Oltalama (Phishing) Saldırıları Nasıl Tanınır? Belirtiler, Türleri ve Yapmanız Gerekenler

Oltalama (phishing), saldırganların güvenilir bir kuruluş veya kişi gibi davranarak sizi parola, kart bilgisi veya kişisel veri paylaşmaya ya da zararlı bir bağlantıya/dosyaya tıklamaya ikna etmesidir. Teknik zafiyetlerden farklı olarak insanı hedef alır; bu yüzden en yaygın ve en etkili saldırı türlerinden biridir. İyi haber: belirtilerini bilirseniz çoğunu fark edebilirsiniz.

Türleri

E-posta ile oltalama: Banka, kargo, e-devlet, bir yazılım hizmeti veya yöneticiniz gibi görünen sahte e-postalar.
Hedefli oltalama (spear phishing): Belirli bir kişiye özel hazırlanmış, adınızı, görevinizi ve iş ilişkilerinizi bilen mesajlar. Genel mesajlardan daha inandırıcıdır.
Balina avı (whaling): Üst düzey yöneticileri hedef alır.
İş e-postası dolandırıcılığı (BEC): Yönetici veya tedarikçi kimliğiyle ödeme talimatı değiştirme veya acil havale isteme.
SMS ile oltalama (smishing): "Paketiniz bekliyor", "hesabınız bloke edildi" gibi kısa mesajlar.
Telefonla oltalama (vishing): Banka veya kamu kurumu adına arayıp kod, parola veya para isteme.
QR kod oltalaması (quishing): Sahte QR kodlarla kullanıcıyı zararlı sayfalara yönlendirme.
Sahte web siteleri: Gerçek sitenin birebir kopyası olan giriş sayfaları.

Oltalamayı tanıma belirtileri

Gönderen adresi ve görünen ad uyuşmuyor. "Bankanız" yazan bir gönderenin adresi destek@banka-guvenlik-mail.com gibi alakasız olabilir. Yalnızca görünen ada değil, adres alanına bakın.
Aciliyet ve tehdit: "24 saat içinde hesabınız kapatılacak", "hemen tıklayın" gibi baskı oluşturan dil.
Beklenmedik talepler: Parola, tek kullanımlık kod, kart bilgisi veya acil havale isteği. Meşru kuruluşlar e-posta veya telefonla parolanızı ve tek kullanımlık kodunuzu istemez.
Şüpheli bağlantılar: Üzerine gelince (tıklamadan) görünen gerçek adres, metinle uyuşmuyorsa; alan adında yazım hatası veya fazladan sözcük varsa (banka-giris.net, bankaa.com).
Beklenmedik ek dosyalar: Özellikle .zip, .html, makro içeren Office dosyaları ve "fatura" adlı ekler.
Genel hitap ve dil hataları: "Sayın müşterimiz" gibi genel hitaplar ve tuhaf ifadeler. Ancak iyi hazırlanmış saldırılarda hiçbir hata olmayabilir; bu yüzden tek başına yeterli ölçüt değildir.
Beklenmeyen davetler ve paylaşımlar: Tanımadığınız biri tarafından paylaşılan belge, "güvenli mesaj" veya parola sıfırlama bağlantısı.

Şüpheli bir mesaj aldığınızda

Durun ve doğrulayın: Bağlantıya tıklamak yerine, kuruluşun sitesini tarayıcıya kendiniz yazın veya uygulamasını açın.
Başka bir kanaldan teyit edin: Resmî telefon numarasını kendiniz bulup arayın; mesajdaki numarayı aramayın.
Ödeme talimatı değişikliklerini mutlaka sözlü teyit edin: Tedarikçi IBAN değişikliği gibi talepleri e-postayla kabul etmeyin.
Ek dosyaları açmayın; beklediğiniz bir dosya olsa bile gönderene başka bir kanaldan sorun.
Bildirin: İşyerinizde BT birimine; bireysel olarak kullandığınız e-posta hizmetinin "oltalama bildir" seçeneğine bildirin.

Tıkladıysanız veya bilgi verdiyseniz

Panik yapmayın ama hızlı davranın.
Girdiğiniz hesabın parolasını hemen gerçek siteden değiştirin; aynı parolayı kullandığınız diğer hesapları da değiştirin.
İki aşamalı doğrulamayı açın; açıksa oturumları sonlandırın (2FA rehberi).
Kart bilgisi verdiyseniz bankanızı arayıp kartı bloke ettirin, hareketleri kontrol edin.
Ek açtıysanız cihazı ağdan ayırın, güncel bir güvenlik yazılımıyla tarayın ve BT desteğine haber verin.
Kurum hesabıysa derhal BT/güvenlik birimine bildirin; gecikme zararı büyütür.
Kişisel veri ihlali söz konusuysa kurum olarak KVKK bildirim yükümlülüklerini bir uzmanla değerlendirin.

Kurumsal korunma

Çok faktörlü kimlik doğrulama: Çalınan parolanın tek başına işe yaramamasını sağlar; en etkili önlemlerden biridir. Oltalamaya dayanıklı yöntemler (güvenlik anahtarı, passkey) en iyisidir.
E-posta kimlik doğrulaması: SPF, DKIM ve DMARC, alan adınızın taklit edilmesini zorlaştırır (rehber).
E-posta filtreleme ve bağlantı koruması: Zararlı bağlantı ve ekleri tarayan çözümler.
Eğitim ve simülasyon: Çalışanları düzenli bilgilendirin; şüpheli mesajı bildirmenin cezalandırılmayan, teşvik edilen bir davranış olduğunu vurgulayın.
Ödeme süreci kontrolleri: Yüksek tutarlı veya hesap değişikliği içeren ödemeler için ikinci bir onay ve sözlü teyit zorunluluğu.
Güncel yazılım ve uç nokta koruması.

Kendi sitenizin sahte kopyasını fark ederseniz

Markanızı taklit eden bir oltalama sitesi gördüyseniz: alan adı kayıt kuruluşuna ve hosting sağlayıcısına kötüye kullanım bildirimi gönderin, Google Safe Browsing'in oltalama bildirim formunu kullanın ve müşterilerinizi uyarın. Türkiye'de siber olay bildirimleri için USOM'un (Ulusal Siber Olaylara Müdahale Merkezi) bildirim kanallarına da başvurabilirsiniz.

Kaynaklar ve ileri okuma

Sık Sorulan Sorular

Bir bağlantıya tıkladım ama hiçbir şey girmedim. Tehlikede miyim?

Her zaman tehlike olmasa da bazı sayfalar zararlı yazılım indirmeyi veya tarayıcı zafiyetlerini hedefleyebilir. Güncel bir tarayıcı ve güvenlik yazılımı kullanıyorsanız risk düşer; yine de şüphe varsa cihazı tarayın ve parolalarınızı değiştirin.

Banka asla beni aramaz mı?

Bankalar güvenlik amaçlı arayabilir; ancak bir arayanın kimliğine güvenmeyin. Parola, kart ve tek kullanımlık kod asla paylaşılmaz; aramayı kapatıp bankanın resmî numarasını kendiniz arayın.

Spam filtresi oltalamadan korur mu?

Büyük bölümünü yakalar, ancak kusursuz değildir; özellikle hedefli ve yeni saldırılar filtreleri aşabilir. Filtre ve kullanıcı farkındalığı birlikte çalışmalıdır.