Phishing Nedir? Oltalama Türleri ve Korunma Yolları

Phishing nedir sorusunun kısa yanıtı şudur: phishing (oltalama), saldırganın banka, kargo şirketi, kamu kurumu ya da iş ortağınız gibi güvenilir bir kaynağı taklit ederek sizi bir bağlantıya tıklamaya, ek açmaya, parola veya kart bilgisi paylaşmaya ya da para göndermeye ikna etmeye çalıştığı bir sosyal mühendislik saldırısıdır. Saldırıların çoğu e-postayla başlar, ancak SMS ve telefon da aynı amaçla kullanılır. Gönderen adresini, bağlantının gerçek hedefini ve "hemen işlem yapın" baskısını kontrol etmek, oltalamayı fark etmenin en hızlı yoludur.

Phishing nasıl çalışır?

Oltalama, teknik bir açıktan çok insan davranışını hedefler. Saldırgan önce inandırıcı bir bahane kurar: süresi dolan bir parola, teslim edilemeyen bir kargo, ödenmemiş bir fatura ya da yöneticinizden gelen acil bir rica. Ardından bu bahaneyi tek bir eyleme bağlar: sahte bir giriş sayfasına giden bağlantı, zararlı yazılım taşıyan bir ek veya doğrudan bir ödeme talebi.

Başarılı bir oltalama e-postası genellikle şu psikolojik tetikleyicilerden birini ya da birkaçını kullanır:

Otorite: Genel müdür, banka, vergi dairesi veya BT departmanı adına yazılmış gibi görünür.
Aciliyet: "24 saat içinde" veya "aksi halde hesabınız kapatılacak" gibi süre baskısı kurar.
Korku ve merak: Ceza, borç, icra takibi ya da "sizinle bir belge paylaşıldı" gibi ifadelerle düşünmeden tıklatmaya çalışır.
Fırsat: İade, ödül veya indirim vaat eder.

Saldırganın ilk hedefi çoğu zaman para değil, kimlik bilgisidir. Çalınan bir e-posta parolası, aynı hesaptan müşterilere sahte fatura göndermek gibi çok daha pahalı saldırıların kapısını açar. Zincirin bu devamını BEC saldırısı yazımızda ayrıntılı anlattık.

Oltalama türleri nelerdir?

Tür	Kimi hedefler?	Tipik görünüm
Toplu oltalama	Rastgele çok sayıda kişi	Banka, kargo veya e-Devlet taklidi, genel hitap
Hedefli oltalama (spear phishing)	Belirli bir kişi veya ekip	Adınız, unvanınız ve gerçek iş bağlamı kullanılır
Balina avı (whaling)	Üst yöneticiler	Hukuki yazışma, gizli satın alma, yönetim kurulu belgesi
Klon oltalama	Daha önce gerçek bir e-posta almış kişiler	Gerçek iletinin kopyası, bağlantı veya ek değiştirilmiş
Smishing ve vishing	Telefon kullanıcıları	SMS'teki kısa bağlantı ya da kendini banka görevlisi olarak tanıtan arayan

Toplu oltalama en yaygın türdür; az sayıda kişinin tuzağa düşmesi bile saldırgan için yeterlidir. Hedefli oltalamada saldırgan; LinkedIn profilleri, şirket web sitesi ve daha önce sızdırılmış verilerden topladığı bilgilerle tek bir kişiye özel ileti hazırlar. Balina avı, aynı yöntemin üst yöneticilere uygulanmış hâlidir ve çoğu zaman CEO dolandırıcılığı ile iç içe geçer. Klon oltalamada daha önce aldığınız meşru bir e-postanın neredeyse birebir kopyası "güncellenmiş sürüm" diye yeniden gönderilir. Smishing (SMS ile oltalama) ve vishing (sesli arama ile oltalama) aynı senaryoyu başka kanallara taşır; bazen e-postadaki tuzak bir telefon aramasıyla "doğrulanmaya" çalışılır.

Örnek senaryo: "parolanızın süresi doluyor"

Kurgusal örnek. Örnek Mimarlık Ltd.'de çalışan Elif Hanım, sabah "Microsoft 365 parolanızın süresi bugün doluyor" başlıklı bir e-posta alır. İletide tanıdık bir logo ve "Parolamı koru" düğmesi vardır. Düğme, gerçek oturum açma sayfasının kopyası olan bir siteye gider. Elif Hanım parolasını girdikten birkaç gün sonra müşterilerden "Gönderdiğiniz faturadaki IBAN neden değişti?" diye soran telefonlar gelmeye başlar. Saldırgan, ele geçirdiği posta kutusundan gerçek yazışmalara yanıt vererek sahte ödeme talimatları göndermiştir.

Bu senaryo, oltalamanın tek bir tıklamayla bitmediğini gösterir: çalınan kimlik bilgisi, kurumun itibarını ve müşterilerinin parasını riske atan bir sürecin başlangıcıdır.

Oltalama e-postası nasıl anlaşılır?

Gönderen adresine bakın

Görünen ad ("Microsoft Destek", "Genel Müdür") gönderen tarafından istenildiği gibi yazılabilir. Asıl önemli olan, açılı parantez içindeki gerçek adres ve onun alan adıdır. Alan adındaki tek harf farkı, araya eklenen bir tire veya farklı bir uzantı (.com.tr yerine .com) şüphe nedenidir; bu hileleri typosquatting yazımızda inceledik. Yanıt adresinin (Reply-To) gönderenden farklı olması, özellikle de ücretsiz bir posta servisine gitmesi de tipik bir işarettir.

Şüphelendiğiniz iletinin başlık bilgileri (header) çoğu zaman durumu netleştirir:

From: "Microsoft 365 Destek" <[email protected]>
Reply-To: [email protected]
Subject: Parolanızın süresi bugün doluyor
Authentication-Results: mx.ornekmimarlik.com.tr;
       spf=pass smtp.mailfrom=m365-guvenlik-merkezi.com;
       dkim=none;
       dmarc=none header.from=m365-guvenlik-merkezi.com

Bu örnekte görünen ad Microsoft'u çağrıştırsa da gerçek adres alakasız bir alan adına aittir, yanıtlar ise ücretsiz bir posta hesabına gider. SPF sonucunun "pass" olması sizi yanıltmamalıdır: SPF yalnızca iletinin o alan adı adına gönderim yetkisi olan bir sunucudan çıktığını gösterir, alan adının güvenilir olduğunu değil.

Bağlantının gerçek hedefini okuyun

Bağlantının üzerine fareyle gelin, mobilde ise basılı tutun ve gerçek adresi okuyun. Alan adı, ilk tek eğik çizgiden hemen önceki bölümdür ve sağdan sola okunur: ornekbank.com.tr.hesap-onay.net/giris adresinin sahibi ornekbank değil, hesap-onay.net alan adının sahibidir. Kısaltılmış bağlantılar, IP adresine giden bağlantılar ve görünen metniyle hedefi farklı olan bağlantılar şüphelidir.

Aciliyet ve tehdide dikkat edin

"Son uyarı", "derhal" ya da "24 saat içinde işlem yapmazsanız" gibi ifadeler, sizi düşünmeden hareket ettirmek içindir. Gerçek kurumlar da süre bildirebilir; aradaki fark, size e-postadaki bağlantı dışında bir doğrulama yolu bırakıp bırakmadıklarıdır.

Ekleri sorgulayın

Beklemediğiniz faturalar, .html uzantılı "belge görüntüleyici" ekleri, şifreli ZIP dosyaları ve makro içeren Office belgeleri (.docm, .xlsm) yüksek risk taşır. Şifresi e-postanın gövdesinde yazan bir arşiv, antivirüs taramasını atlatmak için kullanılan bilinen bir yöntemdir.

Dil ve üslubu değerlendirin

Eskiden yazım hataları iyi bir ipucuydu; bugün yapay zekâ araçlarıyla kusursuz Türkçe metin üretmek çok kolay. Bu yüzden dil hatası olmaması güven nedeni değildir. Genel hitaplar ("Sayın müşterimiz"), alışılmadık imzalar ve kurumun normalde kullanmadığı bir üslup hâlâ dikkate değer işaretlerdir.

Phishing'e karşı hangi teknik önlemler işe yarar?

Tek bir önlem yetmez; katmanlı bir savunma gerekir:

Alan adı doğrulaması: Kendi alan adınız için SPF, DKIM ve DMARC yayımlamak, saldırganların doğrudan sizin adresinizi taklit etmesini zorlaştırır.
E-posta ağ geçidi filtrelemesi: Spam ve virüs taraması, bağlantı ve ek analizi ile şüpheli iletilerin karantinaya alınması.
İki adımlı doğrulama: Parola çalınsa bile hesabın ele geçirilmesini büyük ölçüde zorlaştırır; ayrıntılar iki adımlı doğrulama yazımızda.
Dış gönderen etiketi: Kurum dışından gelen iletilere görünür bir uyarı eklemek, "iç yazışma" taklitlerini fark etmeyi kolaylaştırır.

MXZilla, genel spam motorlarının kaçırabildiği Türkçe kalıplar için ayrı kurallar kullanır: sahte kargo, e-Devlet ve vergi bildirimleri, banka adına şifre talepleri ve IBAN değişikliği bahaneleri puanlanır, şüpheli iletiler kullanıcıya ulaşmadan karantinaya alınır.

Bağlantıya tıkladıysanız ne yapmalısınız?

Panik yapmayın ama hızlı davranın. Hasarı sınırlamak için şu adımları izleyin:

Açık kalan sayfaya başka bilgi girmeyin ve sekmeyi kapatın.
Parola girdiyseniz, güvendiğiniz bir cihazdan hemen değiştirin; aynı parolayı kullandığınız diğer hesaplarda da değiştirin.
İki adımlı doğrulamayı açın, açık oturumları sonlandırın ve posta kutunuzda tanımadığınız bir yönlendirme kuralı olup olmadığına bakın.
Bir ek açtıysanız cihazı ağdan ayırın ve BT ekibinize haber verin; cihazı kendi başınıza temizlemeye çalışmayın.
Kart veya banka bilgisi paylaştıysanız bankanızı resmî müşteri hizmetleri numarasından arayın ve kartı kullanıma kapatın.
İletiyi silmeden önce BT ekibinize iletin ya da e-posta servisinizin oltalama bildirme seçeneğiyle bildirin.

Sahte web sitelerini USOM'a bildirmek, başkalarının aynı tuzağa düşmesini önlemeye yardımcı olur. USOM (Ulusal Siber Olaylara Müdahale Merkezi) hizmetleri artık Siber Güvenlik Başkanlığı bünyesinde sürdürülüyor; bildirimleri ihbar formu üzerinden yapabilirsiniz. Hesabınızın ele geçirildiğinden şüpheleniyorsanız ele geçirilmiş e-posta hesabının belirtileri yazımızdaki kontrol listesini uygulayın.

Kurumunuzda oltalama riskini nasıl azaltırsınız?

Teknik önlemler iletilerin büyük kısmını durdursa da bazıları mutlaka gelen kutusuna ulaşır. Bu yüzden çalışanların şüpheli iletiyi tanıması ve tek tıkla bildirebilmesi gerekir. Kısa ve düzenli eğitimler, cezalandırmayan bir bildirim kültürü ve etik yürütülen oltalama simülasyonları en iyi sonucu verir; yol haritasını e-posta güvenliği eğitimi yazımızda paylaştık. Birleşik Krallık Ulusal Siber Güvenlik Merkezi'nin (NCSC) oltalama rehberi de aynı katmanlı yaklaşımı önerir.

Alan adınızın SPF, DKIM, DMARC ve MX kayıtlarının oltalamaya karşı ne kadar hazır olduğunu merak ediyorsanız, ücretsiz alan adı güvenlik kontrolü ile birkaç saniyede görebilirsiniz.

Sık sorulan sorular

Phishing ile spam arasındaki fark nedir?

Spam, istenmeyen ama çoğunlukla zararsız toplu ticari iletilerdir. Phishing ise sizi kandırarak parola, kart bilgisi veya para elde etmeyi amaçlar. Bir oltalama e-postası spam gibi toplu gönderilebilir, ancak amacı reklam değil dolandırıcılıktır.

Bir e-postayı yalnızca açmak tehlikeli midir?

Güncel bir e-posta istemcisinde bir iletiyi yalnızca açmak çoğu durumda tek başına zarar vermez. Asıl risk, bağlantıya tıkladığınızda, eki açtığınızda veya istenen bilgiyi girdiğinizde başlar. Uzak görsellerin otomatik yüklenmesini kapatmak, iletiyi açtığınızın gönderene bildirilmesini önlemeye de yardımcı olur.

Oltalama e-postası nereye bildirilir?

Kurum içinde önce BT veya güvenlik ekibinize bildirin. Gmail ve Outlook gibi servislerin oltalama bildirme seçeneklerini kullanabilir, sahte web sitelerini USOM hizmetlerini yürüten Siber Güvenlik Başkanlığı'nın ihbar formuna iletebilirsiniz. Bir kurum adına sahtecilik yapılıyorsa o kurumun resmî iletişim kanallarına da haber verin.

İki adımlı doğrulama oltalamayı tamamen engeller mi?

Hayır, ama riski ciddi biçimde azaltır. Gelişmiş oltalama kitleri, girdiğiniz SMS kodunu gerçek zamanlı olarak kullanıp oturumunuzu ele geçirebilir. Bu nedenle mümkünse geçiş anahtarı (passkey) veya donanım güvenlik anahtarı gibi oltalamaya dayanıklı yöntemler tercih edilmeli, beklemediğiniz onay isteklerine asla onay verilmemelidir.

Küçük bir şirket neden oltalamanın hedefi olsun?

Saldırganlar çoğu zaman şirketin büyüklüğüne değil, savunmasının zayıflığına bakar. KOBİ'lerde ödeme onay süreçleri ve teknik önlemler daha basit olabildiği için hem toplu hem hedefli oltalama burada da sık görülür. Ayrıca küçük bir tedarikçinin ele geçirilen hesabı, büyük müşterilerine ulaşmak için bir basamak olarak kullanılabilir.