veya mahkeme gibi görünmek.
• Korku ve kayıp: Ceza, icra, hesap askıya alma tehditleri.
• Merak ve fırsat: Ödül, iade, kargo teslimatı veya özel indirim.
• Güven: Tanıdık bir markanın logosu ve dili.

Oltalama çoğu zaman daha büyük saldırıların ilk adımıdır. Ele geçirilen bir e-posta hesabı, iş e-postası dolandırıcılığına (BEC) veya fidye yazılımı bulaşmasına kapı açabilir.

Oltalama türleri

Oltalama belirtileri

• Gönderen adresi veya bağlantıdaki alan adı, kurumun gerçek alan adıyla uyuşmaz.
• İleti sizi hızlı hareket etmeye zorlar veya tehdit içerir.
• Parola, tek kullanımlık kod, kart bilgisi ya da uzaktan erişim yazılımı kurmanız istenir.
• Beklemediğiniz bir ek veya fatura gelir.
• Banka hesap bilgilerinde "acil değişiklik" talep edilir.

Nasıl korunulur?

Bireyler için

1. Bağlantılara tıklamak yerine kurumun adresini kendiniz yazın veya resmî uygulamasını kullanın.
2. Önemli hesaplarda MFA'yı, mümkünse passkey'i etkinleştirin.
3. Her hesap için benzersiz parola kullanın; parola yöneticisi sahte sitelerde parolayı otomatik doldurmayarak ek uyarı sağlar.
4. Şüpheli iletileri sağlayıcınıza veya ilgili kuruma bildirin.

Kurumlar için

1. Alan adınız için SPF, DKIM ve p=reject hedefli DMARC yapılandırın.
2. Kritik hesaplarda oltalamaya dirençli MFA (FIDO2/passkey) kullanın.
3. E-posta filtreleme, bağlantı yeniden yazma ve ek korumalı alanı (sandbox) etkinleştirin.
4. Çalışanlara düzenli farkındalık eğitimi verin ve şüpheli iletileri tek tıkla bildirebilecekleri bir süreç kurun.
5. Ödeme ve banka hesabı değişikliklerinde ikinci bir kanaldan doğrulama zorunluluğu getirin.

Passkey neden oltalamaya dirençlidir?

Klasik oltalamada kullanıcı, sahte bir sayfaya parolasını ve hatta tek kullanımlık kodunu kendi eliyle yazar. Saldırgan bu bilgileri anlık olarak gerçek sitede kullanabilir. Passkey ve FIDO2 güvenlik anahtarları ise farklı çalışır:

1. Kimlik bilgisi, oluşturulduğu gerçek alan adına kriptografik olarak bağlıdır.
2. Tarayıcı, oturum açma isteğinin hangi alan adından geldiğini kendisi doğrular.
3. Sahte bir alan adı, gerçek siteye ait kimlik bilgisini kullanamaz; kullanıcı fark etmese bile kimlik doğrulama gerçekleşmez.
4. Kullanıcının yazabileceği veya paylaşabileceği bir parola ya da kod bulunmaz.

Bu nedenle passkey'ler, kullanıcının dikkatine bağlı olmayan teknik bir koruma sağlar. Yine de oltalama yalnızca kimlik bilgisi çalmayı hedeflemez; ödeme yönlendirme veya zararlı dosya indirme gibi senaryolar için farkındalık ve süreç kontrolleri gereklidir.

Sık yapılan hatalar

• Kilit simgesini sitenin güvenilir olduğu şeklinde yorumlamak.
• İletideki telefon numarasını arayarak "doğrulama" yapmak.
• Tıkladıktan sonra utanıp durumu bildirmemek; erken bildirim hasarı sınırlar.
• Yalnızca e-postaya odaklanıp SMS, telefon ve QR kod kanallarını göz ardı etmek.

Nasıl kontrol ederim?

Şüpheli bir bağlantıyı açmadan önce oltalama link kontrolü aracımızla analiz edebilirsiniz. Kurumunuzun alan adının taklit edilmeye ne kadar açık olduğunu e-posta sahtecilik riski aracıyla görebilirsiniz. Ayrıntılı kontrol listesi için oltalama e-postası nasıl anlaşılır rehberimize bakın.

Sık sorulan sorular

Phishing ile spam arasındaki fark nedir?

Spam istenmeyen toplu ticari iletidir ve genellikle rahatsız edicidir. Phishing ise aldatma amacı taşır; bilgi çalmayı, zararlı yazılım bulaştırmayı veya dolandırıcılığı hedefler. Her oltalama iletisi istenmeyen iletidir ama her spam oltalama değildir.

HTTPS ve kilit simgesi olan site güvenli midir?

Hayır. Kilit simgesi yalnızca bağlantının şifreli olduğunu gösterir. Oltalama sitelerinin çoğu da geçerli TLS sertifikası kullanır; sitenin meşruluğunu anlamak için alan adını dikkatle kontrol etmek gerekir.

Oltalamaya karşı en etkili teknik önlem nedir?

Oltalamaya dirençli kimlik doğrulama, yani passkey veya FIDO2 donanım güvenlik anahtarları en etkili tekniklerdendir; çünkü kimlik bilgisi yalnızca gerçek alan adında çalışır. Bunu e-posta filtreleme, DMARC ve düzenli farkındalık eğitimiyle birlikte kullanmak gerekir.

Sık sorulan sorular

Kaynaklar

1. CISA — Recognize and Report Phishing
2. NIST — Phishing
3. USOM — Ulusal Siber Olaylara Müdahale Merkezi

#smishing #oltalama #phishing #sosyal-muhendislik