Kimlik avı, saldırganın güvenilir bir kurum ya da kişi gibi görünerek kullanıcıdan kimlik bilgisi, ödeme bilgisi ya da bir eylem elde etmeye çalıştığı saldırı türüdür. Teknik bir zafiyet yerine insan davranışını hedef alır.

Yöntem, kurumsal olayların en yaygın başlangıç noktalarından biri olmayı sürdürmektedir. Bunun nedeni maliyetinin düşük, ölçeklenmesinin kolay ve başarı için tek bir kullanıcının yeterli olmasıdır.

Kimlik Avı Nedir?

Kimlik avı (phishing), kullanıcıyı meşru bir kaynakla iletişim kurduğuna inandırarak kimlik bilgisi vermeye, zararlı bir dosyayı açmaya ya da yetkisiz bir işlemi onaylamaya yönlendiren sosyal mühendislik saldırısıdır.

Saldırı e-posta ile sınırlı değildir. Kısa mesaj, telefon araması, anlık mesajlaşma, sahte reklam ve QR kod gibi birçok kanal kullanılır; ortak nokta iletişim kanalı değil, güven kurma ve aciliyet yaratma tekniğidir.

Nasıl Çalışır?

Tipik bir kampanya hedef listesinin oluşturulmasıyla başlar. Kurum çalışanlarının adresleri kamuya açık kaynaklardan toplanır; ardından kuruma uygun bir bahane hazırlanır ve mesaj gönderilir.

Mesajın amacı ya kimlik bilgisi toplayan sahte bir sayfaya yönlendirmek ya da zararlı bir dosyayı açtırmaktır. Son yıllarda üçüncü bir amaç öne çıkmıştır: kullanıcıyı meşru bir doğrulama isteğini onaylamaya ikna etmek.

• Aciliyet ve tehdit dili: hesabın kapatılacağı, ödemenin gecikeceği uyarısı
• Otorite taklidi: yönetici, banka ya da kamu kurumu görünümü
• Benzer alan adları ve görsel olarak birebir kopyalanmış giriş sayfaları
• Meşru bulut hizmetleri üzerinden barındırılan sahte formlar
• Ek yerine bağlantı kullanımı; bağlantının arkasında yönlendirme zincirleri

Türleri Nelerdir?

Geniş kitleye gönderilen genel kampanyaların yanında hedefe özel türler bulunur. Hedefli kimlik avı belirli bir kişiye göre hazırlanır; balina avı ise üst yöneticileri hedefler.

Kanal değiştiğinde adlandırma da değişir: kısa mesajla yapılana smishing, telefonla yapılana vishing denir. Amaç ve teknik büyük ölçüde aynı kalır.

Teknik Önlemler

E-posta tarafında en temel önlemler alan adı doğrulama kayıtlarıdır. SPF, DKIM ve DMARC birlikte yapılandırıldığında kurum adına sahte gönderim belirgin biçimde zorlaşır.

İkinci sırada kimlik tarafı gelir. Kimlik avına dayanıklı doğrulama yöntemleri, parola çalınsa bile oturum açılmasını engeller; bu nedenle kritik hesaplarda güçlü doğrulama önceliklidir.

Kurumsal Korunma

Teknik önlemler tek başına yeterli değildir. Çalışanların şüpheli mesajı hızlıca bildirebileceği bir kanal bulunmalı ve bildirimler ciddiye alınmalıdır; bildirim yapan kullanıcıya geri dönüş yapılması katılımı belirgin biçimde artırır.

Ölçüm için düzenli simülasyonlar yürütülür. Amaç kullanıcıyı yakalamak değil, hangi senaryonun hangi bölümde işe yaradığını görmek ve farkındalık eğitimini ona göre şekillendirmektir.

Bir Kimlik Avı Mesajı Nasıl Anlaşılır?

Şüphe uyandıran ilk işaret genellikle beklenmeyen bir aciliyet talebidir. Hesabın kapatılacağı, bir ödemenin acilen onaylanması gerektiği ya da bir belgenin hemen incelenmesi gerektiği yönündeki baskı, düşünmeden hareket etmeyi hedefler. İkinci işaret, gönderenin görünen adı ile gerçek adresi arasındaki uyumsuzluktur. Üçüncü işaret ise bağlantının gittiği alan adının kurumun bilinen adresinden farklı olmasıdır.

Bağlantının gerçek hedefi tıklanmadan görülebilir; masaüstünde imleç bekletilerek, mobilde ise basılı tutularak kontrol edilir. Alan adında fazladan kelime, tire ya da benzer görünen karakterler bulunması güçlü bir uyarıdır. Kurumsal ortamda ise en güvenli yöntem, bağlantıyı hiç kullanmadan ilgili hizmete bilinen adresten girmektir. Bu alışkanlık, yönlendirme zincirlerinin tamamını etkisiz kılar.

Ek dosyalar da ayrı bir dikkat gerektirir. Beklenmeyen bir belgenin makro çalıştırmayı ya da içerik etkinleştirmeyi istemesi, neredeyse her zaman kötü niyetli bir isteği gösterir. Sıkıştırılmış ve parolayla korunmuş ekler, güvenlik denetimlerini atlatmak için kullanılır. Bu tür ekler açılmadan önce mutlaka doğrulama yapılmalıdır.

Şüpheli Mesaj Bildirildiğinde Ne Yapılır?

Bildirim gelen mesaj önce teknik olarak incelenir: başlık bilgileri, gönderen altyapısı, bağlantı hedefleri ve varsa ek dosyaların davranışı değerlendirilir. E-posta başlığı analizi gönderimin gerçekten iddia edilen alan adından gelip gelmediğini gösterir. İnceleme sonucunda mesaj zararlı bulunursa, aynı kampanyanın diğer alıcıları aranır.

Kapsam belirleme aşaması kritiktir. Aynı mesajı alan diğer kullanıcıların kimler olduğu, kaçının bağlantıya tıkladığı ve kaçının kimlik bilgisi girdiği belirlenir. Tıklayan kullanıcıların oturumları sonlandırılır ve parolaları sıfırlanır. Bu adımlar için önceden yazılmış bir inceleme akışı bulunması, müdahale süresini belirgin biçimde kısaltır.

Son aşamada engelleme ve tespit kuralları güncellenir. Kampanyada kullanılan alan adları ve gönderen altyapısı engellenir, benzer kalıplar için uyarı kuralı yazılır. Kullanıcılara kısa bir bilgilendirme yapılması, aynı kampanyanın devamında bildirim oranını yükseltir. Olay kaydı ise ders çıkarma toplantısına girdi olur.

Kimlik Avına Dayanıklı Doğrulama

Tüm çok faktörlü doğrulama yöntemleri kimlik avına aynı ölçüde dayanıklı değildir. Kısa mesajla ya da uygulama üzerinden gelen tek kullanımlık kodlar, kullanıcı tarafından sahte siteye girilebildiği için aracı saldırılara açıktır. Buna karşılık alan adına bağlı çalışan donanım ve platform tabanlı yöntemler, sahte sitede çalışmadığı için bu saldırıyı yapısal olarak engeller. Kritik hesaplarda bu ikinci grup tercih edilir.

Geçiş kademeli yapılır; önce yönetici ve finans yetkisi olan hesaplar kapsama alınır. Kullanıcı deneyimindeki değişikliğin önceden anlatılması, geçişin sorunsuz ilerlemesini sağlar. Yedek doğrulama yöntemlerinin de aynı dayanıklılıkta olması gerekir; aksi hâlde saldırgan zayıf olan yolu kullanır. Geri dönüş yollarının denetimsiz bırakılması, en sık yapılan uygulama hatasıdır.

Privia Security olarak kimlik avı dayanıklılığını ölçen kontrollü senaryolar yürütüyor, teknik ve süreç eksiklerini siber tatbikat çalışmalarıyla birlikte raporluyoruz.