# Siber Güvenlik Farkındalık Eğitimi Modül 1: Phishing ve E-posta Güvenliği

Phishing Saldırıları: Kuruluşunuz İçin En Büyük Tehdit

Günümüzde siber saldırıların yüzde 90'ından fazlası bir phishing e-postası ile başlamaktadır. Kurumsal siber güvenlik zincirindeki en zayıf halka olarak kabul edilen insan faktörü, saldırganların birincil hedefi haline gelmiştir. Nordis Global olarak hazırladığımız bu eğitim serisinin ilk modülünde, phishing saldırılarını tanımayı, e-posta güvenliğini sağlamayı ve kuruluşunuzu bu tehditlerden korumayı detaylı şekilde ele alacağız.

Phishing, siber suçluların kullanıcıları kandırarak hassas bilgilerini ele geçirmek amacıyla gerçekleştirdiği sosyal mühendislik saldırısıdır. Bu saldırılar, güvenilir kuruluşları veya kişileri taklit eden sahte e-postalar, mesajlar veya web siteleri aracılığıyla gerçekleştirilir. Bir çalışanın tek bir tıklaması, tüm kurumsal ağın güvenliğini tehlikeye atabilir, bu nedenle e-posta güvenliği konusunda farkındalık kritik öneme sahiptir.

Phishing Saldırılarının Türleri ve Özellikleri

1. Geleneksel Phishing (Spam Phishing)

En yaygın phishing türü olan geleneksel phishing, rastgele seçilmiş geniş kitlelere gönderilen standart sahte e-postalardan oluşur. Saldırganlar bu yöntemde bankaları, e-ticaret platformlarını veya popüler hizmet sağlayıcıları taklit ederek kullanıcıları sahte web sitelerine yönlendirir. Bu e-postalar genellikle aciliyet hissi yaratarak kullanıcıları düşünmeden hareket etmeye iter.

2. Spear Phishing (Hedefli Saldırılar)

Spear phishing, belirli kişilere veya kuruluşlara özel olarak hazırlanmış, kişiselleştirilmiş phishing saldırılarıdır. Saldırganlar, hedef hakkında sosyal medya ve diğer kaynaklardan topladıkları bilgileri kullanarak son derece ikna edici mesajlar oluştururlar. Bu saldırılar, genel phishing saldırılarına göre çok daha tehlikelidir çünkü alıcı, mesajın kendisi için özel olarak hazırlandığını düşünerek güvenini kaybeder.

3. Whaling (Üst Düzey Yönetici Hedefli Saldırılar)

Whaling, spear phishing'in üst düzey yöneticileri, CEO'ları veya finansal yetkilileri hedef alan özelleşmiş versiyonudur. Bu saldırılar genellikle yasal görünümlü iş talepleri, mahkeme celpleri veya vergi bildirimleri şeklinde gelir. Başarılı bir whaling saldırısı, kuruluş için son derece maliyetli olabilir ve genellikle büyük finansal kayıplara yol açar.

4. Clone Phishing (Klonlama Saldırıları)

Clone phishing'de saldırganlar, daha önce gönderilmiş meşru bir e-postayı kopyalar ve içindeki bağlantıları veya ekleri kötü amaçlı olanlarla değiştirir. Alıcı, daha önce benzer bir e-posta aldığı için bu mesaja güvenebilir ve tehlikeli bağlantıya tıklayabilir.

5. Vishing (Sesli Phishing) ve Smishing (SMS Phishing)

Vishing telefon aramaları üzerinden, smishing ise SMS mesajları aracılığıyla gerçekleştirilen phishing saldırılarıdır. Bu yöntemlerde saldırganlar, banka çalışanları, teknik destek personeli veya devlet görevlileri gibi davranarak kurbanlarından hassas bilgi talep ederler.

Sahte E-postaları Nasıl Tanıyabilirsiniz?

Phishing e-postalarını tespit etmek için dikkat etmeniz gereken kritik ipuçları bulunmaktadır. Bu işaretleri tanımak, siber saldırılara karşı ilk savunma hattınızı oluşturur.

Gönderen Adresi Kontrolü

E-posta adresini dikkatle inceleyin. Phishing e-postalarında gönderen adresi genellikle meşru görünse de, yakından bakıldığında küçük farklılıklar içerir. Örneğin, "[email protected]" yerine "[email protected]" veya "[email protected]" gibi benzer adresler kullanılabilir. Bazı saldırganlar, görsel olarak benzer karakterler kullanarak domain adlarını taklit ederler (örneğin, büyük "i" yerine küçük "l" kullanmak).

İçerik ve Dil Özellikleri

Phishing e-postalarında sıklıkla karşılaşılan özellikler şunlardır:

• Aciliyet ve korku yaratma: "Hesabınız 24 saat içinde kapatılacak", "Şüpheli aktivite tespit edildi" gibi ifadeler
• Yazım ve dilbilgisi hataları: Profesyonel kuruluşlar genellikle hatasız mesajlar gönderir
• Genel selamlama: "Değerli Müşterimiz" yerine adınızla hitap edilmemesi
• Şüpheli talepler: Parola, kredi kartı bilgisi veya kimlik numarası gibi hassas bilgi talepleri
• Çok iyi olmak için fazla iyi teklifler: Beklenmedik ödüller, hediyeler veya kazançlar

Bağlantı ve Ek Dosya Kontrolü

E-postadaki bağlantıların üzerine tıklamadan fare imlecini getirerek gerçek URL adresini görebilirsiniz. Bağlantı metni "www.bankam.com.tr" olsa bile, gerçek URL tamamen farklı olabilir. Ek dosyalar konusunda da son derece dikkatli olmalısınız. Özellikle .exe, .zip, .scr uzantılı dosyalar veya makro içeren Office belgeleri tehlikeli olabilir.

Gerçek Phishing Örnekleri ve Analizi

Örnek 1: Sahte Banka Bildirimi

Saldırganlar sıklıkla bankaları taklit eden e-postalar gönderirler. Tipik bir örnek: "Sayın Müşterimiz, hesabınızda şüpheli aktivite tespit edilmiştir. Güvenliğiniz için lütfen aşağıdaki bağlantıya tıklayarak bilgilerinizi doğrulayın. İşlemi 24 saat içinde tamamlamazsanız hesabınız askıya alınacaktır."

Bu örnekte birden fazla uyarı işareti bulunmaktadır: aciliyet yaratma, genel hitap, bağlantıya tıklama talebi ve hesap kapatma tehdidi. Bankalar asla e-posta yoluyla müşterilerinden hassas bilgi talep etmezler.

Örnek 2: IT Departmanı Taklidi

Kurumsal ortamlarda yaygın bir phishing türü, IT departmanını taklit eden e-postalardır: "IT Departmanı: Sistem güncellemesi nedeniyle tüm çalışanların parolalarını yenilemeleri gerekmektedir. Ekteki forma bilgilerinizi girerek güncelleme işlemini tamamlayın."

IT departmanları hiçbir zaman e-posta yoluyla parola talep etmez. Şüphelendiğiniz durumlarda, e-postayı gönderen kişiyi bilinen iletişim kanallarından arayarak doğrulama yapmalısınız.

Örnek 3: Sahte Kargo Bildirimi

E-ticaretin yaygınlaşmasıyla birlikte kargo taklit e-postaları da artmıştır: "Kargonuz dağıtım merkezinde beklemektedir. Teslimat için ekteki faturayı yazdırarak görevliye göstermeniz gerekmektedir."

Beklemediğiniz bir kargo bildirimi aldığınızda, doğrudan kargo şirketinin resmi web sitesinden veya uygulamasından takip numarasını kontrol edin.

E-posta Güvenliği: Yapmanız Gerekenler

Phishing saldırılarına karşı korunmak için uygulamanız gereken en iyi güvenlik uygulamaları şunlardır:

• Doğrulayın, sonra tıklayın: Şüpheli bir e-posta aldığınızda, göndericinin kimliğini bağımsız kanallardan doğrulayın
• Çok faktörlü kimlik doğrulama kullanın: Hesaplarınız için mümkün olduğunca çok faktörlü kimlik doğrulama aktif edin
• Yazılımları güncel tutun: İşletim sistemi, tarayıcı ve antivirüs programlarınızı düzenli olarak güncelleyin
• Güçlü ve benzersiz parolalar oluşturun: Her hesap için farklı, karmaşık parolalar kullanın ve parola yöneticisi tercih edin
• Şüpheli durumları bildirin: Phishing girişimi tespit ettiğinizde, derhal IT güvenlik ekibinize bildirin
• Kişisel bilgilerinizi koruyun: Sosyal medyada paylaştığınız bilgilerin saldırganlar tarafından kullanılabileceğini unutmayın
• E-posta filtrelerini kullanın: Kurumsal e-posta sistemlerindeki spam ve phishing filtrelerinin aktif olduğundan emin olun

E-posta Güvenliği: Yapmamanız Gerekenler

Siber güvenlik açısından kaçınmanız gereken kritik hatalar:

• Doğrulanmamış bağlantılara tıklamayın: E-postalardaki bağlantılara düşünmeden tıklamaktan kaçının
• Bilinmeyen kaynaklardan ek açmayın: Beklemediğiniz veya tanımadığınız gönderenlerden gelen ekleri açmayın
• E-posta yoluyla hassas bilgi paylaşmayın: Parola, kredi kartı bilgisi veya kimlik numarası gibi bilgileri e-posta ile göndermeyin
• Acele kararlar almayın: Aciliyet yaratmaya çalışan e-postalar karşısında panik yapmadan, sakin bir şekilde değerlendirme yapın
• Otomatik indirmelere izin vermeyin: E-posta eklerinin otomatik olarak indirilmesini engelleyin
• Genel Wi-Fi'da hassas işlem yapmayın: Kamuya açık ağlarda kurumsal e-postalarınıza erişirken ekstra dikkatli olun

Phishing Saldırısına Maruz Kaldığınızda Ne Yapmalısınız?

Bir phishing saldırısının kurbanı olduğunuzu fark ettiğinizde, hızlı aksiyon almak kritik öneme sahiptir:

İlk 5 dakika: Şüpheli bağlantıya tıkladıysanız veya bilgi girdiyseniz, derhal cihazınızın internet bağlantısını kesin. Bu, olası kötü amaçlı yazılımın yayılmasını engelleyebilir.

15 dakika içinde: IT güvenlik ekibinizi veya yöneticinizi bilgilendirin. Erken tespit, şirket genelinde oluşabilecek hasarı sınırlandırır. Eğer kişisel hesaplarınızla ilgiliyse, ilgili hizmet sağlayıcısının müşteri hizmetleriyle iletişime geçin.

1 saat içinde: Etkilenmiş olabilecek tüm hesaplarınızın parolalarını değiştirin. Aynı parolayı kullandığınız di