Phishing (Oltalama/Yemleme) Nedir?

Bir sabah e-posta kutunuzu kontrol ederken tanıdık bir isimden gelen bir mesaj fark ettiniz: bankanız. Gönderici adresi doğru görünüyor, bankanızın logosu ve rengiyle tasarlanmış bir e-posta bu. E-postanın konusu ise oldukça dikkat çekici: “Hesap Güvenliğiniz Hakkında Önemli Bilgilendirme.” E-postayı açtığınızda, mesajda, hesabınızla ilgili bir güvenlik sorunu olduğundan bahsediliyor ve derhal çözüm bulmanız gerektiği yazıyor. Metinde, “Hesabınızda şüpheli aktiviteler tespit edildi,” deniyor ve durumun aciliyetine vurgu yapılıyor. Hemen harekete geçmenizi öneriyorlar: “Lütfen aşağıdaki bağlantıya tıklayarak hesabınızı doğrulayın ve şifrenizi değiştirin.” Bağlantıya tıkladığınızda ise bankanızın web sitesine çok benzeyen bir sayfaya yönlendiriliyorsunuz. Burada sizden kullanıcı adı ve şifrenizi girmenizi istiyorlar. Sayfa o kadar gerçekçi ki herhangi bir şüphe duymuyorsunuz bile ve bilgilerinizi hemen giriyorsunuz. Ancak aslında bu bir phishing/oltalama/yemleme saldırısıydı. Siz bilgilerinizi girerken siber suçlular da aynı anda bu bilgileri ele geçiriyorlar. Böylece bankacılık bilgileriniz ve diğer kişisel bilgileriniz, onların eline geçiyor ve siz farkında olmadan büyük bir siber saldırının kurbanı oluyorsunuz.

Size aktardığımız bu senaryo, phishing saldırılarının ne kadar inandırıcı ve tehlikeli olabileceğini gösteriyor. Gerçek bir bankadan geliyormuş gibi görünen bu tür e-postalar, dikkatli olunmadığında kişisel bilgilerinizi ve hatta finansal güvenliğinizi dahi tehlikeye atabiliyor. Bu nedenle, gelen e-postaları dikkatle incelemek, bağlantılara doğrudan tıklamamak ve gerektiğinde bankanızla doğrudan iletişime geçmek önem kazanıyor. Tabii bunlara ek olarak phishing hakkında daha fazla bilgi edinmeniz de gerekiyor. Dilerseniz gelin, bu yazıda, birçok insanın kâbusu hâline gelen phishing’den bahsedelim.

Farklı Türleri Bulunan Phishing, Her Geçen Gün Daha da Tehlikeli Oluyor

Phishing ya da az önce de aktardığımız Türkçe karşılığıyla oltalama/yemleme, siber suçluların kurbanları kandırarak hassas bilgilerini ele geçirme amacıyla kullandıkları bir dolandırıcılık yöntemi olarak tanımlanıyor. Bu tür saldırılar, genellikle e-posta, SMS ya da sosyal medya mesajları aracılığıyla yapılıyor ve kullanıcıları, sahte web sitelerine yönlendirerek giriş bilgilerini, kredi kartı numaralarını veya diğer kişisel bilgilerini çalmayı hedefliyor.

Oltalama saldırılarında adını daha önce duymuş olabileceğiniz “sosyal mühendislik” teknikleri, sahte web siteleri ve kandırıcı mesajlar yer alıyor. Siber suçlular ve bilgisayar korsanları, genellikle güvenilir kurumları veya kişileri taklit ederek kullanıcıların güvenini kazanarak onları zararlı bağlantılara tıklamaya ya da kişisel bilgilerini paylaşmaya ikna ediyorlar. Bu noktada en tehlikeli phishing türlerini bilmek önem arz ediyor:

• E-posta Phishing: En yaygın phishing türüdür. Siber suçlular, kullanıcılara meşru bir şirketten geliyormuş gibi görünen e-postalar gönderirler. Bu e-postalarda, yazının girişinde anlattığımız senaryodaki gibi genellikle acil bir durum olduğu belirtilir ve kullanıcıdan bir bağlantıya tıklaması veya kişisel bilgilerini girmesi istenir.
• Spear Phishing: Bu tür saldırılar, belirli bir bireyi veya organizasyonu hedef alır. Saldırganlar, hedeflerine dair detaylı bilgi toplayarak kişiselleştirilmiş mesajlar gönderirler.
• Whaling: Üst düzey yöneticileri hedef alan bir phishing türüdür. Böylesi saldırılar, genellikle şirketlerin CEO’larını ya da diğer üst düzey yöneticilerini hedefler.
• Smishing ve Vishing: SMS ve telefon aramaları yoluyla gerçekleştirilen phishing saldırılarıdır. Kullanıcılar, SMS veya telefon aramalarıyla dolandırılırlar ve kişisel bilgilerini paylaşmaları sağlanır.

Phishing’in Etkileri de İstatistikleri de Ürkütücü

Phishing saldırılarının etkileri ciddi olabiliyor ve kişisel veri kaybından finansal zararlara kadar geniş bir yelpazede etkiler yaratabiliyor. Örneğin, büyük bir şirketin oltalama saldırısına uğraması durumunda, müşteri verileri çalınabiliyor ve şirketin itibarı zedelenebiliyor. Phishing’in aynı zamanda fidye yazılımı saldırılarının da yaygın bir başlangıç noktası olduğu biliniyor. Bu süreçte siber suçlular, oltalama e-postaları aracılığıyla fidye yazılımlarını kurbanlarının cihazlarına bulaştırabiliyorlar ve verileri şifreleyerek fidye talep edebiliyorlar. Hatta bu konuda çok uzağa gitmeye gerek yok, oyun dünyasının önemli şirketleri, maalesef ve ne yazık ki bu saldırıdan kurtulamıyor. Anımsatmak gerekirse:

Rockstar Games: Rockstar Games 2022’de sizlerin de hatırlayacağı büyük bir sosyal mühendislik saldırısına maruz kaldı. Bir hacker, şirketin iç iletişim kanalı olan Slack üzerinden sahte bir IT çalışanı gibi davranarak giriş bilgilerine erişim sağladı. Saldırı sonucunda, geliştirilme aşamasındaki Grand Theft Auto VI’ya ait 90’dan fazla video sızdırıldı. Bu saldırı, sosyal mühendislik ve kimlik avının ne kadar tehlikeli olabileceğini gözler önüne serdi.

Bandai Namco: Bandai Namco da Rockstar ile aynı yıl fidye yazılımı saldırısına uğrayanlardan biri oldu. 2022’de büyük saldırıya uğrayan Bandai Namco, saldırının ardından Asya bölgesindeki (Japonya hariç) müşteri bilgilerinin çalınmış olabileceğini belirterek kullanıcılarını uyardı.

Capcom ve Ubisoft: Benzer şekilde Capcom ve Ubisoft gibi büyük oyun şirketleri de son yıllarda, yüksek profilli fidye yazılımı saldırılarına maruz kaldı. Kela Research, oyun sektöründe faaliyet gösteren neredeyse her büyük şirketin hassas bilgilerinin dark web’de satıldığını bildirdi. Bu bilgiler, şirketlerin iç kaynaklarına erişim sağlamak için kullanılabiliyor.

Sony: Hacker gruplarının hedefi olan bir başka şirket Sony, sosyal mühendislikle harmanlanmış sızma girişimi neticesinde henüz çıkmamış olan Wolverine oyununu ve henüz duyurusu bile yapılmamış Spider-Man 2 PC sürümünü siber suçlulara kaptırdı. Her iki yapımın da finalize edilmemiş hâlleri, çeşitli dağıtım ağlarında bulunabiliyor ve bunun, Sony’yi, ciddi anlamda maddi zarara sokacağı öngörülüyor.

Son olarak birkaç istatistik paylaşalım. 2024 yılı itibarıyla phishing saldırıları hâlâ yaygın ve etkili bir siber tehdit olarak varlığını sürdürüyor. 2023 yılında LinkedIn, DHL, Google ve Microsoft gibi büyük isimler, phishing saldırılarında en sık taklit edilen markalar oldu. Ayrıca her gün yaklaşık 100 milyon phishing e-postası, Google tarafından engelleniyor. Amerika Birleşik Devletleri, phishing alanında en aktif ülkelerden biri olmaya devam ediyor ve dünya genelindeki phishing faaliyetlerinin %47’sine ev sahipliği yapıyor.

Siz de teknolojiyi yakından takip ediyorsanız ve güvenliğinizi daima maksimize etmeyi planlıyorsanız, en güncel donanım bileşenlerini bulunduran, yazılım bakımından da güçlü, “canavar” gibi bilgisayarlar kullanmalısınız. Monster tarafından geliştirilen, Windows 11 işletim sistemli ve güncel donanımlı laptop modelleri, hem iş hem de oyun gereksinimlerinize yanıt vermeye hazır.

Phishing (Oltalama/Yemleme) Hakkında Sıkça Sorulan Sorular