Oltalama (Phishing) Saldırılarından Korunma: KOBİ'ler İçin Pratik Rehber

Bir sabah e-posta kutunuzda bankanızdan gelmiş gibi görünen bir mesaj: "Hesabınız askıya alındı, doğrulamak için tıklayın." Logo yerinde, dil resmi, bağlantı gerçekçi görünüyor. Tek sorun: mesaj bankanızdan gelmiyor. Bu yazıda oltalama saldırılarının nasıl çalıştığını, sahte bir mesajın nasıl anlaşılacağını ve ekibinizi korumak için kurabileceğiniz basit protokolleri adım adım ele alıyoruz.

Oltalama Nedir, Neden KOBİ'ler Hedefte?

Oltalama (phishing), saldırganın güvendiğiniz bir kurum ya da kişi gibi davranarak sizden bilgi, para veya sistem erişimi koparmaya çalışmasıdır. Adı balık avındaki oltadan gelir: sahte bir yem atılır ve birinin yutması beklenir. Yem çoğunlukla bir e-postadır; ama SMS, telefon araması, hatta sosyal medya mesajı da olabilir.

"Biz küçük bir firmayız, bizimle kim uğraşır?" düşüncesi bu konudaki en pahalı yanılgıdır. Saldırganlar çoğu zaman tek tek şirket seçmez; binlerce adrese aynı yemi atar ve kimin yakalandığına bakar. Üstelik KOBİ'lerde büyük şirketlerdeki güvenlik ekipleri, filtreleme sistemleri ve yazılı prosedürler genellikle yoktur. Yani hedef olma ihtimaliniz daha düşük değildir; savunmanız daha ince olduğu için yakalanma ihtimaliniz daha yüksektir.

Yaygın Oltalama Türleri

En bilinen kanal e-postadır: banka, kargo firması, vergi dairesi ya da çalıştığınız bir tedarikçi gibi görünen mesajlar sizi sahte bir giriş sayfasına yönlendirir veya zararlı bir ek açtırmaya çalışır.

Aynı taktiğin SMS ile yapılanına smishing denir: "Kargonuz teslim edilemedi, adresinizi güncelleyin" tarzı kısa mesajlar buna örnektir. Telefonla yapılan versiyonun adı ise vishing'dir; arayan kişi kendini banka görevlisi, teknik destek elemanı veya kamu çalışanı olarak tanıtır. Yapay zekâ ile ses taklidi bu senaryoyu eskisinden çok daha inandırıcı hale getirdi; tehdidin görüntülü boyutunu deepfake dolandırıcılığına karşı şirket rehberimizde ayrıntılı ele almıştık.

KOBİ'ler için en tehlikeli tür ise CEO ve fatura dolandırıcılığıdır. Saldırgan, şirket sahibinin veya bir tedarikçinin e-posta adresini taklit eder; muhasebeye "şu ödemeyi bugün şu hesaba yapın" ya da "IBAN'ımız değişti" mesajı gönderir. Mesaj tek kişiye özel hazırlandığı için genel filtrelere kolay takılmaz; onu yakalayacak olan, işini bilen dikkatli bir çalışandır.

Sahte Mesajı Ele Veren İşaretler

Hiçbir işaret tek başına kesin kanıt değildir; ama aşağıdakilerden biri bile varsa durup iki kez bakmakta fayda var:

• Aciliyet baskısı: "Son iki saat", "hesabınız kapatılacak", "ödeme hemen yapılmalı" gibi ifadeler düşünmenizi engellemek için kullanılır. Gerçek kurumlar nadiren bu tonda yazar.
• Adres tutarsızlığı: Gönderen adı tanıdık görünse de asıl adres farklı olabilir. Görünen ada değil adresin tamamına bakın; alan adındaki tek harflik oynamalar tipik bir hiledir.
• Beklenmedik ek veya bağlantı: Beklemediğiniz bir fatura, sipariş onayı ya da "belge" geldiyse açmadan önce gönderene başka bir kanaldan sorun. Bağlantının üzerine tıklamadan gelip gerçek adresi görün.
• Ödeme veya IBAN değişikliği talebi: Bir tedarikçinin hesap bilgisi "değiştiyse" bu talep her zaman, istisnasız, ikinci bir kanaldan teyit edilmelidir.
• Genel ve tuhaf dil: İsminiz yerine "Sayın müşterimiz" hitabı ya da çeviri kokan cümleler uyarı işaretidir. Ancak dikkat: yapay zekâ sayesinde artık kusursuz Türkçeyle yazılmış sahte mesajlar da var. Dilin düzgün olması güvenli olduğu anlamına gelmez.

Şirket İçi Protokoller: Teyidi Kurumsallaştırın

Teknik filtreler ne kadar iyi olursa olsun, bir mesaj eninde sonunda birinin ekranına düşer. O anda devreye girmesi gereken şey, yazılı ve herkesin bildiği birkaç basit kuraldır.

Geri arama kuralı: Ödeme, şifre veya hassas bilgi isteyen her aramada, karşı tarafın verdiği numaradan değil, sizde kayıtlı resmi numaradan geri arayın. "Ben zaten bankadan arıyorum" diyen kişiye "Teşekkürler, sizi şubemin numarasından arayacağım" demek her zaman meşrudur.

İkinci kanal teyidi: IBAN değişikliği, yeni ödeme talimatı veya alışılmadık tutarda bir transfer söz konusuysa, talebi gönderdiği iddia edilen kişiye e-posta dışında bir kanaldan — telefonla ya da yüz yüze — ulaşıp doğrulayın. Bu kural patrondan gelen talepler için de geçerlidir; hatta özellikle onlar için geçerlidir, çünkü CEO dolandırıcılığı tam olarak bu otoriteye duyulan çekinceyi kullanır.

"Sormak ayıp değil" kültürü: Çalışanınız "Bu talebi teyit etmek istiyorum" dediğinde bunun takdir edilen bir davranış olduğunu bilmeli. Şüphesini dile getirdiği için azarlanan çalışan bir dahaki sefere susar; saldırganların en sevdiği ortam da budur.

Teknik Önlemler: Küçük Adımlar, Büyük Fark

Alışkanlıkların yanına birkaç teknik önlem eklediğinizde saldırganın işi ciddi biçimde zorlaşır. En etkilisi iki faktörlü doğrulamadır: giriş yaparken şifreye ek olarak telefonunuza gelen kod gibi ikinci bir onay istenir. Şifreniz çalınsa bile hesabınız tek başına ele geçirilemez. E-posta, bankacılık ve muhasebe sistemlerinden başlayarak tüm kritik hesaplarda açın.

Parola yöneticisi hem herkesin güçlü ve farklı şifreler kullanmasını sağlar hem de sahte sitelere karşı sessiz bir koruma sunar: kayıtlı şifreyi yalnızca gerçek sitede otomatik doldurur, sahte kopyada doldurmaz. İşletim sistemi ve tarayıcı güncellemelerini ertelememek ise bilinen açıkların kapatılması demektir. Bu önlemlerin yedekleme ve erişim düzeniyle nasıl bütünleştiğini KOBİ'ler için veri güvenliği ve yedekleme yazımızda anlatmıştık.

Son halka yetki sınırlamasıdır: her çalışanın her sisteme tam erişimi olmasın. Böylece bir hesap ele geçirildiğinde zarar o hesabın yetkisiyle sınırlı kalır. Ortak Excel dosyalarında bu ayrımı yapmak neredeyse imkânsızdır; Excel'den veritabanına geçiş rehberimizde anlattığımız merkezi sistemler, kullanıcı bazlı yetkilendirme sunduğu için güvenlik tarafında da kazandırır.

Tıkladıysanız: İlk Bir Saatte Yapılacaklar

Herkes hata yapabilir; asıl fark sonraki bir saatte yaptıklarınızda ortaya çıkar. Şüpheli bir bağlantıya tıkladıysanız veya bilgi girdiyseniz önce ilgili hesabın şifresini, mümkünse temiz bir cihazdan, değiştirin. Aynı şifreyi başka hesaplarda da kullanıyorsanız oraları da güncelleyin.

Ardından hesabın oturumlarını ve yetkilendirmelerini gözden geçirin: tanımadığınız cihazlar, sonradan eklenmiş yönlendirme kuralları (gelen e-postaları dışarı kopyalayan gizli kurallar sık görülür) veya bağlı uygulamalar varsa kaldırın. Banka bilgisi girdiyseniz vakit kaybetmeden bankanızı arayın.

En kritik adım: olayı saklamayın. Ekibi hemen bilgilendirin ki aynı mesaj başkasına da ulaştıysa kimse tıklamasın. Hatayı bildiren çalışan sorunun değil çözümün parçasıdır. Olayda müşteri veya çalışan verileri etkilendiyse KVKK kapsamındaki yükümlülüklerinizi de gözden geçirmelisiniz; bu konuyu KOBİ'ler için KVKK uyum rehberimizde ele almıştık.

Savunma Ekipman Değil, Alışkanlık İşidir

Oltalamaya karşı en güçlü savunma pahalı bir yazılım değil, herkesin bildiği ve uyguladığı birkaç kuraldır: adrese bak, aceleye gelme, ödeme değişikliğini ikinci kanaldan teyit et, şüpheni çekinmeden dile getir. Bu alışkanlıklar yerleştiğinde en inandırıcı yem bile boşa düşer.

Lumethis olarak KOBİ'lerin verilerini ve iş süreçlerini güvenli, düzenli sistemlere taşımalarına yardımcı oluyoruz. Şirketinizin veri altyapısını ve erişim düzenini birlikte gözden geçirmek isterseniz bizimle iletişime geçin; size nasıl destek olabileceğimizi görmek için hizmetlerimizi inceleyebilirsiniz.