Kısaca cevap
Sosyal mühendislik, sistemleri değil insanları kandırarak şifre, doğrulama kodu veya kart bilgisi ele geçirme yöntemidir. En yaygın biçimi oltalamadır (phishing): e-posta, SMS (smishing) veya telefonla (vishing) kendini banka, kargo firması ya da kamu kurumu gibi tanıtan biri sizi sahte bir sayfaya veya bilgi vermeye yönlendirir. Temel kural: mesajdaki bağlantıya veya arayan kişiye değil, kurumun resmi sitesine ve numarasına kendiniz ulaşın; şifre ve kodu kimseyle paylaşmayın.
Bu sayfada
Sosyal mühendislik nedir?
Sosyal mühendislik nedir sorusunu şöyle cevaplayabiliriz: bir sistemi kırmak yerine, o sisteme erişimi olan insanı ikna etmek. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), sosyal mühendisliği saldırganın güvenilir biri gibi görünerek insan etkileşimi yoluyla bilgi elde etmesi olarak tanımlar. En uzun ve rastgele şifre bile, onu sahte bir sayfaya kendiniz yazarsanız sizi korumaz.
Saldırılar birkaç psikolojik kaldıraca dayanır:
- Otorite: "Savcılıktan arıyorum", "bankanızın güvenlik biriminden arıyoruz".
- Aciliyet ve korku: "Hesabınız 24 saat içinde kapatılacak", "adınız bir soruşturmaya karıştı".
- Ödül veya iade: "Kart aidatınız iade edilecek", "hediye kazandınız".
- Güven ve tanıdıklık: Ele geçirilmiş bir arkadaş hesabından gelen "şu kodu bana iletir misin" mesajı.
Phishing (oltalama) nedir? Türleri
Phishing ya da oltalama, sosyal mühendisliğin en çok kullanılan biçimidir. Saldırgan güvenilir bir kurumu taklit eden bir mesaj gönderir ve sizi bilgilerinizi toplayan bir sayfaya ya da kişiye yönlendirir. Kullanılan kanala göre farklı adlar alır:
| Tür | Kanal | Tipik görünüm |
|---|---|---|
| Phishing | E-posta, sahte web sitesi | Bankanın, kargonun veya bir platformun logosunu taşıyan "hesabınızı doğrulayın" e-postası |
| Smishing | SMS | Kısa bir metin ve bir bağlantı: "Kargonuz teslim edilemedi" |
| Vishing | Telefon araması | Kendini banka çalışanı, polis veya savcı olarak tanıtan arayan |
| Spear phishing | Genellikle e-posta veya mesajlaşma | Adınızı, iş yerinizi ve çevrenizi bilen, size özel hazırlanmış mesaj |
CISA, vishing aramalarında arayan numaranın sahte gösterilebildiğini de hatırlatır; yani ekranda bankanın numarasını görmek aramanın gerçek olduğunu kanıtlamaz. Spear phishing ise hedef seçilerek yapılan oltalamadır: saldırgan kişiyi veya kurumu önceden araştırır ve mesajı ona göre kurgular. Kurumlara yönelik saldırılar çoğunlukla bu yolla başlar.
Türkiye'de sık görülen sosyal mühendislik senaryoları
Aşağıdaki örnekler resmi kurumların ve bankaların kamuya yaptığı uyarılardaki genel kalıplardır. Ayrıntılar değişse de iskelet hep aynıdır: sahte bir gerekçe, aciliyet ve bir bağlantı ya da bilgi talebi.
Sahte kargo SMS'i
"Kargonuz teslim edilemedi, adresinizi güncellemek için tıklayın" benzeri bir mesaj, gerçek kargo firmasına benzeyen bir sayfaya götürür ve küçük bir ücret için kart bilgisi ister. Garanti BBVA'nın bu konudaki uyarısı, kargo şirketlerinin ve alışveriş platformlarının çoğunun yeniden gönderim için ücret istemediğini hatırlatır. Kargo takibini her zaman firmanın kendi uygulamasından veya adresi kendiniz yazarak yapın. SMS dolandırıcılığının diğer türlerini SMS dolandırıcılığı (smishing) yazısında ayrıca ele alıyoruz.
Sahte e-Devlet mesajı
İletişim Başkanlığı Dezenformasyonla Mücadele Merkezi, 2024'te "e-Devlet şifrenizle giriş yapıldı, siz değilseniz doğrulayın" içerikli ve zararlı bağlantı barındıran SMS'lere karşı uyardı. e-Devlet Kapısı'nın kendi güvenlik sayfasına göre sistemin www.turkiye.gov.tr dışında bir adresi yoktur, giriş https://giris.turkiye.gov.tr üzerinden yapılır ve e-Devlet çalışanları dahil hiç kimse sizi arayıp şifrenizi sormaz. Aynı sayfa, şifrenizi isteyenleri savcılığa bildirmenizi de önerir. e-Devlet şifrenizi korumak için e-Devlet şifresi nasıl olmalı yazısına bakabilirsiniz.
Sahte banka araması ve "iade" vaadi
Türkiye Bankalar Birliği'nin uyarılarında, kendini savcı, polis, asker, banka çalışanı veya avukat olarak tanıtan ya da ödül, prim iadesi veya kart aidatı iadesi bahanesiyle şifre isteyen kişilere itibar edilmemesi gerektiği vurgulanır. TBB ayrıca cihazlara uzaktan erişim sağlama girişimlerine ve zararlı uygulama yükletmeye karşı uyarır; banka uygulamalarının yalnızca resmi mağazalardan indirilmesini önerir. Şüpheli bir aramada telefonu kapatın ve bankanızı kartınızın arkasındaki veya resmi sitesindeki numaradan kendiniz arayın.
Sahte kamu görevlisi araması
Emniyet Genel Müdürlüğü, telefonda kendini polis, asker veya savcı olarak tanıtıp "adınız bir terör örgütü soruşturmasına karıştı" diyerek para veya altın isteyen dolandırıcılara karşı uyarır ve böyle bir durumda 155 Polis İmdat hattının aranmasını önerir. Kamu görevlileri telefonda sizden para, altın, hesap bilgisi veya şifre istemez.
İş yerinde sosyal mühendislik
Şirketler de aynı yöntemlerle hedef alınır, genellikle daha kişiselleştirilmiş biçimde. Yöneticinin adıyla gönderilmiş "acil ödeme yapılması gerekiyor" e-postası, tedarikçi gibi görünen "banka hesabımız değişti" mesajı ya da kendini BT birimi olarak tanıtıp şifre veya doğrulama kodu isteyen bir arama tipik örneklerdir. Buradaki savunma da aynıdır: talebi, bilinen başka bir kanaldan (telefonla, yüz yüze) doğrulamak. Kurumlar için kurallar şirket şifre politikası yazısında.
Sahte mesaj ve arama nasıl anlaşılır?
- Bağlantının adresi tutmuyor: Kurumun gerçek alan adı yerine benzer yazılmış, fazladan kelime eklenmiş veya kısaltılmış bir adres.
- Aciliyet ve tehdit: "Hemen", "son gün", "hesabınız kapatılacak", "hakkınızda işlem başlatıldı".
- Beklenmedik ödeme veya iade: Beklemediğiniz bir ücret, ceza, ikramiye veya iade.
- Şifre, kod veya kart bilgisi talebi: Gerçek kurumlar doğrulama kodunuzu veya şifrenizi telefonda, SMS'le ya da e-postayla istemez.
- Uygulama yükleme isteği: Bir bağlantıdan uygulama indirmeniz veya "ekranınızı görmemiz gerekiyor" denmesi.
- Genel hitap ve dil hataları: Adınız yerine "Sayın müşterimiz", özensiz yazım. Hedefli (spear) oltalamada bu işaretler olmayabilir; bu yüzden tek başına güvence değildir.
Şifrenizi sosyal mühendisliğe karşı nasıl korursunuz?
- Bağlantıya değil, kaynağa gidin. Kargo, banka, e-Devlet veya sosyal medya uyarısı aldığınızda uygulamayı açın ya da adresi kendiniz yazın.
- Kodu kimseye vermeyin. SMS ile gelen doğrulama kodu, şifrenin yarısıdır. "Yanlışlıkla sana kod gönderdim" mesajları klasik bir hesap çalma yöntemidir.
- Her hesaba ayrı şifre kullanın. Oltalamayla tek bir şifre çalınsa bile diğer hesaplarınız etkilenmez. Benzersiz şifreler için şifre üreticimizi kullanabilirsiniz.
- Şifre yöneticisi kullanın. Şifre yöneticisi kayıtlı şifreyi yalnızca doğru alan adında doldurur; sahte sitede doldurmaması önemli bir uyarı işaretidir. Bkz. şifre yöneticisi nedir.
- Oltalamaya dayanıklı doğrulama seçin. CISA, yaygın olarak kullanılabilen oltalamaya dayanıklı tek yöntemin FIDO/WebAuthn tabanlı doğrulama olduğunu belirtir. Geçiş anahtarları (passkey) ve donanım güvenlik anahtarları bu gruptadır; bkz. passkey nedir.
- Sosyal medyada paylaştıklarınızı sınırlayın. Doğum tarihi, anne kızlık soyadı, evcil hayvan adı hem güvenlik sorularında hem hedefli mesajlarda kullanılır.
Tuzağa düştüyseniz ne yapmalı?
- Kart veya banka bilgisi verdiyseniz: Bankanızı hemen resmi numarasından arayın, kartı kapattırın ve itiraz sürecini başlatın.
- Şifre girdiyseniz: O şifreyi ve aynı şifreyi kullandığınız her hesabı temiz bir cihazdan değiştirin, oturumları kapatın, iki adımlı doğrulamayı açın. Hesaba giremiyorsanız hesabım hacklendi, ne yapmalıyım rehberini izleyin.
- Uygulama yüklediyseniz: Kaldırın, cihazınızı güncel bir güvenlik yazılımıyla taratın ve gerekirse bankanızı bilgilendirin.
- Bildirin: Mesaj ve arama kayıtlarının ekran görüntülerini saklayıp Cumhuriyet Başsavcılığına veya emniyete başvurabilirsiniz. Oltalama sitelerini, eski adıyla USOM'un hizmetlerini devralan Siber Güvenlik Başkanlığı'nın ihbar formundan bildirebilirsiniz.
Kimse sizi "hesabınızı korumak için" parayı güvenli bir hesaba aktarmaya, altın teslim etmeye veya ekran paylaşımı açmaya çağırmaz. Bu cümlelerden birini duyduğunuz anda görüşmeyi sonlandırın.
Kaynaklar: e-Devlet Kapısı: Güvenliğiniz İçin, İletişim Başkanlığı, Emniyet Genel Müdürlüğü, CISA (İngilizce).
Sık sorulan sorular
Sosyal mühendislik nedir?
Sosyal mühendislik, teknik bir açık yerine insanı hedef alan saldırıların genel adıdır. Saldırgan kendini banka, kargo firması, kamu kurumu veya tanıdığınız biri gibi tanıtır; aciliyet, korku ya da ödül vaadiyle sizi şifre, doğrulama kodu veya kart bilgisi vermeye, bir bağlantıya tıklamaya ya da uygulama yüklemeye ikna etmeye çalışır.
Phishing (oltalama) nedir?
Phishing, Türkçesiyle oltalama, güvenilir bir kurum gibi görünen e-posta, mesaj veya sahte web sitesiyle kişisel bilgi ve şifre toplama yöntemidir. SMS ile yapılanına smishing, telefon aramasıyla yapılanına vishing denir. Amaç hep aynıdır; sizi bilgilerinizi saldırganın kontrolündeki bir sayfaya ya da kişiye vermeye yönlendirmek.
Spear phishing nedir?
Spear phishing, hedefli oltalamadır. Saldırgan rastgele binlerce kişiye aynı mesajı atmak yerine belirli bir kişiyi veya şirketi seçer, adınızı, iş yerinizi, çevrenizi araştırır ve mesajı size özel hazırlar. Bu yüzden tanıdık görünür ve fark edilmesi daha zordur. Özellikle şirket çalışanları ve yöneticiler hedef alınır.
Phishing'den nasıl korunulur?
Mesajlardaki bağlantılara tıklamak yerine kurumun sitesine veya uygulamasına kendiniz gidin, arayan kişiye değil kurumun resmi numarasına dönün, şifre ve doğrulama kodunu kimseyle paylaşmayın. Her hesapta ayrı şifre, şifre yöneticisi ve mümkünse geçiş anahtarı veya güvenlik anahtarı gibi oltalamaya dayanıklı iki adımlı doğrulama kullanın.
Oltalama saldırısına uğradım, ne yapmalıyım?
Kart bilgisi verdiyseniz hemen bankanızı resmi numarasından arayın. Şifre girdiyseniz o şifreyi ve aynı şifreyi kullandığınız her hesabı değiştirin, açık oturumları kapatın ve iki adımlı doğrulamayı açın. Uygulama yüklediyseniz kaldırın ve cihazı taratın. Mesajların ekran görüntülerini saklayın ve savcılığa ya da emniyete başvurun.