Oltalama e-postası sizi düşünmeye değil, acele etmeye ikna etmeye çalışır: hesabınız kapanacak, fatura bugün ödenmeli, kargo bekliyor. Bu yüzden en güvenilir ayırt etme yöntemi içeriği tartışmak değil, gönderenin gerçek adresine ve bağlantının gerçek hedefine bakmak, sonra talebi e-postadan bağımsız bir kanaldan doğrulamaktır. Aşağıda açmadan önce bakılacak işaretleri, en sık karşılaşılan senaryoları, tıklandıktan sonraki sırayı ve ekip için kalıcı önlemleri topladık.
Oltalama nasıl çalışır?
Saldırganın amacı ya bir şifre toplamak, ya zararlı bir dosya çalıştırtmak, ya da bir ödemeyi kendi hesabına yönlendirmektir. Üçünün ortak yöntemi taklittir: bilinen bir kurumun ya da şirket içinden bir kişinin görünümü kopyalanır, metne kısa bir süre baskısı eklenir ve karar verecek kişi doğrulama yapmadan harekete geçirilir.
Küçük işletmelerde en etkili saldırı türü, uzun uğraş gerektiren teknik yöntemler değil, muhasebe ve satın alma yazışmasına sızmaktır: gerçek bir yazışma zincirinin devamı gibi görünen tek bir e-posta ile ödeme bilgisi değiştirilir. Teknik bir açık aranmaz, yalnızca alışkanlık kullanılır.
Açmadan önce bakılacak işaretler
- Gerçek gönderen adresi: Görünen ad değil, parantez içindeki adres. Benzer yazımlar klasiktir: harf eksiltme, harf ekleme ya da benzer görünen karakter değişimi.
- Bağlantının gerçek hedefi: Tıklamadan bağlantının üstüne gelin; metinde yazan adres ile gidilen adresin aynı olup olmadığına bakın.
- Beklenmedik ek: Beklemediğiniz fatura, makbuz ya da teklif dosyası. Özellikle makro içeren belgeler ve sıkıştırılmış arşivler.
- Acele baskısı: Bugün, son uyarı, hesabınız kapatılacak gibi süre dayatan ifadeler.
- Alışılmamış talep: Şifre, doğrulama kodu ya da ödeme bilgisi isteyen hiçbir kurum bunu e-postayla istemez.
- Tonu bozuk metin: Şirket içinden geliyormuş gibi görünen ama o kişinin kurmayacağı cümleler, yanlış unvan, yanlış ekip adı.
- Cevap adresinin farklı olması: Yanıtla düğmesine basıldığında adresin başka bir alan adına dönmesi.
En sık karşılaşılan senaryolar
| Senaryo | Tipik ifade | Doğrulama yolu |
|---|---|---|
| Hesap uyarısı | Şifrenizin süresi doldu, doğrulayın | Bağlantıya girmeyin; hizmeti kendi adresinden açıp oturum açın |
| Sahte fatura | Ekteki faturayı onaylayın | Faturayı ekten değil, tedarikçinin bilinen panelinden doğrulayın |
| Ödeme bilgisi değişikliği | Ödemeyi yeni hesabımıza yapın | Yazışmaya cevap yazmayın; tedarikçiyi kayıtlı numarasından arayın |
| Yönetici talebi | Acil, toplantıdayım, şunu hemen yap | İkinci bir kanaldan teyit; kurumsal kuralı istisnasız uygulayın |
| Kargo ya da ceza bildirimi | Gönderiniz bekliyor, ödeme gerekli | Takip numarasını resmî sitede elle arayın |
| Paylaşılan dosya bildirimi | Sizinle bir belge paylaşıldı | Paylaşanı tanımıyorsanız açmayın; tanıyorsanız kendisine sorun |
Tıklandıysa ya da şifre girildiyse
Panik değil sıra önemlidir. Şu adımları yukarıdan aşağıya uygulayın:
- Cihazı ağdan ayırın (bir dosya indirildiyse ya da çalıştırıldıysa).
- Şifreyi başka bir cihazdan değiştirin. Aynı şifre başka yerde kullanılıyorsa onları da değiştirin.
- Tüm oturumları kapatın ve iki adımlı doğrulamayı açın.
- Posta kutusu kurallarını denetleyin: saldırganın eklediği yönlendirme, otomatik iletme ya da gelen kutusu kuralı var mı?
- Giden kutusunu ve çöp kutusunu kontrol edin; sizin adınıza gönderilmiş e-postalar olabilir.
- Para hareketi varsa bankanızla hemen temas kurun ve işlem saatlerini not edin.
- Ekibi uyarın. Aynı e-posta çoğu zaman birkaç kişiye birden gitmiştir.
- Olayı yazılı kayda geçirin: tarih, kim, hangi e-posta, hangi adım. Kişisel veri sızdıysa yükümlülüğü değerlendirmek gerekir; veri düzenini KVKK uyumlu müşteri verisi yazısında anlattık.
Ekip içinde akış: şüpheli e-posta kime gider?
Çalışan "bu sahte mi acaba" diye düşündüğü anda soracak bir yer bulamazsa iki şey olur: ya tahmin eder ya da siler. İkisi de kötüdür; silinen e-posta aynı saldırının başka kişilere gittiğini görmenizi engeller. Bu yüzden tek kuralı olan basit bir akış kurun.
- Şüpheli e-posta silinmeden, ek olarak iletilerek tek bir iç adrese gönderilir.
- O adresi takip eden kişi belli ve yedeği var; izinli olduğu günlerde yerine bakan biri bulunur.
- Gerçekten oltalama ise aynı gün kısa bir uyarı tüm ekibe geçilir: konu satırı ve gönderen adresi yazılır.
- Para ya da şifre talebi içeren her örnek, kimse tıklamamış olsa bile kayda geçirilir.
- Çalışan yanlış alarm verdiğinde kimse eleştirilmez; eleştiri alan ekip bir daha haber vermez.
Şüpheli e-postayı bildirmek değil, sessizce tıklamak risktir. Akışın tek amacı, kararı tek kişinin omzundan almaktır.
Hesabın ele geçirildiğini gösteren belirtiler
- Gelen kutusunda okunmuş görünen ama sizin açmadığınız e-postalar.
- Bilmediğiniz bir adrese otomatik iletme kuralı.
- Müşterilerin size "böyle bir e-posta attınız mı" diye sorması.
- Giden kutusunda bulunmayan ama cevabı gelen yazışmalar.
- Tanımadığınız konumdan oturum açma bildirimleri.
Site tarafında da benzer bir şüphe varsa temizlik sırasını hacklenen siteyi temizleme yazısında bulabilirsiniz.
Kalıcı önlemler ve kısa kontrol listesi
- Tüm kurumsal hesaplarda iki adımlı doğrulama açık.
- Ödeme ve banka bilgisi değişikliği yalnızca telefonla teyitten sonra uygulanıyor; bu kural yazılı.
- Şifreler bir şifre yöneticisinde tutuluyor, hesaplar arasında tekrar etmiyor.
- Şüpheli e-postanın iletileceği tek bir iç adres belli.
- Ayrılan çalışanın hesabı aynı gün kapatılıyor ya da devredildi.
- Alan adınızın e-posta doğrulama kayıtları kurulu; SPF, DKIM ve DMARC yazısı bu kurulumu adım adım anlatıyor.
- Yılda bir kez kısa bir ekip hatırlatması yapılıyor.
Özet: gönderenin gerçek adresine bak, bağlantının gerçek hedefine bak, para ve şifreyle ilgili her talebi ikinci bir kanaldan doğrula. DigiWSS, kurumsal e-posta ve alan adı kurulumlarında bu doğrulama kayıtlarını ve hesap hijyenini kurulumun parçası olarak ele alır.