Oltalama (Phishing) E-postası Nasıl Anlaşılır: 12 İşaret

Oltalama (phishing) e-postası, güvendiğiniz biri gibi görünerek sizi bir bağlantıya tıklamaya, bir dosyayı açmaya, şifrenizi vermeye ya da para göndermeye yönlendiren mesajdır. Çoğunu, mesajı gerçekte kimin gönderdiğine, bağlantıların gerçekte nereye gittiğine ve beklemediğiniz bir konuda sizi acele etmeye zorlayıp zorlamadığına bakarak fark edebilirsiniz.

Oltalama güvenden yararlanır: bir bankanın logosu, bir iş arkadaşının adı, bir kargo şirketinin üslubu. Aşağıdaki alışkanlıklar saniyeler sürer ve her e-posta uygulamasında işe yarar.

Oltalama e-postasının 12 uyarı işareti

1. Görünen ad ile adres uyuşmuyor. "PayPal Support" herhangi bir adrese bağlanabilir. Tam adresi görmek için ada dokunun veya üzerine gelin. Bir markanın ücretsiz bir web posta hesabından ya da alakasız bir alan adından yazması güçlü bir uyarı işaretidir.
2. Benzer veya gizlenmiş bir alan adı. Saldırganlar tek karakterle ayrılan alan adları kaydeder ("m" yerine "r n" olan rnicrosoft.com gibi), kelime ekler (paypal-secure-login.com) ya da gerçek adı alt alan adı olarak kullanır (paypal.com.account-check.net, aslında account-check.net'e aittir). Uluslararası alan adları, Latin harflerinden ayırt edilemeyen başka alfabelerin harflerine, örneğin "a" yerine Kiril "а" harfine izin verir. Bunların altta yatan biçimi xn-- (punycode) ile başlar; beklemediğiniz bir bağlantıda ya da adreste bu öneki görürseniz şüpheyle yaklaşın.
3. Aciliyet, korku veya baskı. "Hesabınız 24 saat içinde kapatılacak", "ödenmemiş fatura", "yasal işlem". Yapay son tarihler, kontrol etmenizi engellemek için vardır.
4. Metni ile hedefi farklı olan bağlantılar. Bir bağlantının görünen metni her şeyi söyleyebilir. Gerçek hedef, fareyle üzerine geldiğinizde durum çubuğunda ya da bir ipucu balonunda görünür. Metin bir siteyi, hedef başka bir siteyi gösteriyorsa tıklamayın.
5. Beklenmedik ekler. Beklemediğiniz her dosyaya, özellikle de HTML dosyalarına (kendi bilgisayarınızda saklanan inandırıcı bir sahte giriş sayfası açabilirler), ZIP veya diğer arşivlere, ISO ve IMG disk görüntülerine, şifresi e-posta metninde verilen şifreli arşivlere ve "içeriği etkinleştir" ya da makro isteyen Office belgelerine karşı dikkatli olun. Arşivler ve disk görüntüleri, gerçek dosya türünü posta filtrelerinden gizleyebildikleri için popülerdir.
6. Kimlik bilgisi veya kişisel veri talebi. Meşru şirketler, şifrenizi, PIN'inizi, tam kart numaranızı ya da tek kullanımlık kodunuzu e-postayla veya e-postadaki bir bağlantı üzerinden doğrulamanızı istemez.
7. Taramanızın istendiği bir QR kodu. QR oltalaması ("quishing"), bağlantıyı bir görselin içine koyar; böylece filtreler onu okuyamaz ve siz onu çoğu zaman iş bilgisayarından daha az korunan telefonunuzda açarsınız. MFA kurulumu, belge imzalama veya hesap sorunları hakkındaki e-postalardaki QR kodlarına şüpheyle yaklaşın.
8. Farklı bir Reply-To (Yanıtla) adresi. Gönderen satırı doğru görünürken yanıtlar başka yere gidebilir. Yanıtla'ya bastığınızda Kime alanında görünen adresi kontrol edin. Uyuşmazlık, fatura dolandırıcılığında yaygındır.
9. Genel bir hitap veya yanlış bilgiler. "Sayın müşteri", "Sayın kullanıcı" ya da ad yerine e-posta adresinizin kullanılması toplu bir kampanyaya işaret eder. Yine de doğru bir ad hiçbir şeyi kanıtlamaz.
10. Gerçek olamayacak kadar iyi bir teklif. Beklenmedik iadeler, ödüller, miras, kripto kazançları ya da başvurmadığınız bir iş yemdir. Büyük bir ödemeyi serbest bırakmak için küçük bir ücret istenmesi de öyle.
11. Ödeme veya banka bilgilerinde değişiklik. İş e-postası ele geçirme saldırılarında bir tedarikçi, iş arkadaşı veya yönetici banka hesabını "günceller" ya da acil bir havale ya da hediye kartı ister. E-posta gerçekten ele geçirilmiş bir hesaptan gelmiş olabilir; bu yüzden tüm teknik kontrollerden geçebilir.
12. Siz istemediğiniz halde gelen MFA bildirimleri veya kodları. Telefonunuza art arda gelen onay istekleri ya da bir kodu geri okumanızı isteyen bir e-posta, birinin şifrenize zaten sahip olabileceği ve ikinci adımı geçmeye çalıştığı anlamına gelir. İsteği reddedin ve şifrenizi değiştirin.

Hızlı başvuru: nereye bakmalı

Bir bağlantıyı açmadan nasıl kontrol edersiniz?

1. Bilgisayarda bağlantının üzerine gelin ve gerçek adresin pencerenin altında ya da bir ipucu balonunda görünmesini bekleyin.
2. Telefonda adresi görmek için bağlantıya basılı tutun. Bazı telefonlar sayfanın canlı önizlemesini gösterir; bu yüzden bağlantıyı kopyalayıp bir not uygulamasına yapıştırmak daha güvenlidir.
3. Kayıtlı alan adını bulun: ana bilgisayar adını sağdan başlayarak ilk tek eğik çizgiye kadar okuyun. https://login.example.com.secure-verify.io/account adresinde alan adı example.com değil, secure-verify.io'dur.
4. Hizmeti ziyaret etmeniz gerekiyorsa bağlantı yerine adresi kendiniz yazın ya da yer imi veya resmi uygulamayı kullanın.

Oltalama (Phishing) E-posta Analizi aracımız, yapıştırdığınız metni veya üst bilgileri, hiçbir şeyi açmanıza gerek kalmadan aldatıcı bağlantılar, sahte göndericiler ve diğer uyarı işaretleri için denetler.

E-posta üst bilgileri güvenle nasıl okunur?

Her e-posta, hangi sunucuların onu işlediğini ve kimlik doğrulamadan geçip geçmediğini kaydeden gizli üst bilgiler taşır. Yalnızca metin okuduğunuz için bunları görüntülemek güvenlidir. Nerede bulunacakları:

• Gmail: iletiyi açın, üç nokta menüsünü seçin, ardından Orijinali göster'i seçin.
• Web'de Outlook ve yeni Outlook: iletiyi açın, üç nokta menüsünü seçin, ardından Görüntüle ve Mesaj ayrıntılarını görüntüle'yi seçin.
• Windows için klasik Outlook: iletiyi açın, ardından Dosya, Özellikler yolunu izleyin ve Internet üst bilgileri bölümüne bakın.
• Apple Mail: Görüntü, İleti, Tüm Başlıklar veya Ham Kaynak.

En yararlı satır genellikle kendi posta sağlayıcınızın eklediği Authentication-Results satırıdır:

Authentication-Results: mx.example.net;
  spf=pass smtp.mailfrom=bounce.example-shop.com;
  dkim=pass header.d=example-shop.com;
  dmarc=pass header.from=example-shop.com

Buradaki alan adlarının beklediğiniz markayla eşleştiğini kontrol edin. Ayrıca From, Reply-To ve Return-Path adreslerini karşılaştırın ve mesajın nereden başladığını görmek için Received satırlarını aşağıdan yukarıya doğru okuyun. Üst bilgileri E-posta Başlığı Analizi aracımıza yapıştırırsanız her sıçramayı ve kimlik doğrulama sonucunu okunaklı biçimde görürsünüz.

SPF, DKIM ve DMARC size neyi söyler, neyi söylemez?

Bu üç standart, alıcı sunucunun bir mesajın gerçekten iddia ettiği alan adından gelip gelmediğini kontrol etmesini sağlar:

• SPF, bir alan adı adına posta göndermesine izin verilen sunucuları listeler ve bunu zarf göndericisine (Return-Path) göre denetler.
• DKIM, bir alan adının mesajın sorumluluğunu üstlendiğini ve imzalı bölümlerin değiştirilmediğini kanıtlayan kriptografik bir imza ekler.
• DMARC, SPF veya DKIM'in görünen From adresiyle uyumlu bir alan adı için başarılı olmasını şart koşar ve başarılı olmadığında alıcılara ne yapacaklarını söyler: hiçbir şey, karantina ya da reddetme.

Bir marka sıkı bir DMARC politikası yayımladığında, suçlular tam olarak o alan adını From satırına kolayca koyamaz. Oltalamanın bu kadar sık benzer alan adları, görünen ad hileleri veya ele geçirilmiş hesaplar kullanmasının nedeni budur. paypa1-billing.com adresinden gelen bir mesaj, kendi alan adı için SPF, DKIM ve DMARC'tan kusursuzca geçebilir. Başarılı sonuç, e-postayı kimin gönderdiğini kanıtlar; göndericinin dürüst olduğunu değil. Büyük bir markadan geldiğini iddia eden bir mesajdaki başarısızlık ise güçlü bir şüphe nedenidir.

Bir alan adınız varsa kendi kayıtlarınızın yerinde olduğunu SPF ve DMARC Kontrolü aracımızla kontrol edin ve kurulum ayrıntıları için SPF, DKIM ve DMARC açıklaması yazısını okuyun.

Şüpheli bir e-postayla ne yapılmalı?

1. Bağlantılara tıklamayın, ekleri açmayın, QR kodlarını taramayın ve yanıtlamayın.
2. Ayrı bir kanaldan doğrulayın: kişiyi zaten sahip olduğunuz bir numaradan arayın ya da hizmete adresini yazarak giriş yapın.
3. Bildirin. İş yerinde "Oltalamayı bildir" düğmesini kullanın ya da BT ekibinizin istediği şekilde iletin. Gmail ve Outlook'ta yerleşik Kimlik avı bildir seçeneğini kullanın. Birleşik Krallık'ta şüpheli e-postaları NCSC'ye report@phishing.gov.uk adresinden iletebilirsiniz; ABD'de dolandırıcılığı FTC'ye reportfraud.ftc.gov adresinden bildirebilirsiniz.

Zaten tıkladıysanız ne yapmalısınız?

Önemli olan, tıklamadan sonra ne olduğudur. Hızlı hareket edin:

1. Bir şifre girdiyseniz, gerçek sitede, adresi elle yazarak hemen değiştirin ve aynı şifreyi kullanan diğer hesaplarda da değiştirin. Ardından tüm diğer oturumlardan çıkış yapın; çoğu büyük hizmet bunu güvenlik ayarlarında sunar.
2. MFA'yı açın veya gözden geçirin. Tanımadığınız cihazları, uygulama şifrelerini ya da kimlik doğrulayıcı kayıtlarını kaldırın. Geçiş anahtarları (passkey) ve donanım güvenlik anahtarları oltalamaya karşı dirençlidir, çünkü yalnızca gerçek web sitesinde çalışırlar.
3. Posta kutusu ayarlarınızı kontrol edin. Bir e-posta hesabına giren saldırganlar çoğu zaman yanıtları gizleyen yönlendirme kuralları ya da filtreler ekler. Sizin oluşturmadığınız kurallara bakın.
4. Bir eki açtıysanız veya bir dosyayı çalıştırdıysanız, cihazın ağ bağlantısını kesin ve BT ekibinizle iletişime geçin; kişisel bir cihazsa güncel güvenlik yazılımıyla tam tarama yapın.
5. Para ya da kart bilgisi gönderdiyseniz, kartınızın üzerindeki ya da resmi web sitesindeki numarayı kullanarak bankanızı veya kart sağlayıcınızı hemen arayın. Hız, bir ödemeyi durdurma şansını artırır.
6. Sonraki hedef olabilecek kişilere haber verin, örneğin hesabınız mesaj göndermek için kullanıldıysa iş arkadaşlarınıza veya kişilerinize.

Sıkça sorulan sorular

Bir oltalama e-postasını yalnızca açarak hacklenebilir misiniz?

Güncel posta uygulamaları kullanan sıradan kullanıcılar için bir e-postayı yalnızca açmak nadiren yeterlidir. Tehlike; bağlantılara tıklamaktan, ekleri açmaktan, bilgi girmekten ya da yanıtlamaktan gelir. Uzak görsellerin yüklenmesi, göndericiye adresinizin etkin olduğunu doğrulayabilir.

Oltalama ile hedefli oltalama (spear phishing) arasındaki fark nedir?

Oltalama, genel bir yemle çok sayıda kişiye gönderilir. Hedefli oltalama ise belirli bir kişiyi veya kuruluşu hedefler ve inandırıcı görünmek için gerçek adlar, görevler, projeler ya da tedarikçiler kullanır; bu da onu fark etmeyi zorlaştırır.

Bir e-posta SPF, DKIM ve DMARC'tan geçerse güvenli midir?

Hayır. Başarılı sonuç yalnızca From adresindeki alan adının mesaja yetki verdiğini gösterir. Suçlular geçerli kayıtlara sahip kendi benzer alan adlarını kaydedebilir ve ele geçirilmiş gerçek hesaplar da bu kontrollerden geçer. Her zaman alan adının kendisini ve mesajın sizden ne yapmanızı istediğini değerlendirin.

Bir e-postadaki bağlantının güvenli olup olmadığını nasıl kontrol ederim?

Üzerine gelin ya da açmadan kopyalayın, kayıtlı alan adını sağdan okuyarak belirleyin ve kuruluşun gerçek alan adıyla karşılaştırın. Şüpheniz varsa bağlantıyı kullanmak yerine siteye doğrudan gidin.

Oltalama e-postaları neden QR kod kullanır?

QR kod, bağlantıyı birçok filtrenin çözmediği bir görselin içine saklar ve sizi, yönetilen bir iş bilgisayarının korumalarından yoksun olabilecek ve tam adresi incelemeyi zorlaştıran telefonunuza taşır.