Selamlar herkese. Bölümde hiç konu olmadığını görünce şöyle derli toplu, herkesin okuyup faydalanabileceği detaylı bir rehberle açılışı yapayım dedim.
Siber güvenlik denince çoğumuzun aklına hemen siyah ekranlar, karmaşık kodlar veya yazılım açıkları geliyor ama işin aslı hiç de öyle değil. Güvenlik dünyasında çok bilinen bir laf vardır:
İşte bu duruma Sosyal Mühendislik diyoruz. Yani en kaba tanımıyla "insan hackleme sanatı". Saldırganlar sistemle uğraşmak yerine doğrudan insan psikolojisindeki boşlukları kullanıyor.
Piyasada dönen bütün sosyal mühendislik yöntemlerini, adamların bizi nasıl kandırdığını ve korunma yollarını aşağıda tek tek anlatıyorum.
Siber güvenlik denince çoğumuzun aklına hemen siyah ekranlar, karmaşık kodlar veya yazılım açıkları geliyor ama işin aslı hiç de öyle değil. Güvenlik dünyasında çok bilinen bir laf vardır:
İşte bu duruma Sosyal Mühendislik diyoruz. Yani en kaba tanımıyla "insan hackleme sanatı". Saldırganlar sistemle uğraşmak yerine doğrudan insan psikolojisindeki boşlukları kullanıyor.
Piyasada dönen bütün sosyal mühendislik yöntemlerini, adamların bizi nasıl kandırdığını ve korunma yollarını aşağıda tek tek anlatıyorum.
1. BU ADAMLAR BİZİ NASIL KANDIRIYOR? (İŞİN PSİKOLOJİSİ)
Bir sosyal mühendis bilgisayarın başına geçmeden önce kurbanın kafasının içine girmeye çalışır. Saldırının arkasında genelde şu temel hisler yatar:- [ OTORİTE ] Kendini polis, bankacı, patron veya sistem yöneticisi olarak tanıtırlar. İnsanlar otoriteden çekindiği için sorgulamadan denileni yapar.
- [ ACİLİYET BASKISI ] "Hesabınız 10 dakika içinde silinecek" gibi laflarla mantıklı düşünmenizi engellerler.
- [ KORKU VE TEHDİT ] Ceza alma veya para kaybetme korkusuyla hızlı karar vermenizi sağlarlar.
- [ KARŞILIKLILIK ] Size küçük bir iyilik yapmış veya ücretsiz bir şey vermiş gibi davranıp karşılığında bilgi alırlar.
- [ AÇGÖZLÜLÜK VE FIRSAT ] "Sadece ilk 5 kişiye özel hediye" diyerek olayı kaçırma korkunuzu (FOMO) tetiklerler.
- [ TOPLUMSAL KANIT ] "Herkes bu linke tıklıyor, iş arkadaşların da bilgi verdi" diyerek güven hissi yaratırlar.
2. DİJİTALDE KARŞIMIZA ÇIKAN SALDIRI YÖNTEMLERİ
A) Phishing (Oltalama)
En bilinen, her gün karşılaştığımız yöntem. Banka, kargo şirketi veya sosyal medya platformu gibi görünen sahte mailler ve mesajlar atarlar.- Spear Phishing (Nokta Atışı Oltalama): Rastgele herkese atılan mailler gibi değildir. Doğrudan sizi veya çalıştığınız şirketi hedef alırlar. Önceden sosyal medyanızı falan iyice incelerler.
- Whaling (Balina Avcılığı): Hedefte gariban üye değil, şirketin CEO'su, müdürü veya zengin tipler vardır.
- Clone Phishing: Daha önce aldığınız gerçek bir mailin birebir kopyasını yapıp, içindeki linki zararlı olanla değiştirip tekrar atarlar.
B) Vishing (Sesli Oltalama / Telefon Sahtekarlığı)
Telefonla arayıp yapılan vurgunlar. Kendini polis veya bankacı olarak tanıtanlar bu gruba girer.
C) Smishing (SMS Oltalama)
Telefona gelen "Kargonuz adrese teslim edilemedi tıkla düzelt", "Tebrikler ödül kazandınız", "Tesisat borcunuz var" gibi sahte linkli SMS'ler.D) Watering Hole (Sulama Deliği Saldırısı)
Saldırgan doğrudan sizi hedef almak yerine, sizin gibi kitlelerin çok takıldığı forumları veya haber sitelerini hackleyip oralara tuzak kurar. Siz siteye girdiğiniz an bilgisayarınıza sızmaya çalışır.E) Typosquatting (Yazım Hatalı Alan Adları)
Popüler sitelerin isimlerindeki harf hatalarından yararlanırlar. Mesela gogle.com veya faceb0ok.com gibi siteler kurup dalgınlıkla yanlış yazan insanları sahte giriş ekranıyla avlarlar.3. MASA BAŞINDA OLMAYAN, FİZİKSEL VE BİREBİR NUMARALAR
- Pretexting (Senaryo Bağlama): Saldırgan kafasında tam bir tiyatro kurar. Şirkete elinde çanta ile gelip "Ben genel merkezden geliyorum, modemleri güncelleyeceğim" diyerek binadan içeri girmeye çalışır.
- Yemleme (Baiting): İnsanların merakını kullanırlar. Şirketin otoparkına veya kafesine üzerinde "Şirket Maaş Listesi 2026" ya da "Gizli Proje" yazan bir USB bellek bırakırlar. Merak edip bilgisayara taktığınız an virüs sisteme bulaşır.
- Quid Pro Quo (Al-Gülüm Ver-Gülüm): Sana bir hizmet vaat ederler. Şirketin dahili numaralarını tek tek arayıp "IT destekten arıyorum, bilgisayarınızda yavaşlama var mı?" diye sorarlar. Biri "Evet var" derse "Tamam halletmem için şifrenizi verin" deyip hesabı ele geçirirler.
- Tailgating (Kuyruğa Takılma): Fiziksel kapıları aşma yöntemidir. Saldırgan elinde iki tane büyük koliyle kapıda bekler. Siz kart basıp girerken "Kardeşim kapıyı tutar mısın elim dolu" der. Yardımseverlik duygunuzu kullanıp kart basmadan içeri sızar.
- Shoulder Surfing (Omuz Üstünden Dikizleme): Otobüste, metroda, kafede veya ATM'de siz şifre girerken arkadan veya yandan çaktırmadan ekranı izleyip şifrenizi çalarlar.
- Dumpster Diving (Çöp Karıştırma): Şirketlerin çöpe attığı buruşturulmuş kağıtları, imha edilmemiş faturaları, eski belgeleri toplayıp içinden bilgi cümbızlarlar.
- Reverse Social Engineering (Tersine Sosyal Mühendislik): Önce sisteminizde çaktırmadan bir arıza yaratırlar. Sonra ortalığa "Sistem arızası için şu numarayı arayın" diye sahte broşür bırakırlar. Siz kendi ayağınızla adama ulaşıp "Sistem bozuldu yardım et" dersiniz ve şifrenizi kendi elinizle verirsiniz.
4. BU TUZAKLARA DÜŞMEMEK İÇİN NE YAPACAĞIZ?
- HEMEN SAZAN GİBİ ATLAMAYIN: Beklemediğiniz bir yerden acil kodlu mesaj geldiyse önce sakin olun. Banka arıyorsa kapatıp siz bankanın resmi numarasını arayın.
- İKİ AŞAMALI DOĞRULAMAYI (2FA) AÇIN: Şifrenizi kaptırsanız bile telefonunuza onay kodu geleceği için hesabı kurtarırsınız. Ama SMS doğrulaması yerine Authenticator uygulamalarını tercih edin.
- LİNKLERİN ÜSTÜNE GELİP BAKIN: Tıklamadan önce farenin imlecini linkin üstüne getirin, alt tarafta çıkan gerçek adresi kontrol edin.
- FİZİKSEL GÜVENLİĞİ SALMAYIN: Masa başından kalkarken ekranı kilitleyin. İş yerinde tanımadığınız, yaka kartı olmayan tipleri içeri almayın.
- HİSLERİNİZE GÜVENİN: Bir mesaj veya arama sizde aşırı korku, acele etme veya merak hissi uyandırıyorsa %90 bir dolandırıcılık senaryosunun içindesinizdir.
Bölümde hiç konu yoktu, siftahı bizden olsun. Bir çayınızı alırım.
Son düzenleme:
