Phishing Saldırılarından Korunma: Çalışan Rehberi
En iyi spam filtresi bile bazı oltalama e-postalarını geçirir; son savunma hattı okuyan kişidir. Saldırı türlerini, her e-postada uygulanacak yedi saniyelik kontrolü ve şüphe anında yapılacakları çalışanların diliyle anlatıyoruz.
Muhasebeye gelen “acil ödeme” e-postası genel müdürün adını taşıyordu, imzası doğruydu ve yalnızca bir harf farklı bir alan adından gelmişti. Bu senaryo her gün binlerce işletmede tekrarlanır ve teknik bir açıkla değil, bir tıkla başlar. Phishing saldırılarından korunma bu yüzden bir yazılım ayarı değil, herkesin bildiği ve uyguladığı birkaç alışkanlıktır.
Bu rehber BT ekibi için değil, e-posta okuyan herkes içindir: saldırı türleri, her e-postada uygulanacak yedi saniyelik kontrol, şüphe anında yapılacaklar ve BT tarafının kurumsal mail hesaplarında alması gereken tamamlayıcı önlemler.
Phishing türleri: karşınıza ne çıkabilir?
Oltalama tek biçimli değildir; hedefine ve kanalına göre farklı adlar alır ve farklı ipuçları bırakır.
| Tür | Nasıl görünür | Hedefi |
|---|---|---|
| Klasik phishing | Banka, kargo, e-devlet ya da bulut servisi taklidi; toplu gönderim | Şifre ve kart bilgisi |
| Spear phishing | Adınız, unvanınız ve gerçek bir projeyle kişiselleştirilmiş e-posta | Belirli bir kişinin hesabı |
| BEC / CEO dolandırıcılığı | Yönetici adına “acil havale”, “gizli satın alma” talebi; ek yok, bağlantı yok | Para transferi |
| Tedarikçi taklidi | Gerçek bir tedarikçinin ele geçirilmiş hesabından “IBAN değişti” bildirimi | Ödeme yönlendirme |
| Ek tabanlı | Fatura, sipariş ya da CV görünümlü dosya; makro ya da zararlı bağlantı içerir | Cihaza yazılım bulaştırma |
| QR ve SMS (quishing, smishing) | E-postada QR kod, telefona kargo bildirimi bağlantısı | Mobil cihazdan giriş bilgisi |
En yüksek zararı BEC türü verir: teknik hiçbir zararlı içerik taşımadığı için filtreler geçirir ve yalnızca insan kontrolüyle yakalanır.
Phishing saldırılarından korunma: 7 saniyelik kontrol
Her e-postayı açtığınızda, özellikle bir şey yapmanızı istiyorsa, şu yedi noktayı sırayla kontrol edin. Alışkanlık hâline geldiğinde gerçekten yedi saniye sürer.
- Gönderen adresine bakın, görünen ada değil. “Ahmet Yılmaz” yazan gönderenin adresi
[email protected]mu, yoksa[email protected]mu? - Alan adını harf harf okuyun.
firmaniz.comileflrmaniz.comya dafirmaniz-destek.comaynı değildir. - Bağlantının üzerine gelin, tıklamayın. Görünen metin ile alt köşede beliren gerçek adres farklıysa durun.
- Ek türünü kontrol edin. Beklemediğiniz
.zip,.html,.isoya da makro içeren Office dosyalarını açmayın; PDF görünümlü ama tıklandığında giriş isteyen dosyalar yaygındır. - Aciliyet ve gizlilik dilini fark edin. “Hemen”, “bugün içinde”, “kimseye söyleme”, “toplantıdayım, arayamam” kalıpları baskı yaratmak içindir.
- Beklenmedik istek mi? Şifre, IBAN değişikliği, hediye kartı, ödeme, belge indirme; olağan iş akışında olmayan her istek şüphelidir.
- Dil ve biçim. Tuhaf çeviri cümleleri, bozuk Türkçe karakterler, logonun düşük kaliteli kopyası.
Yedi noktadan biri bile takılıyorsa e-postayı yanıtlamayın, bağlantıya tıklamayın; bir sonraki bölümdeki adımları uygulayın.
Sahte bağlantı ve alan adı örnekleri
Saldırganların en sık kullandığı gizleme yöntemlerini örneklerle tanıyın:
Gerçek: giris.firmaniz.com
Sahte: firmaniz.com.giris-dogrula.net (gerçek alan adı ortada, sahtesi sonda)
Sahte: firmaniz-hesap.com (tire ile eklenen kelime)
Sahte: flrmaniz.com / firmanız.com (benzer harf, Unicode karakter)
Sahte: kisa.link/x7Yq (kısaltılmış, hedef gizli)Kural basittir: bir web adresinde asıl alan adı, son noktadan önceki iki parçadır. firmaniz.com.giris-dogrula.net adresinde asıl alan adı giris-dogrula.net’tir, firmaniz.com yalnızca bir alt alan adıdır. Şüpheye düştüğünüzde e-postadaki bağlantıyı kullanmak yerine tarayıcıya bildiğiniz adresi kendiniz yazın ya da yer imlerinizden gidin.
Telefonda bağlantı üzerine gelmek mümkün olmadığından, mobil cihazda gelen “bir şey yap” e-postalarını bilgisayarda açana kadar bekletmek en güvenli alışkanlıktır. QR kodlar için de aynı kural geçerlidir: e-postadaki QR kodu asla tarayıp giriş yapmayın.
Şüphelendiğinizde ne yapmalı?
- Hiçbir şey yapmayın: Tıklamayın, eki açmayın, yanıtlamayın; “abonelikten çık” bağlantısına da basmayın.
- Başka kanaldan teyit edin: İsteği gönderdiği iddia edilen kişiyi bildiğiniz numaradan arayın; e-postaya yanıt vererek sormayın, çünkü yanıt saldırgana gider.
- Bildirin: E-postayı iletmek yerine BT ya da güvenlik sorumlusuna “şüpheli e-posta” olarak bildirin; iletirken eki de taşımış olursunuz. Kurumsal mail ve xMail webmailinde “spam olarak bildir” işaretlemesi filtreyi de eğitir.
- Tıkladıysanız: Hemen şifrenizi değiştirin, tüm oturumları kapatın, iki adımlı doğrulamayı açın ve BT’ye haber verin; utanmak saatlere mal olur, saldırganın en büyük müttefiki geç bildirimdir.
- Bilgi girdiyseniz: Aynı şifreyi kullandığınız diğer hesapları da değiştirin; banka bilgisi girdiyseniz bankayı arayın.
- Eki açtıysanız: Cihazı ağdan ayırın ve BT’nin taramasını bekleyin.
Bu adımların yazılı ve herkesin görebileceği bir yerde olması, panik anında doğru sıranın hatırlanmasını sağlar.
BT tarafında tamamlayıcı önlemler
Çalışan farkındalığı son savunma hattıdır; ilk hatları BT kurar. Kurumsal mail ve xMail hesaplarında alınacak önlemler:
- SPF, DKIM ve DMARC: Alan adınız adına sahte gönderimi engeller; DMARC politikasını
rejectseviyesine çıkarmak sizin alan adınızla yapılan taklitleri keser. Kurulum DMARC kaydı nasıl eklenir rehberinde. - İki adımlı doğrulama: Şifre çalınsa bile hesap açılamaz; xMail iki adımlı doğrulama adımları hazır.
- Spam filtresi ve karantina: Sunucu tarafı filtreyi açık tutun, dış gönderen etiketini etkinleştirin, ayarlar kurumsal mail spam filtreleme yazısında.
- Benzer alan adlarını tescil edin: Markanızın tireli ve yaygın yazım hatalı sürümlerini kendiniz alın; alan adı sorgulama ile uygunluğu kontrol edebilirsiniz.
- Ek politikası: Çalıştırılabilir ve makro içeren ekleri sunucuda engelleyin.
- Ödeme prosedürü: Belirli tutarın üzerindeki transferler ve IBAN değişiklikleri için ikinci onay ve telefon teyidi zorunlu olsun.
Bu önlemlerin bütünü e-posta güvenliği rehberi içinde on maddelik bir kontrol listesi olarak yer alıyor.
Farkındalık programı: küçük ekipler için
Eğitim tek seferlik olursa üç ayda unutulur. Küçük bir işletmede bile sürdürülebilir bir program şu üç parçadan oluşur:
- Başlangıç eğitimi: Her yeni çalışana bu rehber ve yedi saniyelik kontrol; kırk dakika yeterlidir.
- Simülasyon: Yılda birkaç kez kontrollü sahte e-posta gönderin; tıklayanları cezalandırmak yerine kısa bir hatırlatma gösterin. Ölçtüğünüz şey bireyler değil, ekibin genel tıklama oranıdır.
- Güncel örnek paylaşımı: Ekibe gelen gerçek phishing e-postalarını (gönderen gizlenmiş hâlde) ayda bir kısa mesajla paylaşın; en etkili eğitim, dün gelen gerçek örnektir.
Bildirim yapan çalışanı görünür biçimde takdir edin. Phishing saldırılarından korunmak için en değerli davranış bir e-postayı bildirmektir ve bildirim ancak yanlış alarm için kimsenin azarlanmadığı ortamda yapılır.
Sık Sorulan Sorular
Spam filtresi varsa phishing e-postaları neden yine geliyor?
Filtreler bilinen kalıpları, zararlı ekleri ve itibarsız kaynakları yakalar. Kişiye özel hazırlanmış, ek ve bağlantı içermeyen, gerçek bir kişinin ele geçirilmiş hesabından gelen e-postalarda ise teknik bir işaret yoktur; bu tür saldırılar yalnızca içerik ve bağlam kontrolüyle, yani okuyan kişi tarafından fark edilir.
Şüpheli bir bağlantıya tıkladım ama bilgi girmedim, tehlike var mı?
Yalnızca sayfanın açılması çoğu durumda zarar vermez; ancak sayfa bir dosya indirmeye çalıştıysa ya da tarayıcı bir uyarı verdiyse cihazı BT’ye taratın. Her durumda olayı bildirin ve tedbir olarak şifrenizi değiştirin; saldırganın hangi yolu denediğini bilmek ekibin geri kalanını korur.
Yöneticimden gelen e-postanın gerçek olduğunu nasıl anlarım?
Gönderen adresini harf harf kontrol edin ve dış kaynak etiketine bakın; şirket içi bir e-posta dış etiket taşımaz. Ödeme, IBAN, hediye kartı ya da gizlilik talebi içeriyorsa gerçek olsa bile telefonla teyit edin. Gerçek bir yönetici, teyit için aranmaktan rahatsız olmaz; saldırgan ise bahane üretir.
Phishing simülasyonu çalışanları rahatsız etmez mi?
Amaç ve yöntem doğru anlatılırsa etmez. Simülasyonun kimseyi yakalamak için değil, ekibin refleksini ölçmek için yapıldığını önceden duyurun, sonuçları isimsiz ve toplu paylaşın, tıklayanlara ceza yerine kısa bir bilgilendirme gösterin. Böyle yürütülen programlarda tıklama oranı birkaç turda belirgin biçimde düşer.
