Oltalama (phishing) nasıl anlaşılır? Sahte mesaj ve bağlantılar

Bir mesaj sizi acele ettiriyor, bir kurumu taklit ediyor ve bir bağlantı ya da ek üzerinden şifre, kart bilgisi veya doğrulama kodu istiyorsa büyük olasılıkla oltalamadır. Kesin ayrımı bağlantının gerçekte gittiği alan adı yapar; adresi sağdan sola okuyarak sahte siteyi tanıyabilirsiniz.

Oltalama (phishing) nedir, neden bu kadar işe yarar?

Oltalama, saldırganın kendini banka, kargo şirketi, kamu kurumu ya da tanıdığınız biri gibi göstererek sizden gizli bilgi almaya çalıştığı bir sosyal mühendislik yöntemidir. İngilizcedeki "phishing" kelimesi balık tutmayı çağrıştırır; Türkçede de "oltalama" denmesi bu yüzdendir. Saldırgan yemi atar, bilgiyi okurun kendisi verir.

Yöntemin işe yaramasının nedeni teknik değil, psikolojiktir. Mesajlar dört duyguya dayanır:

• Korku: "Hesabınız kapatılacak", "cezanız var".
• Aciliyet: "24 saat içinde", "son gün bugün".
• Merak ya da kazanç: "Ödül kazandınız", "iadeniz hazır".
• Otorite: Bir kurumun adı, logosu ve resmî görünen dili.

Bu duygular düşünme süresini kısaltır. Bu yüzden en etkili savunma da tek bir alışkanlıktır: bilgi ya da para isteyen her mesajda durup işlemi kendi bildiğiniz yoldan yapmak.

Sahte mesajlar nasıl görünür? Dört kurgusal örneğin incelemesi

Sahte mesajların ortak noktası, sizi kurumun bilinen kanalından değil, mesajın içindeki bağlantıdan bir işlem yapmaya yönlendirmeleridir. Aşağıdaki dört örnek tanıma amaçlı kurgudur; kurum adları ve bağlantılar bilerek eksik bırakılmıştır. Her örneğin altında görülmesi gereken işaretler numaralıdır.

Kurgusal örnek 1: "Hesabınız askıya alındı" e-postası

Tanıma amaçlı kurgu: "Değerli müşterimiz, hesabınızda olağandışı işlem tespit edildi. Hesabınız … saat içinde kısıtlanacaktır. Doğrulamak için [bağlantı] …"

1. Hitap kişisel değil: adınız yerine "değerli müşterimiz" yazıyor.
2. Süre baskısı var: belirli saat içinde işlem yapmazsanız ceza var.
3. Gönderen adresinin @ işaretinden sonraki kısmı kurumun bilinen alan adı değil ya da ona benzeyen bir taklit.
4. Bağlantının üzerine gelindiğinde (bilgisayarda) ya da uzun basıldığında (telefonda) görünen adres, kurumun adresiyle uyuşmuyor.
5. Sonuç sayfası sizden şifre ve tek kullanımlık kod istiyor; gerçek kurumlar bu ikisini e-postayla gelen bağlantı üzerinden istemez.

Kurgusal örnek 2: Kargo veya ödeme SMS'i

Tanıma amaçlı kurgu: "Gönderiniz adres eksikliği nedeniyle bekletiliyor. Küçük bir ücret ödeyerek teslimatı onaylayın: [kısaltılmış bağlantı]"

1. Beklemediğiniz bir gönderiden söz ediyor ya da hangi gönderi olduğunu belirtmiyor.
2. Çok küçük bir ödeme istiyor; küçük tutar şüpheyi azaltmak içindir, asıl hedef kart bilgisidir.
3. Bağlantı kısaltılmış, gerçek hedef görünmüyor.
4. Mesajda takip numarası, gönderen adı gibi doğrulanabilir bilgi yok.

Sahte SMS nasıl anlaşılır diye düşündüğünüzde en kolay test şudur: gönderiyi gerçekten bekliyorsanız kargo firmasının uygulamasını ya da adresini kendiniz açın ve takip numarasıyla sorgulayın. Mesajdaki bağlantıya gerek kalmaz.

Kurgusal örnek 3: Sosyal medyadan gelen doğrudan mesaj

Tanıma amaçlı kurgu: Tanıdığınız bir hesaptan: "Bu fotoğraftaki sen misin? [bağlantı]" ya da "Bir yarışmaya katıldım, bana oy verir misin? Gelen kodu da bana iletir misin?"

1. Mesaj tanıdık bir hesaptan geliyor; ancak üslup o kişiye benzemiyor.
2. Merak uyandıran belirsiz bir bağlantı var.
3. Sizden telefonunuza gelen bir kodu iletmenizi istiyor. Bu kod çoğunlukla sizin hesabınızın giriş ya da kurtarma kodudur.
4. Arkadaşınız gerçekten yazdıysa başka bir kanaldan (telefonla arayarak) teyit etmek birkaç saniye sürer.

Tanıdık hesaptan gelen oltalama genellikle o hesabın daha önce ele geçirildiği anlamına gelir. Arkadaşınıza haber vermek, zincirin sürmesini engeller.

Kurgusal örnek 4: Sahte fatura ya da iade eki

Tanıma amaçlı kurgu: "Ekte bu ayki faturanız yer almaktadır. Gecikme bedeli oluşmaması için ekteki dosyayı açıp …"

1. Abone olmadığınız bir hizmetin ya da her zamankinden farklı tutarda bir faturanın bildirimi.
2. Dosya eki sıkıştırılmış arşiv ya da çalıştırılabilir dosya biçiminde; gerçek faturalar çoğunlukla kurumun kendi sisteminden görüntülenir.
3. Eki açınca "içeriği görmek için düzenlemeyi etkinleştirin" benzeri bir istek çıkıyor.
4. Gönderen adresi ile faturayı kesen kurum aynı değil.

Sahte e-posta işaretleri arasında en tehlikelisi bu türdür, çünkü bilgi girmenize gerek kalmadan cihaza zararlı yazılım bulaştırmayı hedefler. Beklemediğiniz eki açmayın; faturayı kurumun kendi sisteminden kontrol edin.

Bağlantı adresi nasıl kontrol edilir?

Bir bağlantının gerçek sahibini, adresteki asıl alan adına bakarak anlarsınız; asıl alan adı, https:// sonrasındaki ilk tek eğik çizgiden (/) hemen önce gelen son iki ya da üç parçadır. Yöntem şöyledir:

1. Bağlantıya tıklamadan önce gerçek adresi görün (bilgisayarda fareyle üzerine gelin, telefonda uzun basıp önizlemeye bakın).
2. https:// kısmını atlayın ve ilk tek eğik çizgiyi bulun.
3. Eğik çizgiden hemen önceki kısmı sağdan sola okuyun: .tr, .com.tr, .gov.tr gibi uzantı ve hemen solundaki ad, adresin sahibidir.
4. Bu adı kurumun bildiğiniz adresiyle harf harf karşılaştırın.

Aşağıdaki tablo bu okumayı kurgusal adreslerle gösterir. Köşeli parantez içindeki ad, herhangi bir kurumun yerine konmuş yer tutucudur.

Adres çubuğundaki kilit simgesi ya da https yalnızca bağlantının şifreli olduğunu gösterir, sitenin kime ait olduğunu göstermez. Sahte siteler de kilit simgesi taşıyabilir. Belirleyici olan alan adıdır.

Karekodla (QR kod) gelen bağlantılar nasıl kontrol edilir?

Karekod, bir bağlantının gözle okunamayan biçimidir; bu yüzden okuttuğunuz kodun açtığı adresi, mesajdaki bir bağlantı gibi kontrol etmeniz gerekir. Kâğıt bir mektup, bir afiş, bir ödeme noktasındaki etiket ya da bir e-posta eki karekod taşıyabilir. Asıl kodun üzerine yapıştırılmış ikinci bir etiket ya da "ödemenizi tamamlamak için okutun" diyen beklenmedik bir mektup, şüphe için yeterli sebeptir. Telefon kamerası kodu okuttuğunuzda adresi çoğunlukla önizleme olarak gösterir; açmadan önce yukarıdaki yöntemle asıl alan adını okuyun. İşlem ödeme ya da giriş gerektiriyorsa karekod yerine kurumun uygulamasını veya bildiğiniz adresini kullanın.

Arama sonuçlarındaki reklamlar güvenli mi?

Arama sonuçlarının en üstünde çıkan her bağlantı kurumun kendisine ait olmayabilir; reklam alanları da zaman zaman taklit sayfalara yönlendirmek için kullanılabilir. Bankanızın ya da bir kamu hizmetinin adını aratıp ilk çıkan bağlantıya tıklamak, bu yüzden mesajdaki bağlantıya tıklamaktan çok farklı değildir. Hassas işlemlerde arama sonucuna değil, daha önce doğru adresle kaydettiğiniz yer imine ya da resmî uygulamaya güvenin. Arama sonucunu kullanmak zorunda kalırsanız tıklamadan önce görünen adresin asıl alan adını yine sağdan sola okuyun.

Oltalama nasıl anlaşılır: hangi işaretler birlikte alarm verir?

Tek bir işaret mesajı sahte yapmaz; birden fazla işaret aynı anda varsa mesajı sahte kabul edip kurumla kendi kanalınızdan iletişime geçin. Aşağıdaki tablo işaretleri ağırlığına göre sıralar.

Yazım hataları uzun süre en çok bilinen işaret olarak anlatıldı. Oysa düzgün dille yazılmış sahte mesajlar da yaygındır; bu yüzden dil kalitesine değil, ne istendiğine bakın.

Oltalama nasıl anlaşılır: üç soruluk hızlı test

Mesaj karşısında tereddüt ettiğinizde şu üç soruyu sırayla sorun. Birine "evet" cevabı veriyorsanız mesajdaki bağlantıyı kullanmayın.

1. Bu mesaj benden şifre, kart bilgisi, kod ya da ödeme mi istiyor?
2. Ben hiçbir işlem başlatmamışken mesaj beni bir işlem yapmaya mı yönlendiriyor?
3. Bağlantının asıl alan adı, kurumun benim bildiğim adresinden en küçük bir harfle bile farklı mı?

Oltalamaya tıkladım, ne yapmalıyım?

Bağlantıya tıkladıysanız ya da bilgi girdiyseniz, panik yapmadan şu sırayla ilerleyin: önce parayı ve hesabı koruyun, sonra kayıt tutun, en son bildirin. Hangi adımın gerekli olduğu neyi paylaştığınıza bağlıdır.

1. Sayfayı kapatın ve açılan sekmede başka hiçbir şey yazmayın.
2. Kart ya da banka bilgisi girdiyseniz bankanızı hemen arayın. Numarayı mesajdan değil, kartınızın arkasından veya bankanın bildiğiniz resmî adresinden alın; kartı kullanıma kapatmasını isteyin.
3. Şifre girdiyseniz o hesabın şifresini değiştirin. Aynı şifreyi başka hesaplarda da kullanıyorsanız onları da değiştirin. Yeni şifrenin nasıl olması gerektiğini güçlü şifre oluşturma rehberinde bulabilirsiniz.
4. Doğrulama kodu paylaştıysanız hesabın oturumlarını kapatın ve hesap kurtarma bilgilerinizi (telefon, e-posta) kontrol edin.
5. İki adımlı doğrulamayı açın ya da açıksa yöntemini gözden geçirin. Bunun hangi hesapta nasıl koruma sağladığı iki adımlı doğrulama nedir yazısında anlatılıyor.
6. Bir dosya indirdiyseniz açmayın, silin; cihazınızın işletim sistemini güncelleyin ve güvenlik taraması yapın.
7. Kayıt tutun: mesajın ekran görüntüsü, gönderen numara ya da adres, tarih ve saat.
8. Bildirin: Maddi kayıp varsa en yakın polis merkezine, jandarmaya veya Cumhuriyet başsavcılığına başvurabilirsiniz. Zararlı bağlantıyı bildirmek için USOM'un resmî sitesindeki güncel bildirim seçeneklerini kontrol edin; taklit edilen kurum varsa ona da bildiğiniz resmî kanaldan haber verin.

Neyi paylaştığınıza göre öncelik

Kimlik belgenizin görüntüsü ya da adres bilgileriniz gibi verileri kaptırdıysanız, bu verilerin kimler tarafından hangi hakla işlenebileceğini ve sizin neler isteyebileceğinizi kişisel veri hakları rehberinde bulabilirsiniz.

Oltalamadan korunmak için hangi alışkanlıklar yeterli?

Korunmanın temeli, hassas işlemi hiçbir zaman mesajın içindeki bağlantıdan başlatmamaktır. Teknik önlemler bu alışkanlığı destekler ama yerini tutmaz.

• Yer imi kullanın: Bankanızın, e-postanızın ve e-Devlet'in adresini tarayıcıya bir kez doğru yazıp yer imi olarak kaydedin; sonra hep oradan girin.
• Kurumun uygulamasını resmî mağazadan indirin ve işlemlerinizi uygulama içinden yapın.
• Güncellemeleri ertelemeyin: Tarayıcı ve işletim sistemi güncellemeleri bilinen açıkları kapatır.
• Her hesapta farklı şifre kullanın: Bir sitede kaptırılan şifre diğerlerini açmaz.
• İki adımlı doğrulamayı açın: Şifre ele geçse bile tek başına yetmez.
• Şüphelendiğinizde bekleyin: Gerçek bir sorun birkaç dakika beklemekle büyümez; sahte mesajın tek gücü acelenizdir.

Bu alışkanlıkların şifre, iki adımlı doğrulama ve güncellemelerle birlikte hangi sırayla kurulacağını Dijital Güvenlik dosyası gösteriyor.

Ailede oltalamaya karşı hangi beş kural konuşulmalı?

Aile içinde oltalamaya karşı en işe yarayan şey, herkesin aynı birkaç basit kuralı bilmesidir; özellikle dijital işlemlere yeni başlayan büyükler ve çocuklar için kısa, akılda kalan kurallar teknik bilgiden daha etkilidir. Aşağıdaki beşi buzdolabına asılacak kadar kısadır:

1. Kod kimseye söylenmez. Telefona gelen doğrulama kodu banka çalışanına, kargo görevlisine ya da arkadaşa bile verilmez.
2. Bağlantıdan şifre girilmez. Şifre yalnızca kendi açtığımız uygulamaya ya da kendi yazdığımız adrese girilir.
3. Acele eden mesaj bekletilir. "Hemen" diyen mesajı bir yakına gösterip öyle karar verilir.
4. Beklenmeyen ek açılmaz. Fatura, ceza, kargo bildirimi kurumun kendi sisteminden kontrol edilir.
5. Şüphe utanç değildir. "Tıkladım" diyen aile üyesine kızılmaz; erken söylenen her olay daha kolay çözülür.