Cuma akşamı saat 6:40'ta küçük bir matbaayı düşünün. Dükkânın her ay ödeme yaptığı kâğıt tedarikçisinden, geçen ayın siparişiyle aynı yazışmada bir e-posta düşüyor. "Güncellenmiş fatura ekte, lütfen hafta sonundan önce işleme alın" yazıyor ve ekin adı Invoice_4471.zip. Tedarikçi gerçek, yazışma da gerçek. Ama bu tedarikçi hep düz PDF göndermiştir, dükkânda kimse bir düzeltme beklemiyordu ve o şirketin muhasebe çalışanları genellikle Cuma gecesi yazmaz.
Doğru hamle, tedarikçideki biri dükkânın zaten sahip olduğu bir telefon numarasından doğrulayana kadar o dosyayı kapalı tutmaktır. Genel bir kural olarak bir ek, beklediğiniz bir şeyse, gönderen doğrulanıyorsa ve dosya türü hikâyeyle uyuşuyorsa makul ölçüde güvenlidir. Bunlardan herhangi biri tutmadığında ciddi şüpheyi hak eder ve tehlike genellikle iletiyi okurken değil, bir şeyi çalıştırdığınızda, çıkardığınızda ya da "etkinleştirdiğinizde" başlar. Bu makalenin büyük kısmı, bu üç değerlendirmeyi hızlıca nasıl yapacağınız ve yapamadığınızda zararı nasıl sınırlayacağınız hakkında.
Cuma faturasını adım adım çözmek
Yukarıdaki örnek yararlı, çünkü olağan tavsiye burada işe yaramıyor. Gönderen ödeme yaptığınız biriyse "Tanımadığınız kişilerin dosyalarını açmayın" tavsiyesi bir işe yaramaz. O halde gerçekten neyin değiştiğine bakın. Biçim değişti: PDF'den sıkıştırılmış bir arşive. Zamanlama değişti. İleti, kimsenin kolayca kontrol edemeyeceği bir hafta sonundan önce harekete geçmeyi zorluyor. Bunların her birinin masum bir açıklaması olabilir, ama birlikte durup doğrulamak için yeterlidir.
Sonra dükkân sahibinin aklına gelmeyebilecek bir ihtimal var: ileti gerçekten tedarikçinin posta kutusundan gelmiş olabilir. Tek bir hesaba giren suçlular çoğu zaman mevcut yazışmaların içinde yanıt verir; çünkü eski bir yazışma, soğuk bir iletinin taşıyamayacağı güveni taşır. Buna yazışma ele geçirme (thread hijacking) denir. Yani doğru bir gönderen adresi ve tanıdık bir konu satırı hiçbir şeyi kesinleştirmez ve son kontrolün e-posta dışında yapılması gerekmesinin nedeni budur.
Sahibi için makul bir sıra şöyle olurdu:
- Gerçek olup olmadığını sormak için iletiye yanıt vermeyin. Posta kutusu ele geçirildiyse yanıt dolandırıcılığı yürüten kişiye gider.
- Tedarikçinin numarasını eski bir kâğıt faturadan, sözleşmeden ya da telefonun kişi listesinden bulun. E-posta imzasındaki numarayı kullanmayın.
- Açık bir soru sorun: "Bu gece düzeltilmiş bir fatura gönderdiniz mi?" Ofis kapalıysa fatura Pazartesi'ye kadar bekleyebilir. Gerçek bir tedarikçi Pazartesi ödemesini, bir suçlunun kabul edeceğinden çok daha kolay kabul eder.
- Tedarikçinin çevrimiçi bir portalı varsa adresini yazarak oturum açın ve faturanın orada görünüp görünmediğine bakın.
- Cevap hayırsa tedarikçiyi posta kutusunun ele geçirilmiş olabileceği konusunda uyarın, sonra iletiyi bildirip silin.
Aynı örneğin, hiçbir tarayıcının yakalayamayacağı daha sessiz bir türü var. Ek, tamamen gerçek bir faturanın temiz, sıradan bir PDF'i olabilir; tek bir ayrıntısı değiştirilmiştir: banka hesabı. Hiçbir zararlı yazılım yoktur ve dosya bilgisayarınız için zararsızdır; yine de para yanlış yere gider. Ödeme bilgilerindeki her değişiklik, dosya biçimi ne olursa olsun aynı telefon görüşmesini hak eder.
Zararlı bir ek ne yapmaya çalışır
Ekler saldırganlar arasında basit bir nedenle popülerliğini koruyor. Posta hizmetleri her dosyayı reddedemez; çünkü insanların fatura, özgeçmiş, sözleşme ve fotoğraf alışverişi yapması gerekir ve alıcı dosyayı kendi isteğiyle açar. Zararlı bir dosya genellikle dört sonuçtan birini hedefler ve belirli bir biçimin hangisine izin verdiğini bilmek becerinin büyük kısmıdır.
- Kodu doğrudan çalıştırır. Bir program ya da betik çift tıkladığınızda başlar ve sizinle aynı izinlere sahiptir.
- Başka bir uygulamayı kod çalıştırmaya ikna eder; makroları, gömülü nesneleri ya da yazılımdaki bir açığı kullanarak.
- Sizi başka yere gönderir. Bir PDF ya da belge, sahte bir oturum açma sayfasına giden bir düğmeden başka bir şey içermez; yani dosya temiz olabilir, saldırı ise hedeftir.
- Yazdıklarınızı toplar. Bir HTML eki tarayıcınızda yerel bir sayfa olarak açılır, bir giriş ekranını taklit eder ve parolanızı başkasına gönderir.
Güncel bir görüntüleyicideki JPEG fotoğraf, ilk üçünden hiçbirini kendi başına yapamaz. Bir Windows kısayol dosyası ise bir belgenin simgesini gösterirken bir komut satırı çalıştırabilir. Biçimler arasındaki bu fark, aşağıdaki tabloyu açıklar.
Dosya türleri, yapabildiklerine göre sıralı
Derecelendirmeler, dosyanın bilinmeyen ya da beklenmedik bir göndericiden geldiğini varsayar. Her biçimin neler yapabildiğine dayanan bir değerlendirmedir ve bağlam bir dosyayı yukarı ya da aşağı taşıyabilir. Vergi döneminde muhasebecinizden gelen bir .xlsm hesap tablosu normaldir. Aynı dosya, kaçırılmış bir teslimat hakkında bilinmeyen bir adresten gelirse değildir.
| Uzantılar | Nedir | Risk | Neden |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Windows programları ve yükleyicileri | Çok yüksek | Kodu sizin izinlerinizle çalıştırırlar. Bir .scr "ekran koruyucu" sıradan bir programdır. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Betikler | Çok yüksek | Windows'un bunlar için yerleşik yorumlayıcıları vardır. Bir yabancının bir tane göndermek için neredeyse hiç iyi bir nedeni yoktur. |
| .lnk | Windows kısayolu | Çok yüksek | Zararsız görünen bir simgenin arkasında bağımsız değişkenli bir komut başlatabilir. |
| .iso, .img, .vhd, .vhdx | Disk görüntüleri | Yüksek | Çift tıklama onları bir sürücü gibi bağlar ve programları ile kısayolları paketlemek için kullanılmışlardır. |
| .docm, .xlsm, .pptm, .xlam | Makro etkin Office dosyaları | Yüksek | "m" harfi, dosyanın VBA makroları taşıyabildiği anlamına gelir. Yasal kullanım vardır ama yabancılardan gelmesi nadirdir. |
| .doc, .xls | Eski Office biçimleri | Orta ile yüksek arası | Adında hiçbir ipucu olmadan makro taşıyabilir ve uzun bir kötüye kullanım geçmişi vardır. |
| .zip, .rar, .7z, .gz, .tar | Arşivler | İçeriğe bağlı | Bu tablodaki her şeyi taşıyabilir. Şifrelenmiş olanlar taranamaz. |
| .html, .htm, .svg | Web sayfaları ve vektör görseller | Orta ile yüksek arası | Tarayıcıda açılır ve sahte giriş formları gösterebilir, betik çalıştırabilir ya da anında bir dosya oluşturabilir. |
| .one | OneNote defteri | Orta ile yüksek arası | Sahte bir "görmek için tıklayın" düğmesinin arkasına betik gizlemek için kullanılmıştır. |
| Taşınabilir belge | Düşük ile orta arası | Çoğunlukla pasiftir, ama bağlantılar, gömülü dosyalar ve betikler taşıyabilir. | |
| .docx, .xlsx, .pptx | Modern Office dosyaları | Düşük ile orta arası | VBA makrosu saklayamaz, ama bağlantılar, harici başvurular ve gömülü nesneler içerebilir. |
| .jpg, .png, .gif, .webp | Raster görseller | Düşük | Pasif veri. Risk, güncellemelerin giderdiği nadir bir görüntüleyici açığıdır. |
| .txt, .csv | Metin ve veri | Düşük, tek bir kayıtla | Metin kendi kendine çalışamaz, ancak bir hesap tablosunda açılan CSV formül içerebilir; bu yüzden harici içeriği etkinleştirme istemlerini reddedin. |
Posta sağlayıcıları bu ayıklamanın bir kısmını sizin yerinize yapar. Örneğin Gmail, .exe, .js, .lnk ve .iso dahil bir dosya türü listesini reddeder ve mümkün olduğunda arşivlerin içine de bakar. Outlook da birçok program ve betik türünü engeller. Suçluların filtrelerin geçirmek zorunda olduğu biçimleri tercih etmesinin ve alışılmadık bir kabın çoğu zaman bariz tehlikeli bir addan daha çok şey söylemesinin nedeni budur.
Bir dosyanın gerçek türü nasıl gizlenir
Windows varsayılan olarak bilinen uzantıları gizler; bu, en eski numaranın hâlâ işe yaramasını sağlar. invoice.pdf.exe adlı bir dosya invoice.pdf gibi görünür. Bunu bir kez kapatın, kapalı kalır. Windows 11'de Dosya Gezgini'ni açın ve Görünüm, Göster, Dosya adı uzantıları yolunu seçin. Windows 10'da bu, Görünüm sekmesinde bir onay kutusudur. Mac'te Finder, Ayarlar, Gelişmiş yolunu izleyin ve Tüm dosya adı uzantılarını göster kutusunu işaretleyin.
Diğer kılıklar daha fazla dikkat ister. statement.pdf .js gibi boşluklarla uzatılmış uzun adlar, gerçek uzantıyı dar bir sütunun dışına iter. Bir Unicode denetim karakteri olan sağdan sola geçersiz kılma (U+202E), bir adın sonunun nasıl gösterildiğini tersine çevirebilir; böylece gerçekte .exe ile biten bir dosya .pdf ile bitiyormuş gibi görünebilir. Programlar ve kısayollar ayrıca PDF ya da Word simgesi dahil istedikleri her simgeyi taşıyabilir; yani bir simge hiçbir şeyi kanıtlamaz.
E-postanın kendisi de yalan söyleyebilir. Her ek, application/pdf gibi bildirilmiş bir içerik türüyle gelir, ama bu etiketi gönderen seçer. Cihazınızda ne olacağı, dosyanın gerçek biçimine ve uzantısına bağlıdır. Bu yüzden Windows'ta Tür sütununa ya da dosyanın Özellikler penceresine, Mac'te Bilgi Al'a, telefonda ise dosya yöneticisinin ayrıntı görünümüne bakın.
Office belgeleri ve iki renkli çubuk
Office dosyaları kendi bölümünü hak eder; çünkü her yerdedirler ve onlarca yıldır kötüye kullanılıyorlar. Makro, Visual Basic for Applications ile yazılmış, bir belgenin içinde saklanan küçük bir programdır ve yararlı işleri otomatikleştirebileceği gibi başka bir şey indirip başlatabilir de. Dosya biçimi kısmi bir ipucu verir: .docx ve .xlsx VBA makrosu saklayamaz, .docm ve .xlsm saklayabilir; eski .doc ve .xls dosyaları da bunu belli etmeden yapabilir.
Windows için Office'te internetten ya da e-postadan gelen bir dosyayı açtığınızda genellikle iki çubuktan biriyle karşılaşırsınız. Sarı olan, belgeyi kısıtlı bir modda salt okunur açan ve Düzenlemeyi Etkinleştir seçeneğini sunan Korumalı Görünüm'e aittir. Korumalı Görünüm'de kaldığınız sürece dosyanın yapabilecekleri çok daha sınırlıdır. Okuyabilirsiniz ve yalnızca okumanız gereken bir belge için oradan çıkmanın bir nedeni yoktur.
Kırmızı olan bir güvenlik başlığıdır. Microsoft, 2022'de başlayan bir dağıtımla Windows için Office'i değiştirdi; böylece internetten gelen dosyalardaki VBA makroları Word, Excel, PowerPoint, Access, Project, Publisher ve Visio'da varsayılan olarak engelleniyor. Başlık, dosyanın kaynağı güvenilmez olduğu için makroların engellendiğini söyler. Microsoft'un belgelerine göre bu değişiklik Mac'teki, Android ya da iOS'taki veya web üzerindeki Office'i kapsamaz; bu yüzden her yerde aynı davranışı varsaymayın.
Engelleme, Windows'un tarayıcı indirmesi ya da e-posta eki gibi güvenilmez bir konumdan gelen dosyalara eklediği bir etiket olan Web İşareti'ne (Mark of the Web) bağlıdır. Bir kişi, dosyanın Özellikler penceresinde Engellemeyi kaldır kutusunu işaretleyerek etiketi kaldırabilir ve bu size açık bir uyarı işareti verir. Bir belge ya da yardımsever bir e-posta dosyaya sağ tıklamanızı, Engellemeyi kaldır'ı işaretlemenizi ve yeniden açmanızı söylüyorsa, korumanın yanından geçirilmekte olduğunuzu bilin. Kapatın.
Saldırganlar ikna ederek karşılık verdi. Tipik bir tuzak belge, bulanık bir sayfa ve "Bu belge daha yeni bir sürümde oluşturuldu. Görüntülemek için düzenlemeyi ve içeriği etkinleştirin." gibi bir satır gösterir. Hiçbir gerçek belge salt okunması için makro gerektirmez. Dosya doğrulayamadığınız birinden geldiyse, o iletiyi güvenli olup olmadığı sorunuzun cevabı sayın.
Bu kedi-fare tarihi, tablodaki bazı tuhaf biçimleri açıklar. Disk görüntüleri kısmen popüler oldu; çünkü bir ISO'nun içindeki dosyalar, Microsoft bunu Kasım 2022'de düzeltene kadar (CVE-2022-41091) Web İşareti almıyordu. Ardından sahte düğmelerin arkasında gömülü betikler ve kısayollarla OneNote dosyalarının kötüye kullanımı arttı ve 2023'te Microsoft, Microsoft 365 için OneNote ile perakende Office'in tehlikeli uzantılı gömülü dosyaları engelleyeceğini duyurdu. Her düzeltme saldırganları bir sonraki kaba iter; bu yüzden bir yabancıdan gelen tanıdık olmayan bir biçim durmak için yeterli nedendir.
PDF'ler, web sayfaları ve resimler
PDF'lerin büyük çoğunluğu zararsızdır ve gerçekçi risk nadiren zekice bir istismardır. Çok daha sık, bir logosu ve sahte oturum açma sayfasına giden büyük bir "Güvenli belgeyi görüntüle" düğmesi olan tek sayfalık bir PDF'tir. Bir PDF ayrıca görüntüleyicinin açmayı önerebileceği kendi gömülü dosyalarını taşıyabilir ve JavaScript içerebilir. PDF okuyucularda yıllar içinde güvenlik açıkları oldu; o yüzden sizinkini güncel tutun. Beklenmedik bir PDF'i güncel bir tarayıcının yerleşik görüntüleyicisinde açmak makul bir varsayılandır ve Adobe Acrobat Reader kullanıyorsanız ve betik desteğine nadiren ihtiyaç duyuyorsanız Düzen, Tercihler, JavaScript altında Acrobat JavaScript'i Etkinleştir işaretini kaldırabilirsiniz. Yalnızca "belgeniz hazır, buraya tıklayın" demek için var olan bir PDF belge değil, bir kapıdır.
HTML ekleri göründüğünden daha kötüdür. Biri tarayıcınızda yerel bir sayfa olarak açılır ve e-posta adresiniz önceden doldurulmuş, mükemmel bir giriş ekranı kopyası gösterebilir. İletide hiçbir zaman şüpheli bir web adresi olmadığı için posta hizmetinizdeki bağlantı tarayıcıları belki hiç görmez. Bir HTML dosyası ayrıca kodlanmış verilerden tarayıcının içinde bir dosya oluşturup indirme olarak sunabilir; HTML smuggling denen bu teknik, yalnızca ekleri inceleyen filtreleri aşabilir. Hiçbir gerçek şirket, bir e-postaya eklenmiş dosyadan oturum açmanızı gerektirmez. Böyle her sayfayı kimlik avı sayın ve hizmete adresini yazarak gidin.
SVG dosyaları resim gibi görünür ve XML ile tanımlanır; bu da betik ve bağlantı içerebilecekleri anlamına gelir. Bir resim görüntüleyicide resim gibi davranırlar, bir tarayıcıda ise web sayfası gibi davranabilirler. Bir yabancıdan gelen beklenmedik bir SVG, HTML dosyasıyla aynı şüpheyi hak eder.
Sıradan JPEG, PNG, GIF ve WebP dosyaları pasif verilerdir ve bir görüntüleyici açığının kuramsal riskini sistem güncellemeleri giderir. Pratik risk farklıdır: bir resim yalnızca yem olabilir; örneğin bir telefon numarasını aramanızı söyleyen bir faturanın "ekran görüntüsü". Dosya güvenlidir, içindeki talimatlar değil.
Arşivler: kabı değil içeriği değerlendirin
Bir ZIP dosyası ne güvenlidir ne tehlikeli. İçindeki kadar güvenlidir. Arşivler saldırganlara uygundur; çünkü ileti yalnızca "documents.zip" gösterir ve gerçek dosya türü gizli kalır, ayrıca başka bir arşivin içindeki bir arşiv ya da daha az yaygın bir biçim bazı tarayıcıları şaşırtabilir.
Şifreleme bir sorun daha ekler. Posta güvenliği araçları parola korumalı bir arşivin içine bakamaz; şifrelenmiş bir arşiv ile parolasını birlikte içeren bir ileti bu yüzden klasik bir kalıptır. Bu düzenin neye yaradığını düşünün: gizlilik sağlamaz, çünkü e-postaya sahip olan parolaya da sahiptir ve güvenilir biçimde yaptığı tek şey tarayıcıyı kör etmektir. Bir dosyayı şifreleyen gerçek bir gönderici, parolayı normalde telefonla ya da ayrı bir sohbette gibi başka bir yoldan paylaşır.
Arşivin var olması gerektiğini doğruladıysanız ve yine de içine bakmak istiyorsanız:
- Hiçbir şey çıkarmadan dosya listesini görmek için arşivi açın. Windows'ta Dosya Gezgini ve 7-Zip gibi arşiv programları listeyi gösterebilir. Mac genellikle çift tıklayınca varsayılan olarak açar, bu yüzden orada bir arşiv aracı kullanın.
- Her adı ve uzantıyı okuyun. Evrak diye anlatılan bir şeyin içindeki tek bir
.lnk,.js,.exeya da.isokonuyu kapatır; arşivi silin. - İçeriğin hikâyeyle uyuştuğunu kontrol edin. Bir "PDF rehberi" bir PDF olmalı, bir kısayol taşıyan klasör değil.
- Yalnızca ihtiyacınız olan belirli dosyayı çıkarın, sonra o dosyaya aynı kontrolleri uygulayın.
Göndericiyi kısaca kontrol etmek
Dosya saldırının yarısıdır, çevresindeki inandırıcı hikâye diğer yarısı. Kimlik avı e-postalarını fark etme rehberimiz bunu ayrıntılı olarak anlatıyor; bu yüzden burada ekler için en önemli kontroller var.
Gerçek adresle başlayın, çünkü görünen adı herkes her şeye ayarlayabilir. "Muhasebe Departmanı" billing@example-pay.example olabilir. Bilgisayarda adın üzerine gelin ya da tıklayın, telefonda gönderen satırına dokunun. Eklenmiş sözcükler, tireler ya da yer değiştirmiş harfler ("m" gibi davranan "rn") içeren alan adlarına, bir şirketin faturalama ya da hukuk departmanı olduğunu iddia eden ücretsiz web posta adreslerine ve zaten tanıdığınız web sitesiyle uyuşmayan bir alan adına bakın.
Sonra bir yanıtın nereye gideceğine bakın. Bir ileti bir adresten gelip yanıtları başka birine gönderebilir. Posta listeleri ve destek bilet sistemleri ile abone olduğunuz bültenler bunu bazen olağan nedenlerle yapar, ancak acil bir ödeme hakkındaki kişisel görünümlü bir not yapmamalıdır.
Teknik kontrol bir dakika sürer. Gmail'de üç nokta menüsünü açıp Orijinali göster seçeneğini seçin. Web üzerindeki Outlook'ta Görünüm, İleti kaynağını görüntüle yolunu kullanın. spf=pass, dkim=pass ve dmarc=pass arayın. SPF bir alan adı adına hangi sunucuların gönderebileceğini listeler, DKIM alan adının iletiyi yetkilendirdiğini ve iletinin değiştirilmediğini gösteren kriptografik bir imzadır, DMARC ise bu sonuçları görünen Kimden alan adına bağlar ve alıcılara başarısızlıkta ne yapacaklarını söyler. Sonuçları yalnızca tek yönde okuyun. Bankanızdan olduğunu iddia eden bir iletideki başarısızlık güçlü bir uyarıdır. Geçmek ise bir iletiyi güvenli yapmaz; çünkü suçlular benzer görünen bir alan adı kaydedip onu düzgün doğrulatabilir ve ele geçirilmiş bir posta kutusu her kontrolü geçer.
Geriye hiçbir başlığın cevaplayamayacağı soru kalıyor: bu gerçek bir yazışmaya uyuyor mu? Bu dosyayı bu kişiden bu konuda beklediğinizi ve hesabınızda doğrulayabileceğiniz ayrıntılar içerdiğini söyleyebilmek istersiniz. Baskı buna karşı çalışır. Aciliyet, gizlilik ve korku ("yasal işlem", "kimseye söyleme", "hesap bugün kapanıyor") bir dosyayla birlikte olağan kalıptır. Şüpheniz varsa göndericiyle, bu ileti gelmeden önce sahip olduğunuz bilgilerle iletişime geçin. Fatura gerçekse hesabınızda da olacaktır.
Yeni biri tarafından gelen bir dosyayı açmak zorundaysanız
Bazen asıl mesele dosyadır: bir iş başvurusu sahibinin özgeçmişi, bir tedarikçinin ilk teklifi, satışa koyduğunuz bir şeye gelen yanıt. O zaman amaç, dosyaya mümkün olan en az gücü verirken içeriği görmektir. Bu seçenekler en az çabadan en çoğuna doğru gider ve çoğu kişi ikinci ya da üçüncüde durur.
Açmanız gerekip gerekmediğini sorun. Dosya beklenmedikse ve hikâye genelse silmek az maliyetlidir; gerçek göndericiler takip eder.
Posta hizmetinizin önizlemesini kullanın. Web posta hizmetleri çoğu zaman PDF'leri, resimleri ve Office belgelerini kendi sunucularında işler; yani dosya cihazınızda çalıştırılmak yerine görüntülenir. Önce önizleyin, yalnızca zorunluysa indirin. Bu, iş için yabancılardan dosya alan herkes için tek ve en yararlı alışkanlıktır.
Belgeleri salt okunur açın. Korumalı Görünüm'de kalmak ya da dosyayı web tabanlı bir ofis paketinde açmak, yapabileceklerini sınırlar. Düzenlemeyi Etkinleştir ve İçeriği Etkinleştir seçeneklerine dokunmayın.
Tarayın. Windows'ta kaydedilmiş bir dosyaya sağ tıklayıp Microsoft Defender ile tarayabilirsiniz; diğer güvenlik ürünleri de aynısını sunar. Özel hiçbir şey içermeyen bir dosya için VirusTotal gibi çok motorlu bir çevrimiçi tarayıcı ikinci bir görüş verir. Bu tür hizmetlere yüklenenler güvenlik şirketleri ve araştırmacılarla paylaşılabilir; bu yüzden sözleşmeleri, kimlikleri, faturaları ya da gizli hiçbir şeyi asla yüklemeyin. Temiz sonuç da garanti değildir, çünkü yeni ya da özelleştirilmiş bir dosya henüz hiçbir şey tarafından algılanmayabilir.
Farklı bir biçim isteyin. Gerçek bir başvuru sahibi özgeçmişini standart bir PDF olarak yeniden gönderebilir. Bir müşteri metni e-posta gövdesine yapıştırabilir. Sormak bedavadır ve belirli bir dosyayı ulaştırmaya çalışan biri direnme eğilimindedir.
Alışılmadık her şey için yalıtılmış bir ortam kullanın. Windows Sandbox, Windows'un Pro, Enterprise ve Education sürümlerinde bulunur, Windows özelliklerini aç veya kapat ile açılır ve sanallaştırmanın etkin olmasını gerektirir. Size at-kullan-at bir masaüstü verir ve kapattığınızda içindeki her şey atılır. Bir yapılandırma dosyasında kapatmadıkça varsayılan olarak ağ erişimi vardır; yani içinde çalışan bir dosya internete ulaşabilir ve oradan hiçbir şeyde oturum açmamalısınız. Sanal makine ya da yedek bir cihaz aynı amaca hizmet eder.
Çift tıklamadan önce hızlı bir sınama
Bir şey tuhaf geldiğinde bunları gözden geçirin. İki ya da daha fazla endişe verici cevap, iletiyi silmek ya da önce doğrulamak için yeterli nedendir.
- Bu göndericiyi tanıyor muyum ve bu dosyayı şimdi bekliyor muydum?
- Gerçek adres ve alan adı, olduklarını iddia ettikleri kişiyle uyuşuyor mu?
- Bu konu için beklediğim dosya türü bu mu?
- Dosya bir kabın içinde mi, özellikle parola korumalı bir kabın?
- İleti aciliyet, gizlilik, ödeme ya da oturum açma mı dayatıyor?
- Belge benden düzenlemeyi, içeriği ya da makroları etkinleştirmemi mi istiyor?
- Bunu önce ayrı bir kanaldan doğrulayabilir miyim?
Telefonlar ve Mac'ler farklıdır, bağışık değildir
Windows programları ve betikleri iOS ya da Android'de zaten çalışmaz ve mobil sistemler uygulamaları geleneksel masaüstü sistemlerden daha sıkı sınırlar. Bu, geniş bir tehdit sınıfını ortadan kaldırır. Ama telefonların kendi zayıflıkları vardır ve kimlik avı, tam adreslerin gizlendiği ve sahte bir giriş düğmesinin diğerleri gibi göründüğü küçük bir ekranda en az o kadar iyi işler.
Android'de ana dosya riski, ek olarak gönderilen bir uygulama paketi olan APK'dir. Yalnızca onu açan uygulamaya bilinmeyen uygulamaları yükleme izni verdiyseniz yüklenebilir. Bunu Ayarlar, Uygulamalar, Özel uygulama erişimi, Bilinmeyen uygulamaları yükle altında kontrol edin; ancak tam yol üreticiler arasında değişir. Posta uygulamanız ve tarayıcınız için kapalı tutun ve uygulamaları yalnızca resmî mağazalardan yükleyin. iPhone ve iPad'de VPN ve güvenilen sertifikalar gibi ayarları değiştirebilen yapılandırma profillerine dikkat edin. Yüklü profiller Ayarlar, Genel, VPN ve Aygıt Yönetimi altında görünür. Bir e-posta istedi diye bir tane yüklemeyin.
Telefonlardaki posta uygulamaları da göndericinin tam adresini ve dosya uzantısını gizleme eğilimindedir; bu yüzden görmek için dokunmanız gerekir. Bir dosya önemli görünüyor ve ayrıntılarını rahatça okuyamıyorsanız daha büyük bir ekrana geçene kadar bekleyin. Çok az dürüst ek bir saat bekleyemez.
Mac'lerin kendi koruması Gatekeeper vardır; indirilen uygulamaları ilk çalıştırmadan önce kontrol eder ve tanımlanmış bir geliştiriciden olmayan yazılımlar hakkında uyarır. Dolandırıcılık talimatları bazen bu uyarıyı, dosyayı farklı bir yoldan açarak ya da Terminal'e bir komut yapıştırarak aşmanızı söyler. Bu talimatlara, bir Word belgesindeki "İçeriği Etkinleştir"e davrandığınız gibi davranın. Tablonun ilk satırlarının Mac karşılığı olan, yabancılardan gelen .dmg, .pkg, .app ve .command dosyalarına dikkat edin.
Şansı değiştiren ayarlar
Bunların hiçbiri uzman araç gerektirmez. Bu listeyi bir kez gözden geçirmek bir kahve molası kadar sürer ve çoğunun bir daha tekrarlanması gerekmez.
| Ayar | Nerede | Neye yardımcı olur |
|---|---|---|
| Dosya adı uzantılarını göster | Dosya Gezgini Görünüm menüsü; Finder Ayarlar, Gelişmiş | Çift uzantılar ve kılık değiştirmiş dosyalar |
| Otomatik güncellemeler | Sistem ve uygulama mağazası ayarları | Görüntüleyicilerdeki, tarayıcılardaki ve Office'teki bilinen açıklar |
| Güvenlik yazılımı açık | Windows Güvenliği ya da seçtiğiniz ürün | Dosyalar kaydedilirken ya da açılırken bilinen zararlı yazılım |
| Korumalı Görünüm ve makro engelleme | Office: Dosya, Seçenekler, Güven Merkezi, Güven Merkezi Ayarları (normalde açık) | Sizin kararınız olmadan kod çalıştıran belgeler |
| Bilinmeyen uygulama yüklemelerini engelle | Android: Özel uygulama erişimi | E-postayla alınan APK dosyaları |
| Günlük kullanım için standart, yönetici olmayan hesap | Sistem hesap ayarları | Zararlı yazılımın kolayca sistem genelinde yetki kazanması |
| Önemli hesaplarda çok faktörlü oturum açma | Her hesabın güvenlik sayfası | Çalınan bir parolanın ardından hesap ele geçirme |
| Kayıtlar için ayrı bir adres | İkincil adres, takma ad ya da geçici gelen kutusu | Ana gelen kutunuzun hedef olması |
Yaygın ekler ve genelde nasıl ters gider
Aşağıdaki durumlar sıkça karşılaşılan kalıplara örnektir. Her birinde önemli olan, gerçeğinin normalde nasıl ulaştığı ile önünüzde gördüğünüz arasındaki farktır.
| İddia | Gerçeği nasıl görünür | Sizi ne durdurmalı | Ne yapmalı |
|---|---|---|---|
| Kullanmadığınız bir şirketten fatura | Bir hesabınız ya da siparişiniz olurdu | İlişki yok ve çoğu zaman arşiv, HTML dosyası ya da makrolu belge | Silin |
| Kullandığınız bir şirketten fatura | Hesabınızda, olağan biçimde görünür | Yeni biçim, yeni banka bilgileri, tuhaf zamanlama | Doğrudan oturum açın ya da bilinen bir numarayı arayın |
| Paylaşılan belge "önizlemesi" | Paylaşım hizmetinden bir bağlantı; zaten oturum açtığınız yerde açılır | Giriş sayfası olan ekli bir HTML dosyası | Hizmete kendiniz gidin ve paylaşımı arayın |
| Özgeçmiş ya da portfolyo | Standart bir PDF ya da belge | Arşiv, makrolu belge ya da tuhaf bir indirme sitesine bağlantı | Önizleyin ve standart bir biçim isteyin |
| Sesli mesaj ya da faks bildirimi | Birçok telefon sistemi WAV ya da MP3 gibi bir ses dosyası gönderir | HTML, arşiv ya da program | Telefon sisteminizin portalını kontrol edin |
| "Müdürünüzden" acil dosya | Normal kanallar ve normal ton | Gizlilik, acele, ödeme talebi | Telefonla ya da yüz yüze doğrulayın |
| Eski bir yazışmada yeni ek | Kişinin kendi üslubuyla yazılmış ve konuya uygun | Genel "ekte bulabilirsiniz", hiç göndermedikleri bir dosya türü | Açmadan önce onlarla ayrıca iletişime geçin |
İşe alım yapan herkes için iş başvurusu satırı bir söz hak ediyor. İşe alım, tanımadığınız insanların size dosya göndermesinin beklendiği tam da o durumdur ve saldırganlar bu yüzden onu taklit eder. "Yalnızca PDF, arşiv ya da bağlantı yok" diyen yayımlanmış bir kural gerçek başvuru sahiplerine hiçbir şeye mal olmaz ve herhangi bir şey gelmeden riskin çoğunu ortadan kaldırır.
Küçük ekipler için
Bir ekibin e-postasına bakıyorsanız, birkaç kontrol yoğun bir öğleden sonra bir kişinin muhakemesine ne kadar bağlı olunduğunu azaltır. Posta hizmetini programlar ve betikler gibi yüksek riskli türleri tümüyle engelleyecek şekilde yapılandırın ve dışarıdan gelen parola korumalı arşivleri inceleme için bekletin. Adınızın taklit edilmesini zorlaştırmak için kendi alan adınıza SPF, DKIM ve DMARC yayımlayın ve sizin adınıza kimin gönderdiğini görmek için DMARC raporlarını okuyun. Kuruluş dışından gelen iletilerdeki görünür bir başlık, "patronun" başka yerden yazdığını insanların fark etmesine yardımcı olur.
Kurum içinde, güvendiğiniz bir platformdan paylaşılan bağlantılar eklerden iyidir; çünkü dışarıdan gelen her ek o zaman göze çarpar. Banka bilgisi değişikliğinin, kim isterse istesin ve ne kadar acil görünürse görünsün, kayıtlı bir numaradan telefonla her zaman doğrulanacağına dair yazılı bir kural üzerinde anlaşın. Ve çalışanlara şüpheli postayı bildirmek için tek tıklık bir yol verin, onu kullananlara, zaten tıklamış olanlar dahil, teşekkür edin. Utançla sessizliğe itilen biri, bir sızıntıcıya saatlerce ek zaman verir.
Zaten açtıysanız
Dikkatli insanlar da bu hatayı yapar, genellikle yorgun ya da meşgulken. İlk dakikalar önemlidir ve yapacaklarınız gerçekte ne olduğuna bağlıdır.
Güncel bir görüntüleyicide bir resim ya da PDF açtınız ve hiçbir şeye tıklamadınız. Gerçekçi risk düşüktür. Bir tarama çalıştırın ve devam edin; takip iletilerine karşı tetikte kalın.
Bir şey çalıştırdınız, çıkardınız ya da makroları etkinleştirdiniz. Bu adımları sırayla izleyin:
- Dosyayı kapatın ve istemlerine yanıt vermeyi bırakın. Hiçbir parola girmeyin.
- Wi-Fi'yi kapatın ya da ağ kablosunu çekin. Bu, zararlı yazılımın başka bileşenler almasını ya da veri göndermesini durdurabilir.
- İş cihazındaysa hemen başka bir cihazdan bildirin ve kendiniz temizlemeye çalışmayın. Erken bildirimler BT ya da güvenlik çalışanlarının sorunu yayılmadan önce kontrol altına almasını sağlar.
- Tam tarama çalıştırın. Windows Güvenliği'nde Virüs ve tehdit koruması, Tarama seçenekleri yoluna gidin; orada bir Microsoft Defender Çevrimdışı tarama bilgisayarı yeniden başlatır ve Windows yüklenmeden önce tarar.
- Farklı, temiz bir cihazdan önemli parolalarınızı değiştirin; e-postadan başlayın, çünkü e-posta diğer her şeyi sıfırlayabilir. Sonra bankacılığı ve etkilenen makinede yakın zamanda oturum açtığınız her şeyi yapın.
- E-posta hesabınızın son oturum açmalarını, yönlendirme kurallarını, filtrelerini ve bağlı uygulamalarını gözden geçirin. Saldırganlar bazen, parolayı değiştirdikten sonra da postanızı almaya devam etmek için gizli bir kural ekler.
- Önemli hesaplarda çok faktörlü oturum açmayı açın ya da hâlâ açık olduğunu doğrulayın.
Ekin açtığı bir sayfaya parola yazdınız. O parolayı çalınmış sayın. Gerçek sitede adresi kendiniz yazarak değiştirin ve kullandığınız her yerde değiştirin.
Kart bilgilerini girdiniz. Kartınızın üzerinde yazılı numaradan bankanızı ya da kart sağlayıcınızı arayın ve kartı bloke etmelerini isteyin.
Cihaz hâlâ tuhaf davranıyor. Yeni programlar, kapatılmış güvenlik araçları ve tarayıcı yönlendirmeleri, taramanın yetmediğinin işaretleridir. Bilinen iyi bir yedekten geri yükleme ya da sistemi yeniden kurma güvenilir çözümdür ve çevrimdışı ya da sürümlü bir yedek tutmanın pratikte ek güvenliğinin bir parçası olmasının nedeni budur.
Geçici gelen kutusu nereye uyar, nereye uymaz
Yukarıdakilerin hepsi riskli bir ileti size ulaştıktan sonra devreye girer. Gelen kutusu gizliliği ise daha önce, önemli adresinize kimlerin ulaşabileceğini baştan sınırlayarak çalışır. Gerçek adresinizi tutan her site onu sızdırabilir, satabilir ya da ihlale uğrayabilir. Bu maruziyeti azaltmak, ileride daha az bilinmeyen gönderici demektir; bu da arada gelen beklenmedik dosyayı fark etmeyi kolaylaştırır. Kişisel e-postanızı düzenleme yazımız adresleri güven düzeyine göre nasıl ayıracağınızı anlatıyor.
Geçici gelen kutusu, en alt kademe için bir araçtır. Sitenin koşullarının izin verdiği yerde tek seferlik bir indirme ya da tek bir forum sorusu için kullanırsanız, o gönderici ana adresinizi hiç öğrenmez. Gerçek e-postanız olmadan kayıt olma rehberimiz bunun ne zaman uygun olduğunu ve ne zaman kalıcı bir adresin doğru seçim olduğunu anlatıyor. Geliştiriciler de kişisel bir posta kutusunu doldurmadan, kendi uygulamalarının ekleri doğru gönderdiğini denetlemek için geçici gelen kutuları kullanır.
Sınırları açıkça bilin. Geçici bir adres cihazınızı değil adresinizi korur. Bir dosyayı indirdiğinizde bu makaledeki her kontrol tam olarak geçerlidir. Geçici gelen kutuları sözleşmeler, kimlikler, tıbbi ya da finansal kayıtlar için değildir; bankacılık, kamu hizmetleri ya da kurtarmanız gereken herhangi bir hesap için de uygun değildir. Bir adresi bilen ya da tahmin eden herkes o gelen kutusunu açabilir, bu yüzden rastgele bir adres daha güvenli seçimdir ve oraya hiçbir gizli şey ait değildir.
VookMail'de sayfa yüklendiğinde adres hazırdır, kayıt gerekmez. Ekler boyut sınırları içinde çalışır ve gelen kutusu iletiyi gösterir, dosyaları hiçbir şeyi çalıştırmadan listeler. .exe, .bat ve .apk gibi yaygın program dosyaları reddedilir, .zip gibi arşivler ise bir uyarı gösterir; bu, yukarıdaki arşiv adımlarını uygulamak için yararlı bir hatırlatmadır. Alan adlarımız postayı, bize HTTPS üzerinden ileten bir posta teslim sağlayıcısı aracılığıyla alır. İletiler ve ekler yaklaşık bir gün sonra silinir; bu yüzden ihtiyacınız olanı hemen indirin ve gelen kutusunu depolama gibi görmeyin. Gizlilik politikası ve yöntem sayfası işleyişi daha ayrıntılı açıklıyor.
QR düğmesi de ek konusunda dikkatli olmaya yardımcı olabilir. Adresinizi başka bir cihazda tarayabileceğiniz bir kod olarak gösterir; orada Yeni ve aynı adres ile alan adı o gelen kutusunu açar. Dolayısıyla şüpheli bir dosyaya ana bilgisayarınızda değil bir telefonda ya da yedek bir cihazda bakmayı tercih ediyorsanız bunu yapabilirsiniz. Bilerek indirdiğiniz bir dosya yine de size vaat edilenle uyuşmalıdır. Bir site PDF rehber sunduysa ve size bir kısayol taşıyan ZIP geldiyse silin.
Unutulması gereken hatalar
- Şüpheli bir dosyayı "bakması için" bir meslektaşa iletmek. Bu riski yayar. Onun yerine kuruluşunuzun bildirim yolunu kullanın.
- İçinde ne olduğunu görmek için bir arşivi çıkarmak; oysa içeriği listelemek size söylerdi.
- Aynı e-postada verilen bir parolayı kullanmak. Bu, saldırganın istediğini verir: tarayıcınızın hiç görmediği bir dosya.
- Alışkanlıkla Düzenlemeyi Etkinleştir'e tıklamak. Yalnızca okumanız gereken bir belge için kazanılacak bir şey yoktur.
- Temiz taramayı kanıt saymak. Bu, bugün hiçbir tarayıcının dosyayı tanımadığı anlamına gelir.
- Gizli dosyaları, özel verileri üçüncü taraflarla paylaşabilecek herkese açık tarayıcılara yüklemek.
- Güncellemeleri geciktirmek. Birçok ek istismarı, Office'in, PDF okuyucuların, tarayıcıların ve işletim sistemlerinin güncel sürümlerinde zaten giderilmiş açıkları hedefler.
- Kötü bir tıklamadan sonra sessiz kalmak. İş hesabında bir saatlik sessizlik saldırgandan başka kimseye yaramaz.
Sık sorulan sorular
Bir e-postayı sadece açarak virüs kapabilir miyim?
Güncel bir posta uygulamasında bir iletiyi açıp okumak bir cihazı enfekte etmesi çok olası değildir. Tehlike genellikle bir eki açtığınızda ya da çalıştırdığınızda, makroları etkinleştirdiğinizde ya da bir bağlantıya tıkladığınızda başlar. Ancak görselleri yüklemek göndericiye iletiyi açtığınızı söyleyebilir; bu bir enfeksiyon değil gizlilik sorunudur.
Antivirüs beni tüm zararlı eklerden korur mu?
Hayır. Antivirüs ve posta filtreleri bilinen tehditlerin büyük kısmını yakalar, ama yeni ya da özelleştirilmiş dosyalar geçebilir ve sahte bir giriş sayfası hiç zararlı yazılım içermeyebilir. Tarama; göndericiyi kontrol etme, dosya türlerini bilme, engellenen makrolar ve güncellemelerle birlikte bir katmandır.
Bir arkadaştan geldi diye ekine güvenmeli miyim?
Kişiye güvenin ve yine de iletiyi kontrol edin. Hesaplar ele geçirilir; bu yüzden olağandışı kısa bir notla bir arkadaştan gelen tuhaf bir dosya için, gönderip göndermediğini sormak adına hızlı bir kısa mesaj atmaya değer.
Şüpheli bir dosyayı telefonumda açmak daha güvenli mi?
Windows programları için olabilir; orada çalışmazlar. Sahte giriş sayfalarına karşı hiçbir şey yapmaz ve bunlar bir PDF ya da HTML dosyasında daha olası tehdittir. Telefon farklı bir risktir ve gerçek bir ayrım istediğinizde yedek bir cihaz ya da sandbox daha iyi seçimdir.
Geçici bir gelen kutusunda ek almak güvenli mi?
Almak, her gelen kutusundakiyle aynıdır; çünkü hizmet dosyayı saklar ve gösterir, çalıştırmaz. Önemli olan indirdikten sonra ne olduğudur. Aynı kontrolleri uygulayın ve adresi tahmin ederlerse başkalarının açabileceği bir gelen kutusuna gizli hiçbir şey koymayın.