Phishing Saldırılarından Nasıl Korunursunuz
Kısa cevap: Bir phishing saldırısı, sizi tanıdığınız bir kurumla konuştuğunuza inandırıp şifrenizi, kart bilgilerinizi ya da doğrulama kodunuzu kendi elinizle vermeye ikna etme girişimidir. Korunmanın özü teknik değil, davranışsaldır: gelen mesajdaki bağlantıya tıklamak yerine adresi kendiniz yazarak siteye gidin, acele ettiren her mesaja şüpheyle bakın, hesaplarınızda iki faktörlü doğrulama açık olsun ve doğrulama kodunu asla kimseyle paylaşmayın. Bu üç alışkanlık, saldırıların büyük kısmını daha ilk adımda etkisiz hale getirir.
Phishing tam olarak nasıl işliyor?
Saldırgan önce güvendiğiniz bir kimliğe bürünür: bankanız, e-posta sağlayıcınız, kargo firması, iş yerinizin bilgi işlem birimi ya da bir sosyal medya platformu. Ardından harekete geçmeniz için bir sebep uydurur — "hesabınız askıya alınacak", "kargonuz teslim edilemedi", "girişiniz şüpheli bulundu". Son adımda sizi gerçeğine çok benzeyen sahte bir giriş sayfasına yönlendirir. Siz kullanıcı adı ve şifrenizi yazdığınız anda bu bilgiler saldırgana gider; sayfa genellikle sizi gerçek siteye yönlendirdiği için çoğu kişi bir şey olmadığını düşünür.
Burada anlaşılması gereken kritik nokta şu: saldırgan bilgisayarınızı kırmıyor, sizi ikna ediyor. Bu yüzden en güçlü şifre bile phishing karşısında kendi başına yeterli değildir.
Sahte bir mesajı nasıl anlarım?
Tek bir işaret aramayın; birkaç sinyali birlikte değerlendirin.
- Aciliyet ve korku: "24 saat içinde", "hesabınız kapatılacak", "son uyarı" gibi ifadeler düşünmenizi engellemek içindir.
- Gönderen adresi: Görünen isim doğru olabilir ama e-posta adresinin alan adı tuhaftır: kurum adının yanında ekler, tireler, benzer harfler (rn ile m, l ile I karışıklığı) bulunur.
- Bağlantının gittiği yer: Bağlantı metni farklı, hedef adres farklı olabilir. Fareyle üzerine gelip adresi görün; mobilde basılı tutarak önizleyin.
- İstenen bilgi: Hiçbir ciddi kurum e-postayla şifrenizi, kart CVV'nizi veya SMS ile gelen doğrulama kodunu istemez.
- Beklenmeyen ek dosya: Fatura, dekont, özgeçmiş adı taşıyan zip, iso veya makro içeren ofis dosyaları klasik taşıyıcılardır. Böyle bir dosyayı açtıysanız cihazınızda kötü amaçlı yazılım taraması yapmayı ihmal etmeyin.
- Genel hitap: "Değerli müşterimiz" gibi kişiselleştirilmemiş hitaplar ipucu olabilir — ama adınızı bilen phishing mesajları da vardır, bu yüzden tek ölçüt değildir.
Adres çubuğu neye benziyor?
Kilit simgesi tek başına "bu site güvenli" anlamına gelmez; yalnızca bağlantının şifreli olduğunu gösterir. Sahte siteler de kilit simgesi alabilir. Bakılması gereken şey alan adının kendisidir: adresin en sağdaki nokta öncesi kısmı gerçek kuruma mı ait? "banka-guvenlik-dogrulama.example" gibi bir adres, içinde kurum adı geçse bile o kuruma ait değildir.
Phishing türleri arasında fark var mı?
| Tür | Nasıl gelir | Ayırt edici özelliği |
|---|---|---|
| Klasik phishing | E-posta | Kitlesel gönderim, genel hitap |
| Hedefli (spear) phishing | E-posta, LinkedIn benzeri ağlar | Adınızı, iş yerinizi, projenizi bilir |
| Smishing | SMS | Kısaltılmış bağlantı, kargo/ceza bildirimi |
| Vishing | Telefon | "Bankanızın güvenlik birimi" diye arar, kod ister |
| Sahte destek | Sosyal medya yanıtları | Şikayet paylaşan kullanıcıya özelden yazar |
Somut olarak ne yapmalıyım?
- Bağlantıya tıklamayı alışkanlık olmaktan çıkarın. Bankanızdan mesaj geldiyse uygulamayı kendiniz açın ya da adresi tarayıcıya elle yazın. Gerçek bir bildirim varsa orada da görünür.
- İki faktörlü doğrulamayı açın. Şifreniz sızsa bile saldırgan ikinci adımı geçemez. Uygulama tabanlı kodlar veya fiziksel güvenlik anahtarı, SMS'ten daha dayanıklıdır.
- Şifre yöneticisi kullanın. Yöneticinin sessiz bir yararı vardır: kayıtlı adres ile açtığınız sayfa uyuşmuyorsa bilgileri otomatik doldurmaz. Bu, sahte siteyi fark etmenizi sağlayan güçlü bir uyarıdır. Her hesaba ayrı ve güçlü bir şifre üretmesi de bir sızıntının diğer hesaplara yayılmasını engeller.
- Kodu asla paylaşmayın. "Doğrulama için size gelen kodu okuyun" diyen kişi, kim olduğunu söylerse söylesin, dolandırıcıdır.
- E-posta hesabınızı en değerli hesap gibi koruyun. Şifre sıfırlama bağlantıları oraya düşer; e-postayı kaybeden diğer her şeyi kaybeder.
- Halka açık ağlarda ekstra dikkatli olun. Kafedeki Wi-Fi'de sahte giriş sayfalarıyla karşılaşma olasılığı artar.
- Yedek alın. Fidye yazılımı çoğu zaman bir phishing ekiyle başlar; güncel yedek varsa şantajın gücü kalmaz.
Tıkladım ve bilgilerimi girdim, şimdi ne olacak?
Panik yararlı değil, hız yararlı. Sırayla:
- O hesabın şifresini başka bir cihazdan hemen değiştirin. Aynı şifreyi kullandığınız diğer hesapları da değiştirin.
- Hesap ayarlarından "aktif oturumlar" bölümüne girip tanımadığınız tüm oturumları kapatın.
- İki faktörlü doğrulamayı açın; açıksa yedek kodları yenileyin.