Kimlik avı (phishing) farkındalığı: çalışanlar için rehber

Güvenlik duvarı, antivirüs ve e-posta filtresi ne kadar iyi olursa olsun, bazı sahte e-postalar çalışanın gelen kutusuna ulaşır. O noktada son karar, ekranın başındaki kişinindir: bağlantıya tıklayacak mı, şifresini girecek mi, faturayı ödeyecek mi? Kimlik avı (phishing), saldırganların teknik bir açık yerine insanın dikkatini ve güvenini hedef aldığı saldırıdır. Fidye yazılımı olaylarının ve e-posta hesabı ele geçirmelerinin sık görülen başlangıç noktalarından biridir. Bu yazı iki okuyucu için yazıldı: kimlik avını tanımak isteyen çalışanlar ve bu farkındalığı şirkette kalıcı hâle getirmek isteyen yöneticiler. Teknik katmanlar için kurumsal e-posta ve uç nokta güvenliği sayfalarımıza bakabilirsiniz.

Kimlik avı nedir, neyi hedefler?

Kimlik avı, saldırganın kendini güvenilir bir kurum ya da kişi gibi göstererek sizden bir şey yapmanızı istediği saldırıdır. İstenen şey genellikle üçünden biridir:

• Şifrenizi girmeniz: Microsoft 365, banka ya da kargo sitesinin birebir kopyası bir sayfada.
• Bir dosyayı açmanız: “Fatura”, “teklif” ya da “ödeme dekontu” adlı, içinde zararlı yazılım taşıyan bir ek.
• Para ya da bilgi göndermeniz: Değişen banka hesabı bildirimi, acil ödeme talebi, personel listesi isteği.

Saldırgan bunu yapmak için aciliyet, korku, merak ya da otorite duygusunu kullanır: “Hesabınız 24 saat içinde kapatılacak”, “Kargonuz teslim edilemedi”, “Genel müdür acil bir ödeme istiyor”.

Kimlik avının güncel biçimleri

E-posta

En yaygın biçimdir. Sahte bir “paylaşılan belge” bildirimi sizi şifre isteyen bir sayfaya götürür. Sayfa, tanıdığınız giriş ekranının neredeyse aynısıdır; farkı yalnızca adres çubuğundadır.

SMS ve mesajlaşma uygulamaları

Kargo, e-Devlet, banka ya da ceza bildirimi görünümündeki kısa mesajlar. Telefonda adresin tamamı görünmediği için bu mesajları ayırt etmek daha zordur.

Telefon

Kendini banka görevlisi, BT destek personeli ya da yazılım firması olarak tanıtan biri, ekranınıza bağlanmak ya da telefonunuza gelen doğrulama kodunu öğrenmek ister. Hiçbir kurum doğrulama kodunuzu sizden istemez.

QR kod

E-postada ya da bir afişte yer alan QR kod, sizi telefonunuzda sahte bir giriş sayfasına götürür. Kurumsal bilgisayardaki filtreler telefonda devrede olmayabilir.

Fatura ve yönetici dolandırıcılığı

Muhasebe ekipleri için en tehlikeli türdür. Gerçek bir tedarikçinin ya da yöneticinin e-posta hesabı ele geçirilir veya adresi taklit edilir; “banka hesabımız değişti, ödemeyi yeni IBAN’a yapın” denir. E-posta gerçek bir yazışmanın devamı gibi görünebilir. Burada zararlı bağlantı ya da ek yoktur; bu yüzden teknik filtrelerin yakalaması da zordur.

Sahte bir mesaj nasıl anlaşılır?

Tek bir işaret yeterli değildir ama birkaçı bir araya geldiğinde durup düşünmek gerekir:

• Gönderen adı tanıdık ama adres farklı mı? Örneğin firma adında tek harf değişikliği ya da ücretsiz bir e-posta servisi.
• Mesaj bir aciliyet ya da tehdit içeriyor mu? “Hemen”, “son gün”, “hesabınız askıya alınacak”.
• Bağlantının üzerine geldiğinizde (tıklamadan) görünen adres, mesajdaki kurumla ilgisiz mi?
• Sizden şifre, doğrulama kodu ya da kart bilgisi isteniyor mu?
• Beklemediğiniz bir ek var mı? Özellikle sıkıştırılmış dosya, makro içeren belge ya da farklı uzantılı “fatura”.
• Olağan süreç dışına çıkmanız mı isteniyor? Telefonla teyit etmeden ödeme, gizli tutulması istenen talep.
• Yazışmanın ortasında banka hesabı ya da teslimat adresi mi değişti?

Şüphelendiğinizde kuralı basit tutun: mesajdaki bağlantıyı, telefon numarasını ya da yanıt adresini kullanmayın. Kurumun sitesine kendiniz girin, tedarikçiyi kayıtlı numarasından arayın.

Tıkladıysanız ne yapmalısınız?

Tıklamak olabilir. Önemli olan hemen haber vermektir; birkaç dakikalık fark, bir hesabın mı yoksa bütün şirketin mi etkileneceğini belirleyebilir.

1. Sayfayı kapatın, başka bir şey girmeyin.
2. BT ekibine hemen haber verin. Ne zaman, hangi mesaja tıkladığınızı ve neler girdiğinizi söyleyin. Utanmayın; hızlı bildirim, en değerli katkıdır.
3. Şifre girdiyseniz değiştirin. Aynı şifreyi başka yerlerde de kullanıyorsanız oralarda da değiştirin.
4. Dosya açtıysanız bilgisayarı ağdan ayırın. Kablosunu çıkarın ya da Wi-Fi’ı kapatın, kapatmadan BT ekibini bekleyin.
5. Ödeme yaptıysanız bankayı hemen arayın. Muhasebe ve yönetimi aynı anda bilgilendirin.

Sahte olduğunu düşündüğünüz internet sitelerini Ulusal Siber Olaylara Müdahale Merkezi’ne (USOM) usom.gov.tr üzerindeki ihbar formundan bildirebilirsiniz. USOM, yeterli bulguya ulaştığı adresleri zararlı bağlantılar listesine ekler.

Yöneticiler için: farkındalığı kalıcı hâle getirmek

Yılda bir kez yapılan bir sunum, farkındalık için yeterli değildir. Kalıcı etki için şunları öneriyoruz:

• Kısa ve düzenli eğitim: Uzun seminerler yerine birkaç ayda bir, gerçek örneklerle 15-20 dakikalık oturumlar.
• Role göre içerik: Muhasebe için fatura dolandırıcılığı, insan kaynakları için sahte özgeçmiş ekleri, yöneticiler için sahte talimat senaryoları.
• Kimlik avı simülasyonu: Çalışanların bilgisi dâhilinde yürütülen, amacı suçlamak değil öğretmek olan tatbikatlar. Sonuçlar kişi bazında değil, eğilim olarak değerlendirilmelidir.
• Kolay bildirim kanalı: Şüpheli e-postayı tek tıkla ya da tek bir adrese iletmek. Bildiren çalışana teşekkür edin; tıklayan çalışanı cezalandırmak bildirimi durdurur.
• Süreç kuralları: Banka hesabı değişikliklerinin kayıtlı telefon numarasından teyit edilmesi ve belirli tutarın üzerindeki ödemelerde ikinci onay.

Farkındalık eğitimi, KVKK’nın beklediği idari tedbirlerin ve ISO 27001’deki farkındalık kontrolünün de bir parçasıdır. Konunun bu boyutunu ISO 27001 ve KVKK sayfamızda ve ISO/IEC 27001:2022 değişiklikleri yazımızda ele aldık.

Teknik katmanlar insanı nasıl destekler?

Farkındalık, teknik tedbirlerin yerini tutmaz; onların yakalayamadığını yakalar. Birbirini tamamlayan katmanlar şunlardır:

• E-posta kimlik doğrulaması: SPF, DKIM ve DMARC, alan adınızın taklit edilmesini zorlaştırır. Ayrıntılar SPF, DKIM ve DMARC rehberimizde.
• E-posta filtreleme: Zararlı ek ve bağlantıları gelen kutusuna ulaşmadan ayıklar.
• Çok faktörlü kimlik doğrulama: Şifre çalınsa bile hesaba girişi zorlaştırır. Beklemediğiniz bir doğrulama isteğini asla onaylamayın.
• Web filtreleme ve uç nokta koruması: Güvenlik duvarında web filtreleme bilinen zararlı sitelere erişimi engeller; uç nokta güvenlik ürünleri kimlik avı sayfalarını ve zararlı ekleri bilgisayar tarafında durdurur.
• Yedekleme: Her şeye rağmen bir fidye yazılımı çalışırsa, geri dönüş yolunuz yedeklerinizdir. Ayrıntılar fidye yazılımından korunma yazımızda.

Unna ile farkındalık

Önce dinleriz: hangi ekiplerin hangi tür saldırılara daha açık olduğunu, bugün şüpheli e-postaların nasıl bildirildiğini birlikte çıkarırız. Birlikte planlarız: role göre kısa eğitimler ve bir yıllık takvim hazırlarız. Uygularız: BT danışmanlığı kapsamında çalışanlarınıza kimlik avı, şifre güvenliği ve güvenli çalışma alışkanlıkları üzerine eğitimler verir; e-posta, güvenlik duvarı ve uç nokta tarafındaki teknik katmanları yapılandırırız. Yanınızda kalırız: şüpheli bir e-posta geldiğinde ya da biri tıkladığında ilk arayacağınız ekip biz oluruz. Başlamak için bize yazın.