Oltaya Gelmek: Balıkların mı, İnsanların mı Uzmanlık Alanı?
4 min read
“Phishing” kelimesinin neden “fishing” yani balık tutmak kelimesine bu kadar benzediğini hiç düşündünüz mü?
Tesadüf değil.
Aslında geleneksel balıkçılıkla siber dünyadaki kimlik avı arasında rahatsız edici derecede fazla benzerlik var.
Bir tarafta elinde olta, gözü şamandırada bir balıkçı…
Diğer tarafta elinde klavye, gözü gelen kutunuzda bir saldırgan.
İkisinin de temel sorusu aynı:
“Acaba bugün biri yemi yutacak mı?”
1. Her şey doğru yemle başlar
Balığa boş iğne atarsanız büyük ihtimalle akşam eve aç dönersiniz.
Siber saldırgan da size şöyle bir e-posta göndermez:
“Merhaba, ben siber saldırganım. Şifrenizi çalmak istiyorum. Aşağıdaki bağlantıya tıklar mısınız?”
En azından işini biraz bilen biri göndermez. 😄
Onun yerine ne gelir?
🎁 “Tebrikler, hediye kazandınız!”
💳 “Kredi kartınıza 5.000 TL iade!”
📦 “Kargonuz teslim edilemedi.”
🔐 “Hesabınız 24 saat içinde kapatılacaktır.”
👔 “İnsan Kaynakları: Maaş Güncellemesi”
Balık için solucan neyse, bizim için merak, korku, fırsat ve acele duygusu odur.
2. Her balığa aynı yem atılmaz
Tecrübeli balıkçı hangi balığın neyi sevdiğini bilir.
Phishing saldırganları da bilir.
Muhasebeye sahte fatura…
İK’ya sahte CV…
Yöneticiye sahte Microsoft 365 bildirimi…
Çalışana sahte yemek kartı kampanyası…
Yani saldırgan bazen oltayı denize rastgele atmaz.
Önce hangi balığı tutmak istediğine karar verir.
Siber güvenlikte buna spear phishing, yani hedefli kimlik avı diyoruz.
Kısacası oltanın üzerinde adınız yazıyorsa biraz şüphelenmekte fayda var.
3. Balıkçı sabırlıdır. Saldırgan da…
Balıkçı oltayı atıp bekler.
5 dakika…
20 dakika…
Bir saat…
Saldırgan da binlerce e-posta gönderip bekleyebilir.
Çünkü herkesin kandırılması gerekmez.
1.000 kişiden yalnızca birkaç kişinin tıklaması bile saldırgan için yeterli olabilir.
Bu yüzden:
“Kim böyle bir e-postaya inanır ki?”
Demek tehlikelidir.
Doğru soru şudur:
“Yoğun bir pazartesi sabahı ben bunu fark eder miydim?”
4. Yemi yemek henüz yakalanmak değildir
Balık yeme yaklaşabilir.
Koklayabilir.
Hatta biraz ısırabilir.
Ama iğneye takılmadığı sürece hâlâ kaçabilir.
Phishing’de de benzer aşamalar vardır:
E-postayı almak → sorun değil.
E-postayı açmak → hâlâ sakin.
Linke tıklamak → işler biraz karıştı.
Kullanıcı adı ve şifreyi girmek → olta gerilmeye başladı.
Ama burada balıklardan önemli bir avantajımız var:
Biz oltayı fark edip geri dönebiliriz.
Şüpheli bir işlem yaptıysanız hızlıca bildirmek, parolayı değiştirmek ve güvenlik ekibine haber vermek olayın etkisini ciddi biçimde azaltabilir.
Balığın SOC ekibi yok. Bizim var. 😄
5. Balık tutamayan balıkçı eve gitmez
Bugün kargo mesajına kanmadınız.
Harika.
Yarın bankadan gelmiş gibi görünen bir SMS gelebilir.
Onu da geçtiniz.
Öbür gün yöneticinizden geliyormuş gibi görünen bir e-posta…
Sonra QR kod…
Sonra Teams mesajı…
Saldırganların önemli özelliklerinden biri ısrarcı olmalarıdır.
Bu nedenle farkındalık eğitimi de yılda bir kez izlenen 45 dakikalık videodan ibaret olmamalıdır.
Çünkü saldırgan:
“Seyhan Bey geçen yıl farkındalık eğitimini tamamlamış. Kendisine saldırmayalım.”
Demiyor. 🙂
6. Tecrübeli balık, oltayı tanır
Bir süre sonra insan bazı şeyleri görmeye başlıyor:
Garip gönderen adresi…
Aciliyet baskısı…
Beklenmedik ek dosya…
Tuhaf URL…
Normalde hiç konuşmadığınız yöneticinin aniden hediye kartı istemesi…
“Şifrenizin süresi 17 dakika 43 saniye sonra dolacaktır!” gibi kıyamet senaryoları…
İşte güvenlik farkındalığının amacı insanlara bütün saldırıları ezberletmek değildir.
Amaç şu refleksi oluşturmaktır:
“Bir dakika… Burada bir gariplik var.”
Bence başarılı bir farkındalık programının en önemli çıktısı budur.
7. En büyük hata: “Ben oltaya gelmem.”
Balıkların böyle düşünüp düşünmediğini bilmiyoruz.
Ama insanlar düşünüyor. 🙂
“Ben bilişimciyim.”
“Ben linklere tıklamam.”
“Beni kandıramazlar.”
Sorun şu ki phishing saldırıları çoğu zaman teknik bilgimizi değil;
Dikkatimizi, merakımızı, korkumuzu, otoriteye güvenimizi ve aceleciliğimizi hedefler.
En tecrübeli kullanıcı bile yoğun bir gününde yanlış bağlantıya tıklayabilir.
Bu nedenle siber güvenlik farkındalığının amacı:
“Kimse hata yapmasın.”
Demek değil;
“Hata yapmadan önce mümkün olduğunca fazla insan şüphelensin, hata olduğunda da mümkün olduğunca hızlı bildirsin.”
Kültürünü oluşturmaktır.
Peki oltaya gelmemek için ne yapacağız?
Göndereni kontrol edin.
Bağlantıya tıklamadan önce adresi inceleyin.
“Acil!”, “Hemen!”, “Son şans!” ifadelerinde bir saniye daha düşünün.
Beklenmedik parola/MFA taleplerini sorgulayın.
Şüpheli mesajları güvenlik ekibine bildirin.
Ve en önemlisi:
Merakınızı kaybetmeyin ama refleksinizi değiştirin.
“Bu neymiş?” deyip tıklamak yerine:
“Bu neden bana geldi?” diye sorun.
Çünkü denizde balık çok olabilir…
Ama dijital dünyada oltaya gelmeyen kullanıcı, saldırganın bütün planını bozabilir.
Farkındalık, en güçlü oltadan bile daha güçlüdür.
Seyhan Tekelioğlu
#SiberGüvenlik #BilgiGüvenliği #Phishing #KimlikAvı #SecurityAwareness #CyberSecurity #SosyalMühendislik #Farkındalık #CyberAwareness
