Oltalama (phishing), saldırganın kendisini banka, kargo firması, kamu kurumu veya tanıdığınız biri gibi göstererek parolanızı, kart bilgilerinizi ya da doğrulama kodunuzu sizden almaya çalıştığı dolandırıcılık yöntemidir. Teknik bir açıktan çok insanın dikkatsizliğini ve telaşını hedef alır. Korunmanın özü basittir: gelen mesajdaki bağlantıya tıklamak yerine siteye kendiniz gidin, doğrulama kodlarını kimseyle paylaşmayın ve hesaplarınızda iki adımlı doğrulamayı açık tutun.
Oltalama Saldırısı Nasıl İşler?
Senaryo çoğunlukla aynıdır. Size bir mesaj gelir: hesabınız askıya alınmış, kargonuz teslim edilememiş, bir iade hakkınız doğmuş ya da şüpheli bir giriş tespit edilmiştir. Mesajdaki bağlantı, gerçeğine çok benzeyen sahte bir sayfaya açılır. Oraya yazdığınız kullanıcı adı, parola ve SMS kodu doğrudan saldırgana ulaşır. Bazı durumlarda bağlantı bir giriş sayfasına değil, cihaza zararlı yazılım yükleyen bir dosyaya gider.
Mesajların ortak özelliği aciliyet duygusu yaratmasıdır. “Son 24 saat”, “hemen işlem yapın”, “hesabınız kapatılacak” gibi ifadeler, düşünmeden hareket etmenizi sağlamak için seçilir.
Oltalama Türleri
- E-posta oltalaması: En yaygın türdür; aynı mesaj çok sayıda kişiye gönderilir.
- Hedefli oltalama: Belirli bir kişi veya kurum için hazırlanır; adınız, unvanınız ve gerçek iş ilişkileriniz mesajda geçer.
- SMS oltalaması: Kargo, fatura, trafik cezası veya kampanya bahanesiyle gelen kısa mesajlar.
- Sesli oltalama: Kendini banka görevlisi, polis veya savcı olarak tanıtan telefon aramaları.
- QR kod oltalaması: Otopark, restoran veya e-postadaki sahte QR kodlar sizi zararlı bir siteye yönlendirir.
- Sosyal medya oltalaması: “Telif ihlali”, “mavi tik başvurusu” veya ele geçirilmiş bir arkadaş hesabından gelen bağlantılar.
Üretken yapay zeka araçları, bozuk Türkçe ve imla hatası gibi eski ipuçlarını büyük ölçüde ortadan kaldırdı. Yapay zeka destekli saldırıların artışı yazımızda anlattığımız gibi, artık kusursuz yazılmış bir mesaj da sahte olabilir.
Sahte Mesaj Nasıl Anlaşılır?
- Gönderen adresine bakın. Görünen ad “Bankanız” olabilir; asıl önemli olan adresin et işaretinden sonraki alan adı kısmıdır.
- Bağlantının gerçek adresini kontrol edin. Bilgisayarda fareyi bağlantının üzerine getirin, telefonda basılı tutun. Harf değişiklikleri, fazladan tireler ve alışılmadık uzantılar uyarı işaretidir.
- Alan adını doğru okuyun. Adresin asıl sahibi, ilk tek eğik çizgiden önceki son bölümdür. Kurumun adı adresin başında geçiyor diye site o kuruma ait olmaz.
- Kilit simgesine güvenmeyin. HTTPS yalnızca bağlantının şifreli olduğunu gösterir; sahte siteler de bu simgeyi taşıyabilir.
- İstenen bilgiyi sorgulayın. Kurumlar e-posta veya telefonla parola, kart şifresi ya da SMS kodu istemez.
- Beklenmedik ekleri açmayın. Fatura, dekont veya tebligat adıyla gelen sıkıştırılmış dosyalar ve makro içeren belgeler risklidir.
Oltalamadan Korunma Yolları
Bağlantıya Değil, Kaynağa Gidin
En etkili alışkanlık budur. Bankanızdan bir uyarı geldiyse mesajdaki bağlantıyı kullanmayın; uygulamayı kendiniz açın veya adresi tarayıcıya elle yazın. Uyarı gerçekse orada da görürsünüz.
İki Adımlı Doğrulama Kullanın
Parolanız çalınsa bile ikinci adım saldırganı durdurabilir. Kurulum adımlarını iki adımlı doğrulama rehberimizde bulabilirsiniz. SMS kodları sahte sayfalar aracılığıyla anlık olarak ele geçirilebildiği için, destekleyen hesaplarda doğrulama uygulaması, güvenlik anahtarı veya geçiş anahtarı daha güçlü bir koruma sağlar.
Parola Yöneticisinden Yararlanın
Parola yöneticileri kayıtlı parolayı yalnızca doğru alan adında otomatik doldurur. Sahte sitede doldurma önerisi çıkmaması başlı başına bir uyarıdır. Her hesap için ayrı parola kullanmak da bir sızıntının diğer hesaplarınıza sıçramasını engeller; güçlü şifre oluşturma yazımız bu konuda yol gösterir.
Yazılımı Güncel Tutun
Güncel tarayıcılar ve e-posta servisleri bilinen oltalama sitelerinin önemli bölümünü engeller. Bu filtrelerin nasıl çalıştığını yapay zeka destekli dijital savunma yazımızda ele aldık.
Bağlantıya Tıkladıysanız Ne Yapmalısınız?
- Yalnızca tıkladıysanız: Sayfayı kapatın, bir şey indirildiyse açmadan silin ve cihazı güvenlik yazılımıyla tarayın.
- Parola girdiyseniz: Hemen o hesabın parolasını gerçek site üzerinden değiştirin, aynı parolayı kullandığınız diğer hesapları da güncelleyin, açık oturumları kapatın.
- Kart bilgisi verdiyseniz: Bankanızı resmî numarasından arayın, kartı kapattırın ve şüpheli işlemlere itiraz edin.
- Mağdur olduysanız: Ekran görüntülerini saklayın ve savcılığa ya da kolluk birimlerine başvurun.
Sahte mesajı e-posta servisinizdeki “kimlik avı bildir” seçeneğiyle işaretlemek, başkalarının da korunmasına yardımcı olur.
Sık Sorulan Sorular
Sadece e-postayı açmak zarar verir mi?
Güncel e-posta uygulamalarında yalnızca mesajı açmak genellikle risk oluşturmaz. Tehlike bağlantıya tıklamak, eki açmak veya bilgi girmekle başlar.
Oltalama ile spam aynı şey mi?
Hayır. Spam istenmeyen reklam içerikli mesajdır; oltalama ise sizi kandırarak bilgi almayı amaçlar.
Arayan numara bankanın numarası gibi görünüyorsa güvenebilir miyim?
Arayan numara taklit edilebilir. Şüpheniz varsa aramayı sonlandırın ve kartınızın arkasındaki numarayı kendiniz arayın.
Kısaca
Oltalama, güvendiğiniz bir kurum gibi görünen sahte mesajlarla parolanızı ve kart bilgilerinizi ele geçirmeyi hedefler. Mesajdaki bağlantıya tıklamak yerine siteye kendiniz gidin, doğrulama kodlarını paylaşmayın ve iki adımlı doğrulamayı açın. Bilgi girdiyseniz hemen parolanızı değiştirip bankanızı arayın.
