Kimlik Avı (Phishing): Tanıma, Önleme ve Çalışan Eğitimi

Kimlik avı (phishing), siber saldırıların en eski ama hâlâ en etkili yöntemlerinden biridir; çünkü teknik bir açığı değil, insanın güvenme, yardım etme ve acele etme eğilimini hedef alır. Fidye yazılımı bulaşmalarının, e-posta hesabı ele geçirmelerinin ve fatura dolandırıcılıklarının önemli bir kısmı tek bir tıklamayla başlar. Bu rehberde kimlik avının türlerini, sahte bir iletiyi ele veren işaretleri, teknik ve insan odaklı önlemleri ve bir çalışan bağlantıya tıkladığında atılması gereken adımları ele alıyoruz.

Kimlik Avı (Phishing) Nedir? Türleri ve Güncel Örnekler

Kimlik avı, saldırganın güvenilir bir kişi veya kurum gibi davranarak kurbanı parola, doğrulama kodu ya da ödeme bilgisi paylaşmaya, zararlı bir dosyayı açmaya veya para transferi yapmaya ikna etmesidir. Başlıca türleri şunlardır:

• Toplu kimlik avı: Çok sayıda kişiye aynı anda gönderilen kargo, banka, e-devlet veya e-fatura görünümlü iletiler.
• Hedefli kimlik avı (spear phishing): Sosyal medya ve şirket web sitesinden toplanan bilgilerle belirli bir kişi ya da departman için hazırlanmış, inandırıcılığı yüksek iletiler.
• Üst yönetici avı (whaling) ve CEO dolandırıcılığı: Genel müdür veya finans yöneticisi taklit edilerek gönderilen acil ve gizli ödeme talepleri.
• İş e-postası dolandırıcılığı (BEC): Ele geçirilmiş gerçek bir tedarikçi ya da müşteri hesabından, süren bir yazışmanın içine banka hesabının değiştiğini bildiren bir ileti eklenmesi.
• Klon kimlik avı: Daha önce alınmış gerçek bir e-postanın kopyalanıp bağlantısının veya ekinin zararlı olanla değiştirilmesi.
• Smishing ve vishing: SMS ya da anlık mesajlaşma uygulamalarıyla gelen bağlantılar ve kendini BT destek veya banka görevlisi olarak tanıtan telefon aramaları.
• QR kodla kimlik avı: E-postaya gömülü bir QR kodla kullanıcıyı mobil cihazında sahte bir oturum sayfasına yönlendirme; bu yöntem e-posta filtrelerinin bağlantıyı görmesini zorlaştırır.
• Sahte doküman paylaşımı: Sizinle bir dosya paylaşıldığını bildiren ve gerçek bulut hizmetlerine çok benzeyen sahte oturum açma sayfaları.

Güncel saldırıların önemli bir kısmı artık zararlı bir ek bile içermez, yalnızca sahte bir oturum açma sayfasına yönlendirir. Amaç parolayı, hatta MFA kodunu toplayıp e-posta hesabını ele geçirmektir.

Sahte E-postayı Tanımanın 10 İşareti

1. Gönderen adresi ile görünen ad uyuşmuyor. Görünen ad bir yöneticinin adı veya muhasebe birimi, ama adres ücretsiz bir e-posta servisinden ya da benzer bir alan adından geliyor.
2. Alan adında küçük farklar var. Bir harfin değiştirilmesi veya eklenmesi ya da farklı bir uzantının kullanılması.
3. Aciliyet ve baskı var. Mesai bitimine kadar işlem yapılmasını, aksi halde hesabın askıya alınacağını ya da konunun kimseyle paylaşılmamasını isteyen ifadeler.
4. Olağan dışı bir talep içeriyor. Parola, doğrulama kodu, hediye kartı, acil havale veya banka hesabı değişikliği.
5. Bağlantı metni ile gerçek adres farklı. İmleç bağlantının üzerine getirildiğinde görünen adres, beklenen kurumun alan adı değil.
6. Beklenmeyen bir ek var. Özellikle sıkıştırılmış dosyalar, makro içeren ofis belgeleri, HTML ekleri veya disk görüntüsü dosyaları.
7. Üslup tanıdık değil. Tanıdık birinden geldiği halde onun yazım alışkanlıklarına uymayan ifadeler. Yapay zekâ araçları sayesinde yazım hataları azaldığından, bu işarete tek başına güvenilmemelidir.
8. Oturum açma sayfası beklenmedik yerden geliyor. Bağlantıya tıkladıktan sonra açılan sayfanın adres çubuğunda farklı bir alan adı görünüyor. Banka, e-posta ve muhasebe gibi kritik hizmetlere e-postadaki bağlantı yerine tarayıcıdaki yer imlerinden girmek bu riski baştan ortadan kaldırır.
9. Dış gönderen uyarısı var. Kurum içinden geliyormuş gibi görünen bir iletide dış gönderen etiketi bulunuyor.
10. İçinizden bir ses tuhaflık olduğunu söylüyor. Bir iletinin garip hissettirmesi başlı başına bir işarettir; talebi farklı bir kanaldan doğrulamak her zaman daha ucuzdur.

İnsan Faktörü: Sosyal Mühendislik Neden Hâlâ İşe Yarıyor?

Sosyal mühendislik teknolojiyi değil, insan psikolojisini hedef alır ve birkaç temel tetikleyiciden yararlanır: otoriteye itaat (genel müdürden geldiği düşünülen talep), aciliyet (hemen yapılmazsa bir şey kaybedilecek hissi), yardımseverlik (zor durumda kalmış bir meslektaş), merak (maaş listesi, prim duyurusu) ve alışkanlık (her gün onlarca benzer bildirim almak).

Bu yüzden insanın en zayıf halka olduğu söylemi eksiktir. Doğru bilgilendirilmiş ve şüphelendiğinde bildirmekten çekinmeyen çalışanlar, aslında en hızlı erken uyarı sistemidir. Bunun için iki koşul gerekir: net ve kolay bir bildirim kanalı ile hata yapan çalışanı suçlamayan bir kurum kültürü. Bağlantıya tıkladığını fark eden ama cezalandırılmaktan korkan bir çalışan susar; bu da saldırgana saatler kazandırır.

Kurumsal süreçler de insan faktörünü destekler. Banka hesabı değişikliklerinin kayıtlı bir telefon numarasından sözlü olarak teyit edilmesi, belirli bir tutarın üzerindeki ödemelerde çift onay aranması ve yöneticilerden gelen olağan dışı taleplerin ikinci bir kanaldan doğrulanması, en ikna edici e-postayı bile etkisiz kılar. Bu kuralların yazılı bir bilgi güvenliği politikasıyla desteklenmesi de önemlidir: Parola ve MFA kuralları, kişisel cihaz kullanımı, dosya paylaşımı ve şüpheli bir durumun nereye bildirileceği kısa ve anlaşılır bir dille yazılmalı, her çalışan tarafından okunup onaylanmalıdır.

Tipik bir senaryo bunu iyi açıklar: Genel müdür yurt dışı seyahatindeyken finans sorumlusuna, onun e-posta imzasını ve üslubunu taklit eden bir ileti gelir. İletide gizli bir satın alma için bugün içinde ödeme yapılması ve konunun kimseyle konuşulmaması istenir. Süreç, ödeme öncesinde genel müdürün bilinen telefon numarasından sözlü teyit almayı zorunlu kılıyorsa saldırı burada biter. Böyle bir kural yoksa, sonuç tamamen çalışanın o anki dikkatine kalır.

Teknik Önlemler: E-posta Filtreleme, SPF/DKIM/DMARC ve MFA

İnsanı son savunma hattı olarak görmek ve iletilerin çoğunu kullanıcıya ulaşmadan durdurmak gerekir:

• Gelişmiş e-posta filtreleme: Zararlı eklerin izole ortamda (sandbox) incelenmesi, bağlantıların tıklama anında yeniden kontrol edilmesi, kimliğe bürünme ve benzer alan adı tespiti.
• SPF: Alan adınız adına hangi sunucuların e-posta gönderebileceğini tanımlar.
• DKIM: Gönderilen e-postalara dijital imza ekleyerek iletinin alan adınızdan geldiğini ve yolda değiştirilmediğini doğrular.
• DMARC: SPF ve DKIM doğrulamasından geçemeyen iletilere ne yapılacağını (izle, karantinaya al, reddet) belirler ve raporlama sağlar. İzleme modunda başlayıp tüm meşru gönderim kaynakları doğrulandıktan sonra karantina ve ret politikasına geçmek, alan adınızın sahte gönderimlerde kullanılmasını büyük ölçüde engeller.
• Dış gönderen etiketi: Kurum dışından gelen iletilere görünür bir uyarı eklenmesi.
• MFA ve oltalamaya dayanıklı kimlik doğrulama: Parola çalınsa bile hesabın ele geçirilmesini zorlaştırır; ayrıntılar için MFA rehberimize bakabilirsiniz.
• DNS ve web filtreleme: Bilinen kimlik avı ve zararlı alan adlarına erişimi ağ seviyesinde engeller.
• Tek tıkla bildirim düğmesi: Kullanıcıların şüpheli iletiyi e-posta istemcisinden doğrudan güvenlik ekibine iletebilmesi.

Microsoft 365 kullanan işletmeler için bu önlemlerin nasıl yapılandırılacağını Exchange Online ve Defender ile güvenli e-posta yazımızda anlattık.

Etkili Farkındalık Eğitimi ve Oltalama Simülasyonları

Yılda bir kez yapılan uzun bir sunum, davranış değiştirmek için yeterli değildir. Etkili bir farkındalık programının özellikleri şunlardır:

• Kısa ve periyodik içerik: Birkaç dakikalık, güncel örneklere dayanan modüller uzun eğitimlerden daha kalıcıdır.
• Role göre içerik: Finans ekibi için fatura ve ödeme dolandırıcılığı, İK için sahte özgeçmiş ekleri, yöneticiler için hedefli saldırılar, resepsiyon ve çağrı merkezi için telefonla sosyal mühendislik.
• Gerçekçi simülasyonlar: İşletmenin kullandığı hizmetlere benzeyen ve zorluk seviyesi kademeli olarak artan oltalama tatbikatları.
• Anında öğrenme: Simülasyonda bağlantıya tıklayan kullanıcıya o anda kısa ve yol gösterici bir açıklama gösterilmesi.
• Doğru ölçüm: Yalnızca tıklama oranı değil, bildirim oranı ve bildirim hızı da izlenmeli. Hedef, tıklamayı azaltmak kadar şüpheli iletiyi hızla bildiren bir ekip oluşturmaktır.
• Suçlamayan yaklaşım: Simülasyon sonuçları kişileri teşhir etmek için değil, eğitim ihtiyacını belirlemek için kullanılmalı.

Farkındalık eğitimini yeni çalışanların oryantasyon sürecine eklemek ve yöneticilerin programa aktif olarak katılması, programın kurum içinde ciddiye alınmasını sağlar.

Sahada iyi sonuç veren bir program akışı şöyledir:

1. Başlangıç ölçümü: Önceden duyurulmayan bir simülasyonla mevcut tıklama ve bildirim davranışı ölçülür.
2. Temel eğitim: Tüm çalışanlara kimlik avı işaretleri, bildirim kanalı ve parola ile MFA alışkanlıkları anlatılır.
3. Döngüsel uygulama: Kısa modüller, role özel oturumlar ve simülasyonlar yukarıdaki ilkelere göre dönüşümlü olarak tekrarlanır.
4. Değerlendirme ve güncelleme: Sonuçlar yönetime raporlanır, program yeni tehditlere göre güncellenir.

Bağlantıya Tıkladıysanız Ne Yapmalı? Olay Sonrası Adımlar

Hızlı hareket etmek, zararı sınırlamanın anahtarıdır. Çalışanlar ve BT ekibi için izlenecek adımlar şunlardır:

1. Durun ve bildirin. Çalışan, tıkladığını veya bilgi girdiğini fark ettiği anda BT ya da güvenlik ekibine haber vermeli. Utanmak veya beklemek en pahalı hatadır.
2. Parolayı değiştirin ve oturumları sonlandırın. Parola temiz bir cihazdan değiştirilmeli, tüm aktif oturumlar kapatılmalı ve MFA kayıtları kontrol edilmeli.
3. Hesabı inceleyin. Saldırganların sık yaptığı gibi yeni bir e-posta yönlendirmesi veya gelen kutusu kuralı eklenip eklenmediği, yeni bir MFA cihazı kaydedilip kaydedilmediği ve hesaptan dışarıya ileti gönderilip gönderilmediği kontrol edilmeli.
4. Cihazı kontrol edin. Bir dosya açıldıysa cihaz ağdan izole edilmeli ve EDR ile taranmalı.
5. Diğer alıcıları belirleyin. Aynı iletinin kimlere ulaştığı bulunmalı, ileti tüm posta kutularından kaldırılmalı, gönderen ve bağlantılar engellenmeli.
6. Finansal etkileri değerlendirin. Ödeme yapıldıysa vakit kaybetmeden bankayla iletişime geçilmeli.
7. Yasal yükümlülükleri değerlendirin. Kişisel veriler etkilendiyse KVKK kapsamındaki bildirim yükümlülükleri hukuk danışmanıyla birlikte ele alınmalı.
8. Ders çıkarın. Olay isim verilmeden eğitim içeriğine dönüştürülmeli ve teknik önlemlerdeki boşluk kapatılmalı.

Kimlik avıyla başlayan bir saldırının fidye yazılımına nasıl dönüşebileceğini fidye yazılımı rehberimizde ayrıntılı olarak ele aldık.

Farkındalık Programı Seçerken Dikkat Edilecekler

Hazır bir eğitim platformu ya da hizmet olarak farkındalık programı seçerken şu sorular yol gösterici olur:

• İçerikler Türkçe mi ve kargo, e-fatura, e-devlet, yerel bankalar gibi yerel örneklere uyarlanmış mı?
• Simülasyon şablonları, işletmenizin kullandığı hizmetlere göre özelleştirilebiliyor mu?
• Raporlama yalnızca tıklamayı değil, bildirim davranışını da ölçüyor mu?
• E-posta altyapınızla entegre çalışan bir bildirim düğmesi sunuluyor mu?
• Simülasyon verileri ve çalışan bilgileri KVKK'ya uygun şekilde işleniyor ve saklanıyor mu?
• Program; teknik önlemler, olay müdahalesi ve periyodik raporlamayla birlikte yönetilebiliyor mu?

Siber güvenlik hizmetlerimiz kapsamında e-posta güvenliği yapılandırmasını, SPF, DKIM ve DMARC kurulumunu, oltalama simülasyonlarını ve role özel farkındalık eğitimlerini tek bir program altında yürütüyoruz.

Sonuç

Kimlik avına karşı en güçlü savunma; teknik filtrelerle iletilerin çoğunu durduran, MFA ile çalınan parolanın değerini düşüren ve şüphelendiğinde hızla bildiren çalışanlardan oluşan katmanlı bir yapıdır. Çalışanlarınızın farkındalığını ve e-posta altyapınızın mevcut durumunu birlikte değerlendirmek için ücretsiz ön görüşme planlayın.