Phishing (Oltalama) Saldırısı Nedir? Nasıl Anlaşılır ve Nasıl Korunulur?

Phishing, Türkçe karşılığıyla oltalama, saldırganların kendilerini güvenilir bir kurum ya da kişi gibi göstererek kullanıcıdan şifre, kart bilgisi veya başka hassas veriyi almaya çalıştığı bir sosyal mühendislik yöntemidir. Teknik bir açıktan çok insan faktörünü hedef aldığı için hala en yaygın saldırı türlerinden biridir.

Nasıl Çalışır?

Tipik bir saldırı şu adımlarla ilerler:

1. Saldırgan banka, kargo firması veya bir internet hizmeti gibi görünen bir e-posta ya da mesaj gönderir.
2. Mesaj acil bir durum yaratır: “Hesabınız askıya alınacak”, “Paketiniz teslim edilemedi” gibi.
3. Bağlantıya tıklayan kullanıcı gerçeğine çok benzeyen sahte bir siteye gider.
4. Kullanıcı kullanıcı adı ve şifresini girer, bilgiler saldırganın eline geçer.

Phishing Türleri

• E-posta phishing: Toplu olarak gönderilen genel sahte e-postalardır.
• Hedefli oltalama (spear phishing): Belirli bir kişiye, onun bilgileri kullanılarak hazırlanır. Çok daha inandırıcıdır.
• SMS ile oltalama (smishing): Kısa mesajla gelen sahte bağlantılardır.
• Telefonla oltalama (vishing): Arayan kişi banka görevlisi gibi davranır.
• Sahte web siteleri: Gerçek siteyle neredeyse aynı görünen alan adlarıdır.

Phishing Belirtileri

Bir mesajda şu işaretlerden biri varsa dikkatli olun:

• Gönderen adresi uyuşmuyor. Görünen ad kurumun adı olabilir ancak asıl e-posta adresi başka bir alan adına ait olabilir.
• Aciliyet ve tehdit dili. “24 saat içinde işlem yapmazsanız” gibi baskı kuran ifadeler.
• Genel hitap. “Sayın müşteri” gibi, adınızı içermeyen mesajlar.
• Şüpheli bağlantı. Fareyi bağlantının üzerine getirdiğinizde görünen adres, yazılan adresten farklıdır.
• Yazım hataları ve tuhaf dil kullanımı.
• Beklenmeyen ek dosya. Özellikle .zip, .exe veya makro içeren Office dosyaları.

Sahte Alan Adı Örneği

Bir saldırgan banka.com.tr yerine banka-giris.com ya da harfleri benzer görünen karakterlerle değiştirilmiş bir adres kullanabilir. Adres çubuğundaki alan adının, ilk eğik çizgiden önceki kısmını dikkatle okuyun. Kilit simgesi de tek başına güvenlik garantisi değildir, çünkü sahte siteler de HTTPS kullanabilir.

Nasıl Korunulur?

• Bağlantıya tıklamak yerine adresi kendiniz yazın ya da kurumun resmi uygulamasını kullanın.
• İki adımlı doğrulamayı önemli hesaplarda açın. Şifreniz çalınsa bile hesaba girişi zorlaştırır.
• Parola yöneticisi kullanın. Gerçek sitede otomatik doldurma çalışır, sahte sitede çalışmaz. Bu da bir uyarı işaretidir.
• Her hesapta farklı şifre kullanın.
• Beklenmeyen eklentileri açmayın.
• Tarayıcı ve işletim sistemini güncel tutun.
• Şüpheli mesajı, ilgili kurumu kendi bildiğiniz resmi kanaldan arayarak doğrulayın.

Tıkladım, Şifre Girdim: Ne Yapmalıyım?

1. O hesabın şifresini hemen değiştirin. Aynı şifreyi başka yerde kullandıysanız onları da değiştirin.
2. Bankayla ilgiliyse bankanızı arayıp kartı ve hesabı kontrol ettirin.
3. İki adımlı doğrulamayı etkinleştirin.
4. Bilgisayarınızda güncel bir güvenlik taraması yapın.
5. Olayı ilgili kuruma ve gerekirse yetkili mercilere bildirin.

Sonuç

Phishing’e karşı en güçlü savunma farkındalıktır. Bir mesaj sizi aceleye getiriyorsa, durup doğrulamak için bir dakika ayırın. Bu kısa bekleyiş çoğu saldırıyı etkisiz hale getirir.