Kimlik avı ile sosyal mühendislik arasındaki fark nedir?
Sosyal mühendislik, bir kişiyi bilgi, para veya erişim sağlamaya yönlendirmek için kandırmaya yönelik her türlü girişimdir. En yaygın biçimi, e-posta veya sahte bir internet sitesi üzerinden yapılan oltalamadır. CISA ayrıca sesli oltalamayı ve kısa mesajla oltalamayı da tanımlar.
Calloway Partners adında, 30 kişilik kurgusal bir mimarlık firması düşünün. Bir salı günü finans asistanı Leah'ya üç şey gelir. Saat 7.58'de 'genel müdürden' gelen bir e-posta: 'Leah, bütün gün toplantıdayım, ekteki tedarikçiye bugün ödeme yapman gerekiyor, banka bilgileri yeni, bu aramızda kalsın'. Bir kısa mesaj: 'Paketiniz bekletiliyor, yeniden teslimat için £1.45 ücretini buradan ödeyin'. Bir de firmanın bilgi teknolojileri hizmet sağlayıcısından aradığını söyleyen ve 'posta kutunu düzeltmek için' az önce gönderdiği altı haneli kodu okumasını isteyen birinin telefon araması. Her biri farklı görünür. Hepsi aynı tuzaktır.
Kimlik avı mesajları hangi baskı taktiklerini kullanır?
Kimlik avı mesajları beş yaygın baskı taktiği kullanır. NCSC bunları otorite, aciliyet, duygu, kıtlık ve güncel olaylar olarak sıralar. Taktiği fark etmek, yazım hatası aramaktan daha güvenilirdir.
Yetki
Mesaj, bir yöneticiden, bankadan, kamu kurumundan veya tedarikçiden geldiğini iddia eder; böylece isteneni yapmanız gerektiğini hissedersiniz.
Aciliyet
Kontrol etmeden harekete geçmeniz için kısa bir süre tanınması veya ceza tehdidinde bulunulması.
Duygu
Düşünmek yerine tepki vermenize yol açan korku, panik, merak veya umut.
Kıtlık
İade için kalan süre veya sınırlı sayıdaki biletler gibi, kısıtlı olan bir şey.
Güncel olaylar
Mesajın beklenen bir ileti gibi görünmesi için güncel bir haberle, vergi son tarihleriyle veya yaygın olarak bilinen bir hizmet kesintisiyle bağlantı kurulması.
Yapay zeka kimlik avını nasıl değiştirdi?
Yapay zeka, oltalama mesajlarını daha düzgün yazılmış hâle getirdi. Bu nedenle doğru yazım ve dil bilgisi artık bir mesajın gerçek olduğunu kanıtlamaz. CISA'nın rehberi de artık bunu açıkça belirtiyor. Saldırganlar bir iş arkadaşınızın üslubuyla yazabilir, mesajı işinize göre uyarlayabilir veya bir aramada tanıdık bir sesi taklit edebilir. Bu durum, yazım hatalarına ve tuhaf selamlamalara dayanan eski kontrol listesini daha az kullanışlı kılar ve talebin kendisini doğrulamayı daha önemli hâle getirir. Para transferi yapma, banka bilgilerini değiştirme, bir kod paylaşma veya normal bir süreci atlama talebi, ne kadar ikna edici görünürse görünsün doğrulanmalıdır.
Şüpheli bir mesaj adım adım nasıl doğrulanır?
Şüpheli bir iletiyi, iletinin dışına çıkarak doğrularsınız: iletide verilen bağlantıları, telefon numaralarını veya yanıt adresini asla kullanmayın; kişi ya da kuruluşla zaten güvendiğiniz iletişim bilgileri üzerinden bağlantı kurun.
1. Duraklayın ve taktiğin adını koyun
Hangi baskının uygulandığını sorgulayın. Gizlilik, aciliyet ve para bir araya geldiğinde klasik ödeme dolandırıcılığı kalıbı ortaya çıkar.
2. Yalnızca göndereni değil, talebi de kontrol edin
Görünen adlar ve arayan numara bilgileri taklit edilebilir. Kimden geliyormuş gibi görünürse görünsün, banka bilgilerinin değişmesi veya kod istenmesi bir uyarı işaretidir.
3. Ayrı bir kanaldan doğrulayın
Kişiyi kendi kayıtlarınızdaki bir numaradan arayın veya kuruluşun web adresini kendiniz yazın. CISA ve NCSC bu tavsiyeyi veriyor.
4. Kodları veya parolaları asla paylaşmayın
Gerçek bilgi teknolojileri ekipleri ve bankalar, tek kullanımlık bir kodu veya parolayı sesli olarak söylemenizi istemez.
5. Bildirin
E-postanızın bildirme düğmesini kullanın ve bilgi teknolojileri sorumlunuza haber verin. Birleşik Krallık'ta şüpheli e-postaları [email protected] adresine iletebilirsiniz; ABD'de CISA, Siber Sorun Bildir hizmeti üzerinden bildirim kabul eder.
Yetersiz ve etkili bir müdahale nasıl olur?
Yetersiz bir müdahale, görünüşe güvenir. Leah genel müdürün adını görür, ödemenin gerçekten acil olup olmadığını soran bir yanıt gönderir, aynı sahte adresten hızla 'evet, lütfen şimdi yap' yanıtını alır ve ödeme yapar. Kısa mesajı dikkate almaz ancak yardımcı olmak istediği için kodu telefondaki kişiye okur. Bu kişi de kodu kullanarak Leah'nın posta kutusuna giriş yapar.
Etkili bir müdahale, talebi doğrular. Leah, yetki vurgusunun, aciliyetin ve gizliliğin bir arada olduğunu fark eder ve personel listesindeki cep telefonu numarasından genel müdürü arar; genel müdür hiçbir şey göndermemiştir. Kargo mesajını bağlantıya dokunmadan siler. Arayan kişiye bilgi teknolojileri hizmet sağlayıcısını geri arayacağını söyler, telefonu kapatır ve firmanın sözleşmesindeki numaradan sağlayıcıyı arar; sağlayıcı böyle bir arama yapmamıştır. Üç olayı da bilgi teknolojileri birimine bildirir ve e-postayı bildirim adresine iletir. Hiçbir ödeme yapılmamış ve hiçbir kod paylaşılmamıştır.
Zaten tıkladıysanız veya yanıt verdiyseniz ne yapmalısınız?
Zaten tıkladıysanız, yanıt verdiyseniz veya bir şey paylaştıysanız bilgi teknolojileri sorumlunuza hemen haber verin. Hızlı davranmak zararı sınırlar ve bildirim yaptığı için kimse suçlanmamalıdır. Bilgilerini girdiğiniz tüm hesapların parolalarını başka bir cihazdan değiştirin ve çok faktörlü kimlik doğrulamayı açın. Para veya banka bilgileri söz konusuysa bankanızı hemen, web sitesindeki ya da kartınızdaki numaradan arayın.
Kimlik avı konusunda sık yapılan hatalar nelerdir?
En yaygın hata, şüpheli mesajın gerçekliğini kontrol etmek için mesaja yanıt vermektir; bu, yalnızca saldırgandan kendisini doğrulamasını istemek olur. Diğer hatalar: görünen ada veya arayan numaraya güvenmek, yazım hatalarını ölçüt almak, abonelikten çıkma bağlantılarına tıklamak, tek kullanımlık kodları sesli olarak paylaşmak ve bir hatadan sonra utandığınız için sessiz kalmak.
Bu dersin Tosheo.ai içindeki yeri nedir?
Bu ders, siber güvenlik kategorisinde ve siber güvenlik kursunda yer alır. Tosheo.ai'daki uygulama görevinde size kurgusal mesajlar verilir; her birindeki taktiği adlandırmanız, doğrulama adımını yazmanız ve bir rapor taslağı hazırlamanız istenir. Puanlama kılavuzu, hangi uyarı işaretini gözden kaçırdığınızı gösterir. Bu, çalışanlar ve yöneticiler için bir farkındalık eğitimidir; teknik e-posta güvenliği kursu değildir.
Kaynaklar ve kapsam
NCSC, dolandırıcılık amaçlı bir e-postayı bildirme (19 Ekim 2026 tarihinde kontrol edildi) ↗
CISA, kimlik avını tanıma ve bildirme (kontrol tarihi: 19 October 2026) ↗
CISA, sosyal mühendislik ve kimlik avı saldırılarından kaçınma (kontrol tarihi: 19 October 2026) ↗