Phishing, oltalama ya da kimlik avı saldırıları, hackleme veya siber suç olarak değerlendirdiğimiz olayların büyük bir bölümünü oluşturur.
Bu Yazıda Neler Var?
- Phishing Nedir ve Phishing Nasıl Yapılır?
- Instagram Phishing Nasıl Yapılır?
- Rakamlarla Phishing
- Phishing Dolandırıcılıklarından Nasıl Kaçınılır?
- Phishing Saldırılarından Nasıl Korunabilirsiniz?
- Kişisel Bilgileri Asla Vermeyin:
- Şüpheli Bağlantılara Tıklamayın:
- Pop-up’lardan Kaçının:
- Şüphede Kaldığınızda, Doğrudan İletişime Geçin:
- Her Yerde Aynı Parolayı Kullanmayın:
- Kişisel Bilgileri Çevrimiçi Olarak Göndermeyin:
- Güvenlik Duvarlarını ve Virüsten Koruma Yazılımlarını Kullanın:
- Her Şeyi Güncel Tutun:
- Office 365 Kullanın:
- Son Kullanıcı Farkındalık Eğitimi:
Phishing Nedir ve Phishing Nasıl Yapılır?
Phishing Genellikle bir e-posta iletişimi yoluyla güvenilir bir kaynakmış gibi davranarak hassas bilgileri (kullanıcı adları, parolalar ve banka ayrıntıları) ifşa etmeleri için bireyleri kandırmaya yönelik dolandırıcılık girişimidir.
Hedefli Phishing, bir kurbanı hedeflemenin daha kişiselleştirilmiş bir yolu, bir alıcıdaki üç potansiyel zayıflıktan yararlanır;
- Görünen kaynak bilinen ve güvenilen bir kişi gibi görünür,
- Mesaj, geçerliliğini destekleyen bilgiler içerir,
- İsteğin mantıklı bir temeli var gibi görünür.
Phishing e-postaları genellikle alıcıyı iki şeyden birini yapmaya çekmeye çalışır: hassas veya değerli bilgileri teslim etmek; kötü amaçlı yazılım indirmek. Birkaç kimlik avı türü vardır ve her birinin bir kuruluşta hasara yol açma potansiyeli vardır.
Instagram Phishing Nasıl Yapılır?
Instagramda son zamanlarda kullanıcıların sürekli karşılaştığı bir durumda phishing yani oltalamadır. Phishing sayesinde kullanıcıların hesapları çalınmakta, ele geçirilmekte ve hesabın geri verilmesi için para talep edilmektedir. Tabi para verilmesi halinde hesabın geri iade edileceğini düşünmek çok masumca olur. Bunu phishingi yaparken de hedef aldıkları kullanıcılara önemli olduğu hissettirilen mesajlarla link tıklama yapılması sağlanmaktadır. Bu şekilde oltalama işi gerçekleştirilmiş olmaktadır. Örneğin hesabınız kurtarmak için tıklayın, hesabını şikayet altında takip etmek için tıklayın, ödül kazandınız almak için tıklayın gibi mesajlara itibar edilmemesi gerekmektedir.
Rakamlarla Phishing
RSA Dolandırıcılık ve Risk İstihbaratı ekibine göre, kimlik avı saldırılarının kullanımı 2018 itibariyle muazzam bir artış gördü. 2018’in son çeyreğinde tüm dolandırıcılıkların neredeyse yarısını oluşturdular ve Kanada ve Amerika Birleşik Devletleri en çok hedeflenen ülkeler oldu.
Phishing siber saldırganlar için tercih edilen silah olmaya devam ediyor. Proofpoint’in 2021 Kimlik Avı Durumu Raporu, kimlik avı saldırılarını işletmelerin karşılaştığı en önemli veri güvenliği sorunlarından biri olarak tanımladı ve dünya genelinde her 4 kuruluştan 3’ü 2020’de saldırılar bildirdi. Saldırılar başarılı olduğunda, kuruluşların %60’ı veri kaybetti ve %47’sine virüs bulaştı.
Bu rakamlar tek başına kimlik avının siber suçlular için araç kemerinde neden sürekli favori bir taktik olmaya devam ettiğine ışık tutuyor. Kimlik avı saldırılarının % 96’sı e-posta yoluyla yapıldığından, çalışanların tetikte olmaları ve tıklamadan önce düşünmeleri her zamankinden daha kritik. Özellikle son zamanlarda instagram gibi sosyal medya hesapları üzerinden artan oltalama-phising olaylarını duyunca olayın vehameti ortaya çıkmaktadır.
Phishing Dolandırıcılıklarından Nasıl Kaçınılır?
Organizasyonel bir bakış açısından, FTC, kimlik avını tanımak ve önlemek için faydalı bilgiler edinmek gerekmektedir. Bir kullanıcının sahip olduğu bir şey – metin mesajı veya bir kimlik doğrulama uygulaması aracılığıyla aldığınız bir şifre gibi önemli bilgiler bu tür saldırılar için hedef teşkil etmektedir.
Özellikle kullanıcıların son zamanlarda genel olarak telefonlarında kullanmış olduğu parmak izi, retina veya yüz taraması gibi verileri bu saldırılarda önemli hedef haline gelmektedir.
Bu saldırılar herkesi hedef alsa da, finans ve sağlık sektörlerindeki işletme ve kuruluşların ekstra dikkat göstermeleri gerekiyor. Kişisel, tıbbi ve finansal bilgiler karaborsada yüksek talep görmektedir. Tahmini olarak 5,5 milyondan fazla kredi kartının güvenliğinin ihlal edildiğine inanılırken, elektronik tıbbi kayıtların değeri bilgisayar korsanları için 1000 dolara kadar çıkabilir.
Phishing Saldırılarından Nasıl Korunabilirsiniz?
Şimdi Phishing saldırılarına karşı kendimizi korumak için yapılması gerekenlerden bahsedelim. Burada bahsedilen yöntemler aynı zamanda saldırı seçenekleri olarak göze çarpmaktadır. Sın olarak her türlü siber saldırıdan kurulmak için yapmanız gereken ilk ve en önemli durumun lisanslı bir virüs tarama programı kullanmak olduğunu unutmayın.
Kişisel Bilgileri Asla Vermeyin:
– Genel bir kural olarak, kişisel, finansal veya güvenlik bilgilerini asla internet üzerinden vermemelisiniz. Zaten güvenilir kuruluşlar ve kuruluşlar sizden bunu yapmanızı asla istemez.
Şüpheli Bağlantılara Tıklamayın:
– Bir e-postadaki bir bağlantıya doğrudan tıklamak yerine, fare imlecinizi üzerine getirin. Kötü amaçlı web sayfalarında garip görünümlü gömülü bağlantılar bulunur. Ayrıca, yasal görünse bile bir web sitesinin adresini (URL) kontrol etmeyi alışkanlık haline getirin. Güvenli siteler her zaman “https://” ile başlar.
Pop-up’lardan Kaçının:
– Bilgisayar korsanları, pop-up’ları bir sitenin meşru benzer bileşenleri olarak kullanmaktan hoşlanır. Çoğu tarayıcı bu açılır pencereleri engellemenize izin verir, ancak bazıları geçmeyi başarırsa, “iptal” düğmesine değil, pencerenin üst köşesindeki “x” düğmesine tıklamanız en iyisidir.
Şüphede Kaldığınızda, Doğrudan İletişime Geçin:
– E-posta şüpheli görünüyorsa ve gönderen kişi tanıdığınız biriyse (arkadaşlar, meslektaşlar vb.), bu e-postayı gönderip göndermediklerini öğrenmek için doğrudan onlarla iletişime geçin. Telefonunuzu veya e-posta dışındaki diğer iletişim araçlarını kullanın. Göndermedilerse, durumu değerlendirebilmeleri için e-postanın bir kopyasını BT ekibine iletin. Şüpheli e-posta bir kuruluştan (banka, okul, devlet, hizmet sağlayıcı vb.) geliyorsa, resmi web sitelerinde iletişim bilgilerini araştırın, onları arayın ve e-postayı sorun.
Her Yerde Aynı Parolayı Kullanmayın:
– Bilgisayar korsanları, çoğu kişinin aynı parolayı farklı hesaplarda kullandığını çok iyi bilir. Eğer ele geçirmeyi başarırlarsa, şirketinizin sistemleri de dahil olmak üzere her yere erişimleri olabilir. Farklı şifreleri takip etmenize yardımcı olması için bir şifre yöneticisi aracı kullanın.
Kişisel Bilgileri Çevrimiçi Olarak Göndermeyin:
– Sosyal medyada kendinizle ilgili çok fazla kişisel bilgi (doğum tarihi, eğitim, geçmiş çalışma, ilişki durumu vb.) yayınlamak, daha hedefli oltalama saldırılarında size karşı kullanılabilir. Bu bilgiyi mümkün olduğunca sınırlamaya çalışın.
Güvenlik Duvarlarını ve Virüsten Koruma Yazılımlarını Kullanın:
– Güvenlik duvarları ve virüsten koruma yazılımı, bilgisayarınızı ve sistemlerinizi dışarıdan gelen davetsiz misafirlere karşı daha güvenli tutar. Güvenlik duvarları, şeylerin içeri girmesini engellerken, virüsten koruma yazılımı, varsa bunları algılar ve ortadan kaldırır.
Her Şeyi Güncel Tutun:
– Birçoğumuz sistem güncellemelerini ve yamaları bir rahatsızlık olarak görsek de, onsuz yapabilirdik, sistemlerimizi siber suç dünyasındaki en son gelişmelere uygun tutma konusunda artımlılar. Güncellemeler, yeni yamalar mevcut olduğunda güvenlik duvarlarından, antivirüs yazılımından, işletim sisteminden, tarayıcıdan vb. her şeydir.
Office 365 Kullanın:
– Microsoft, çeşitli siber tehditlerle başa çıkmak için çok uygun olduğu için bir itibar kazanmıştır. Verilerinizi güvende tutmak için işletmeniz için bir araç olarak Microsoft Office 365‘i kullanmanız önerilir. Bu amaç için özel olarak tasarlanmış çok sayıda güvenlik özelliği ile birlikte gelir. Office 365 spam filtresini ayarlayabilirsiniz. Belirli alıcıları tanımlayıp engelleyebilecek ve gereksiz e-posta ve kimlik avı saldırılarını bildirebilecek. Gelişmiş Tehdit Koruması seçeneğiyle, tehlikeli e-postaların gelen kutunuza asla girmemesini sağlayabilirsiniz. Benzer şekilde, çok faktörlü kimlik doğrulama modülü, saldırganların hesabınıza erişmesini zorlaştıracaktır.
Son Kullanıcı Farkındalık Eğitimi:
– Kimlik avı saldırılarına karşı muhtemelen en iyi savunma bilgidir. Kendinizi ve çalışanlarınızı bu sorunlar, eğilimler ve en iyi uygulamalar konusunda eğiterek kendinizi veya kuruluşunuzu fidye yazılımlarına veya veri hırsızlığına maruz bırakmazsınız.
Kimlik avı saldırıları, korunmak için en yönetilebilir siber tehdittir. Bu daha çok tehlikenin farkına varmak ve siber suçlunun yapmanızı istediği şeye göre hareket etmemek meselesidir. Oltalama saldırıları söz konusu olduğunda insanlar ilk ve son savunma hattıdır, bu nedenle eğitimli olmak önlemede en iyi ilk adımdır.
Son olarak unutulmamalıdır ki Phishing gibi siber saldırıların temelinde insan faktörü yatmaktadır. Yani bu saldırıyı gerçekleştirenler de ve bu saldırılar sonunda mağdur olanlarda insanlardır. Bundan dolayı bu tür siber saldırılardan korunmak için yaptığımız hareketlerin sonucunu düşünmekte fayda olacaktır. Özellikle sanal ortamda bize sunulan içeriklerin asla karşılıksız olmadığını bilmemiz, sürekli olarak hedefin biz olacağını düşünerek hareket etmemiz ve tanıdığımız birinden gelen tanınmamış içerikleri bile açarken dikkatli olmamız gerekmektedir.
