Oltalama (phishing) e-postası nasıl tanınır? Sizi ele veren 7 işaret

Adı bile ne yaptığını anlatıyor: oltalama, tıpkı balık avlamak gibi. Saldırgan güvendiğiniz bir kurum — bankanız, kargonuz, Google, Instagram — gibi görünen bir mesaj hazırlar, oltayı atar ve sizin "ısırmanızı" bekler. Isırmak da genellikle tek bir hareket oluyor: bir bağlantıya tıklayıp bilgilerinizi girmek.

Oltalama, dünyadaki hesap ele geçirmelerinin ve dolandırıcılıkların büyük çoğunluğunun başlangıç noktası. İyi haber şu ki bu mesajlar birbirine çok benziyor; işaretleri bir kez öğrendiğinizde çoğunu daha açmadan fark edersiniz.

Nasıl işler?

Klasik oltalama üç adımdır. Önce güvendiğiniz bir yerden geliyormuş gibi görünen bir mesaj alırsınız. Bu mesaj sizi acele ettiren bir bahaneyle (hesabınız kapanacak, ödeme bekliyor, şüpheli giriş oldu) bir bağlantıya yönlendirir. Bağlantı, gerçeğinin birebir kopyası olan sahte bir giriş sayfasına götürür; oraya girdiğiniz şifre, kart bilgisi ya da kod doğrudan saldırgana gider. Bazı mesajlarda ise bağlantı yerine zararlı bir dosya eki olur.

Sizi ele veren 7 işaret

1. Gönderen adresi tutmuyor. Görünen isim "Garanti BBVA" olabilir ama gerçek e-posta adresine bakın: destek@garanti-guvenlik.net gibi tuhaf bir adresse, sahtedir. Gerçek kurumlar kendi resmî alan adlarından yazar.
2. Aciliyet ve korku var. "24 saat içinde onaylamazsanız hesabınız kapatılacak", "hemen harekete geçin." Bu baskı bilinçlidir; sizi düşünmeye fırsat bırakmadan tıklatmak ister.
3. Genel bir hitap kullanıyor. "Sayın müşterimiz", "Merhaba kullanıcı." Sizinle gerçekten iş yapan bir kurum genellikle adınızla hitap eder.
4. Bağlantı göründüğü yere gitmiyor. Bir bağlantının üzerine (tıklamadan) gelip gerçek adresini görün. Metinde "bankanizin-sitesi.com" yazıyor ama alttaki gerçek adres bambaşkaysa, tuzaktır.
5. Şifre, kart ya da kod istiyor. Hiçbir ciddi kurum sizden bir e-postadaki bağlantı üzerinden şifrenizi, kart numaranızı ya da SMS kodunuzu istemez. Bu talebi gördüğünüz an durun.
6. Dil bozuk. Garip çeviriler, yazım hataları, tuhaf cümleler. Kurumsal mesajlar genellikle özenlidir; bariz hatalar bir uyarı işaretidir. (Yalnız dikkat: saldırganlar giderek daha düzgün mesajlar yazıyor, yani dilin düzgün olması tek başına güven vermez.)
7. Beklemediğiniz bir ek var. Tanımadığınız bir gönderenden gelen fatura, kargo fişi ya da "belge" adlı dosyaları açmayın.

Farklı kılıkları

Oltalama sadece e-postayla sınırlı değil. SMS ile gelenine "smishing" denir — sahte kargo ve e-Devlet mesajlarını ayrı bir rehberde ele aldık. Telefonla, sizi arayıp banka görevlisi gibi davranarak yapılanına da "vishing" denir. Kanal değişse de mantık hep aynıdır: güven kazan, acele ettir, bilgiyi al.

Altın kurallar

• Bağlantıya tıklamadan doğrulayın. Bankanızı mı merak ettiniz, uygulamasını kendiniz açın. Google'ı mı, adresini kendiniz yazın. Mesajdaki bağlantıyı kullanmayın.
• Şifre yöneticisi bir güvenlik testidir. Bir şifre yöneticisi kullanıyorsanız, şifrenizi yalnızca gerçek adreste otomatik doldurur. Sahte bir sayfada doldurma önerisi çıkmıyorsa, bu güçlü bir "burası sahte" sinyalidir.
• İki adımlı doğrulama açık olsun. Şifrenizi bir oltalama sayfasına kaptırsanız bile, 2FA saldırganın hesaba girmesini büyük ölçüde zorlaştırır.

Kandıysanız ne yapmalı?

Herkesin başına gelebilir; önemli olan hızlı davranmak.

• Şifrenizi girdiyseniz, hemen değiştirin — ve aynı şifreyi kullandığınız diğer hesaplarda da.
• Kart bilgisi girdiyseniz bankanızı arayıp kartı iptal ettirin.
• Mümkünse etkilenen hesaplarda iki adımlı doğrulamayı açın ve bir süre şüpheli hareketlere karşı tetikte olun.

Oltalamanın gücü teknik değil, psikolojik: güveninizi ve acelenizi kullanır. Bu yüzden en iyi savunma da yazılım değil, bir alışkanlık — gelen hiçbir "acil" bağlantıya, kimden geldiğini iddia ederse etsin, düşünmeden dokunmamak.