Oltalama (Phishing) Nedir? Oltalama E-postası Nasıl Anlaşılır?

• Toplu oltalama: Binlerce kişiye aynı mesaj gider: “kargonuz teslim edilemedi”, “hesabınız askıya alındı”. Hedef rastgele, mesaj geneldir.
• Hedefli oltalama (spear phishing): Belirli bir kişi ya da ekip için hazırlanır; mesajda gerçek bir ad, proje ya da tedarikçi geçer. Üst yöneticilere yönelik olanına balina avı (whaling) denir.
• SMS oltalaması (smishing): Kısa mesajla gelen sahte bağlantı. Kargo, banka ve ceza bildirimi bahaneleri sık kullanılır.
• Sesli oltalama (vishing): Telefonla yapılır; arayan kendini banka, BT destek ya da resmî görevli olarak tanıtır ve çoğu zaman doğrulama kodu ister.
• CEO dolandırıcılığı ve iş e-postası dolandırıcılığı (BEC): Genel müdür ya da tedarikçi adına “acil ödeme” veya “IBAN değişikliği” talimatı gelir. Çoğu zaman ek ya da bağlantı yoktur; bu yüzden filtreye takılmaz.
• QR kod oltalaması (quishing): Bağlantı, e-postaya ya da afişe konan bir QR kodun içine gizlenir. Kod çoğu zaman kurumsal korumanın dışındaki kişisel telefonla okutulur.

Oltalama, insanı hedef alan saldırıların en yaygın biçimidir; daha geniş çerçeve için sosyal mühendislik sayfasına bakın.

1. Gönderen adresi: Görünen ad tanıdık ama adres farklıdır; alan adında harf oyunu (rn yerine m, o yerine 0) ya da fazladan bir kelime vardır.
2. Aciliyet ve tehdit: “24 saat içinde”, “hesabınız kapatılacak”, “ödeme bugün yapılmalı”.
3. Bağlantının gerçek adresi: Fareyle üzerine gelince (tıklamadan) görünen adres metindekiyle aynı değildir ya da kısaltılmış bir bağlantıdır.
4. Beklenmeyen ek: “İçeriği etkinleştir” diyen Office belgesi, parolalı ZIP, HTML ya da disk görüntüsü (ISO) dosyası.
5. Olağandışı talep: Parola, doğrulama kodu, IBAN değişikliği, hediye kartı ya da gizli tutulması istenen bir ödeme.
6. Hitap ve üslup: Genel hitap, kurumun yazışma diline uymayan bir ton. Yazım hatası artık güvenilir bir işaret değildir; yapay zekâ araçlarıyla hatasız metin kolayca üretilir.

Şüphe varsa mesajdaki bağlantıyı ya da telefon numarasını kullanmayın; kurumu bildiğiniz kanaldan arayın ya da adresi tarayıcıya kendiniz yazın.

1. BT ya da güvenlik ekibine hemen bildirin: hangi mesaj, ne zaman, ne yaptınız. Erken bildirim, zararı çoğu zaman tek hesapta durdurur.
2. Parola girdiyseniz o parolayı ve aynı parolayı kullandığınız bütün hesapları değiştirin; açık oturumları sonlandırın.
3. Dosya açtıysanız cihazı kapatmadan ağdan ayırın. Bellekteki izler adli analiz için gerekebilir.
4. Kart ya da banka bilgisi verdiyseniz bankanızı arayıp kartı kapattırın.
5. Mesajı silmeyin; güvenlik ekibi aynı mesajın kime daha gittiğini bulup posta kutularından kaldırır.

• E-posta güvenliği: SPF, DKIM ve DMARC kayıtları kurumun alan adının taklit edilmesini zorlaştırır. Ağ geçidi bağlantıları ve ekleri inceler, dışarıdan gelen e-postaya uyarı etiketi ekler.
• Çok faktörlü doğrulama (MFA): Çalınan parola tek başına yetmez. Bazı oltalama kitleri gerçek oturum açma sayfasıyla kurbanın arasına girip SMS kodunu ve oturum çerezini de çalar; bu yüzden oltalamaya dayanıklı yöntemler (FIDO2 güvenlik anahtarı, geçiş anahtarı) tercih edilir.
• Uç nokta kontrolleri: Uygulama Kontrolü makroların, betiklerin ve indirilen dosyaların onaysız çalışmasını engeller; EDR açılan dosyanın şüpheli davranışını yakalar ve cihazı yalıtır.
• Süreç: Ödeme ve IBAN değişikliği talimatları, kayıtlı telefon numarasından geri aranarak doğrulanır.
• Farkındalık: Düzenli oltalama simülasyonları ve tek tıkla “şüpheli e-postayı bildir” düğmesi. Bildiren çalışan teşekkür alır; tıklayan cezalandırılmaz, yoksa kimse bildirmez.

Arşivdeki iki vakada saldırı, e-posta ekiyle gelen bir Office belgesiyle başladı:

• Emotet botneti · 2021 · Belge tabanlı ilk erişim

  Zararlı yıllarca e-posta ekleri ve kötü amaçlı Office belgeleriyle sistemlere girdi. Ele geçirilen bilgisayarlar, başka saldırganlara ve zararlılara kapı açan bir altyapının parçası oldu. Bu yüzden pek çok fidye yazılımı ve veri hırsızlığı saldırısında ilk halka olarak kullanıldı.

  Sonuç: Sekiz ülkenin katıldığı ortak operasyonla Ocak 2021'de botnet altyapısının kontrolü ele geçirildi.

  Önleyen çözüm: Makronun indirdiği onaysız program ya da DLL çalışmaz; zincirin ilk halkası kesilebilir. Uygulama Kontrolü

• BlackEnergy · 2015 · Belge üzerinden kritik altyapıya sızma

  Saldırı, zararlı makro içeren Office belgeleriyle gönderilen hedefli e-postalarla başladı. Saldırganlar zamanla operatör sistemlerine erişti ve dağıtım şebekesinde şalterleri uzaktan tek tek açtı. Bir şirketin çağrı merkezi binlerce sahte aramayla kilitlendi; müşteriler kesintiyi bildiremedi.

  Sonuç: Yaklaşık 225.000 müşteri saatlerce elektriksiz kaldı; olay bilinen ilk siber kaynaklı elektrik kesintilerinden biri oldu.

  Önleyen çözüm: Makronun diske bıraktığı onaysız program çalışmaz; saldırının ilk adımı kesilebilir. Uygulama Kontrolü