Dünden Bugüne Türkiye’de Oltalama (Phising) Saldırıları

2023–2025 Eğilimleri, Gerçek Vakalar ve Türkiye’deki Güncel Tehdit Görünümü

Yazar: Seyhan Tekelioğlu

---

---

İçindekiler

• Özet
• Temel Bulgular
• Dokümanın Amacı
• Kapsam

1. Phishing’in Tarihsel Gelişimi
   1.1 Giriş
   1.2 “Phishing” Teriminin Ortaya Çıkışı
   1.3 Phishing’in Evrimi
   1.4 Türkiye’de Phishing’in Gelişimi
2. 2023–2025 Küresel ve Türkiye Phishing İstatistikleri
   2.1 Genel Bakış
   2.2 APWG (Anti-Phishing Working Group) Verileri
   2.3 En Çok Hedef Alınan Sektörler
   2.4 QR Kod (Quishing) Saldırılarının Yükselişi
   2.5 Business Email Compromise (BEC) Eğilimleri
   2.6 Verizon DBIR Bulguları
   2.7 Türkiye Perspektifi
3. Türkiye’de Yaşanmış Gerçek Phishing Vakaları (Anonimleştirilmiş Teknik Analizler)
   3.1 Giriş
   3.2 Vaka 1 – Microsoft 365 Hesabının Ele Geçirilmesi ve Business Email Compromise (BEC)
   3.3 Vaka 2 – Kargo SMS’i ile Kart Bilgilerinin Ele Geçirilmesi (Smishing)
   3.4 Vaka 3 – QR Kod (Quishing) ile Kurumsal Hesap Ele Geçirme
   3.5 Vaka 4 – CEO Fraud ile Sahte Havale Talimatı
   3.6 Vaka 5 – OAuth İzin Oltalaması
4. Türkiye’de En Çok Taklit Edilen Markalar (2023–2025 Analizi)
   4.1 Giriş
   4.2 Kategori Bazlı Değerlendirme
   4.2.1 Bulut Servisleri ve Kurumsal Kimlik Sistemleri
   4.2.2 Bankacılık
   4.2.3 Kamu Kurumları
   4.2.4 Kargo ve Lojistik
   4.2.5 E-Ticaret ve Ödeme Sistemleri
   4.3 Türkiye’ye Özgü Değerlendirme
5. Phishing Simülasyon Platformlarının Karşılaştırılması
   5.1 Giriş
   5.2 Genel Bakış
   5.3 Teknik Yetenek Karşılaştırması
   5.4 Eğitim İçerikleri
   5.4.1 KnowBe4
   5.4.2 Proofpoint
   5.4.3 Microsoft Attack Simulation Training
   5.5 Raporlama Yetenekleri
   5.6 Yapay Zekâ Desteği
   5.7 Türkiye Açısından Değerlendirme
6. Yapay Zekâ Destekli Phishing
   6.1 Giriş
   6.2 Klasik ve AI Destekli Phishing Karşılaştırması
   6.3 AI Destekli Spear Phishing
   6.4 Deepfake Destekli Vishing
   6.5 AI ile Çok Dilli Phishing
   6.6 AI Destekli Business Email Compromise (BEC)
   6.7 AI Destekli QR Phishing
   6.8 Kurumlar Nasıl Hazırlanmalı?
   6.9 AI Savunmada da Kullanılıyor
7. MITRE ATT&CK Perspektifinden Phishing Analizi
   7.1 Giriş
   7.2 Phishing Saldırı Zinciri
   7.3 Initial Access (TA0001)
   7.4 Credential Access (TA0006)
   7.5 Valid Accounts (T1078)
   7.6 Persistence (TA0003)
   7.7 Collection (TA0009)
   7.8 Exfiltration (TA0010)
   7.9 Business Email Compromise Zinciri
   7.10 SOC Perspektifi
   7.11 Purple Team Perspektifi
8. Türkiye Phishing Olgunluk Modeli (TPMM)
   8.1 Neden Bir Olgunluk Modeline İhtiyaç Var?
   8.2 TPMM Seviye Yapısı
   8.2.1 Seviye 1 – Başlangıç
   8.2.2 Seviye 2 – Temel Koruma
   8.2.3 Seviye 3 – Ölçülebilir Farkındalık
   8.2.4 Seviye 4 – Kimlik Odaklı Savunma
   8.2.5 Seviye 5 – Uyarlanabilir Savunma
   8.3 Değerlendirme Boyutları
   8.4 Örnek Değerlendirme Matrisi
   8.5 Başarı Göstergeleri (KPI)
   8.6 Türkiye İçin Yol Haritası
9. Sonuç ve Öneriler
   9.1 Genel Değerlendirme
   9.2 Kurumlara Yönelik Öneriler

• Kaynakça

---

Özet

Dijital dönüşümün hız kazanmasıyla birlikte kimlik odaklı saldırılar, siber tehdit ekosisteminin en önemli bileşenlerinden biri hâline gelmiştir. Özellikle oltalama (phishing) saldırıları, yalnızca son kullanıcıları değil; kritik altyapıları, kamu kurumlarını ve özel sektör kuruluşlarını hedef alan en yaygın saldırı yöntemlerinden biri olarak öne çıkmaktadır.

Geçmişte daha çok sahte banka e-postaları üzerinden gerçekleştirilen phishing kampanyaları, günümüzde bulut servisleri, kurumsal kimlik sistemleri, mobil uygulamalar ve sosyal mühendislik teknikleri ile desteklenen çok katmanlı saldırılara dönüşmüştür. Yapay zekâ destekli içerik üretimi, QR kod (Quishing), SMS tabanlı oltalama (Smishing), ses tabanlı dolandırıcılık (Vishing) ve Business Email Compromise (BEC) gibi yöntemler, saldırganların başarı oranlarını artırırken, kurumların savunma stratejilerini de yeniden şekillendirmektedir.

Bu makalede, 2023–2025 döneminde Türkiye’deki phishing eğilimlerini küresel tehdit raporları ve Türkiye’de gözlemlenen saldırı örnekleri ışığında incelemektedir. Raporda, oltalama türleri, hedeflenen sektörler, en çok taklit edilen markalar, gerçek vaka analizleri, kullanıcı davranışları ve kurumların alması gereken teknik ve organizasyonel önlemler ele alınmaktadır.

Temel Bulgular

Bu makalede öne çıkan başlıca bulgular şunlardır:

• Phishing, fidye yazılımlarından bağımsız olarak tek başına en yaygın ilk erişim yöntemlerinden biri olmaya devam etmektedir.
• Microsoft 365 ve diğer bulut tabanlı kimlik servisleri, klasik internet bankacılığı hedeflerini geride bırakarak en çok hedef alınan platformlar arasına girmiştir.
• QR kod tabanlı oltalama (Quishing), 2024 ve 2025 yıllarında en hızlı büyüyen phishing tekniklerinden biri olmuştur.
• Business Email Compromise (BEC), saldırı sayısı açısından değil ancak finansal etkisi bakımından en kritik phishing türlerinden biridir.
• Türkiye’de kamu kurumları, bankalar, kargo şirketleri ve Microsoft markası en sık taklit edilen kurum ve hizmetler arasında yer almaktadır.
• Yapay zekâ destekli phishing içerikleri, yazım ve dil bilgisi hatalarını büyük ölçüde ortadan kaldırarak saldırıların inandırıcılığını artırmaktadır.
• Teknik güvenlik çözümleri tek başına yeterli değildir. Kullanıcı farkındalığı, kimlik güvenliği ve süreç kontrolleri birlikte uygulanmalıdır.

Dokümanın Amacı

Bu makaleyi hazırlarken, aşağıdaki maddelere değindim:

• Türkiye’deki phishing tehdit görünümünü analiz etmek,
• Son üç yıldaki eğilimleri değerlendirmek,
• Kurumların karşılaştığı başlıca phishing senaryolarını ortaya koymak,
• Gerçek olaylardan çıkarılan dersleri paylaşmak,
• Siber güvenlik ekipleri ve yöneticiler için uygulanabilir öneriler sunmaktır.

Kapsam

Bu makale aşağıdaki başlıkları kapsamaktadır:

• Türkiye’de phishing’in tarihsel gelişimi
• 2023–2025 küresel ve Türkiye odaklı phishing eğilimleri
• Phishing saldırı türleri ve teknikleri
• Türkiye’de en çok taklit edilen marka ve kurumlar
• Gerçek phishing vakalarının anonim analizleri
• Kullanıcı davranışları ve sosyal mühendislik yöntemleri
• Yapay zekâ destekli phishing saldırıları
• Kurumlar için teknik ve organizasyonel önlemler
• 2026 ve sonrası için öngörüler

1. Phishing’in Tarihsel Gelişimi

Basit Dolandırıcılıktan Yapay Zekâ Destekli Kimlik Saldırılarına

1.1 Giriş

Oltalama (Phishing), kullanıcıları güvenilir bir kişi, kurum veya hizmet gibi davranarak aldatmayı ve hassas bilgilerini ele geçirmeyi amaçlayan sosyal mühendislik tabanlı bir saldırı yöntemidir. Bu bilgiler kullanıcı adı, parola, kredi kartı bilgileri, tek kullanımlık doğrulama kodları (OTP), oturum belirteçleri (session token) veya finansal veriler olabilir.

Bugün phishing denildiğinde çoğunlukla e-posta yoluyla gerçekleştirilen saldırılar akla gelsede, modern phishing; e-posta, SMS (Smishing), telefon (Vishing), QR kod (Quishing), sosyal medya, bulut uygulamaları ve hatta yapay zekâ destekli ses ve görüntü teknolojilerini kapsayan çok daha geniş bir saldırı ekosistemine dönüşmüştür.

Verizon 2025 Data Breach Investigations Report (DBIR), kimlik bilgilerinin ele geçirilmesi ve sosyal mühendislik saldırılarının veri ihlallerinde hâlâ en önemli ilk erişim yöntemlerinden biri olduğunu ortaya koymaktadır. Aynı şekilde APWG (Anti-Phishing Working Group) verileri, 2025 yılında tespit edilen phishing kampanyalarının sayısının yeniden bir milyonun üzerine çıktığını göstermektedir.

1.2 “Phishing” Teriminin Ortaya Çıkışı

“Phishing” kelimesi, İngilizce “fishing” (balık tutmak) kelimesinden türetilmiştir. Buradaki benzetmede saldırgan, oltaya yem takan bir balıkçı gibi hareket eder; kullanıcı ise bu yeme kanarak bilgilerini paylaşan hedef konumundadır.

Kelimenin yazımındaki “ph” harfleri, 1990’lı yıllarda telefon sistemlerini manipüle etmeyi ifade eden “phone phreaking” kültüründen esinlenmiştir. İlk phishing örnekleri, 1995–1996 yıllarında AOL (America Online) kullanıcılarını hedef alan kampanyalarda görülmüştür. Saldırganlar, AOL yöneticisi gibi davranarak kullanıcı adı ve parolaları istemekteydi. Bu dönem, phishing’in başlangıcı olarak kabul edilir.

1.3 Phishing’in Evrimi

Phishing saldırıları yaklaşık otuz yıl içinde dört temel evreden geçmiştir.

Birinci Dönem (1995–2005): Parola Hırsızlığı

Bu dönemde saldırılar oldukça basitti.

Hedef:

• AOL hesapları
• E-posta hesapları
• IRC kullanıcıları

Yöntem:

• Düz metin e-postalar
• Sohbet odalarında kimlik taklidi
• Basit HTML sayfaları

Saldırılar teknik olarak ilkel olmasına rağmen, kullanıcı farkındalığının düşük olması nedeniyle başarılı olabiliyordu.

İkinci Dönem (2005–2015): Bankacılık Dönemi

İnternet bankacılığının yaygınlaşmasıyla birlikte saldırganların odağı finans sektörüne kaydı.

En sık taklit edilen kurumlar:

• Bankalar
• PayPal
• eBay
• Amazon

Bu dönemde ilk kez;

• SSL kullanan sahte siteler
• Alan adı taklitleri (typosquatting)
• Zararlı Office belgeleri
• Makro tabanlı saldırılar

yaygınlaşmaya başladı.

Türkiye’de de bu yıllarda Garanti BBVA, İş Bankası, Akbank ve diğer büyük bankaların kimliğine bürünen sahte internet siteleriyle çok sayıda kullanıcı hedef alındı.

Üçüncü Dönem (2015–2022): Bulut Kimlikleri

Kurumların Microsoft 365, Google Workspace ve diğer SaaS platformlarına geçişiyle birlikte saldırganların hedefi değişti.

Artık amaç:

• Banka hesabı yerine kurumsal e-posta hesabını ele geçirmek,
• Bu hesabı kullanarak şirket içi güven ilişkisini istismar etmek,
• Business Email Compromise (BEC) saldırıları gerçekleştirmekti.

Bu dönemde öne çıkan teknikler:

• Microsoft 365 giriş ekranlarının kopyalanması
• OAuth izin oltalaması (OAuth Consent Phishing)
• Tek kullanımlık parola (OTP) toplama
• Çok faktörlü kimlik doğrulama (MFA) yorgunluğu (MFA Fatigue)

Dördüncü Dönem (2023–Günümüz): Kimlik ve Yapay Zekâ Çağı

Son yıllarda phishing saldırıları yalnızca parola çalmayı değil, doğrudan dijital kimliği ele geçirmeyi hedeflemektedir.

Saldırganların kullandığı yeni yöntemler:

• QR Code Phishing (Quishing)
• Adversary-in-the-Middle (AiTM)
• Session Cookie Theft
• Deepfake destekli dolandırıcılık
• Voice Cloning
• Yapay zekâ ile kişiselleştirilmiş e-postalar

Microsoft ve Google gibi üreticilerin de vurguladığı üzere, modern saldırılar artık parola yerine oturum belirteçlerini (session token) hedef almakta ve böylece klasik MFA mekanizmalarını dahi aşabilmektedir.

Şekil 1 – Phishing’in Evrimi

1.4 Türkiye’de Phishing’in Gelişimi

Türkiye’de phishing saldırılarının evrimi küresel eğilimlerle büyük ölçüde paralellik göstermektedir. Ancak bazı dönemler ülkeye özgü dijitalleşme süreçlerinden etkilenmiştir.

2000–2010: Bankacılık Odaklı Dönem

İnternet bankacılığının yaygınlaşmasıyla birlikte saldırganlar büyük bankaların internet şubelerini taklit eden web siteleri oluşturmaya başladı. Sahte e-postalar ve SMS’ler aracılığıyla kullanıcıların internet bankacılığı bilgileri hedef alındı.

2010–2020: Kamu Hizmetlerinin Dijitalleşmesi

e-Devlet Kapısı’nın yaygın kullanımı, SGK ve Gelir İdaresi Başkanlığı gibi kamu kurumlarının çevrim içi hizmetlerinin artmasıyla birlikte bu kurumları taklit eden oltalama kampanyaları görülmeye başlandı.

2020–2022: Pandemi ve Uzaktan Çalışma

COVID-19 pandemisiyle uzaktan çalışma modelinin yaygınlaşması, Microsoft Teams, Outlook, OneDrive ve VPN giriş ekranlarını hedef alan phishing kampanyalarında belirgin artışa yol açtı.

2023–2025: Kimlik Odaklı Saldırılar

Son yıllarda Türkiye’de gözlemlenen olaylar, saldırganların odak noktasının banka hesaplarından çok kurumsal dijital kimliklere kaydığını göstermektedir. Özellikle Microsoft 365 hesapları üzerinden gerçekleştirilen saldırılar, daha sonra BEC, veri sızıntısı ve fidye yazılımı gibi ikinci aşama saldırılar için başlangıç noktası olarak kullanılmaktadır.

---

Benim Görüşüm Phishing’in son otuz yıldaki gelişimi incelendiğinde dikkat çeken en önemli değişim, saldırıların hedefindeki dönüşümdür. Geçmişte finansal bilgilerin ele geçirilmesi ön plandayken, günümüzde dijital kimlikler saldırganlar için çok daha değerli hâle gelmiştir. Çünkü tek bir kurumsal hesap, e-posta sistemlerinden bulut depolamaya, iş birliği platformlarından kritik iş uygulamalarına kadar geniş bir erişim sağlayabilmektedir.

Bu nedenle modern güvenlik stratejileri yalnızca e-posta filtrelerine değil, kimlik güvenliği (Identity Security) yaklaşımına odaklanmalıdır.

---

2. 2023–2025 Küresel ve Türkiye Phishing İstatistikleri

2.1 Genel Bakış

2023–2025 dönemi, phishing saldırılarının hem hacim hem de teknik yetkinlik açısından yeniden yükselişe geçtiği bir dönem olmuştur. Pandemi sonrasında hibrit çalışma modelinin kalıcı hâle gelmesi, bulut tabanlı kimlik servislerinin yaygınlaşması ve üretken yapay zekâ araçlarının erişilebilir olması, saldırganların daha ölçeklenebilir ve daha ikna edici kampanyalar yürütmesini sağlamıştır.

Bu dönemde phishing yalnızca kullanıcı adı ve parola ele geçirmeye yönelik klasik bir yöntem olmaktan çıkmış; kimlik (Identity), oturum belirteci (Session Token) ve iş süreçlerini manipüle etmeye odaklanan çok aşamalı saldırıların başlangıç noktası hâline gelmiştir.

2.2 APWG (Anti-Phishing Working Group) Verileri

Dünyadaki en kapsamlı phishing veri tabanlarından biri olan Anti-Phishing Working Group (APWG) tarafından yayımlanan raporlar, 2025 yılında phishing hacminde yeniden belirgin bir artış yaşandığını göstermektedir.

Tablo 2.1 – APWG Tarafından Gözlemlenen Phishing Saldırıları

Bu veriler iki önemli sonucu ortaya koymaktadır:

• 2025’in ilk çeyreğinde phishing hacmi yeniden 1 milyon eşiğini aşmıştır.
• İkinci çeyrekte ise saldırılar yaklaşık %12,6 oranında artmıştır.

Şekil 2.1 – APWG Phishing Hacmi

2.3 En Çok Hedef Alınan Sektörler

APWG verilerine göre saldırganlar artık yalnızca bankaları hedef almamaktadır.

Şekil 2.2 – En Çok Hedef Alınan Sektörler

Özellikle Microsoft 365 gibi SaaS platformlarının yaygın kullanımı nedeniyle SaaS/Webmail kategorisi son yıllarda en yoğun hedeflerden biri hâline gelmiştir.

2.4 QR Kod (Quishing) Saldırılarının Yükselişi

2024 ve özellikle 2025 yılı, QR kod tabanlı oltalama saldırılarının yaygınlaştığı dönem olmuştur.

APWG raporuna göre:

• 2025’in ikinci çeyreğinde 1.642 farklı marka, QR kod kullanılan phishing kampanyalarında taklit edilmiştir.
• En çok taklit edilen markalar arasında DHL ve Microsoft öne çıkmıştır.

Bu gelişme, klasik e-posta filtrelerinin QR kod içine gömülü bağlantıları analiz etmekte zorlanması nedeniyle savunma açısından yeni bir zorluk oluşturmaktadır.

2.5 Business Email Compromise (BEC) Eğilimleri

BEC saldırıları, sayıca en fazla görülen phishing türü olmasa da finansal etkisi bakımından en kritik tehditlerden biridir.

APWG’nin 2025 ikinci çeyrek raporuna göre:

• Havale talebi içeren BEC saldırılarının sayısı bir önceki çeyreğe göre %27 artmıştır.
• Talep edilen ortalama havale tutarı 83.099 ABD doları olarak ölçülmüştür; bu da önceki çeyreğe göre yaklaşık %97 artış anlamına gelmektedir.

Bu bulgu, BEC saldırılarının daha az sayıda fakat daha yüksek maddi kayıp hedefleyen kampanyalara dönüştüğünü göstermektedir.

2.6 Verizon DBIR Bulguları

Verizon’un 2025 Data Breach Investigations Report (DBIR) raporu, 22.000’den fazla güvenlik olayı ve 12.000’in üzerinde doğrulanmış veri ihlalini analiz etmektedir.

Raporda öne çıkan phishing ile ilişkili bulgular şunlardır:

• Kimlik bilgilerinin kötüye kullanılması (Credential Abuse), veri ihlallerinde en önemli ilk erişim yöntemlerinden biri olmaya devam etmektedir.
• İnsan faktörü; sosyal mühendislik, kimlik bilgisi kullanımı ve kullanıcı hatalarıyla birlikte ihlallerin önemli bir bölümünde rol oynamaktadır.
• Avrupa, Orta Doğu ve Afrika (EMEA) bölgesinde phishing, sosyal mühendislik kaynaklı ihlaller arasında öne çıkan yöntemlerden biridir.

2.7 Türkiye Perspektifi

Türkiye’de phishing saldırılarına ilişkin merkezi ve ayrıntılı istatistikler kamuya açık olarak düzenli biçimde yayımlanmamaktadır. Bu nedenle Türkiye değerlendirmesi yapılırken aşağıdaki kaynaklar birlikte ele alınmalıdır:

• APWG küresel eğilimleri
• Microsoft tehdit istihbaratı raporları
• Verizon DBIR
• IBM X-Force
• Türkiye’de faaliyet gösteren SOC ekiplerinin anonim gözlemleri
• BTK ve USOM tarafından yayımlanan uyarılar

Bu veriler birlikte değerlendirildiğinde Türkiye’de aşağıdaki eğilimler öne çıkmaktadır:

---

Benim Görüşüm

Türkiye’de phishing’in karakteri son beş yılda önemli ölçüde değişmiştir. Eskiden saldırılar daha çok bireysel kullanıcıların banka hesaplarını hedef alırken, günümüzde kurumsal Microsoft 365 hesapları, bulut servisleri ve iş e-postaları öncelikli hedef hâline gelmiştir. Bunun doğal sonucu olarak phishing artık yalnızca kullanıcı hesabının ele geçirilmesiyle sınırlı kalmamakta; BEC, veri sızıntısı, fidye yazılımı ve tedarik zinciri saldırılarının ilk adımı olarak kullanılmaktadır.

---

Bölüm Özeti

Bu bölümden çıkarılabilecek en önemli sonuçlar şunlardır:

• Phishing hacmi 2025 yılında yeniden 1 milyon olay/çeyrek seviyesini aşmıştır.
• Saldırganların odağı bankalardan SaaS/Webmail ve kurumsal kimlik sistemlerine kaymaktadır.
• QR tabanlı oltalama ve BEC saldırıları en hızlı büyüyen tehdit kategorileri arasındadır.
• Türkiye’de de küresel eğilimlerle uyumlu olarak Microsoft 365, bankalar, kargo şirketleri ve kamu kurumlarını taklit eden saldırılar öne çıkmaktadır.

3. Türkiye’de Yaşanmış Gerçek Phishing Vakaları (Anonimleştirilmiş Teknik Analizler)

3.1 Giriş

İstatistikler phishing’in ne kadar yaygın olduğunu gösterirken, gerçek olay analizleri saldırganların bu yöntemleri nasıl uyguladığını anlamamızı sağlar. Türkiye’de son yıllarda yaşanan olaylar incelendiğinde, saldırıların büyük bölümünün teknik bir zafiyetten değil; kimlik güvenliği eksikliği, sosyal mühendislik ve kullanıcı davranışlarından faydalandığı görülmektedir.

Bu bölümde yer alan vakalar; üretim, finans, kamu ve hizmet sektörlerinde gözlemlenen saldırı modellerinin anonimleştirilmiş teknik analizleridir.

3.2 Vaka 1 – Microsoft 365 Hesabının Ele Geçirilmesi ve Business Email Compromise (BEC)

Sektör

Üretim

Olay Özeti

Bir muhasebe çalışanına, “Yeni paylaşılmış fatura” konulu bir e-posta gönderildi. E-posta, gerçek bir Microsoft 365 paylaşım bildirimi görünümündeydi. Çalışan bağlantıya tıklayarak kurumsal kullanıcı adı ve parolasını sahte giriş sayfasına girdi.

Saldırgan, elde ettiği bilgilerle kullanıcı hesabına erişti ve e-posta kuralları oluşturarak belirli mesajları gizledi. Daha sonra tedarikçilere gönderilen ödeme talimatlarındaki IBAN bilgileri değiştirilmeye çalışıldı.

Saldırı Zinciri

MITRE ATT&CK

Tespit Edilebilecek Göstergeler (IOC)

• Kısa süre içinde farklı ülkeden oturum açılması
• Kullanıcının oluşturmadığı yeni e-posta kuralları
• Bilinmeyen IP adreslerinden başarılı girişler
• MFA kayıt bilgilerinde değişiklik

Nasıl Önlenebilirdi?

• Koşullu erişim (Conditional Access)
• Risk tabanlı oturum açma politikaları
• Mailbox Rule izleme
• FIDO2 tabanlı kimlik doğrulama
• Kullanıcı farkındalık eğitimi

Çıkarılan Ders

Kimlik bilgileri ele geçirildiğinde saldırı yalnızca e-posta hesabıyla sınırlı kalmaz. Aynı hesap, kurumsal süreçleri manipüle etmek ve finansal dolandırıcılık gerçekleştirmek için kullanılabilir.

3.3 Vaka 2 – Kargo SMS’i ile Kart Bilgilerinin Ele Geçirilmesi (Smishing)

Sektör

Bireysel Kullanıcı

Olay Özeti

Kullanıcıya “Paketiniz teslim edilemedi. Teslimat için 18,90 TL ödeme yapmanız gerekmektedir.” içerikli bir SMS gönderildi.

Bağlantıya tıklayan kullanıcı, kargo şirketine ait gibi görünen sahte bir sayfaya yönlendirildi ve kart bilgilerini girdi.

Kısa süre sonra kart üzerinden yüksek tutarlı işlemler yapılmaya çalışıldı.

Kullanılan Sosyal Mühendislik Unsurları

• Aciliyet
• Küçük tutarlı ödeme
• Beklenen kargo algısı
• Güvenilir marka kullanımı

MITRE ATT&CK

IOC Örnekleri

• Yeni kayıt edilmiş alan adı
• HTTPS sertifikalı ancak kurumsal olmayan alan adı
• Mobil cihazlardan yoğun erişim
• Aynı SMS metninin çok sayıda kullanıcıya gönderilmesi

Çıkarılan Ders

Mobil cihazlarda URL kontrolü masaüstüne göre daha zor olduğundan, Smishing kampanyaları kullanıcılar üzerinde yüksek başarı oranına ulaşabilmektedir.

3.4 Vaka 3 – QR Kod (Quishing) ile Kurumsal Hesap Ele Geçirme

Sektör

Kamu

Olay Özeti

Çalışanlara gönderilen “Yeni güvenlik politikası” başlıklı e-postada herhangi bir bağlantı bulunmamaktaydı. Bunun yerine, “Kurumsal portala erişmek için QR kodu okutunuz” ifadesi yer alıyordu.

QR kod okutulduğunda kullanıcı sahte Microsoft giriş ekranına yönlendirildi ve kimlik bilgilerini girdi.

Saldırı Zinciri

MITRE ATT&CK

Neden Başarılı Oldu?

• Kullanıcı bağlantıyı görmedi.
• QR kod güvenilir algılandı.
• İşlem mobil cihaz üzerinden gerçekleştirildi.
• E-posta güvenlik çözümleri QR içindeki URL’yi analiz edemedi.

Çıkarılan Ders

Kurumlar QR kod içeren e-postaları da phishing simülasyonlarına dâhil etmeli ve kullanıcı farkındalık eğitimlerini buna göre güncellemelidir.

3.5 Vaka 4 – CEO Fraud ile Sahte Havale Talimatı

Sektör

Hizmet

Olay Özeti

Finans müdürü, CEO’nun adına benzeyen bir alan adından gönderilmiş e-posta aldı.

Mesajda:

“Toplantıdayım. Acilen ekteki IBAN’a ödeme yapabilir misin?”

ifadesi yer alıyordu.

E-postadaki alan adı ilk bakışta doğru görünmesine rağmen, şirket alan adındaki “i” harfi yerine benzer görünümlü farklı bir Unicode karakteri kullanılmıştı (homograf saldırısı).

Kullanılan Teknikler

• Display Name Spoofing
• Homograph Domain
• Aciliyet
• Otorite

MITRE ATT&CK

Nasıl Önlenebilirdi?

• Finansal işlemlerde çift onay
• Telefonla doğrulama
• DMARC uygulaması
• Benzer alan adlarının izlenmesi

Çıkarılan Ders

BEC saldırılarında zararlı yazılım bulunmayabilir. Bu nedenle yalnızca antivirüs veya EDR çözümlerine güvenmek yeterli değildir; süreç kontrolleri de kritik öneme sahiptir.

3.6 Vaka 5 – OAuth İzin Oltalaması

Sektör

Teknoloji

Olay Özeti

Çalışana “Yeni İnsan Kaynakları uygulaması” daveti gönderildi.

Bağlantı aslında Microsoft oturum açma sayfasına yönlendiriyor ve kullanıcıdan parola istemiyordu. Bunun yerine, üçüncü taraf uygulamaya e-posta okuma ve dosyalara erişim gibi izinler verilmesi talep ediliyordu.

Kullanıcı izin verdiğinde saldırgan, hesabın parolasını bilmeden uzun süre erişim sağlayabildi.

MITRE ATT&CK

Çıkarılan Ders

Kimlik avı yalnızca parola çalmakla sınırlı değildir. OAuth izinleri de saldırganlara kalıcı erişim sağlayabilir. Bu nedenle kurumların üçüncü taraf uygulama izinlerini düzenli olarak gözden geçirmesi gerekir.

Bölüm Özeti

Bu bölümde incelenen vakalar, Türkiye’de gözlemlenen phishing saldırılarının ortak özelliklerini ortaya koymaktadır:

• İlk erişim çoğunlukla sosyal mühendislik ile sağlanmaktadır.
• Hedef yalnızca parola değil, dijital kimlik ve iş süreçleridir.
• Microsoft 365, kargo temalı SMS’ler, QR kodlar ve BEC senaryoları en sık karşılaşılan yöntemler arasındadır.
• Başarılı saldırıların büyük bölümü teknik açık yerine insan faktörünü hedef almaktadır.

---

Benim Görüşüm

Gerçek olaylardan çıkarılan en önemli ders şudur: Phishing artık tek başına bir saldırı değil, daha büyük bir saldırı zincirinin ilk halkasıdır. Bir kullanıcının hesabının ele geçirilmesi; veri sızıntısı, fidye yazılımı, BEC veya tedarik zinciri saldırıları gibi çok daha ciddi olayların başlangıcı olabilir. Bu nedenle kurumların yalnızca e-posta güvenliğine değil, kimlik güvenliği, sürekli izleme ve kullanıcı farkındalığına birlikte yatırım yapması gerekmektedir.

---

4. Türkiye’de En Çok Taklit Edilen Markalar (2023–2025 Analizi)

4.1 Giriş

Başarılı bir phishing saldırısının temel koşullarından biri, kullanıcının güven duyduğu bir marka veya kurumu taklit etmektir. Saldırganlar rastgele kurumları seçmek yerine, günlük yaşamda sık kullanılan ve kullanıcıların alışkın olduğu hizmetleri hedef alırlar.

Türkiye’de dijital bankacılık, e-Devlet hizmetleri, e-ticaret ve Microsoft 365 kullanımının yaygınlaşması, bu alanlardaki markaları phishing kampanyalarının öncelikli hedefi hâline getirmiştir.

Uluslararası raporlar, phishing kampanyalarında taklit edilen markaların yıllara göre değişiklik gösterdiğini; ancak bulut servisleri, bankalar, lojistik firmaları ve kamu hizmetlerinin sürekli olarak ilk sıralarda yer aldığını göstermektedir.

4.2 Kategori Bazlı Değerlendirme

A. Bulut Servisleri ve Kurumsal Kimlik Sistemleri

Son üç yılda en dikkat çekici değişim, Microsoft 365 ve benzeri bulut platformlarının phishing saldırılarındaki ağırlığının artmasıdır.

Başlıca Hedefler

• Microsoft 365
• Outlook
• OneDrive
• SharePoint
• Microsoft Teams
• Google Workspace

Neden Hedef Alınıyor?

• Kurumsal kullanıcı yoğunluğu
• Tek hesapla birçok sisteme erişim
• BEC saldırıları için başlangıç noktası olması
• Oturum belirteçlerinin (session token) çalınabilmesi

Microsoft, kimlik tabanlı saldırıların giderek arttığını ve saldırganların parola yerine oturum bilgilerini hedeflediğini belirtmektedir.

B. Bankacılık

Türkiye’de internet ve mobil bankacılık kullanım oranlarının yüksek olması nedeniyle bankalar hâlâ önemli hedefler arasındadır.

Sık Taklit Edilen Banka Kategorileri

• Büyük ölçekli özel bankalar
• Kamu bankaları
• Dijital bankacılık uygulamaları
• Kredi kartı hizmetleri

Yaygın Senaryolar

• Hesabınız askıya alındı
• Şüpheli işlem tespit edildi
• Kartınız bloke edildi
• Güvenlik doğrulaması gerekiyor

Amaç

• İnternet bankacılığı bilgileri
• Kart bilgileri
• SMS doğrulama kodları
• Mobil bankacılık erişimi

C. Kamu Kurumları

Son yıllarda e-Devlet hizmetlerinin yaygınlaşmasıyla birlikte kamu kurumlarını taklit eden phishing kampanyalarında artış gözlenmektedir.

Öne Çıkan Temalar

• e-Devlet
• Gelir İdaresi Başkanlığı
• SGK
• Adli bildirim
• Vergi borcu
• Destek ödemeleri
• e-Tebligat

Kullanılan Psikoloji

• Ceza korkusu
• Resmî kurum algısı
• Süre baskısı
• İşlem yapma zorunluluğu

D. Kargo ve Lojistik

Smishing (SMS tabanlı phishing) saldırılarının büyük bölümü kargo şirketlerinin adı kullanılarak gerçekleştirilmektedir.

Yaygın Temalar

• Paketiniz teslim edilemedi.
• Adres bilgilerinizi doğrulayın.
• Teslimat ücreti ödenmedi.
• Gümrük ücreti eksik.

Başarı Sebebi

Kullanıcıların önemli bir kısmı aynı anda birden fazla e-ticaret siparişi beklediği için bu mesajlar doğal görünmektedir.

E. E-Ticaret ve Ödeme Sistemleri

Saldırganlar yalnızca banka hesaplarını değil, çevrim içi alışveriş hesaplarını da hedef almaktadır.

Öne Çıkan Temalar

• Sipariş iptal edildi
• İade ödemeniz hazır
• Kampanya kazandınız
• Hesabınız doğrulanmalı

Tablo 4.1 – Türkiye’de En Sık Taklit Edilen Marka Kategorileri (2023–2025)

Tablo 4.2 – Analitik Değerlendirmeye Göre En Çok Taklit Edilen 20 Marka/Hizmet

Not: Aşağıdaki liste, kamuya açık phishing kampanyaları, uluslararası tehdit raporları ve Türkiye’deki gözlemlerin birlikte değerlendirilmesiyle hazırlanmıştır; resmi bir sıralama değildir.

Bu tablo, markaların güvenilirlik düzeyi ve phishing kampanyalarında gözlemlenme sıklığına ilişkin analitik bir değerlendirmedir. Yıllık sıralamalar kampanyalara göre değişebilir.

Şekil 4.1 – Kategori Bazlı Taklit Edilme Eğilimi

4.3 Türkiye’ye Özgü Değerlendirme

Türkiye’deki phishing kampanyaları incelendiğinde saldırganların hedef seçiminde üç temel kriter öne çıkmaktadır:

1. Yaygın kullanım: Çok sayıda kullanıcısı olan hizmetler (ör. Microsoft 365, e-Devlet).
2. Yüksek güven: Bankalar ve kamu kurumları gibi güvenilir algılanan markalar.
3. Günlük alışkanlık: Kargo bildirimleri, belge paylaşımı, toplantı davetleri ve ödeme süreçleri.

Bu yaklaşım, kullanıcıların olağan iş akışını taklit ederek şüphe duymadan işlem yapmasını sağlamayı amaçlar.

---

Benim Görüşüm

Phishing kampanyalarında başarı, çoğu zaman taklit edilen markanın popülerliği ile doğru orantılıdır. Ancak asıl belirleyici unsur markanın kendisi değil, kullanıcının o markayla günlük etkileşim sıklığıdır. Örneğin, kurumsal çalışanlar her gün Outlook, Teams ve OneDrive bildirimleri aldığı için bu içerikler olağan görünür. Aynı şekilde, e-ticaret kullanımının yüksek olduğu dönemlerde kargo temalı mesajlar daha yüksek etkileşim alabilir.

Bu nedenle kurumlar yalnızca genel phishing eğitimleri vermek yerine, çalışanlarının günlük olarak kullandığı uygulamalara özgü senaryolarla farkındalık çalışmaları yürütmelidir.

---

5. Phishing Simülasyon Platformlarının Karşılaştırılması

KnowBe4, Proofpoint ve Microsoft Attack Simulation Training

5.1 Giriş

Teknik e-posta güvenlik çözümleri (SEG, Secure Email Gateway), sandbox sistemleri ve EDR/XDR platformları phishing saldırılarının önemli bir bölümünü engellese de hiçbir çözüm %100 koruma sağlayamaz. Özellikle sosyal mühendislik temelli saldırılar, kullanıcı davranışını hedef aldığı için kurumların düzenli güvenlik farkındalığı eğitimleri ve phishing simülasyonları gerçekleştirmesi kritik önem taşımaktadır.

Son yıllarda phishing simülasyonu ve güvenlik farkındalığı alanında öne çıkan platformlar arasında KnowBe4, Proofpoint ZenGuide / PhishAlarm & PhishFlip ve Microsoft Attack Simulation Training (AST) yer almaktadır. Bu bölümde söz konusu çözümler teknik yetenekleri, eğitim içerikleri ve kurumsal kullanım senaryoları açısından karşılaştırılmaktadır.

5.2 Genel Bakış

5.3 Teknik Yetenek Karşılaştırması

5.4 Eğitim İçeriği

KnowBe4

KnowBe4, güvenlik farkındalığı alanında en geniş eğitim kütüphanelerinden birine sahiptir.

Öne çıkan özellikler:

• Binlerce eğitim içeriği
• Rol bazlı eğitim atamaları
• Mikro eğitimler
• Video, oyunlaştırma ve interaktif içerikler
• Bölüm sonu testleri
• Phish-prone kullanıcı analizi
• PhishER ile kullanıcı geri bildirimlerinin değerlendirilmesi

Türkiye açısından önemli bir avantajı ise Türkçe eğitim içeriklerinin bulunması ve yeni içeriklerin kısa sürede hazırlanabilmesidir.

Proofpoint

Proofpoint, eğitim platformunu özellikle e-posta güvenliği ekosistemi ile bütünleşik şekilde konumlandırmaktadır.

Güçlü yönleri:

• Gerçek saldırılardan türetilmiş senaryolar
• Hedef odaklı eğitim
• Kimlik risk analizi
• Kullanıcı davranış analizi
• PhishAlarm ile kullanıcı geri bildirimlerinin değerlendirilmesi
• PhishFlip özelliği ile bildirilen gerçek phishing e-postalarının eğitim senaryosuna dönüştürülebilmesi

Bu yaklaşım, teorik eğitim yerine kurumun kendi tehdit ortamına uygun farkındalık çalışmaları yapılmasını sağlar.

Microsoft Attack Simulation Training (AST)

Microsoft Defender for Office 365 içerisinde sunulan AST, özellikle Microsoft ekosistemini kullanan kurumlar için ek lisans maliyeti oluşturmadan temel phishing simülasyonları yapılmasına olanak tanır.

Desteklenen senaryolar arasında:

• Kimlik bilgisi toplama (Credential Harvest)
• Zararlı ek (Malware Attachment)
• Link tabanlı oltalama
• Drive-by URL
• OAuth izin senaryoları (sürüm ve lisansa bağlı)

bulunmaktadır.

Ayrıca sonuçlar Microsoft 365 güvenlik panelleriyle ilişkilendirilebilir.

5.5 Raporlama Yetenekleri

KnowBe4

Örnek metrikler:

• Açılma oranı
• Tıklama oranı
• Kimlik bilgisi girme oranı
• Eğitim tamamlama oranı
• Risk Score
• Phish-prone Percentage (PPP)

Proofpoint

Öne çıkan metrikler:

• VIP kullanıcı riski
• Departman bazlı analiz
• Tekrarlayan kullanıcı davranışları
• Gerçek phishing bildirim oranı
• Kullanıcı davranış trendleri

Microsoft

Microsoft’un öne çıkan avantajı, simülasyon sonuçlarını Defender ve Entra ID (eski Azure AD) sinyalleriyle ilişkilendirebilmesidir.

Örneğin;

• Riskli kullanıcılar
• Riskli oturumlar
• Güvenlik önerileri
• Secure Score

ile birlikte değerlendirme yapılabilir.

5.6 Yapay Zekâ Desteği

Son yıllarda tüm büyük üreticiler, üretken yapay zekâ teknolojilerini eğitim ve analiz süreçlerine entegre etmeye başlamıştır.

Yapay zekâ, özellikle kullanıcı davranışlarını analiz ederek daha hedefli eğitim planları oluşturulmasına katkı sağlamaktadır.

5.7 Türkiye Açısından Değerlendirme

Türkiye’deki kurumların ihtiyaçları değerlendirildiğinde aşağıdaki genel gözlemler yapılabilir:

KnowBe4

Öne çıkan yönleri:

• Geniş eğitim kütüphanesi
• Türkçe içerik desteği
• Esnek senaryo tasarımı
• Güçlü raporlama
• Olgun farkındalık programları için uygun yapı

Dikkat edilmesi gerekenler:

• Gelişmiş özelliklerin lisans seviyesine bağlı olması
• İçerik fazlalığı nedeniyle doğru planlama gerektirmesi

Proofpoint

Öne çıkan yönleri:

• E-posta güvenliği ile güçlü entegrasyon
• Gerçek saldırılardan eğitim üretme yaklaşımı
• Kimlik odaklı risk değerlendirmesi
• Kullanıcı davranış analitiği

Dikkat edilmesi gerekenler:

• Maksimum fayda için Proofpoint e-posta güvenliği ürünleriyle birlikte kullanım avantaj sağlar.

Microsoft AST

Öne çıkan yönleri:

• Microsoft 365 ortamına doğal entegrasyon
• Ek altyapı gerektirmemesi
• Hızlı kurulum
• Secure Score ile ilişkilendirilebilmesi

Dikkat edilmesi gerekenler:

• Eğitim kütüphanesi ve özelleştirme seçenekleri, farkındalık odaklı özel platformlara kıyasla daha sınırlı olabilir.
• Microsoft ekosistemi dışındaki kullanıcı ve sistemler için kapsamı sınırlıdır.

Tablo 5.1 – Kullanım Senaryolarına Göre Genel Değerlendirme

Bu tablo bir “ürün sıralaması” değildir. Kurumun mevcut altyapısı, lisans yapısı, olgunluk seviyesi ve hedefleri doğrultusunda değerlendirilmelidir.

---

Benim Görüşüm

Phishing simülasyonu bir yazılım satın alma projesi değil, kurumsal bir davranış değişikliği programıdır. Başarılı kurumlar, yılda bir kez büyük çaplı kampanyalar düzenlemek yerine, düzenli aralıklarla kısa ve gerçekçi senaryolar uygular; sonuçları departman bazında analiz eder ve eğitim içeriklerini bu analizlere göre günceller.

Özellikle Türkiye’de sık karşılaşılan kargo bildirimleri, e-Devlet duyuruları, Microsoft Teams davetleri ve kurumsal belge paylaşımı temalı senaryoların, kullanıcıların günlük iş akışına yakın olduğu için daha yüksek eğitim değeri sunduğu gözlemlenmektedir.

---

Bölüm Özeti

Bu bölümde üç önemli platform karşılaştırılmıştır. Genel olarak:

• KnowBe4, geniş eğitim kütüphanesi ve farkındalık programı olgunluğu ile öne çıkmaktadır.
• Proofpoint, e-posta güvenliği ekosistemiyle güçlü entegrasyonu ve gerçek saldırıları eğitim senaryolarına dönüştürme yaklaşımıyla dikkat çekmektedir.
• Microsoft AST, Microsoft 365 kullanan kurumlar için yerleşik ve pratik bir çözüm sunmaktadır.

Platform seçimi yapılırken tek bir özelliğe odaklanmak yerine kurumun teknik altyapısı, kullanıcı profili, eğitim hedefleri ve operasyonel süreçleri birlikte değerlendirilmelidir.

6. Yapay Zekâ Destekli Phishing

Sosyal Mühendislikte Yeni Dönem

6.1 Giriş

Phishing saldırılarının başarısı büyük ölçüde sosyal mühendisliğe dayanır. Geçmişte saldırganların en büyük zorluklarından biri, güvenilir görünen e-postalar hazırlamak ve hedef hakkında yeterli bilgi toplamaktı. Üretken yapay zekâ (Generative AI) araçlarının yaygınlaşmasıyla birlikte bu süreç büyük ölçüde otomatikleşmiştir.

Büyük Dil Modelleri (LLM), ses klonlama teknolojileri ve görüntü üretim sistemleri sayesinde saldırganlar artık kısa sürede, hedefe özel ve dil bilgisi açısından tutarlı içerikler oluşturabilmektedir. Bu durum, özellikle çok sayıda hedefe yönelik kampanyalarda (mass phishing) ve belirli kişileri hedef alan saldırılarda (spear phishing) başarı olasılığını artırmaktadır.

Uluslararası tehdit raporları, üretken yapay zekânın phishing kampanyalarının hazırlanma süresini azaltırken içerik kalitesini yükselttiğini; buna karşın başarılı saldırıların temel nedeninin hâlâ insan davranışı ve sosyal mühendislik olduğunu vurgulamaktadır.

6.2 Klasik Phishing ve AI Destekli Phishing Karşılaştırması

Yapay zekâ, saldırganların daha doğal görünen içerikler üretmesini kolaylaştırsa da, saldırının başarısı hâlâ güven duygusu oluşturma ve kullanıcıyı hızlı karar vermeye yönlendirme gibi klasik sosyal mühendislik ilkelerine dayanmaktadır.

6.3 AI Destekli Spear Phishing

Spear phishing, belirli bir kişi veya kurumu hedef alan özelleştirilmiş oltalama saldırılarıdır.

Geçmişte bu tür saldırılar için saldırganların hedef hakkında uzun süre bilgi toplaması gerekiyordu. Günümüzde ise kamuya açık kaynaklar (şirket web siteleri, sosyal medya, basın açıklamaları vb.) ve üretken yapay zekâ araçları birlikte kullanılarak daha kısa sürede hedefe özel içerikler hazırlanabilmektedir.

Örnek Senaryo

Bir şirketin üst düzey yöneticisinin yakın zamanda katıldığı bir konferans kamuya açık olarak paylaşılmıştır. Saldırgan, bu bilgiyi kullanarak:

• Konferans organizatörü adına,
• Gerçek programa benzeyen,
• İlgili kişiye hitap eden,
• Profesyonel bir e-posta hazırlayabilir.

Bu örnekte yapay zekâ saldırının kendisini gerçekleştirmez; ancak içeriğin hazırlanmasını kolaylaştırır.

6.4 Deepfake Destekli Vishing

Son yıllarda ses sentezi (voice cloning) teknolojilerindeki gelişmeler, telefon üzerinden gerçekleştirilen dolandırıcılık girişimlerini daha inandırıcı hâle getirmiştir.

Örneğin;

• Şirket yöneticisinin sesine benzeyen,
• Kısa ve acil bir ödeme talimatı içeren,
• Telefon görüşmesi veya sesli mesaj,

kurban üzerinde güçlü bir otorite etkisi oluşturabilir.

Risk Altındaki Birimler

• Finans
• Muhasebe
• Satın Alma
• İnsan Kaynakları
• Yönetici Asistanları

Bu nedenle kritik finansal işlemlerde yalnızca sesli talimatlara güvenilmemeli, ikinci bir doğrulama mekanizması uygulanmalıdır.

6.5 AI ile Çok Dilli Phishing

Üretken yapay zekâ araçları, saldırganların farklı dillerde tutarlı içerikler üretmesini kolaylaştırmaktadır.

Bu durum özellikle uluslararası faaliyet gösteren şirketler açısından önemlidir.

Örneğin;

• Türkçe
• İngilizce
• Almanca
• Fransızca

dillerinde benzer kalitede phishing içerikleri hazırlanabilmektedir.

Geçmişte yazım hataları phishing’i ayırt etmeyi kolaylaştırırken, günümüzde bu gösterge tek başına yeterli değildir.

6.6 AI Destekli Business Email Compromise (BEC)

Business Email Compromise saldırılarında amaç çoğu zaman zararlı yazılım bulaştırmak değil, kurumsal iş süreçlerini manipüle etmektir.

Yapay zekâ;

• Yazışma tonunu taklit etme,
• Şirket içi terminolojiyi kullanma,
• Önceki e-posta zincirlerine benzer içerik oluşturma,

gibi alanlarda saldırganlara avantaj sağlayabilir.

Bu nedenle BEC saldırılarında içerik kalitesi artık önemli bir ayırt edici unsur olmaktan çıkmaktadır.

6.7 AI Destekli QR Phishing

QR kod kullanan phishing kampanyalarında yapay zekâ şu amaçlarla kullanılabilir:

• Farklı senaryolar üretmek,
• İkna edici açıklama metinleri hazırlamak,
• Kullanıcı profiline uygun mesajlar oluşturmak,
• Kurumsal tasarıma benzeyen görseller üretmek.

Bu gelişmeler, QR tabanlı oltalama saldırılarının daha profesyonel görünmesine neden olmaktadır.

Şekil 6.1 – AI Destekli Phishing Yaşam Döngüsü

6.8 Kurumlar Nasıl Hazırlanmalı?

Yapay zekâ destekli phishing’e karşı savunma yalnızca teknik çözümlerle sınırlı değildir.

Kimlik Güvenliği

• MFA kullanımını yaygınlaştırın.
• FIDO2 veya passkey gibi phishing’e dayanıklı yöntemleri değerlendirin.
• Risk tabanlı erişim politikaları uygulayın.

Kullanıcı Farkındalığı

Eğitimlerde artık sadece klasik e-posta örnekleri değil;

• QR phishing,
• Deepfake,
• Voice phishing,
• OAuth izin saldırıları,

gibi yeni senaryolara da yer verilmelidir.

Süreç Kontrolleri

Özellikle finansal işlemlerde:

• Telefonla geri doğrulama,
• İki kişili onay mekanizması,
• IBAN değişikliklerinin bağımsız doğrulanması,

gibi kontroller uygulanmalıdır.

6.9 AI Savunmada da Kullanılıyor

Yapay zekâ yalnızca saldırganlar tarafından kullanılmamaktadır.

Modern güvenlik çözümleri de AI destekli analizlerden yararlanmaktadır.

Örneğin:

• Anormal oturum açma davranışlarının tespiti,
• Olağan dışı e-posta kalıplarının belirlenmesi,
• Kullanıcı risk puanlaması,
• Otomatik olay önceliklendirme,

gibi alanlarda yapay zekâ önemli katkılar sağlamaktadır.

Bu nedenle gelecekteki mücadele, “AI kullanan saldırganlar” ile “AI destekli savunma sistemleri” arasında değil; bu teknolojileri etkin kullanan kurumlarla kullanmayan kurumlar arasında olacaktır.

---

Benim Görüşüm

Yapay zekâ, phishing’i tamamen yeni bir saldırı türüne dönüştürmemiştir; ancak saldırganların içerik üretme hızını, kişiselleştirme kapasitesini ve çok dilli kampanya hazırlama yeteneğini önemli ölçüde artırmıştır. Kurumlar, çalışanlarına artık yalnızca “yazım hatalarına dikkat edin” mesajını vermek yerine, içerik ne kadar profesyonel görünürse görünsün bağlantıları, QR kodları, uygulama izinlerini ve ödeme taleplerini doğrulama alışkanlığı kazandırmalıdır.

---

Bölüm Özeti

Bu bölümden çıkarılabilecek temel sonuçlar:

• Üretken yapay zekâ, phishing içeriklerinin hazırlanmasını kolaylaştırmaktadır.
• Deepfake ve ses klonlama teknolojileri, özellikle BEC ve vishing senaryolarında yeni riskler oluşturmaktadır.
• Yazım ve dil bilgisi hataları artık güvenilir bir phishing göstergesi değildir.
• Kimlik güvenliği, süreç kontrolleri ve düzenli farkındalık eğitimleri birlikte uygulanmalıdır.
• Yapay zekâ hem saldırganlar hem de savunma ekipleri tarafından kullanılmaktadır; belirleyici olan, kurumların bu dönüşüme ne kadar hızlı uyum sağladığıdır.

7. MITRE ATT&CK Perspektifinden Phishing Analizi

7.1 Giriş

Phishing, tek başına bir saldırı değil, çoğu zaman daha büyük bir saldırı zincirinin başlangıç aşamasıdır. Saldırganların amacı yalnızca kullanıcı adı ve parola elde etmek değil; kurumsal ağlara ilk erişimi sağlamak, ayrıcalık yükseltmek (Privilege Escalation), kalıcılık (Persistence) oluşturmak ve nihayetinde veri sızıntısı veya fidye yazılımı gibi ikinci aşama saldırıları gerçekleştirmektir.

MITRE ATT&CK Framework, saldırgan davranışlarını Tactics, Techniques ve Procedures (TTPs) temelinde sınıflandıran, dünya genelinde yaygın olarak kabul gören bir bilgi tabanıdır. Phishing saldırıları bu çerçevede yalnızca Initial Access (TA0001) taktiği altında değil, saldırının devamında kullanılan birçok tekniği de kapsar.

7.2 Phishing Saldırı Zinciri

Bir phishing saldırısı genellikle aşağıdaki aşamalardan oluşur:

Bu zincir, phishing’in yalnızca ilk adım olduğunu; asıl etkinin sonraki aşamalarda ortaya çıktığını göstermektedir.

7.3 Initial Access (TA0001)

Phishing’in temel amacı ilk erişimi sağlamaktır.

En Yaygın Teknikler

Türkiye’de En Sık Gözlenenler

• Microsoft 365 giriş ekranı
• Teams daveti
• SharePoint belge paylaşımı
• Kargo bildirimi
• E-Devlet bildirimi
• CEO e-postası

7.4 Credential Access (TA0006)

Başarılı phishing saldırılarının büyük bölümü kimlik bilgilerinin ele geçirilmesini hedefler.

Kullanılan Teknikler

Özellikle Session Cookie Theft son yıllarda önem kazanmıştır.

Bunun nedeni;

MFA kullanan bir kullanıcının oturum belirtecinin ele geçirilmesi durumunda saldırganın parolaya ihtiyaç duymadan sisteme erişebilmesidir.

7.5 Valid Accounts (T1078)

Phishing saldırılarının ardından en sık kullanılan tekniklerden biri:

T1078 – Valid Accounts

Saldırgan artık;

• gerçek kullanıcı hesabını,
• gerçek MFA’yı,
• gerçek VPN erişimini,

kullanarak sistemde hareket eder.

Bu nedenle;

• davranış analizi,
• anormal oturum açma tespiti,
• UEBA çözümleri

kritik önem taşır.

7.6 Persistence (TA0003)

Kurumsal hesaba erişim sağlandıktan sonra saldırganlar erişimlerini kaybetmemek için çeşitli yöntemler kullanır.

Örneğin:

• Mail Rule oluşturma
• OAuth uygulaması ekleme
• Yeni MFA yöntemi tanımlama
• Alternatif e-posta ekleme
• Forwarding Rule oluşturma

MITRE

7.7 Collection (TA0009)

Kurumsal e-posta hesaplarının ele geçirilmesinden sonra ilk hedeflerden biri veri toplamaktır.

MITRE

Saldırganlar genellikle;

• Sözleşmeler
• Faturalar
• Satın alma süreçleri
• Müşteri bilgileri

gibi belgeleri inceler.

Bu bilgiler daha sonra BEC saldırılarında kullanılabilir.

7.8 Exfiltration (TA0010)

Veriler toplandıktan sonra dışarı aktarılır.

Örneğin;

• OneDrive
• Dropbox
• Mega
• Google Drive

üzerine yüklenebilir.

MITRE

7.9 Business Email Compromise Zinciri

BEC saldırıları aşağıdaki ATT&CK tekniklerini içerebilir.

Şekil 7.1 – MITRE ATT&CK Phishing Haritası

7.10 SOC Perspektifi

Bir SOC ekibi phishing’i yalnızca “zararlı e-posta” olarak görmemelidir.

İzlenmesi gereken önemli göstergeler şunlardır:

Kimlik

• Impossible Travel
• MFA Reset
• Yeni cihaz
• Riskli oturum

E-posta

• Yeni Mail Rule
• Forward Rule
• Auto Delete Rule

Bulut

• OAuth uygulamaları
• Consent Grant
• Yeni Enterprise Application

Ağ

• Olağan dışı IP adresleri
• TOR çıkış noktaları
• VPN anomalileri

7.11 Purple Team Perspektifi

Kurumlar yılda en az bir kez aşağıdaki phishing senaryolarını test etmelidir.

Bu testler yalnızca kullanıcı farkındalığını değil, aynı zamanda SIEM, SOAR ve SOC süreçlerinin etkinliğini de değerlendirmek için kullanılabilir.

---

Benim Görüşüm

MITRE ATT&CK perspektifi, phishing’i tek başına değerlendirmek yerine daha geniş bir saldırı zincirinin parçası olarak ele almayı sağlar. Bu yaklaşım sayesinde kurumlar yalnızca phishing e-postalarını engellemeye değil; kimlik bilgilerinin kötüye kullanılması, hesap manipülasyonu, veri toplama ve veri sızdırma gibi sonraki aşamalara karşı da görünürlük kazanabilir.

Özellikle Microsoft 365 ve diğer bulut platformlarının yoğun kullanıldığı kurumlarda, phishing sonrası aktivitelerin izlenmesi en az phishing e-postalarının tespit edilmesi kadar önemlidir.

---

Bölüm Özeti

Bu bölümde phishing saldırıları MITRE ATT&CK Framework kapsamında incelenmiştir. Öne çıkan bulgular şunlardır:

• Phishing, Initial Access (TA0001) taktiğinin en yaygın uygulamalarından biridir.
• Başarılı saldırılar, çoğu zaman Valid Accounts (T1078) ve Account Manipulation (T1098) teknikleriyle devam eder.
• OAuth izinleri, oturum belirteçleri ve e-posta kuralları modern phishing saldırılarında kritik rol oynamaktadır.
• Kurumlar, phishing’i yalnızca e-posta güvenliği problemi olarak değil, kimlik güvenliği ve saldırı yaşam döngüsünün ilk aşaması olarak ele almalıdır.

8. Türkiye Phishing Olgunluk Modeli (TPMM)

Kurumlar İçin Phishing Dayanıklılık Çerçevesi

Not: TPMM (Türkiye Phishing Maturity Model), bu makale kapsamında geliştirilen öneri niteliğinde bir olgunluk modelidir. Amacı, kurumların phishing’e karşı teknik kontrollerini, kullanıcı farkındalığını ve süreç olgunluğunu birlikte değerlendirebilecekleri pratik bir çerçeve sunmaktır. ISO/IEC 27001, NIST Cybersecurity Framework (CSF) 2.0, MITRE ATT&CK ve Zero Trust prensiplerinden esinlenilerek hazırlanmıştır.

8.1 Neden Bir Olgunluk Modeline İhtiyaç Var?

Birçok kurum phishing’e karşı aşağıdaki soruları sormaktadır:

• Kullanıcılarımız yeterince bilinçli mi?
• Yaptığımız phishing simülasyonları gerçekten işe yarıyor mu?
• MFA kullanıyoruz ama yeterli mi?
• Üst yönetim ne kadar risk altında?
• Güvenlik yatırımlarımız doğru noktaya mı odaklanıyor?

Bu soruların tek bir teknik ürünle cevaplanması mümkün değildir. Çünkü phishing’e karşı dayanıklılık; teknoloji, süreç ve insan faktörünün birlikte değerlendirilmesini gerektirir.

TPMM, kurumların mevcut durumunu belirlemelerine ve gelişim yol haritalarını oluşturmalarına yardımcı olmayı amaçlamaktadır.

8.2 TPMM Seviye Yapısı

Seviye 1 – Başlangıç (Initial)

Karakteristik Özellikler

• Temel e-posta güvenliği
• Antivirüs kullanımı
• Düzensiz kullanıcı eğitimleri
• Phishing simülasyonu yapılmıyor
• MFA tüm kullanıcılarda aktif değil
• Olaylar reaktif şekilde yönetiliyor

Risk Seviyesi à Çok Yüksek

Tipik Bulgular

• Kullanıcılar bağlantılara kolayca tıklıyor.
• Aynı parola birden fazla sistemde kullanılıyor.
• Yönetici hesapları yeterince korunmuyor.

Seviye 2 – Temel Koruma (Managed)

Özellikler

• MFA kritik hesaplarda uygulanıyor.
• Yıllık farkındalık eğitimi veriliyor.
• SPF, DKIM ve DMARC yapılandırılmış.
• Temel phishing simülasyonları yapılıyor.
• E-posta güvenlik geçidi (SEG) kullanılıyor.

Risk Seviyesi à Yüksek

Seviye 3 – Ölçülebilir Farkındalık (Defined)

Özellikler

• Düzenli phishing simülasyonları
• Departman bazlı raporlama
• Risk puanlaması
• VIP kullanıcıların ayrı takibi
• Kullanıcı davranış analizleri
• SOC ile entegrasyon

Risk Seviyesi à Orta

Seviye 4 – Kimlik Odaklı Savunma (Identity-Centric)

Özellikler

• Zero Trust yaklaşımı
• Koşullu erişim (Conditional Access)
• FIDO2 / Passkey kullanımı
• Risk tabanlı kimlik doğrulama
• UEBA çözümleri
• OAuth izinlerinin yönetimi
• Sürekli kimlik izleme

Risk Seviyesi à Düşük

Seviye 5 – Uyarlanabilir Savunma (Adaptive)

Özellikler

• Yapay zekâ destekli tehdit analizi
• Purple Team çalışmaları
• Sürekli phishing simülasyonları
• Smishing, Quishing ve Vishing senaryoları
• Tehdit istihbaratı entegrasyonu
• SOAR otomasyonu
• Sürekli iyileştirme döngüsü

Risk Seviyesi à Çok Düşük

Şekil 8.1 – TPMM Olgunluk Piramidi

8.3 Değerlendirme Boyutları

TPMM, kurumları yalnızca teknik önlemler açısından değil, altı temel boyutta değerlendirir.

8.4 Örnek Değerlendirme Matrisi

8.5 Başarı Göstergeleri (KPI)

TPMM kapsamında takip edilmesi önerilen temel performans göstergeleri:

Bu göstergeler kurumun zaman içindeki gelişimini ölçmek için düzenli olarak izlenmelidir.

8.6 Türkiye İçin Yol Haritası

Türkiye’deki birçok orta ve büyük ölçekli kurumun mevcut durumunun Seviye 2 ile Seviye 3 arasında olduğu değerlendirilmektedir. Bunun temel nedenleri şunlardır:

• MFA’nın yaygınlaşmış olması,
• E-posta güvenlik çözümlerinin büyük ölçüde kullanılması,
• Ancak düzenli phishing simülasyonlarının ve davranış odaklı ölçümlerin her kurumda olgunlaşmamış olması.

Önümüzdeki dönemde kurumların aşağıdaki alanlara yatırım yapması beklenmektedir:

• Phishing’e dayanıklı kimlik doğrulama yöntemleri (Passkey/FIDO2),
• Yapay zekâ destekli tehdit analizi,
• Kimlik odaklı güvenlik mimarileri,
• QR phishing, Smishing ve Vishing senaryolarını kapsayan eğitim programları.

---

Benim Görüşüm

Phishing’e karşı dayanıklılık, yalnızca daha fazla güvenlik ürünü satın almakla sağlanmaz. Asıl farkı yaratan; teknik kontroller, kullanıcı davranışı ve kurumsal süreçlerin birlikte yönetilmesidir. TPMM, kurumların “hangi ürünü kullanıyoruz?” sorusundan çok, “hangi seviyedeyiz ve bir üst seviyeye nasıl çıkarız?” sorusuna odaklanmasını sağlar.

---

9. Sonuç ve Öneriler

9.1 Genel Değerlendirme

2023–2025 dönemi, phishing saldırılarının hem hacim hem de yöntem açısından önemli ölçüde evrildiği bir dönem olmuştur. Saldırganlar artık yalnızca kullanıcı adı ve parola elde etmeyi değil; dijital kimlikleri, iş süreçlerini ve güven ilişkilerini hedef almaktadır.

Türkiye’de Microsoft 365 hesapları, bankalar, kamu kurumları ve kargo şirketlerini taklit eden kampanyalar öne çıkarken; QR kod tabanlı oltalama, OAuth izin saldırıları ve Business Email Compromise gibi yöntemler giderek yaygınlaşmaktadır.

Yapay zekâ teknolojilerinin gelişmesiyle birlikte saldırı içeriklerinin daha ikna edici hâle gelmesi, kullanıcı farkındalığını her zamankinden daha kritik bir unsur hâline getirmiştir.

9.2 Kurumlara Yönelik Temel Öneriler

1. Kimlik güvenliğini önceliklendirin. MFA’nın ötesine geçerek phishing’e dayanıklı yöntemler (FIDO2, Passkey) değerlendirilmelidir.
2. Farkındalık programlarını sürekli hâle getirin. Yılda bir kez yapılan eğitimler yerine düzenli ve senaryo bazlı simülasyonlar uygulanmalıdır.
3. Yeni saldırı türlerini kapsayın. Smishing, Quishing, Vishing ve OAuth izin saldırıları eğitim içeriklerine dâhil edilmelidir.
4. Davranış odaklı ölçüm yapın. Tıklama oranı tek başına yeterli değildir; bildirim oranı, kimlik bilgisi girme oranı ve departman bazlı eğilimler de izlenmelidir.
5. Kimlik olaylarını SOC süreçlerine entegre edin. Yeni MFA kayıtları, OAuth izinleri, e-posta yönlendirme kuralları ve anormal oturum açma davranışları sürekli izlenmelidir.
6. Üst yönetimi sürece dâhil edin. Phishing farkındalığı yalnızca BT ekiplerinin sorumluluğu değil, kurumsal risk yönetiminin bir parçasıdır.

Kaynakça (Önerilen)

Raporun sonunda aşağıdaki temel kaynaklar yer almalıdır:

• Anti-Phishing Working Group (APWG) – Phishing Activity Trends Reports (2023–2025)
• Verizon – 2025 Data Breach Investigations Report (DBIR)
• Microsoft – Digital Defense Report 2024
• Microsoft – Cyber Signals serisi
• Check Point Research – Brand Phishing Report (2023–2025)
• Proofpoint – State of the Phish (2024–2025)
• KnowBe4 – Phishing by Industry Benchmarking Report
• Google Threat Intelligence Group – Annual Threat Reports
• ENISA – Threat Landscape Reports
• CISA – Phishing Guidance
• NIST SP 800-61 Rev.2 – Computer Security Incident Handling Guide
• MITRE ATT&CK Framework
• BTK USOM – Güncel siber güvenlik duyuruları ve oltalama uyarıları