Sosyal mühendislik ve oltalama: e-posta, SMS ve telefon…

Neden önemli?

Başarılı saldırıların büyük çoğunluğu bir insanı kandırmakla başlar. Sistemleri kırmak zordur; birini aceleye getirmek kolaydır.

Temel bilgiler

Sosyal mühendislik, insanın güven, korku, merak ve aceleciliğinden yararlanır. Türleri:

Oltalama (phishing): Sahte e-posta. Banka, kargo, e-devlet, yönetici ya da tedarikçi taklidi.
Smishing: SMS üzerinden oltalama ("kargonuz adrese teslim edilemedi").
Vishing: Telefon dolandırıcılığı ("bankanızın güvenlik biriminden arıyorum, kodu söyleyin").
Hedefli oltalama (spear phishing): Size özel hazırlanmış, adınızı ve işinizi bilen mesaj.
CEO / yönetici dolandırıcılığı: "Acil, gizli bir ödeme yapmamız gerekiyor" diyen sahte yönetici.

Tanıma işaretleri:

Aciliyet ve baskı: "1 saat içinde", "hesabınız kapatılacak".
Gönderen adresinde küçük farklar: [email protected], paypa1.com.
Bağlantının gerçek adresi farklı (üzerine uzun basın / fareyle bekleyin).
Beklemediğiniz ek, fatura, "ödül".
Kod, parola ya da kart bilgisi isteyen her mesaj. Gerçek bankalar ve kurumlar bu bilgileri telefonda ya da mesajla istemez.

Gerçekçi bir örnek

Finans uzmanı Mert'e genel müdürden gelmiş gibi görünen bir e-posta gelir: "Şu an toplantıdayım, yeni tedarikçiye bugün 180.000 TL gönderilmesi lazım, kimseye söyleme." Adres, şirketin alan adına çok benzeyen bir adrestir. Mert, genel müdürü bildiği numaradan arar; e-postanın sahte olduğu anlaşılır.

Yapılacaklar

Para, parola ya da kod isteyen her talebi başka bir kanaldan doğrulayın (bildiğiniz numarayı arayın; mesajdaki numarayı değil).
Bağlantıya tıklamak yerine siteye adresi kendiniz yazarak girin.
Şüpheli mesajı silmeden önce kurumunuzun güvenlik birimine iletin.
Zararlı bağlantıları USOM'un (Ulusal Siber Olaylara Müdahale Merkezi) duyurularından takip edin.

Akılda kalsın: Acele ettiren mesaj, durmanız gereken mesajdır.

*Bu yazı, 14 bölümlük Siber Güvenlik Farkındalık dizisinin 4. bölümüdür.* Sıradaki bölüm: Parola ve hesap güvenliği: parola yöneticisi, MFA ve passkey