Kimlik avı nasıl anlaşılır?
Kimlik avı, teknik bir saldırıdan çok bir ikna oyunudur: sahte bir mesajla sizi parolanızı, kartınızı veya onayınızı kendi elinizle vermeye yöneltir. İyi haber şu ki bu oyunların çoğu, birkaç işaretle ele verir.
Kısa cevap
Kimlik avını ele veren başlıca işaretler şunlardır: yapay aciliyet baskısı, gerçeğine benzetilmiş ama farklı gönderen adresi, sizi giriş yapmaya iten bağlantılar ve beklenmedik ekler. Şüphelendiğinizde mesajdaki hiçbir bağlantıya tıklamayın; kurumun resmî uygulaması veya bilinen numarası üzerinden doğrulayın.
Kimlik avı nasıl çalışır?
Kimlik avı (phishing), saldırganın güvendiğiniz bir kurum veya kişi gibi davranarak sizden bilgi ya da eylem koparmasıdır: bankanızdan gelmiş gibi görünen bir e-posta, kargo firması adına bir SMS veya tanıdığınızın ele geçirilmiş hesabından gelen bir mesaj olabilir.
Hedef çoğunlukla üç şeyden biridir: giriş bilgileriniz (sahte giriş sayfası yoluyla), kart bilgileriniz (sahte ödeme ekranı yoluyla) veya cihazınıza zararlı yazılım bulaştırmak (ek dosya ya da bağlantı yoluyla). Saldırının teknik değil psikolojik olması, herkesin hedef olabileceği anlamına gelir.
Birinci işaret: aciliyet ve korku
Kimlik avı mesajlarının ortak imzası zaman baskısıdır: ‘Hesabınız 24 saat içinde kapatılacak’, ‘Şüpheli giriş tespit edildi, hemen doğrulayın’, ‘Ödülünüz bugün son’. Amaç, düşünmeye fırsat bırakmadan tıklatmaktır.
Gerçek kurumlar da zaman zaman uyarı gönderir; fark, meşru uyarıların sizi genellikle kendi resmî kanallarına yönlendirmesi ve panik dili kullanmamasıdır. Bir mesaj kalp atışınızı hızlandırıyorsa, o mesaja en az bir dakika mesafe koyun: aciliyet hissi, başlı başına bir uyarı işaretidir.
Bir örnek üzerinden bakalım: ‘Hesabınızda olağan dışı hareket tespit edildi, 24 saat içinde doğrulamazsanız erişiminiz kapatılacaktır’ cümlesi üç tuzağı birden taşır: korku (olağan dışı hareket), süre baskısı (24 saat) ve tek çıkış yolu olarak sunulan bağlantı. Gerçek uyarılar sizi genellikle acele ettirmez; uygulamayı kendiniz açıp kontrol etmenize imkân tanır.
İkinci işaret: gönderen ve bağlantı adresi
Görünen ad kolayca sahtelenir; asıl bakılacak yer adresin kendisidir. Gönderen adresinde kurum adının bozulmuş hâlleri (harf eksiği, ek karakter, alakasız uzantı) yaygındır. Bağlantılarda ise fareyle üzerine gelerek (telefonda basılı tutarak) gerçek adresi görebilirsiniz: kurum adı adresin başında görünse bile asıl alan adı farklı olabilir.
Kısaltılmış bağlantılar da gerçek adresi gizler. Şüpheye düştüğünüzde en temiz yol, bağlantıya hiç dokunmadan kurumun sitesine adresi kendiniz yazarak veya resmî uygulamadan girmektir.
Diğer işaretler: dil, ek ve istekler
Özensiz çeviri kokan cümleler, genel hitaplar (‘Sayın müşterimiz’) ve tutarsız görseller klasik ipuçlarıdır; ancak yapay zekâ araçları sayesinde dolandırıcı metinleri artık daha akıcı olabiliyor, bu yüzden düzgün dil tek başına güven vermez.
Asıl belirleyici olan istektir: hiçbir meşru kurum sizden mesaj yoluyla parolanızı, kartınızın tüm bilgilerini veya telefonunuza gelen tek kullanımlık kodu istemez. Beklemediğiniz ekler (özellikle fatura, dekont, sipariş görünümlü dosyalar) da açılmadan önce şüpheyi hak eder. SMS üzerinden gelen tuzaklar için sahte SMS rehberine bakabilirsiniz.
Kanal çeşitliliğine de hazırlıklı olun: telefonla arayıp banka görevlisi gibi davranan, güven kurduktan sonra kod veya kart bilgisi isteyen aramalar da aynı oyunun sesli sürümüdür. Kafelerde ve afişlerde karşılaşılan karekodlar da sahte sayfalara çıkabilir; karekod taratınca açılan adrese, tıkladığınız bağlantıya gösterdiğiniz dikkati gösterin.
Şüphelendiğinizde ve tıkladıysanız
Şüpheli mesajın yanıtına, bağlantısına ve ekine dokunmayın; kurumu resmî uygulamasından veya kartınızın arkasındaki telefondan doğrulayın. Mesajı spam olarak işaretleyip silmek, benzerlerinin filtrelenmesine de yardım eder.
Bağlantıya tıklayıp bilgi girdiyseniz vakit kaybetmeyin: ilgili parolayı hemen değiştirin, aynı parolayı kullanan diğer hesapları güncelleyin ve iki aşamalı doğrulamayı açın. Kart bilgisi girdiyseniz bankanızı arayıp kartı kapattırın. Sonraki adımların tamamı hesap ele geçirilirse rehberinde anlatılmaktadır.
Parola yöneticisi kullananların gizli bir avantajı vardır: yönetici, kayıtlı parolayı yalnızca gerçek adreste doldurur. Her zaman kendiliğinden dolan giriş ekranı bir gün boş kalıyorsa, sahte bir kopyada olabilirsiniz; bu sessiz uyarıyı ciddiye alın ve adresi dikkatle kontrol edin.
Kontrol listesi
- Aciliyet baskısı kuran mesajlara bir dakika mesafe koyun
- Gönderen adresini ve bağlantının gerçek adresini kontrol edin
- Parola, kart bilgisi ve kod isteyen mesajları sahte kabul edin
- Beklenmedik ekleri açmayın
- Doğrulamayı her zaman resmî uygulama veya bilinen numaradan yapın
- Şüpheli mesajları spam olarak işaretleyip silin
Sık sorulan sorular
Bağlantıya tıkladım ama bilgi girmedim; risk var mı?
Çoğu durumda asıl tehlike bilgi girişindedir; yine de sayfa bir şey indirmeye çalıştıysa dosyayı açmayın ve cihazınızı güvenlik taramasından geçirin. Sonraki günlerde hesaplarınızdaki olağan dışı hareketlere karşı dikkatli olun.
Mesaj bankamın gerçek numarasından gelmiş görünüyor; sahte olabilir mi?
Evet; gönderen adı ve numarası taklit edilebilir, sahte mesajlar gerçek yazışma dizisinin içine bile düşebilir. Bu yüzden karar verirken görünen ada değil, istenen şeye ve bağlantının gerçek adresine bakın.
Kimlik avı sadece e-postayla mı gelir?
Hayır; SMS, arama, sosyal medya mesajları ve QR kodlar da kullanılır. Kanal değişse de oyun aynıdır: güven kazan, aciliyet yarat, bilgi veya tıklama iste.
Gerçek uyarıyı sahtesinden nasıl ayırırım?
En güvenilir yöntem mesajı aradan çıkarmaktır: bağlantıya tıklamak yerine kurumun uygulamasını veya sitesini kendiniz açın. Gerçek bir uyarı varsa orada da görünecektir.
Bu rehber, ulusal siber güvenlik kurumlarının kimlik avı uyarıları ve bankaların kamuya açık güvenlik bilgilendirmeleri temel alınarak hazırlanmıştır.