Oltalama (phishing) nedir, nasıl korunulur?

Kısa cevap: Oltalama (phishing), saldırganın banka, kargo firması, tedarikçi ya da şirket yöneticisi gibi güvendiğiniz birini taklit ederek sizi bir bağlantıya tıklatmaya, parola girdirmeye veya ödeme yaptırmaya çalıştığı sahte mesajlardır. En etkili korunma; tüm hesaplarda MFA, doğru yapılandırılmış e-posta güvenliği, şüpheli taleplerin başka kanaldan teyidi ve düzenli çalışan eğitimidir.

Oltalama nedir ve neden bu kadar yaygındır?

Oltalama bir sosyal mühendislik saldırısıdır: teknik bir açıktan çok insanın aceleciliğini, merakını ya da otoriteye güvenini kullanır. Bir saldırganın güvenlik duvarını aşmaya çalışması yerine, bir çalışana “hesabınız askıya alınacak, hemen giriş yapın” yazan bir e-posta göndermesi çok daha kolaydır. Bu nedenle oltalama, siber saldırıların en sık görülen başlangıç noktalarından biridir. Genel çerçeve için siber güvenlik nedir yazımıza bakabilirsiniz.

Oltalama türleri

• Toplu oltalama: Binlerce kişiye gönderilen sahte banka, kargo veya fatura e-postaları.
• Hedefli oltalama (spear phishing): Kişinin adı, unvanı ve şirketi araştırılarak hazırlanan inandırıcı mesajlar.
• Yönetici taklidi ve BEC: Genel müdür ya da tedarikçi gibi davranarak acil ödeme veya IBAN değişikliği talep etmek.
• Smishing ve vishing: SMS veya telefon aramasıyla yapılan oltalama.
• QR kod oltalaması: E-postadaki ya da afişteki QR kodla sahte giriş sayfasına yönlendirme.
• Sahte giriş sayfaları: Microsoft 365, Google veya banka giriş ekranının birebir kopyası.

Sahte bir e-posta nasıl anlaşılır?

1. Gönderen adresini kontrol edin. Görünen ad doğru olabilir ama adres farklı bir alan adından gelebilir; harf değişiklikleri (örneğin “rn” ile “m”) sık kullanılır.
2. Aciliyet ve tehdit diline dikkat edin. “Bugün ödenmezse”, “hesabınız kapanacak” gibi baskı ifadeleri klasik işarettir.
3. Bağlantının üzerine gelin, tıklamayın. Gösterilen metin ile gerçek adres farklıysa şüphelenin.
4. Beklenmedik eklere temkinli yaklaşın. Makro isteyen ofis dosyaları, sıkıştırılmış arşivler ve “fatura” adlı dosyalar risklidir.
5. Olağandışı talepleri sorgulayın. Hediye kartı almak, gizli bir ödeme yapmak ya da parola paylaşmak gibi istekler meşru iş süreçlerinin parçası değildir.

Şirketler oltalamadan nasıl korunur?

Teknik önlemler

• Çok faktörlü kimlik doğrulama (MFA): Parola çalınsa bile hesaba girişi zorlaştırır. Mümkünse uygulama tabanlı veya donanım anahtarlı yöntemler tercih edilmelidir.
• SPF, DKIM ve DMARC: Alan adınız adına sahte e-posta gönderilmesini zorlaştırır ve alıcı sunucuların sahte mesajları ayırt etmesine yardımcı olur.
• E-posta güvenliği çözümü: Zararlı bağlantıları, ekleri ve taklit girişimlerini teslimattan önce filtreler.
• Uç nokta koruması (EDR): Bir ek açılsa bile zararlı davranışı tespit edip cihazı izole edebilir.
• Dış e-posta etiketi: Şirket dışından gelen mesajlara uyarı eklemek, yönetici taklidini fark etmeyi kolaylaştırır.

Süreç ve insan önlemleri

• Ödeme teyit kuralı: IBAN değişikliği veya acil ödeme talepleri, kayıtlı telefon numarasından aranarak teyit edilir.
• Farkındalık eğitimi ve simülasyon: Kısa, düzenli eğitimler ve kontrollü oltalama testleri dikkat seviyesini artırır.
• Kolay bildirim yolu: Çalışanın şüpheli e-postayı tek tıkla BT’ye bildirebilmesi, tüm şirketi koruyan erken uyarıdır.

Bağlantıya tıkladıysanız ne yapmalısınız?

1. Utanmadan, hemen BT ekibine veya hizmet sağlayıcınıza haber verin; hız her şeydir.
2. Parola girdiyseniz o parolayı ve aynı parolayı kullandığınız diğer hesapları değiştirin.
3. Açık oturumların sonlandırılmasını ve MFA ayarlarının kontrolünü isteyin.
4. Dosya indirdiyseniz cihazı ağdan ayırın ve tarama yapılmasını bekleyin.
5. Posta kutusunda saldırganın oluşturmuş olabileceği yönlendirme kurallarını kontrol ettirin.
6. Kişisel veri etkilendiyse KVKK ihlali durumunda yapılacaklar sürecini başlatın.

Oltalama farkındalık programı nasıl kurulur?

1. Başlangıç ölçümü yapın. Önceden duyurulmayan, kontrollü bir oltalama simülasyonuyla mevcut durumu görün; amaç kimseyi teşhir etmek değil, ihtiyacı anlamaktır.
2. Kısa ve sık eğitim verin. Uzun yıllık sunumlar yerine birkaç dakikalık, güncel örneklere dayalı içerikler daha kalıcıdır.
3. Rol bazlı içerik hazırlayın. Muhasebe ekibine fatura ve IBAN dolandırıcılığı, insan kaynaklarına sahte aday CV’leri, yöneticilere hedefli saldırılar anlatılmalıdır.
4. Bildirmeyi ödüllendirin. Şüpheli e-postayı bildiren çalışana olumlu geri bildirim verin; bildirim sayısı, tıklama sayısından daha anlamlı bir göstergedir.
5. Sonuçları düzenli izleyin. Simülasyonları farklı senaryolarla tekrarlayın ve eğitimi sonuçlara göre güncelleyin.

Markanız taklit edilirse ne olur?

Oltalama yalnızca çalışanlarınızı hedef almaz; saldırganlar sizin markanızı kullanarak müşterilerinizi de kandırmaya çalışabilir. Alan adınıza çok benzeyen bir adres kaydedilip sahte fatura e-postaları gönderilebilir ya da web sitenizin kopyası hazırlanabilir. Bunu azaltmak için DMARC politikasını kademeli olarak sıkılaştırmak, benzer alan adlarını izlemek ve gerekirse kritik varyasyonları tescil etmek faydalıdır. Müşterilerinize hangi kanallardan iletişim kurduğunuzu ve banka bilgilerinizi e-postayla değiştirmeyeceğinizi açıkça duyurmak da etkili bir önlemdir. Sahte bir site ya da hesap fark ettiğinizde ilgili platformun ve barındırma sağlayıcısının kötüye kullanım bildirim kanallarını kullanabilir, hukuki adımlar için avukatınıza danışabilirsiniz.

Sık yapılan hatalar

• Eğitimi yılda bir kez, uzun bir sunumla yapıp bırakmak.
• Tıklayan çalışanı cezalandırmak; bu, sonraki olayların saklanmasına yol açar.
• DMARC kaydını yalnızca izleme modunda unutup hiç sıkılaştırmamak.
• Kişisel ve kurumsal hesaplarda aynı parolayı kullanmak.

Racoun nasıl yardımcı olur?

Racurity olarak e-posta altyapınızın SPF, DKIM ve DMARC yapılandırmasını kontrol eder, e-posta güvenliği ve oltalama koruması çözümlerini uzman çözüm ortaklarımızın altyapısıyla devreye alırız. Kimlik tarafında kimlik ve erişim yönetimi, cihaz tarafında EDR ile katmanları tamamlarız. Konuyu daha derinlemesine okumak isterseniz oltalama ve BEC saldırıları rehberimiz de hazır.

Sık sorulan sorular

Phishing ile spam arasındaki fark nedir?

Spam istenmeyen toplu reklam e-postasıdır; genellikle rahatsız edicidir ama zararsız olabilir. Oltalama ise bilinçli bir aldatma girişimidir ve parola, para ya da cihaz erişimi çalmayı amaçlar.

MFA oltalamayı tamamen engeller mi?

Riski ciddi biçimde azaltır ama tamamen engellemez. Bazı gelişmiş saldırılar oturum bilgisini ele geçirmeye ya da kullanıcıyı onay vermeye ikna etmeye çalışır. Bu yüzden MFA, filtreleme ve eğitimle birlikte kullanılmalıdır.

Şirket adına sahte e-posta gönderildiğini nasıl anlarız?

DMARC raporları, alan adınız adına hangi sunuculardan e-posta gönderildiğini gösterir. Müşterilerden gelen şikâyetler de önemli bir işarettir; bu durumda e-posta kimlik doğrulama kayıtları gözden geçirilmelidir.

Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.