Siber Güvenliğin En Güçlü ve En Tehlikeli Bileşeni: İnsan
12 min read
Bilgi Güvenliği Farkındalığı
Bir şirketin güvenliğini sağlamak için milyonlarca liralık firewall sistemleri kurabilirsiniz.
Endpoint Detection & Response çözümleri kullanabilirsiniz.
E-postaları sandbox ortamlarında patlatabilir, verilerin dışarı çıkmasını DLP ile engelleyebilir, kullanıcı hesaplarını MFA ile koruyabilirsiniz.
Sunucu odasının kapısına retina tarayıcı bile koyabilirsiniz.
Sonra Ahmet Bey’e bir e-posta gelir:
“Sayın kullanıcı, maaş bordronuz güncellenmiştir. Görüntülemek için tıklayınız.”
Ahmet Bey tıklar.
Ve milyonlarca liralık güvenlik yatırımı birkaç saniyeliğine sessizliğe bürünür.
Çünkü siber güvenliğin en gelişmiş ama aynı zamanda en öngörülemez bileşeni hâlâ insandır.
Bu nedenle bilgi güvenliği farkındalığı, çalışanlara yılda bir kez “şüpheli bağlantılara tıklamayın” demekten çok daha fazlasıdır. Amaç çalışanı bir siber güvenlik uzmanına dönüştürmek değil; günlük işlerini yaparken karşılaştıkları riskleri fark edebilecek refleksleri kazandırmaktır.
1. Siber Güvenlik Sadece Bilgi Teknolojilerinin İşi Değildir
Kurumsal dünyada uzun yıllar boyunca siber güvenlik teknik ekiplerin sorumluluğu olarak görüldü.
Firewall varsa güvendeyiz.
Antivirüs varsa güvendeyiz.
E-posta güvenlik ürünü varsa güvendeyiz.
MFA da açıldıysa artık rahat uyuyabiliriz.
Ne yazık ki saldırganlar da bu teknolojilerin varlığından haberdar.
Bu nedenle modern saldırıların önemli bir kısmında saldırgan doğrudan teknolojiyi kırmak yerine teknolojiyi kullanan insanı hedef alıyor.
Çünkü bir firewall’u aşmak haftalar sürebilir.
Bir çalışana:
“Microsoft 365 oturumunuzun süresi dolmak üzere.”
Yazan bir e-posta göndermek ise birkaç dakika.
İnsan faktörünün devreye girdiği saldırılar yalnızca phishing ile sınırlı değildir:
- Sahte telefon görüşmeleri,
- SMS saldırıları,
- QR kodlar,
- Sahte teknik destek talepleri,
- Sosyal medya mesajları,
- USB bellekler,
- Fiziksel erişim girişimleri,
- Sahte iş başvuruları,
- Tedarikçi taklitleri,
- Yapay zekâ ile oluşturulan ses ve görüntüler
Artık saldırganların araç kutusunun standart parçalarıdır.
Dolayısıyla bilgi güvenliği farkındalığının temel sorusu şudur:
“Kullanıcıyı saldırının hedefi olmaktan çıkarıp güvenlik sisteminin bir parçası hâline nasıl getirebiliriz?”
2. Hacker Kapıyı Kırmak Zorunda Değil, Bazen Kapıyı Siz Açıyorsunuz
Sosyal mühendisliğin temelinde teknik bilgi değil, psikoloji vardır.
Saldırganlar insanların belirli davranış kalıplarını kullanır.
Özellikle:
Merak.
“2026 Yeni Maaş Listesi.xlsx”
Dosyayı açmamak ciddi bir irade gerektiriyor.
Korku.
“Hesabınız 30 dakika içerisinde kapatılacaktır.”
Bir anda bütün güvenlik eğitimleri unutulabilir.
Otorite.
“Genel Müdürümüzün talimatıyla acilen…”
Mesajda “Genel Müdür” geçince Ctrl+Alt+Mantık kombinasyonu bazen çalışmaz.
Ödül.
“Tebrikler! iPhone kazandınız.”
Katılmadığınız çekilişten telefon kazanmış olmanız küçük bir ayrıntıdır.
Aciliyet.
“Bu işlemin 15 dakika içerisinde tamamlanması gerekmektedir.”
Saldırganın amacı kullanıcıya düşünmek için zaman bırakmamaktır.
Bu nedenle iyi hazırlanmış phishing mesajlarında genellikle ortak bir özellik vardır:
Hızlı karar vermeniz istenir.
Farkındalık eğitimlerinin kazandırması gereken en önemli reflekslerden biri de tam burada ortaya çıkar:
Dur. Kontrol et. Sonra hareket et.
3. Gerçek Bir Hikâye: Bir Telefon Görüşmesi 243 Milyon Dolara Mal Olabilir mi?
2019 yılında İngiltere merkezli enerji şirketinin bir yöneticisi oldukça sıra dışı bir dolandırıcılığın hedefi oldu.
Saldırganların yapay zekâ destekli ses teknolojisi kullanarak şirket yöneticisinin sesini taklit ettiği bildirildi.
Telefondaki ses tanıdıktı.
Aksanı tanıdıktı.
Konuşma biçimi tanıdıktı.
Ve talimat oldukça netti:
Para transferini gerçekleştir.
Sonuç yaklaşık 220.000 avroluk kayıptı.
Bu olay, sosyal mühendisliğin geleceği açısından önemli bir işaretti.
Aradan birkaç yıl geçti.
2024 yılında Hong Kong’da çok daha çarpıcı bir olay kamuoyuna yansıdı. Bir şirket çalışanı, finans yöneticisi olduğunu düşündüğü kişiyle görüntülü toplantıya katıldı. Toplantıda başka çalışanlar da bulunuyordu.
Sorun şuydu:
Görüntülü toplantıdaki kişilerin saldırganlar tarafından deepfake teknolojileriyle taklit edildiği bildirildi.
Çalışan toplantının gerçek olduğuna ikna oldu ve toplamda yaklaşık 200 milyon Hong Kong doları — dönemin kuruyla yaklaşık 25 milyon ABD doları — transfer edildi.
Eskiden güvenlik eğitimlerinde şöyle diyorduk:
“E-postanın gerçekten yöneticinizden geldiğini doğrulayın.”
Bugün buna yeni bir cümle eklemek gerekiyor:
“Ekranda yöneticinizi görmeniz, onun gerçekten yöneticiniz olduğu anlamına gelmeyebilir.”
4. Dünyanın En Büyük Teknoloji Şirketleri Bile Kandırılabiliyor
Sosyal mühendisliğin en ilginç örneklerinden biri Google ve Facebook’un dahil olduğu dolandırıcılık vakasıdır.
Litvanyalı Evaldas Rimasauskas ve beraberindekiler, büyük teknoloji şirketlerinin çalıştığı gerçek bir donanım üreticisini taklit eden şirket yapıları ve sahte faturalar kullandı.
Sonuç?
Google ve Facebook toplamda 100 milyon doların üzerinde parayı saldırganların kontrolündeki hesaplara gönderdi.
Buradaki ders oldukça önemli.
Siber saldırı denildiğinde çoğumuzun aklına karanlık bir odada üç monitörün karşısında oturan kapüşonlu biri geliyor.
Gerçekte saldırgan bazen sadece iyi hazırlanmış bir Excel dosyasına ihtiyaç duyuyor.
Bu nedenle finans süreçleri de bilgi güvenliği farkındalığının parçasıdır.
Özellikle:
- IBAN değişiklikleri,
- Yüksek tutarlı transferler,
- Yeni tedarikçi hesapları,
- Acil ödeme talepleri
Bağımsız bir iletişim kanalı üzerinden doğrulanmalıdır.
5. “Şifrem Çok Güçlü: şirket2026!”
Parolalar bilgi güvenliği eğitimlerinin vazgeçilmez konularından biridir.
Fakat yıllarca kullanıcılara şöyle söyledik:
“Büyük harf kullan.”
“Küçük harf kullan.”
“Rakam ekle.”
“Özel karakter koy.”
“90 günde bir değiştir.”
Sonuçta kullanıcıların ürettiği yaratıcı eserlerden bazıları şöyle oldu:
Sirket2026!
Üç ay sonra:
Sirket2026!!
Sonraki üç ay:
Sirket2026!!!
Teknik olarak parola değişti.
İnsanlık olarak ne kadar ilerlediğimiz tartışılır.
Modern güvenlik yaklaşımında uzun ve benzersiz parolalar, parola yöneticileri, MFA ve mümkün olan sistemlerde passkey gibi phishing’e daha dirençli yöntemler giderek daha önemli hâle geliyor.
Ancak burada farkındalık açısından çok daha önemli bir kural var:
Aynı parolayı farklı sistemlerde kullanmayın.
Çünkü saldırganın sizin şirketinizin sistemini hacklemesine gerek olmayabilir.
Yıllar önce üye olduğunuz ve varlığını bile unuttuğunuz başka bir internet sitesi hacklenir.
E-posta adresiniz ve parolanız ele geçirilir.
Saldırgan aynı bilgileri Microsoft 365, VPN veya başka kurumsal sistemlerde dener.
Ve parola aynıysa…
Kapı açılır.
6. USB Bellek Yerde Bulunursa Ne Yapılır?
Cevap:
Bilgisayara takılmaz.
Fakat insan doğası şöyle der:
“Acaba içinde ne var?”
Bu merak o kadar güçlüdür ki USB bellekler yıllardır sosyal mühendislik senaryolarında kullanılmaktadır.
Bu konuda en bilinen araştırmalardan biri University of Illinois Urbana-Champaign araştırmacıları tarafından gerçekleştirildi.
Kampüsün farklı noktalarına yüzlerce USB bellek bırakıldı.
Araştırmada bırakılan USB belleklerin yaklaşık yarısının insanlar tarafından alınarak bir cihaza bağlandığı görüldü.
Düşünün.
Birisi şirketinizin otoparkına üzerinde:
“2026 Zam Oranları – Gizli”
Yazan birkaç USB bellek bırakıyor.
Teknik ekip:
“Kimse bunu bilgisayarına takmaz.”
İnsanlık:
“Tut bir dakika.”
Farkındalık eğitiminin görevi merakı ortadan kaldırmak değildir.
Merak insan doğasının parçasıdır.
Ama kullanıcıya şu refleksi kazandırabilir:
“Bunu yapmadan önce güvenlik açısından düşünmem gerekiyor.”
7. Kuyruğun Arkasına Takılmak Bazen Siber Saldırıdır
Bilgi güvenliği farkındalığı yalnızca dijital dünyayla ilgili değildir.
Sabah çalışan kartını okutup binaya giriyor.
Arkasından takım elbiseli, elinde kahve ve laptop çantası bulunan biri geliyor.
Kapıyı tutuyoruz.
Çünkü kibarlık bunu gerektiriyor.
Siber güvenlik ise bazen şöyle diyor:
“Kapıyı tutma.”
Bu saldırı türüne tailgating denir.
Saldırgan yetkili bir çalışanın arkasından kontrollü alana girer.
İlginç olan şudur:
Saldırgan burada kötü niyetten çok nezaketi kullanmaktadır.
Benzer şekilde bir saldırgan:
“BT ekibinden geliyorum.”
“Yazıcıyı kontrol edeceğim.”
“Network ekibi çağırdı.”
Gibi oldukça sıradan cümlelerle kontrollü alanlara ulaşmaya çalışabilir.
Farkındalık kültürünün amacı çalışanları birbirinden şüphelenen paranoyak bireylere dönüştürmek değildir.
Ama şu davranışı normalleştirmektir:
Kimlik doğrulamak kabalık değildir.
8. Sosyal Medyada Paylaştığınız Bilgiler Saldırganın Cephanesi Olabilir
LinkedIn’de yeni işimizi paylaşırız.
Instagram’da tatilimizi paylaşırız.
Şirket etkinliğinden fotoğraf paylaşırız.
Yeni aldığımız sertifikayı paylaşırız.
Bunların hiçbiri tek başına sorun değildir.
Ancak saldırgan açısından bakıldığında ortaya oldukça değerli bir veri seti çıkabilir.
Örneğin saldırgan LinkedIn üzerinden şunları öğrenebilir:
Çalıştığınız şirket.
Göreviniz.
Yöneticiniz.
Çalışma arkadaşlarınız.
Kullandığınız bazı teknolojiler.
Katıldığınız konferanslar.
Yeni başladığınız proje.
Sonra size şöyle bir e-posta gelir:
“Merhaba Ahmet, dün Mehmet Bey ile konuştuğumuz Guardium projesi kapsamında ekteki dokümanı inceleyebilir misiniz?”
Bu mesaj:
“Sayın kullanıcı, hesabınız kapanacaktır.”
Mesajından çok daha tehlikelidir.
Çünkü bağlamı vardır.
Modern spear phishing saldırılarının gücü de buradan gelir.
Saldırgan artık sadece e-posta adresinizi bilmiyor.
Hikâyenizi biliyor.
9. Yapay Zekâ Sosyal Mühendisliği Değiştiriyor
Eskiden phishing e-postalarını fark etmek nispeten kolaydı.
“Sayın değerli müşteri, hesabınız blok olmuştur.”
Türkçe kötüydü.
Logo bulanıktı.
Gönderen adresi garipti.
Saldırganın Google Translate ile kavgasını uzaktan görebiliyordunuz.
Üretken yapay zekâ bu avantajı büyük ölçüde azalttı.
Bugün saldırgan:
“Bir finans direktörünün yazacağı profesyonel Türkçe e-posta oluştur.”
Diyebilir.
Sonra aynı mesajı İngilizceye, Almancaya veya başka dillere çevirebilir.
Buna deepfake görüntüler ve yapay zekâ destekli ses klonlama teknolojileri eklendiğinde klasik farkındalık yaklaşımının yetersiz kaldığı görülüyor.
Artık:
“Yazım hatası varsa phishing olabilir.”
Demek yeterli değildir.
Asıl soru şudur:
Bu talep normal mi?
CEO gerçekten benden WhatsApp üzerinden hediye kartı almamı ister mi?
Finans direktörü neden ilk kez bugün farklı bir IBAN’a ödeme istiyor?
BT ekibi neden parolamı soruyor?
Microsoft neden bana Gmail adresinden parola sıfırlama mesajı gönderiyor?
Güvenli davranışın temelinde teknoloji değil şüphe değil, sağlıklı sorgulama vardır.
10. Kullanıcı Hata Yaptığında Ne Yapacağız?
Bir çalışan phishing bağlantısına tıkladı.
Ne yapacağız?
A) Kullanıcıyı herkesin önünde azarlayacağız.
B) “Bunu nasıl fark edemedin?” diyeceğiz.
C) Güvenlik ekibi olarak olay müdahalesini başlatıp kullanıcının hızlı şekilde bildirim yapmasını teşvik edeceğiz.
Doğru cevap elbette C.
Çünkü kullanıcı hatasını gizlemeye başlarsa çok daha büyük bir güvenlik problemi ortaya çıkar.
Bir çalışan şüpheli bağlantıya tıkladığında:
“Eyvah, kimseye söylemeyeyim.”
Dememeli.
Tam tersine:
“Tıkladım. Hemen bildirmeliyim.”
Demeli.
Çünkü saldırının ilk birkaç dakikasında yapılabilecek müdahale ile saatler sonra yapılabilecek müdahale aynı değildir.
Bu nedenle olgun güvenlik kültürünün göstergelerinden biri sadece kaç kişinin phishing’e tıkladığı değildir.
Aynı zamanda:
Kaç kişinin phishing mesajını bildirdiğidir.
11. Yılda Bir Kez Eğitim Vererek Farkındalık Oluşur mu?
Pazartesi.
09:00.
Toplantı daveti:
“Zorunlu Bilgi Güvenliği Farkındalık Eğitimi – 120 dakika.”
Kullanıcıların heyecanını tahmin edebilirsiniz.
Farkındalık eğitimlerinin en büyük problemlerinden biri, güvenliğin çalışanlara yıllık bir uyumluluk görevi olarak sunulmasıdır.
Videoyu izle.
Soruları cevapla.
%80’i geç.
Sertifikayı al.
Seneye görüşürüz.
Oysa farkındalık bir eğitim değil, davranış geliştirme sürecidir.
Bu nedenle daha etkili programlarda yıl boyunca farklı yöntemler birlikte kullanılmalıdır:
- Kısa farkındalık içerikleri,
- Phishing simülasyonları,
- Gerçek saldırı örnekleri,
- Mikro eğitimler,
- Posterler,
- Quizler,
- Rol bazlı eğitimler,
- Güvenlik bildirim mekanizmaları,
- Güncel tehdit duyuruları.
Örneğin finans çalışanıyla yazılım geliştiricinin risk profili aynı değildir.
Finans ekibine BEC ve sahte ödeme senaryoları anlatılırken geliştiricilere repository, API key ve credential güvenliği anlatmak daha anlamlıdır.
Herkese aynı eğitimi vermek kolaydır.
Ama herkese ihtiyacı olan eğitimi vermek daha etkilidir.
12. Phishing Simülasyonunda Amaç Kullanıcıyı Yakalamak Değildir
Phishing simülasyonlarında yapılan en büyük hatalardan biri:
“Bakalım kaç kişiyi kandıracağız?”
Yaklaşımıdır.
1000 kişiye phishing gönderildi.
173 kişi tıkladı.
Güvenlik ekibi:
“Yakaladık!”
Hayır.
Amaç kullanıcıyı yakalamak değildir.
Amaç gerçek saldırgan gelmeden önce kullanıcıya hata yapabileceği güvenli bir ortam sağlamaktır.
İyi tasarlanmış phishing programlarında zaman içerisinde en az üç davranış takip edilmelidir:
Tıklama oranı ↓
Kimlik bilgisi paylaşma davranışı ↓
Şüpheli mesaj bildirim oranı ↑
Özellikle üçüncü madde çok değerlidir.
Çünkü çalışanlar doğru eğitildiğinde organizasyonun tamamı devasa bir insan sensör ağına dönüşebilir.
Bir güvenlik ürününün görmediği saldırıyı çalışan fark edebilir.
Ve bazen tek bir:
“Bu e-posta bana biraz garip geldi.”
Bildirimi büyük bir olayın önüne geçebilir.
13. Güvenlik Kültürü Nasıl Oluşturulur?
Teknoloji satın alınabilir.
Firewall satın alınabilir.
DLP satın alınabilir.
EDR satın alınabilir.
SIEM satın alınabilir.
Fakat güvenlik kültürü satın alınamaz.
Oluşturulması gerekir.
Ve bu kültür yalnızca çalışanlardan beklenemez.
Yönetici de kurallara uymalıdır.
Güvenlik ekibi ulaşılabilir olmalıdır.
Şüpheli olayları bildirmek kolay olmalıdır.
Hata yapan çalışan cezalandırılma korkusu yaşamamalıdır.
Eğitimler güncel olmalıdır.
Gerçek saldırılar çalışanlarla paylaşılmalıdır.
Başarılı davranışlar görünür hâle getirilmelidir.
En önemlisi güvenlik çalışanların işini engelleyen bir departman olarak değil, işin güvenli yapılmasını sağlayan bir ortak olarak konumlandırılmalıdır.
Çünkü kullanıcı güvenlik ekibini şöyle görüyorsa:
“Bir şey sorarsam başıma iş açılır.”
Sorunuz vardır.
Ama şöyle görüyorsa:
“Şüpheli bir şey olduğunda bunlara haber verebilirim.”
Güvenlik kültürü oluşmaya başlamış demektir.
14. Sonuç: En İyi Güvenlik Ürünü İnsan Olabilir
Siber güvenlik dünyasında saldırılar değişiyor.
Phishing artık yalnızca e-posta değil.
SMS var.
QR kod var.
Telefon var.
Sosyal medya var.
Deepfake var.
Yapay zekâ var.
Yarın muhtemelen bugün konuşmadığımız başka yöntemler olacak.
Bu nedenle çalışanlara bütün saldırı yöntemlerini ezberletmek mümkün değildir.
Ama bir davranış öğretilebilir:
Beklenmeyen bir talep geldiğinde dur, düşün ve doğrula.
Bilgi güvenliği farkındalığının gerçek başarısı insanların phishing tanımını ezberlemesi değildir.
Başarı şudur:
Bir çalışan cuma günü saat 16:57’de şu mesajı aldığında:
“CEO’nun talimatıdır. Çok acil. Aşağıdaki hesaba ödeme yapın.”
Üç saniye durup:
“Bir dakika…”
Diyorsa eğitim işe yaramıştır.
Çünkü bazen şirketinizi kurtaran şey yeni nesil bir yapay zekâ destekli güvenlik ürünü olmayabilir.
Bazen sadece şüphelenen bir muhasebe çalışanıdır.
Ve bilgi güvenliği farkındalığının özü belki de tek cümleyle budur:
Siber güvenliğin son savunma hattı insan değil; doğru eğitildiğinde ilk alarm sistemi insandır.
Seyhan Tekelioğlu
