Oltalama (phishing) e-postası nasıl anlaşılır? 10 işaret ve tıkladıysanız yapılacaklar

Sunucuları ne kadar sağlamlaştırırsanız sağlamlaştırın, zincirin en kolay kırılan halkası çoğu zaman insandır. Saldırganlar da bunu bilir. Bir sistemin açığını aramak yerine, o sistemin şifresini bilen kişiye inandırıcı bir e-posta göndermek çok daha ucuzdur.

Yapay zeka araçları yaygınlaştığından beri oltalama e-postaları imla hatası içermiyor ve Türkçeleri kusursuz. "Bozuk Türkçe varsa sahtedir" kuralı artık işe yaramıyor. Aşağıdaki işaretler ise hâlâ geçerli.

Göndereni kontrol edin

1. Görünen ad ile gerçek adres farklı. "Ziraat Bankası" yazan bir gönderenin adresi bildirim@ziraat-guvenlik-tr.com olabilir. Mobil uygulamalar gerçek adresi gizler; üzerine dokunup tam adresi görün.

2. Benzer alan adları. paypa1.com, micros0ft.com, garantibbva-online.net... Bir harf ya da bir ek farkı kolayca gözden kaçar.

3. "Yanıtla" adresi başka. E-posta tanıdık bir adresten geliyor gibi görünür, ama yanıtla dediğinizde alıcı kısmında bambaşka bir adres belirir.

İçeriği kontrol edin

4. Aciliyet ve korku. "24 saat içinde doğrulamazsanız hesabınız kapatılacak", "Ödemeniz başarısız oldu, hizmetiniz durduruldu". Acele ettirmek, düşünmenizi engellemenin en eski yoludur.

5. Beklemediğiniz bir ek. Sipariş vermediğiniz bir kargonun "fatura.zip" dosyası, beklemediğiniz bir "teklif.html" eki. HTML eki özellikle tehlikelidir. Tarayıcıda açıldığında birebir kopyalanmış bir giriş sayfası gösterebilir.

6. Bağlantının gittiği yer. Bağlantının üzerine tıklamadan gelin (mobilde basılı tutun) ve gerçek adresi okuyun. Adresin sonuna bakın: login.microsoftonline.com.giris-dogrula.xyz adresinin sahibi Microsoft değil, giris-dogrula.xyz'dir.

7. Olağandışı bir ödeme ya da bilgi talebi. "Tedarikçinin IBAN'ı değişti, bu ödemeyi yeni hesaba yapalım" ya da "Toplantıdayım, hemen 5 adet hediye kartı alıp kodlarını gönderir misin?" Bu tür talepleri e-posta dışında bir kanaldan, bildiğiniz bir numarayı arayarak doğrulayın.

8. QR kod. E-posta filtreleri bağlantıları tarar ama bir resmin içindeki QR kodu çoğu zaman tarayamaz. "Çok faktörlü doğrulamanızı yenilemek için kodu okutun" diyen bir e-posta neredeyse her zaman sahtedir.

Teknik ipuçları

9. Kimlik doğrulama sonuçları. Gmail'de "Orijinali göster", Outlook'ta "Mesaj ayrıntıları" bölümünde SPF, DKIM ve DMARC sonuçlarını görebilirsiniz. Banka adına gelen bir e-postada dmarc=fail yazıyorsa o e-posta bankadan gelmemiştir. Ancak pass yazması da tek başına güvenli olduğu anlamına gelmez. Saldırgan kendi alan adında her şeyi doğru kurmuş olabilir. Bu yüzden 2. işarete, yani alan adının kendisine de bakın.

10. Giriş sayfası sizi zaten tanımalı. Parola yöneticisi kullanıyorsanız, sahte bir sitede otomatik doldurma çalışmaz, çünkü alan adı eşleşmez. "Parola yöneticim bu sayfada şifremi önermiyor" durumu çok güçlü bir uyarıdır.

Tıkladıysanız

Utanmanıza gerek yok; bu herkesin başına gelebilir. Önemli olan hızlı davranmaktır.

1. Şifre girdiyseniz: O hesabın şifresini hemen, başka bir cihazdan değiştirin. Aynı şifreyi başka yerlerde de kullanıyorsanız onları da değiştirin.
2. Oturumları kapatın: Çoğu serviste "tüm cihazlardan çıkış yap" seçeneği bulunur. Saldırgan oturum çerezini çaldıysa şifre değişikliği tek başına yetmeyebilir.
3. İki adımlı doğrulamayı açın ya da kurulumunu kontrol edin. Hesabınıza sizin bilmediğiniz bir cihaz ya da uygulama eklenmiş olabilir.
4. E-posta kurallarına bakın: Ele geçirilen e-posta hesaplarında saldırganlar sık sık otomatik yönlendirme ya da "şu gönderenden geleni sil" kuralı ekler.
5. Ek açtıysanız: Cihazı ağdan ayırın ve kurumunuzun bilgi işlem birimine haber verin. Kendi başınıza "temizlemeye" çalışmayın; iz kaybolabilir.
6. Bildirin: Bankayla ilgiliyse bankanızı arayın. İş yerindeyse güvenlik ekibine haber verin. Erken bildirilen bir olay, aynı e-postayı alan diğer kişileri de korur.

Uzun vadeli korunma

• Mümkün olan her yerde passkey ya da donanım anahtarı kullanın. Bunlar oltalamaya karşı dayanıklıdır, çünkü yalnızca doğru alan adında çalışırlar.
• SMS ile gelen doğrulama kodu hiç yoktan iyidir, ama sahte bir sayfa bu kodu da isteyebilir.
• Alan adınız varsa DMARC politikanızı p=quarantine ya da p=reject seviyesine getirin. Böylece başkaları sizin adınıza sahte e-posta gönderemez.

En iyi kural basittir: Beklemediğiniz bir e-postadaki bağlantıyla hiçbir yere giriş yapmayın. Siteye kendiniz, adres çubuğuna yazarak ya da yer imlerinizden gidin.