Sosyal Mühendislik ve Phishing Nasıl Tanınır? Farkındalık ve Savunma Rehberi

[center][/center]

Selam TurkTeam, BlueTornado ile.

Teknik kontroller ne kadar iyi olursa olsun, insan faktörü hâlâ en geniş saldırı yüzeylerinden biridir. Bu konu saldırı "nasıl yapılır" diye değil; nasıl tanınır ve nasıl savunulur diye yazıldı. Phishing, vishing, smishing ve iş e-postası dolandırıcılığı (BEC) belirtilerini, güvenli doğrulama alışkanlıklarını ve kurumsal kontrolleri ele alıyoruz.

Konuda Anlatılacaklar

1. Sosyal mühendislik nedir?
   
2. Phishing türleri (e-posta, SMS, ses, QR, BEC)
   
3. Tanıma ipuçları ve güvenli kontrol listesi
   
4. Lab: kendi test e-postanızı analiz etme
   
5. Kurumsal ve bireysel savunma
   
6. İleri seviye: MFA yorgunluğu, evilginx tarzı reverse proxy farkındalığı (savunma)
   
7. Kaynakça ve yasal uyarı
   

1) Sosyal Mühendislik Nedir?
Sosyal mühendislik, insanları manipüle ederek gizli bilgiyi ifşa ettirme, zararlı eylem yaptırma veya güvenlik kontrollerini atlatma sanatıdır. Teknik zafiyet yerine güven, acele, korku, hiyerarşi ve yardımseverlik kullanılır.

• Phishing: Sahte iletişimle kimlik bilgisi veya zararlı dosya/link
  
• Spear phishing: Belirli kişi/kuruma özel hazırlanmış
  
• Whaling: Üst düzey yönetici hedefi
  
• Vishing: Telefon
  
• Smishing: SMS
  
• Pretexting: Sahte senaryo (IT destek, kargo, banka)
  
• BEC: Sahte CEO/tedarikçi ile havale talimatı
  

Alıntı:İyi bir oltalama maili "kötü Türkçe ve kırmızı bayraklarla dolu" olmak zorunda değildir. Kurumsal dile benzeyen, kişiselleştirilmiş ve acil görünen içerikler daha tehlikelidir.

2) Phishing Nasıl Tanınır?

Gönderen ve domain:

Linkler:

• Üzerine gelince (hover) görünen URL ile metin farklı mı?
  
• Kısaltılmış linkler (bit.ly vb.) bilinmeyen gönderende riskli
  
• Kod:

  https://turkteam.org.güvenlik-kontrolü.evil.example
  gibi alt alan adı oyunları
  

İçerik psikolojisi:

• Aşırı aciliyet: "Hesabınız 1 saat içinde kapanacak"
  
• Korku: "Yasal işlem başlatılacak"
  
• Ödül: "Kargo sizden ücret bekliyor / ikramiye"
  
• Otorite: "Yönetim Kurulu gereği hemen onay"
  

Ekler:, çift uzantı , makro'lu Office, ISO/IMG. Beklemediğiniz bir fatura eki klasik vektördür.

[center][/center]

3) Güvenli Doğrulama Alışkanlıkları

• Maildeki linke tıklamak yerine tarayıcıya kurumu sizin bildiğiniz adresten yazın
  
• Para/havale taleplerini ikinci bir kanaldan (bilinen telefon) doğrulayın
  
• IT'nin parolanızı mail ile istemeyeceğini bilin; SSO sayfasına mail içinden gitmeyin
  
• Şüpheli maili "bildir" ile SOC/IT'ye iletin; silmeden önce kurum prosedürünü izleyin
  
• Kişisel hesaplarda da aynı şüphecilik
  

4) Uygulamalı: Zararsız Analiz Labı
Kendi kendinize gönderdiğiniz veya kurumsal phishing simülasyonundan gelen bir örneği (güvenli ortamda) inceleyin. Üretimde şüpheli ekleri açmayın.



[center][/center]

URL'yi açmadan önce:

5) Kurumsal Savunma Kontrolleri

• SPF, DKIM, DMARC yayınlayın; DMARC politikasını kademeli sıkılaştırın
  
• Gelen kutusu güvenliği: link rewriting, ek sandbox (imkân varsa)
  
• MFA zorunlu; mümkünse phishing-resistant (FIDO2 / passkey)
  
• BEC için mali süreç: çift onay, bilinen tedarikçi hesap listesi
  
• Düzenli farkındalık eğitimi + ölçülebilir simülasyon (cezalandırıcı değil öğretici)
  
• SOC playbook: phishing bildirimi -> URL/hash -> IOC -> kullanıcı etkisi
  

6) İleri Seviye Farkındalık (Savunma)
MFA yorgunluğu (fatigue): Saldırgan parolayı bir şekilde elde edip telefonunuza peş peşe MFA bildirimi yağdırabilir. Alışkanlık: beklemediğiniz onayları reddedin; parolayı değiştirin; IT'ye bildirin.

Proxy / Adversary-in-the-middle phishing: Sahte sayfa, gerçek login ile kurban arasında aracılık ederek oturum çerezini/token'ı yakalayabilir. Klasik SMS OTP bu senaryoda yetersiz kalabilir. Passkey/FIDO2 ve Conditional Access (cihaz uyumu, imkânsız gezinti) savunmada öne çıkar.

QR phishing (quishing): Afiş, PDF veya mail içindeki QR bilinmeyen yere götürebilir. Kurumsal cihazda rastgele QR okutmayın.

[center][/center]

Raporlama dili (kullanıcıdan SOC'a):

7) Sonuç
Sosyal mühendislik teknik bir açık değil, insan ve süreç açığıdır. Tanıma refleksleri, ikinci kanal doğrulama, DMARC/MFA/passkey ve iyi bir bildirim kültürü en etkili savunma paketidir. Merak ettiğiniz teknik detayları izinsiz sistemlerde denemeyin; kurumsal simülasyon programlarına katılın.



Ek: Ev ve Küçük İşletme İçin 10 Dakikalık Sertleştirme
Büyük bir SOC'unuz olmasa bile uygulanabilir adımlar:

• E-posta hesabında MFA açın (mümkünse uygulama veya güvenlik anahtarı; SMS son çare)
  
• Tarayıcıda şüpheli eklentileri kaldırın; otomatik indirme klasörünü izleyin
  
• Kargo/banka SMS'lerindeki linklere değil, resmi uygulamaya gidin
  
• İş bilgisayarında yönetici hesabıyla gezmeyin
  
• Yedek alın; ransomware'li oltalama ekleri hâlâ yaygındır
  
• Aile bireylerine "parola isteme" ve "acil havale" senaryolarını anlatın
  

[center][/center]

Şüpheli bir mesaj aldığınızda duygusal tepkiyi (korku/acele) bilinçli olarak yavaşlatmak, teknik bilgiden önce gelen en ucuz kontroldür. "Bu mail beni ne hissettiriyor?" sorusu bile birçok oltalamayı boşa çıkarır.

Kaynakça

• CISA - Recognize and Report Phishing
  
• UK NCSC Phishing rehberi
  
• DMARC.org
  
• OWASP Phishing
  
• Microsoft - What is phishing
  
• KVKK (kişisel veri işleme bağlamı)
  

Yasal Uyarı
Bu içerik farkındalık ve savunma eğitimidir. Phishing altyapısı kurmak, başkalarına oltalama yapmak veya izinsiz kimlik bilgisi toplamak suçtur. TCK 243-245 ve ilgili dolandırıcılık maddeleri kapsamında ağır yaptırımlar uygulanabilir. Yalnızca yetkili simülasyon ve kendi labınızda çalışın.