Kimlik Avı E-postaları Nasıl Anlaşılır: Gerçekten İşe Yarayan Belirtiler

İşte bu makale için uydurulmuş bir örnek. Adreslerine ulaşılamaz; yalnızca okumayı alıştırmanız için gösteriliyor.

Örnek kimlik avı iletisi, gerçek değil
Kimden: "Posta Kutusu Desteği" <helpdesk@mail-storage-notice.example>
Konu: Posta kutunuz %98 dolu, iletiler bekletiliyor

Sayın kullanıcı, depolama alanınız dolu olduğu için gelen 14 ileti teslim edilemedi. Bunları serbest bırakmak ve askıya alınmayı önlemek için 24 saat içinde hesabınızı doğrulayın.
[İletilerimi serbest bırak]

Ele verenler şunlar: ilişkide olmadığınız birine ait gönderen alan adı, adınızı bilmeyen bir hitap, tehditle birlikte gelen bir süre sınırı ve sizden oturum açmanızı isteyen bir düğme. Hiçbir şey yanlış yazılmamış ve bugün tipik olan da bu. Kimlik avı e-postalarını gerçek gönderen adresine bakarak, bağlantıların gerçekte nereye gittiğini okuyarak, beklenmedik parola, para ya da dosya açma taleplerine şüpheyle yaklaşarak ve önemli her şeyi iletinin kendisi yerine zaten güvendiğiniz bir yoldan doğrulayarak anlarsınız.

Kimlik avı, güvendiğiniz bir kişiyi ya da kuruluşu taklit eden ve sizi kimlik bilgilerinizi vermeye, para ödemeye, zararlı yazılım kurmaya ya da sonraki bir saldırıda işe yarayacak bilgileri açıklamaya yönlendiren iletidir. Kötü dil bilgisine ve beceriksiz logolara dayanan tavsiyeler eskidi; çünkü bir markanın tasarımını kopyalamak çok kolay, çeviri ve yazı araçlarına da herkes ulaşabiliyor. Güvenilir kalan şey, iletinin sizden ne yapmanızı istediği ve teknik kanıtların nereden geldiğini ne söylediğidir.

Hangi işaretlere dikkat etmelisiniz

Uyarı işaretleri eşit değildir. Bu sıralama ölçülmüş bir istatistik değil, saldırıların nasıl işlediğine dayanan bir değerlendirmedir; ama kısa dikkatinizi nereye harcayacağınızı gösterir.

İşaret	Size ne kadar şey söyler	Neden
Bağlantı, iddia edilen kuruluşun olmayan bir alan adına gidiyor	Çok yüksek	Uyuşmazlık, kimlik bilgisi avının özüdür
E-posta parola, tek kullanımlık kod ya da tam kart numarası istiyor	Çok yüksek	Yasal hizmetler bunları e-postayla toplamaz
Ödeme bilgileri e-postayla "acilen" değiştirildi	Çok yüksek	İş e-postası dolandırıcılığının standart kalıbı
Gönderen alan adı kuruluşla uyuşmuyor	Yüksek	Benzer görünen alan adları ve ücretsiz posta göndericileri yaygındır
Beklenmedik arşiv, HTML dosyası ya da makrolu belge	Yüksek	Zararlı yazılım ya da sahte giriş sayfası ulaştırmanın yaygın yolları
İddia edilen alan adı için DMARC başarısız	Yüksek	Sahteciliğin güçlü kanıtı; ancak geçmesi çok şey kanıtlamaz
Güçlü aciliyet ya da tehdit	Orta	Kimlik avında yaygın, ama gerçek güvenlik uyarıları da acil olabilir
Genel hitap	Orta	Toplu kampanyalar kullanır, hedefli olanlar adınızı kullanır
Yazım ve dil bilgisi hataları	Düşük ile orta arası	Modern kimlik avı çoğu zaman özenlidir, gerçek postalarda da yazım hatası olur
Logo ya da düzen tuhaf görünüyor	Düşük	Bir markanın tasarımını kopyalamak dakikalar alır

Tablonun üst kısmının hedef ve talep, alt kısmının ise görünüş hakkında olduğuna dikkat edin. En yararlı zihinsel geçiş, "Bu gerçek görünüyor mu?" diye sormayı bırakıp "Benden ne istiyor ve bunu bu iletiyi kullanmadan nasıl doğrulayabilirim?" diye sormaktır.

Bir bağlantıyı doğru okumak

Bu makaleden tek bir teknik beceri öğreneceksiniz diye düşünüyorsanız, bu olsun; çünkü bir bağlantının görünen metni ile gerçek hedefi tamamen ayrı şeylerdir. "Hesabınıza giriş yapın" yazan bir düğme herhangi bir yere işaret edebilir. Bilgisayarda bağlantının üzerine tıklamadan gelin ve durum çubuğunda ya da araç ipucunda beliren adresi okuyun. Telefonda bağlantıya basılı tutarak önizleyin, sonra vazgeçin.

Çoğu insan web adreslerini soldan okur ve saldırganlar buna güvenir. Sahiplik, ana bilgisayar adının sağ ucunda belirlenir: kayıtlı alan adı ve uzantısı, ilk tek eğik çizgiden hemen önce. Bunun solundaki her şey, sahibinin istediği metne ayarlayabileceği bir alt alan adıdır. Eğik çizgiden sonrası bir yoldur ve o da her şeyi söyleyebilir. İkinci, üçüncü ve dördüncüsü kurgusal olan şu dört örneğe bakın:

• https://accounts.google.com/signin Google'a aittir, çünkü alan adı google.com'dur.
• https://accounts.google.com.secure-login.example/signin adresi secure-login.example alan adına aittir. Marka adı yalnızca bir alt alan adıdır.
• https://secure-login.example/accounts.google.com/ adresi de secure-login.example alan adına aittir; marka yolda yer alıyor.
• https://www.paypal.com@203.0.113.7/ eski bir numara kullanır. @ işaretinden önceki her şey kullanıcı adı sayılır ve gerçek hedef, ondan sonraki IP adresidir.

Birkaç bağlantı kalıbı daha sizi yavaşlatmalı. Büyük bir markadan gelen iletide bağlantı kısaltıcıları tuhaftır; kendi alan adını gizlemesi için bir neden yoktur. "Bir belgeyi görmek için giriş yapın" diyen form oluşturucu ya da dosya paylaşım hizmeti bağlantıları sık kullanılan bir yöntemdir; çünkü kimlik avı sayfaları çoğu zaman yasal bulut platformlarında barındırılır. Dolayısıyla adreste güvenilir bir barındırma adının bulunması sayfanın güvenli olduğu anlamına gelmez. Asıl soru, alan adının muhatap olduğunu sandığınız kuruluşa ait olup olmadığıdır.

Asma kilit de her iki yönde yardımcı olmaz. HTTPS size bağlantının şifreli olduğunu söyler ve ücretsiz sertifikalar suçlular dahil herkese açıktır. Asma kilitli sahte bir banka sayfası, bir hırsıza giden şifreli bir bağlantıdır.

Uluslararası benzerlere karşı da temkinli olun. Alan adları, Latin harflerinden ayırt edilemeyen başka alfabelerin karakterlerini kullanabilir; örneğin Latin "a" yerine Kiril "а". Tarayıcılar bunları çoğu zaman xn-- ile başlayan kodlu bir biçimde gösterir ve tanıdık bir markanın olması gereken yerde bu öneki görmek yararlı bir ipucudur.

Göndericiyi okumak

Posta uygulamaları görünen adı büyük yazıyla gösterir, adresi ise çoğunlukla gizler; görünen ad ise göndericinin seçtiği serbest metindir. "Microsoft Hesap Ekibi" gösteren bir ileti, alakasız bir alan adından ya da rastgele ele geçirilmiş bir posta kutusundan gelebilir. Bilgisayarda adın üzerine gelin ya da tıklayın. Telefonda genişletmek için dokunun. Sonra @ işaretinden sonraki kısma bakın ve şu kalıpları aklınızda tutun (buradaki alan adları örnektir):

• Yer değiştirmiş karakterler; örneğin m yerine rn ya da l harfi yerine 1 rakamı.
• Eklenmiş sözcükler; örneğin netflix-billing.example. Markalar hesap postası için adlarının tireli türevlerini nadiren kullanır.
• Farklı bir uzantı; örneğin yourbank.com beklerken yourbank.co.
• Banka, hukuk bürosu ya da genel müdürünüz olduğunu iddia eden ücretsiz bir bireysel posta kutusu.

Sonra yanıt adresini kontrol edin. Bir ileti makul bir Kimden satırı gösterip Reply-To alanını saldırganın posta kutusuna ayarlayabilir; böylece yanıtınız başka yere gider. Birçok uygulama Yanıtla'ya bastığınızda hedefi gösterir, o yüzden göndermeden önce bakın.

Gönderici kontrolünün açık bir sınırı var: ele geçirilmiş hesaplar hakkında hiçbir şey söylemez. Gerçek bir meslektaşınızın ya da tedarikçinizin posta kutusu ele geçirilmişse adres kusursuz olacaktır. Bu durumda tek işaretiniz talebin kendisidir ve bu bizi bir sonraki noktaya getiriyor.

Dürüst hiçbir göndericinin e-postayla yapmadığı talepler

Bazı talepler, iletinin geri kalanı ne kadar iyi görünürse görünsün şüphelidir. Parolanız ya da PIN'iniz. SMS ya da uygulamayla az önce aldığınız tek kullanımlık kod. Güvenlik koduyla birlikte tam kart numarası. Hediye kartı ya da kripto para ile ödeme, ya da yeni bir hesaba havale. Hiç bildirmediğiniz bir sorun için bilgisayarınıza uzaktan erişim. "Denetim için" dışarıdaki bir adrese gönderilen gizli dosyalar ya da personel verileri.

Tek kullanımlık kod talebini anlamaya değer, çünkü çok zararsız hissettirir. Parolanıza zaten sahip olan bir saldırgan bir oturum açma işlemi başlatır; bu da gerçek hizmetten size gerçek bir kod gönderir. Sonra size destek ekibi gibi davranarak yazar ve o kodu "onaylamanızı" ister. Aldığınız bir kodu isteyen herkes, sizin adınıza oturum açmaya çalışıyordur.

Devlet kurumları da yaygın bir kılıftır. Örneğin ABD'deki IRS, vergi mükellefleriyle kişisel ya da finansal bilgi istemek için e-postayla iletişim başlatmadığını söylüyor ve başka ülkelerdeki birçok vergi idaresi de benzer uyarılar yayımlıyor. Bir iade ya da cezanın gerçek olabileceğini düşünüyorsanız kurumun adresini kendiniz yazın ve orada oturum açın.

Dikkatli insanlar neden yine de tuzağa düşer

Kimlik avı yazılımdan çok davranışı hedef alır. İyi hazırlanmış iletiler, önce harekete geçip sonra düşünmeniz için hızlı bir duygusal tepki yaratmayı amaçlar. Aciliyet bariz koldur ("hesap 24 saat içinde kapatılacak"); bunun yanında korku ("olağan dışı oturum açma", "bekleyen yasal işlem") ve otorite gelir; iddia edilen gönderici bir genel müdür, bir banka ya da BT desteği olur. Ödül ve merak da işe yarar: iadeler, ödüller ve "profilinize kimlerin baktığını görün". Sonra düz yardımseverlik var; örneğin bir meslektaşın acilen bir dosyanın gözden geçirilmesini istemesi.

Rutin belki de en güçlüsüdür. Sahte bir fatura, teslimat bildirimi ya da paylaşılan belge, her hafta ilgilendiğiniz onlarca gerçeğine benzer ve en az dikkatli olduğunuz şeyler otomatik pilotta yaptıklarınızdır. Bu nedenle amaç, kimsenin sürdüremeyeceği biçimde her e-postadan şüphelenmek değildir. Amaç, bir iletinin hassas bir şey istediği anı fark etmek ve o anda tepki vermekten kontrol etmeye geçmektir.

Saldırı türleri ve her birinin neyi değiştirdiği

İsimler, her çeşidin yukarıdaki tavsiyeye ne yaptığını bilmekten daha az önemlidir. Bazıları olağan kontrolleri boşa çıkarır.

Tür	Nedir	Sizin için neyi değiştirir
Toplu kimlik avı	Dev listelere giden genel ileti; örneğin dolu bir posta kutusu ya da takılmış bir paket	Yakalaması en kolay tür, çünkü hayatınıza nadiren uyar
Hedefli kimlik avı (spear phishing)	Sosyal medyadan ya da ihlal verilerinden alınan ad ve ayrıntılarla size göre hazırlanmış	Kişisel ayrıntılar hiçbir şeyi kanıtlamaz
Whaling	Yöneticileri ya da parayı elinde tutan kişileri hedefleyen hedefli kimlik avı	Kıdem sizi hedef yapar
İş e-postası ele geçirme (BEC)	Parayı yönlendirmek için bir yöneticiyi, tedarikçiyi ya da meslektaşı taklit etmek veya hesabını ele geçirmek	Çoğu zaman bağlantı da ek de yoktur, bu yüzden tarayıcılar bir şey görmez
Klon kimlik avı	Gerçek bir önceki e-postanın kopyalanıp bağlantısı ya da dosyası değiştirilerek yeniden gönderilmesi	Tanıdık içerik kanıt değildir
Yazışma ele geçirme	Ele geçirilmiş bir posta kutusundan gerçek bir konuşmanın içinde yanıt vermek	Gönderici kontrolü geçer
Quishing	Bağlantının yerini bir QR kod alır	Sizi masaüstü korumalarından ve bağlantı tarayıcılarından uzak, bir telefona taşır
İzin yoluyla kimlik avı	Zararlı bir uygulama, gerçek bir "İzin ver" ekranında erişim ister	Hiçbir parola çalınmaz ve oturum açma sayfası gerçektir
Geri arama yoluyla kimlik avı	Sahte bir fatura ya da yenileme, aranacak bir telefon numarası verir	Tıklanacak bir şey yoktur ve dolandırıcılık telefon görüşmesinde olur
Cihaz kodu yoluyla kimlik avı	Gerçek bir oturum açma sayfasında bir kod girmeniz istenir ve bu, saldırganın cihazını yetkilendirir	Alan adı kontrolü geçer, bu yüzden beklenmedik talep ipucudur

Son üçü için bir cümlelik pratik tavsiye. Her "Erişime izin ver" ekranındaki izin listesini okuyun ve bilmediğiniz bir uygulama postanızı okumak istiyorsa reddedin. Beklenmedik bir faturada yazılı numarayı asla aramayın. Ve bir e-postada ya da sohbette biri söyledi diye, o süreci önünüzdeki bir cihazda kendiniz başlatmadıysanız, bir oturum açma sayfasına asla kod girmeyin.

Açıklamalı örnek iletiler

Aşağıdakilerin hepsi, yaygın olarak belgelenmiş kalıplara dayanan uydurma örneklerdir. Adlar ve alan adları kurgusaldır.

Örnek: paylaşılan belge

Yalnızca örnek
Kimden: "Jordan (Docs aracılığıyla)" <jordan.m@partnerfirm-mail.example>
Konu: Jordan sizinle "Q3 Ödeme Takvimi" dosyasını paylaştı

Docs'ta aç

Bu, bir paylaşım bildirimini taklit eder; ancak gönderici tanımadığınız dış bir adrestir ve düğme sizden e-posta parolanızı isteyen, çoğu zaman bir sıra sağlayıcı logosu içeren bir sayfaya götürür. Gerçek bildirimler platformun kendi alan adından gelir ve zaten oturum açtığınız bir oturumda açılır. Tanıdığınız bir Jordan varsa ona sorun. Ne olursa olsun, "paylaşılan dosya" e-postasından ulaştığınız bir sayfaya parolanızı yazmayın.

Örnek: tedarikçinin yeni banka hesabı

Yalnızca örnek
Kimden: "Alacak Hesapları" <ar@supplier-co.example>
Konu: YNT: 4471 numaralı fatura

Bir denetim nedeniyle banka bilgilerimizin değiştiğini lütfen not edin. Bu ve sonraki ödemeler için ekteki yeni hesap bilgilerini kullanmanızı rica ederiz. Ödeme gecikmiştir, lütfen bugün işleme alın.

Burada bağlantı olmayabilir ve bu, tedarikçinin gerçek, ele geçirilmiş posta kutusundan gerçek bir yazışma içinde gelebilir. Her teknik kontrol geçebilir. Kırmızı bayrak taleptir: ödeme bilgilerinin e-postayla, aciliyetle değiştirilmesi. Bir şey ödemeden önce tedarikçiyi, e-postadaki ya da imzasındaki değil, kayıtlarınızda zaten bulunan bir numaradan arayın. Para zaten gittiyse hemen bankanızı arayın ve ödemenin geri çağrılmasını sorun; ABD'deyseniz ic3.gov adresinden bildirin.

Örnek: paket ücreti

Yalnızca örnek
Konu: Paketiniz bekletiliyor: gümrük ücreti ödenmedi

Paketinizi teslim etmeyi denedik. Yeniden planlamak için küçük bir ücret gerekiyor. Göndericiye iade edilmesini önlemek için şimdi ödeyin.

Küçük tutar tedbirinizi düşürür; amaç tam kart bilgilerinizdir ve bunlar sonra daha büyük bir dolandırıcılıkta kullanılabilir. Teslimatları, perakendecinin kendi sipariş sayfasındaki ya da kuryenin resmî uygulamasındaki numarayla takip edin.

Örnek: "toplantıda" olan yönetici

Yalnızca örnek
Kimden: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Konu: küçük bir iyilik

Müsait misin? Bir müşteri için gizlice halletmeni istediğim bir şey var. Toplantıdayım, o yüzden yalnızca e-posta.

Kişisel bir posta kutusu, gizlilik talebi ve "yalnızca e-posta" birlikte kalıbı oluşturur ve devamında genellikle hediye kartı kodları ya da bir havale istenir. İletinin kendisinde taranacak hiçbir şey yoktur. Yöneticiye şirket rehberi, sohbet ya da telefonla ulaşın ve BT'ye haber verin.

Örnek: QR kod

Yalnızca örnek
Konu: Çok faktörlü kimlik doğrulama güncellemesi gerekiyor

MFA ayarlarınızın süresi bugün doluyor. Yeniden kaydolmak için aşağıdaki QR kodu telefonunuzla tarayın.

Çok faktörlü doğrulama ayarlarının süresi e-postayla dolmaz. Kod sizi, adresin incelenmesinin daha zor olduğu ve şirket korumalarının geçerli olmayabileceği bir telefona taşır. Taramayın. BT'ye danışın ya da hesabın güvenlik ayarlarına doğrudan bakın.

Örnek: vergi iadesi

Yalnızca örnek
Konu: Vergi iadesi almaya hak kazandınız

Faaliyetinizin yıllık hesaplanmasının ardından iade almaya hak kazandınız. Formu 48 saat içinde gönderin.

Beklenmedik bir hediye ve kimlik ile kart bilgilerinizi isteyen bir form. Resmî devlet portalına adresini yazarak gidin ya da kurumun yayımlanmış numarasını arayın.

Örnek: kısmen doğru olan hesap uyarısı

Yalnızca örnek
Kimden: "Hesap Güvenliği" <no-reply@secure-acct-center.example>
Konu: İşlem gerekli: olağan dışı oturum açma etkinliği

Yeni bir cihazdan oturum açma girişimi algıladık. Hesabınızı etkin tutmak için 24 saat içinde kimliğinizi doğrulayın. [Şimdi doğrula]

Gerçek hizmetler oturum açma uyarıları gönderir; bu yüzden bu kategori diğerlerinden daha fazla özen ister. Burada alan adı geneldir ve ileti hizmetin adını bile anmıyor. Bunu e-postanın içinden akıl yürüterek çözmeyin. Hizmetin uygulamasını açın ya da adresini yazın ve son etkinlik sayfasına bakın. Orada hiçbir şey listelenmiyorsa e-posta sahteydi. Bu alışkanlık gerçek uyarılar için de işe yarar, çünkü onlar da orada görünecektir.

Emin olmadığınızda başlıkları kontrol etmek

Başlıklar, bir iletinin nereden geldiğine dair teknik kanıt taşır. Gmail'de üç nokta menüsünü açıp Orijinali göster seçeneğini seçin; bu aynı zamanda en üstte kısa bir özet verir. Web üzerindeki Outlook'ta Görünüm, İleti kaynağını görüntüle yolunu kullanın. Apple Mail'de Görünüm, İleti, Tüm Başlıklar yolunu kullanın.

Göreceğiniz sonuçların arkasında üç standart var. SPF, bir alan adının postasını hangi sunucuların gönderebileceğini yayımlamasını sağlar ve alıcı gönderen sunucuyu bu listeyle karşılaştırır. DKIM, imzalayan alan adının DNS'indeki bir açık anahtarla doğrulanan kriptografik bir imza ekler; bu, imzalanan bölümlerin değiştirilmediğini ve alan adının sorumluluğu üstlendiğini gösterir. DMARC bunları görünen Kimden satırındaki alan adına bağlar (bu özelliğe hizalama denir) ve alıcılara başarısızlık durumunda ne yapacaklarını söyler: hiçbir şey, karantina ya da reddetme. Google ve Yahoo 2024'ten beri toplu göndericilerden bir DMARC kaydı yayımlamasını şart koşuyor; bu da bu sonuçları daha yaygın hâle getirdi.

Authentication-Results: ile başlayan satırı bulun. Kurgusal bir örnekte şöyle görünebilir:

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example

Burada her kontrol geçiyor ve tüm alan adları uyuşuyor. Sahte bir ileti dmarc=fail gösterebilir ya da Kimden satırındakinden tamamen farklı bir alan adı için geçme sonucu verebilir. Bu tablo, bulduklarınızı nasıl yorumlayacağınızı kapsıyor.

Sonuç	Ne anlama gelir	Ne anlama gelmez
Markanın gerçek alan adı için DMARC geçti	O alan adı tarafından ya da adına gönderildi	O şirketteki ele geçirilmiş bir hesabı dışlamaz
Benzer görünen bir alan adı için DMARC geçti	Saldırgan o alan adına sahip ve doğru kurmuş	İleti güvenli değildir ve kimlik avında bu yaygındır
Markanın alan adı için DMARC başarısız	Sahteciliğin güçlü işareti ya da kontrolü bozan bir yönlendirme	Posta listeleri ve yönlendirme zaman zaman gerçek postayı bozar
DMARC kaydı yok	Alan adı hiçbir politika yayımlamamış	Tek başına hiçbir şey kanıtlamaz, ama o alan adını taklit etmek daha kolaydır

Çıkan ders şu: kimlik doğrulama iletiyi kimin gönderdiğini söyler, dürüstlük ise ayrı bir konudur. bank-resolution-center.example alan adından gelen kusursuz sonuçlu bir e-posta yine kimlik avıdır. İstediğiniz birleşik kontrol, doğrulanmış alan adının sandığınız kuruluş olmasıdır.

Received: satırları rota boyunca her sunucuyu kaydeder; en yenisi en üsttedir. "Yerel banka" e-postasının alakasız bir sunucuda başladığını gösterebilirler, ancak kendi sağlayıcınızın iletiyi aldığı noktanın altındaki her şey sahte olabilir; bu yüzden yalnızca sağlayıcınızın sunucularının eklediği girdilere güvenin. Çoğu kişi için kimlik doğrulama satırı ve alan adı kontrolü yeterlidir.

Kimlik avı e-postasındaki ekler ve görseller

Ekler zararlı yazılım ulaştırır ya da sahte bir giriş sayfasına götürür. En çok dikkat gerektiren biçimler şunlardır: .zip, .rar, .7z, .iso ve .img gibi arşivler ve disk görüntüleri, yerel bir sahte oturum açma sayfası açan HTML dosyaları, sizden "İçeriği Etkinleştir" ya da "Düzenlemeyi Etkinleştir" isteyen Office belgeleri, invoice.pdf.exe gibi çift uzantılar, .js, .vbs, .lnk ve .bat gibi betikler ve kısayollar, ve yalnızca bir düğme ya da QR kod içeren PDF'ler. Ek güvenliği rehberimiz her türü nasıl değerlendireceğinizi ve şüpheli bir dosyayı daha az riskle nasıl açacağınızı anlatıyor.

Görseller daha sessizdir. Uzak bir görsel göndericiye adresinizin canlı olduğunu söyleyebilir; "doğrulanmış" adres listeleri böyle oluşturulur. Bunun nasıl işlediğini ve hangi ayarların onu durdurduğunu e-posta izleme pikselleri yazımızda açıklıyoruz. Posta uygulamanızı harici görselleri göstermeden önce soracak şekilde ayarlamak için küçük bir nedendir.

Telefonda ekstra özen

Telefonlar bunların hepsini zorlaştırır. Ekran küçüktür, adresler varsayılan olarak gizlidir ve bağlantı önizlemeleri uzun basma gerektirir. Birkaç alışkanlık bunu telafi eder. Bir iletiye güvenmeden önce adresi görmek için gönderici adına dokunun. Bağlantılara dokunmak yerine basılı tutun. Bankalar, mağazalar ve sosyal ağlar için e-postadaki hiçbir şeyi izlemek yerine resmî uygulamayı açın. E-postalardaki QR kodlara özel şüpheyle yaklaşın, çünkü onları okuduğunuz aynı cihazla tararsınız. Kameranız adresi açmadan önce bir önizleme gösteriyorsa, onu herhangi bir bağlantıyı okuduğunuz gibi okuyun.

Aynı hileler SMS ve mesajlaşma uygulamalarıyla da gelir (genelde smishing denir) ve bir telefon görüşmesi, e-postayı daha ikna edici kılmak için ardından gelebilir (buna vishing denir). Az önce aldığınız e-postadan söz eden bir arayan hiçbir şeyi doğrulamış olmaz; çünkü onu gönderen kendisi olabilir. Kapatın ve zaten sahip olduğunuz bir numarayı arayın.

Şüpheli bir iletiyle ne yapmalı

1. Tıklamayın, indirmeyin, kod taramayın ya da yanıtlamayın. "Bu gerçek mi?" diye sormak için yanıt vermek saldırgana ulaşır ve o evet diyecektir.
2. Gönderen adresini ve bağlantı hedeflerini yukarıda anlatıldığı gibi kontrol edin.
3. Bağımsız olarak doğrulayın. Resmî uygulamayı açın ya da adresi yazın. Kartınızın arkasındaki, elinizdeki bir faturadaki ya da şirket rehberindeki numarayı arayın.
4. Sağlayıcınıza bildirin. Gmail'de üç nokta menüsünde Kimlik avı olarak bildir seçeneği var. Outlook'ta Bildir altında Kimlik avı olarak bildir seçeneğine bakın. İş yerinde bildirme düğmesini kullanın ya da güvenlik ekibinizin talimatlarını izleyin ve meslektaşlarınıza sormak için iletiyi onlara iletmeyin; bu yemi yayar.
5. Taklit edilen kuruluş güvenlik sayfasında bir kimlik avı adresi yayımlıyorsa ona da bildirin. Örneğin Apple reportphishing@apple.com adresini kullanır.
6. Varsa bir kamu bildirim hizmeti kullanın. Birleşik Krallık'ta Ulusal Siber Güvenlik Merkezi, iletilen e-postaları report@phishing.gov.uk adresinde kabul eder. ABD'de FTC bildirimleri reportfraud.ftc.gov adresinde alır. Anti-Phishing Working Group, iletilen iletileri reportphishing@apwg.org adresinde kabul eder. Diğer ülkeler genellikle bir tüketici koruma ya da siber suç kurumu aracılığıyla benzer hizmetler işletir.
7. Bildirdikten sonra silin.

Zaten tıkladıysanız

Tıklamak yaygındır ve genellikle düzeltilebilir. Utanç sizi geciktirmesin; çünkü burada hız her şeyden çok işe yarar. Olanla eşleşen aşağıdaki durumu bulun.

Tıkladınız ve hiçbir şey girmediniz

Sekmeyi kapatın ve sayfanın sunduğu hiçbir şeyi indirmeyin. Tarayıcınızın ve sisteminizin güncel olduğundan emin olun, kendiliğinden bir şey indirildiyse güvenlik taraması çalıştırın. Daha fazla ileti bekleyin, çünkü tıklama adresinizin okunduğunu doğrulamış olabilir. Çoğu durumda iş burada biter.

Bir parola girdiniz

1. Adresini yazarak gerçek siteye gidin ve parolayı hemen değiştirin.
2. Aynı ya da benzer parolayı kullandığınız her yerde değiştirin. Çalınan parola e-postanız içinse bunu acil sayın, çünkü e-posta diğer her şeyi sıfırlar.
3. Diğer oturumlardan çıkış yapın. Bir Google hesabında güvenlik sayfasındaki Cihazlarınız bölümünü inceleyip tanımadığınız cihazlardan çıkış yapabilirsiniz; Gmail gelen kutusunun altındaki Son hesap etkinliği ayrıntıları da yakın zamandaki erişimi gösterir. Diğer hizmetlerde de benzer bir denetim var.
4. İki aşamalı doğrulamayı, tercihen bir geçiş anahtarı (passkey), güvenlik anahtarı ya da kimlik doğrulama uygulamasıyla açın.
5. Saldırganın yapmış olabileceği değişiklikleri arayın: kurtarma e-postası ve telefonu, yönlendirme kuralları ve filtreler, bağlı uygulamalar, bilinmeyen cihazlar.
6. İş hesabı için hemen BT'ye haber verin. Saldırganlar ele geçirilmiş bir posta kutusunu çoğu zaman saatler içinde meslektaşlarınıza kimlik avı yapmak için kullanır.

Adımlar örtüştüğü için parola temizliğini daha ayrıntılı ele alan veri ihlalinden sonra ne yapmalı rehberimize de bakın.

Bir kod girdiniz ya da bir istemi onayladınız

Saldırganın canlı bir oturumu olabileceğini varsayın. Parolayı değiştirin, tüm oturumlardan çıkış yapın, güvenlik ayarlarını gözden geçirin ve iş hesabıysa BT'yi uyarın. Modern "araya girme" (adversary-in-the-middle) kitleri, siz yazarken girişinizi gerçek siteye iletir ve ortaya çıkan oturum çerezini yakalar. Tek kullanımlık kodların tek başına bunları durdurmamasının nedeni budur.

Ödeme bilgilerini girdiniz

Kartınızın üzerindeki numarayı kullanarak bankanızı ya da kart kuruluşunuzu hemen arayın. Kartı bloke etmelerini ve dolandırıcılığa karşı izlemelerini isteyin, sonraki haftalarda ekstrelerinizi inceleyin. Kimlik bilgileri de girdiyseniz ülkenizin neler sunduğuna bakın. ABD'de IdentityTheft.gov bir kurtarma planı verir ve kredi kuruluşlarından kredi dondurma yaptırılabilir.

Bir eki açtınız ya da makroları etkinleştirdiniz

Zararlı yazılımdan şüpheleniyorsanız cihazı ağdan ayırın, tam tarama çalıştırın ve iş yerinde başka bir şey yapmadan önce BT ile iletişime geçin. Önemli parolaları farklı, temiz bir cihazdan değiştirin.

Bir uygulamaya erişim izni verdiniz

Hesabınızın güvenlik ayarlarına gidin, erişimi olan üçüncü taraf uygulamaların listesini bulun ve bilmediğinizi kaldırın. Yalnızca parola değiştirmek, erişim izni verilmiş bir uygulamayı kesmeyebilir; bu yüzden önce kaldırma gelir. Sonra önlem olarak parolayı değiştirin ve posta kurallarınızı kontrol edin.

Tek bir hatanın daha az pahalıya gelmesi için kurulum

Her seferinde her şeyi yakalayamazsınız, özellikle kötü bir günde. İyi varsayılanlar tek bir hatanın daha az zarar vermesini sağlar ve bazıları fark etmenin bir kısmını sizin yerinize yapar.

Bunların en güçlüleri geçiş anahtarları ve donanım güvenlik anahtarlarıdır. ABD siber güvenlik kurumu CISA, kimlik avına dayanıklı çok faktörlü doğrulamayı altın standart olarak tanımlıyor ve bunun yaygın olarak bulunan biçimi olarak FIDO ve WebAuthn'ı anıyor. Bu kimlik bilgileri gerçek alan adına bağlıdır, bu yüzden sahte bir sitede, kusursuz bir kopyada bile çalışmaz. Kimlik doğrulama uygulamaları yalnızca parolaya dayalı saldırıların çoğunu durdurur ama canlı aktarıma karşı daha zayıftır; bu yüzden iyi bir adımdır, son adım değil. Bankanız ya da e-posta sağlayıcınız geçiş anahtarı sunuyorsa, bunları açmak bu makaleyi okuduktan sonra yapabileceğiniz muhtemelen en değerli şeydir.

Parola yöneticisi size ikinci, daha sessiz bir kontrol sağlar. Her parola için tam alan adını saklar. Benzer görünen bir sayfaya geldiğinizde kayıtlı bir giriş önermiyorsa, bu sessizlik bir uyarıdır ve piksel piksel kusursuz görünen sayfaları yakalar. Parolayı kopyalayıp yapıştırarak bunu aşmayın. Küçük bir uyarı var: parola yöneticileri bazen giriş alan adını değiştirmiş gerçek bir siteyi tanımayabilir. Yani sessizlik "dur ve siteye adresini yazarak git" demektir, "bu kesinlikle sahte" demek değil.

Savunma	Ne yapar	Çaba
Geçiş anahtarları ya da donanım anahtarları	Kimlik bilgisi avını ve canlı aktarımları durdurur, çünkü kimlik bilgisi gerçek alan adına bağlıdır	Düşük ile orta arası
Otomatik doldurmalı parola yöneticisi	Sahte alan adlarında doldurmayı reddeder ve yeniden kullanımı önler	Kurulduktan sonra düşük
Kimlik doğrulama uygulaması	Yalnızca parolaya dayalı saldırıların çoğunu durdurur	Düşük
Tarayıcı korumaları	Chrome'un Güvenli Tarama'sı ve Edge'in SmartScreen'i bilinen birçok kötü sayfa için uyarır	Genelde zaten açık
Yazılım güncellemeleri	Zararlı dosyaların ve sayfaların kullandığı açıkları kapatır	Düşük
Görünür dosya uzantıları	Çift uzantı numaralarını ortaya çıkarır	Tek bir ayar
Uzak görselleri yüklemeden önce sormak	Birçok pikselin adresinizi doğrulamasını önler	Tek bir ayar
Ödeme değişiklikleri için yazılı geri arama kuralı	E-posta nasıl görünürse görünsün, fatura dolandırıcılığının çoğunu durdurur	Bir süreç değişikliği
Gerçek adresinizin nereye gittiğini sınırlamak	Daha az liste ve ihlal onu içerir	Bir alışkanlık

Bir işletme için yazıya dökülmesi gereken kural geri arama kuralıdır. FBI'ın e-posta ele geçirme rehberi ve bankacılık sektörü tavsiyeleri temelde hemfikir: ödeme talimatlarındaki her değişikliği, elinizde zaten bulunan bir numarayı kullanarak e-posta dışında doğrulayın. İşe yarar, çünkü kimsenin bir şeyi fark etmesine dayanmaz ve kıdemsiz çalışanlara, patronları gibi görünen birine "önce aramam gerek" deme gerekçesi verir.

Ana adresinizi listelerin dışında tutmak

Kimlik avcıları satın aldıkları, topladıkları ya da ihlal verilerinden çektikleri adreslere gönderir. Gerçek adresinizi düşük güvenli bir siteye her verişinizde, o listelerden birine düşme ihtimali vardır. Tek seferlik kayıtlar için ayrı bir adres kullanmak ana gelen kutunuzun ne sıklıkla hedef alındığını azaltır ve geri kalan postayı değerlendirmeyi de kolaylaştırır; çünkü yalnızca bankanıza verdiğiniz adrese bankanızla ilgili bir ileti gelmesi daha çok anlam taşır.

Geçici gelen kutusu, sitenin koşulları izin veriyorsa en alt kademe için bir seçenektir. VookMail ile sayfa yüklendiğinde adres hazırdır; kayıt da parola da yoktur. Yeni düğmesine basıp bir kullanıcı adı yazabilir ve 30'dan fazla alan adı arasından seçebilirsiniz; ya da rastgele bir adres için sarı Rastgele düğmesine basabilirsiniz. Rastgele adres daha güvenli seçimdir, çünkü bir adresi bilen ya da tahmin eden herkes o gelen kutusunu açabilir. İletiler ve ekler yaklaşık bir gün sonra silinir; bu nedenle adres daha sonra kimlik avı alırsa, bankanızdan, işinizden ve ana hesaplarınızdan bağlantısız bir yere düşer.

Bu, bir kaynak indirmeye, tek bir forum sorusuna ya da sahibi olduğunuz bir formu test etmeye uygundur. Tutmanız ya da kurtarmanız gereken hesaplara uygun değildir; bankacılık, kamu, sağlık, iş ya da birincil sosyal hesaplar için asla. SSS uygun kullanımı, gizlilik politikası ise gelen postaların nasıl işlendiğini açıklıyor.

Kırmızı bayraklar, tek kullanımlık olan da dahil her gelen kutusu için geçerlidir. Hatta geçici bir adres kullanışlı bir sınama sunar: oradaki bir ileti sizden gerçek banka ya da e-posta hesabınıza giriş yapmanızı istiyorsa, neredeyse kesinlikle kimlik avıdır; çünkü o hizmetlere bu adresi hiç vermediniz.

Saldırgana yarayan yanlış inanışlar

• "Asma kilidi var." Bu şifreli demektir, dürüst demek değil.
• "Logo ve ad doğru." İkisi de kolayca kopyalanır.
• "Dil bilgisi kusursuz." Birçok kampanya artık iyi yazılıyor.
• "E-postadaki numarayı arayacağım." O numara doğrudan saldırgana gidebilir.
• "Meslektaşımın gerçek adresinden geldi." Hesaplar ele geçirilir, bu yüzden talebin yine kontrol edilmesi gerekir.
• "Tıkladım ama BT'ye söylemek utanç verici olur." Sessizlik saldırganlara daha fazla zaman verir ve çoğu zaman en pahalı seçimdir.
• "Çalınacak değerde bir şeyim yok." Posta kutunuz diğer hesaplarınızı sıfırlayabilir ve kişilerinize kimlik avı yapmak için kullanılabilir.

Önünüzdeki ileti için bir kontrol listesi

Bir e-posta sizden bir şey yapmanızı istediğinde bu sorular bir dakikadan az sürer. Herhangi bir yanıt sizi endişelendiriyorsa durun ve başka bir yoldan doğrulayın.

1. Bunu bekliyor muydum?
2. Gerçek gönderen adresi, iddia ettiği kuruluşa ait mi?
3. Alan adını sağdan okuyunca bağlantılar gerçekte nereye gidiyor?
4. Parola, kod, ödeme ya da dosya mı istiyor?
5. Aciliyet, korku, gizlilik ya da ödül mü dayatıyor?
6. Beklenmedik bir ek, QR kod ya da "içeriği etkinleştir" istemi var mı?
7. Parola yöneticim giriş sayfasını tanıyor mu?
8. Bunu, uygulamayı açarak ya da bilinen bir numarayı arayarak kontrol edebilir miyim?

Kimlik avı hakkında sorulan sorular

Bir kimlik avı e-postasını sadece açarak hacklenebilir miyim?

Güncel bir posta uygulamasıyla bir iletiyi açmak genelde düşük risklidir. Tehlike; bağlantılara tıklamaktan, kimlik bilgisi girmekten, ekleri açmaktan, makroları etkinleştirmekten ya da bilgiyle yanıt vermekten gelir. Görseller yüklenirse açmak adresinizin etkin olduğunu doğrulayabilir; uzak görselleri engellemenin bir nedeni de budur.

Kimlik avı e-postaları spam filtrelerini neden aşıyor?

Saldırganlar yeni alan adları kaydeder, ele geçirilmiş yasal hesaplardan gönderir, sayfaları güvenilir bulut hizmetlerinde barındırır ve ifadelerini sürekli değiştirir. Bazı kimlik avı SPF, DKIM ve DMARC'ı bile geçer; çünkü saldırganın gerçekten kontrol ettiği bir alan adından gelir.

Kimlik avı e-postaları her zaman hatalarla dolu mudur?

Hayır. Çoğu iyi yazılmıştır ve gerçek marka e-postalarından ayırt edilemez. Dikkatinizi teknik işaretlere ve nelerin talep edildiğine harcayın.

Gerçek bir şirket bana oturum açmamı isteyen bir bağlantı gönderdi. Bu her zaman kimlik avı mı?

Hayır. Şirketler yasal bağlantılar gönderir ve oturum açma gerçek olabilir. Güvenli alışkanlık her iki durumda da işe yarar: e-postadan çıkın, hizmeti kendiniz açın ve dikkatinizi gerektiren bir şey olup olmadığına bakın. En fazla birkaç saniye kaybedersiniz.

Tek kullanımlık bir adres beni kimlik avından korur mu?

Maruz kalmayı azaltır. O adrese yönelik kimlik avı, gerçek hesaplarınızla bağlantısız bir gelen kutusuna düşer ve yaklaşık bir gün sonra silinir. Ana gelen kutunuza ulaşan postalar için hiçbir şey yapmaz; bu yüzden yukarıdaki kontroller orada hâlâ geçerlidir.