Yazım hatalarıyla dolu, acemi oltalama e-postaları dönemi bitti. Bugün gelenler muhasebecinizin üslubunu taşıyor, doğru fatura numarasını içeriyor ve çoğu zaman gerçek bir yazışmanın devamı gibi görünüyor.
Kısa cevap: oltalama e-postası nasıl anlaşılır?
Modern oltalamayı yazım hatasından değil, davranış talebinden tanırsınız: e-posta sizden acele bir işlem, bir ödeme bilgisi değişikliği veya bir kimlik doğrulaması istiyorsa mesaj şüphelidir — gönderen adı tanıdık olsa bile. Teknik kontroller de yardımcı olur: gönderen adresinin gerçek alan adı, bağlantının işaret ettiği adres ve mesajın beklenen bir yazışmanın parçası olup olmadığı. Ancak asıl ayırt edici soru şudur: bu istek, normal iş akışımızda böyle mi gelir?
Modern oltalamanın 6 işareti
| İşaret | Nasıl görünür? | Kontrol yöntemi |
|---|---|---|
| Aciliyet baskısı | "Bugün ödenmezse", "hesap kapanacak" | Aciliyet, düşünmeyi engellemek içindir; durun |
| Ödeme bilgisi değişikliği | Bilinen tedarikçiden "yeni IBAN" bildirimi | Bilinen numaradan telefonla teyit |
| Benzeyen alan adı | Bir harf değişik veya farklı uzantı | Gönderen adresini harf harf okuyun |
| Gerçek yazışmaya iliştirme | Eski bir e-posta zincirine yanıt gibi gelir | Zincirdeki adreslerin hepsini kontrol edin |
| Kimlik doğrulama isteği | "Oturumunuz doğrulanmalı" bağlantısı | Bağlantıya tıklamayın; siteye kendiniz gidin |
| Olağandışı kanal | Yönetici normalde aramaz, e-posta ile talep eder | Kanal değişikliği tek başına uyarıdır |
Bu altısının ortak noktası, hiçbirinin yazım hatasına dayanmaması. Bugünkü mesajlar dil açısından kusursuz olabiliyor; ayırt edici olan dil değil, istenen davranış.
BEC: patron taklidi saldırısı
İş e-postası ele geçirme (BEC) saldırıları, kurumsal kayıpların en büyük kalemlerinden biridir ve zararlı yazılım içermez — bu yüzden filtrelere takılmaz. Tipik akış şöyledir:
- Gözlem. Saldırgan, ele geçirilmiş veya taklit edilen bir hesaptan yazışmaları izler. Kimin kime, hangi üslupla yazdığını, ödeme döngüsünü ve tedarikçi adlarını öğrenir.
- Zamanlama. Talep, gerçek bir ödeme döneminde gelir. Bu yüzden beklenmedik görünmez.
- Yetki ve baskı. Mesaj üst yönetimden geliyormuş gibi gelir ve genellikle "toplantıdayım, arama" gibi doğrulamayı engelleyen bir cümle içerir.
- Kanal kilidi. Yanıt adresi değiştirilerek yazışma saldırganın kontrolündeki adrese yönlendirilir.
Bu saldırıyı durduran şey teknoloji değil, kuraldır: ödeme bilgisi değişikliği hiçbir koşulda e-posta üzerinden onaylanmaz. Bilinen bir telefon numarasından yapılan tek bir doğrulama, saldırının tamamını etkisiz kılar.
Şüpheli mail geldiğinde 3 adım
- Durun ve tıklamayın. Bağlantıya veya eke dokunmadan önce mesajı kapatın. Acele hissi, saldırının tasarım parçasıdır.
- Bağımsız kanaldan doğrulayın. E-postadaki numarayı değil, kendi kayıtlarınızdaki numarayı arayın. Yanıtlayarak doğrulama yapmak, saldırganla konuşmak anlamına gelebilir.
- Bildirin. Şüpheli olsun olmasın, mesajı sistem sorumlusuna iletin. Aynı mesaj muhtemelen birkaç kişiye daha gitmiştir; erken bildirim tüm ekibi korur.
Yanlışlıkla tıklandıysa panik gerekmez ama hız gerekir: parolayı değiştirin, oturumları sonlandırın, iki faktörlü doğrulamayı kontrol edin ve durumu bildirin.
Teknik tarafta yapılabilecekler
Farkındalık ilk savunma hattıdır, ancak teknik önlemler saldırıların önemli bir kısmını kullanıcıya ulaşmadan durdurur:
- SPF, DKIM ve DMARC kayıtlarını tamamlayın. Bunlar, sizin alan adınız adına gönderilen sahte e-postaları engeller — yani müşterilerinizi de korur. Kurulumu e-posta kurulum yazımızda anlattık.
- Dış kaynaklı e-postaları işaretleyin. Kurum dışından gelen mesajlara görünür bir uyarı eklemek, iç yazışma taklidini belirgin biçimde zorlaştırır.
- Kritik hesaplarda güçlü doğrulama kullanın. Ele geçirilmiş bir parola tek başına yeterli olmasın.
- Benzer alan adlarını izleyin. Markanıza benzeyen yeni kayıtları takip etmek erken uyarı sağlar.
- Ödeme onay akışını sistem üzerinden yürütün. E-posta bir onay kanalı değildir.
Netişlem uzman görüşü: hedef sistem değil, iş akışı
Bugünkü oltalama saldırıları teknik açık aramıyor; iş akışındaki boşluğu arıyor. Ödeme onayının nasıl verildiği, kimin kime hangi kanaldan talimat verdiği ve doğrulamanın ne zaman atlandığı… Saldırgan bunları öğrendiğinde hiçbir yazılım açığına ihtiyaç duymuyor. Bu yüzden en etkili önlem de teknik değil: yazılı bir doğrulama kuralı.
İkinci gözlemimiz, en çok zararın "tanıdık" mesajlarda oluşması. Ekipler bilmedikleri göndericilere karşı temkinli davranıyor; ancak bilinen bir tedarikçiden gelen fatura, üslup doğruysa sorgulanmıyor. Oysa saldırganın hedefi tam olarak bu güven eşiği.
Üçüncüsü, bildirimin cezalandırılmaması gerektiği. İncelediğimiz olaylarda zararın büyümesinin en yaygın nedeni, yanlış tıklayan kişinin bunu saatlerce söylememesi oluyor. "Söylersen sorun olmaz, söylemezsen sorun büyür" kültürü, çoğu teknik önlemden daha değerli.
Ekip farkındalık kontrol listesi
- Ödeme bilgisi değişikliği için yazılı doğrulama kuralı var ve herkes biliyor.
- Doğrulama, e-postadaki iletişim bilgisiyle değil kayıtlı bilgiyle yapılıyor.
- Dış kaynaklı e-postalar görünür biçimde işaretleniyor.
- SPF, DKIM ve DMARC kayıtları tamam ve doğrulandı.
- Kritik hesaplarda iki faktörlü doğrulama aktif.
- Şüpheli mesaj bildirim kanalı belli ve bildirim teşvik ediliyor.
- Yılda iki kez kısa farkındalık oturumu yapılıyor.
- Yanlış tıklama sonrası izlenecek adımlar yazılı.
Sık sorulan sorular
Gönderen adı doğru görünüyorsa güvenebilir miyim?
Hayır. Görünen ad kolayca değiştirilebilir; belirleyici olan gerçek e-posta adresidir. Adresi de taklit eden saldırılar mümkündür, bu yüzden tek başına adres kontrolü de yeterli değildir. Talep türü ve doğrulama kuralı esas alınmalıdır.
Ek dosyayı açmadan zarar görebilir miyim?
Bağlantıya tıklamak, sahte bir giriş sayfasına yönlendirilmek ve orada bilgi girmek en yaygın zarar yoludur — ek dosya hiç açılmadan. Bu yüzden "eki açmadım" cümlesi tek başına güvence değildir.
Spam filtresi bunları yakalamıyor mu?
Bir kısmını yakalar. Ancak zararlı yazılım içermeyen, tek bir alıcıya özel yazılmış ve gerçek bir yazışma bağlamına oturan mesajlar filtrelerin ayırt etmesi en zor olan türdür. Bu tür saldırılarda son savunma hattı kullanıcıdır.
Ekibime sahte oltalama testi yapmalı mıyım?
Doğru kurgulandığında faydalıdır. Amaç kimseyi yakalamak değil, farkındalık seviyesini ölçmek olmalıdır. Sonuçların kişi bazlı paylaşılmaması ve testin ardından kısa bir bilgilendirme yapılması, yöntemi yapıcı hâle getirir.
Müşterilerime sahte e-posta gidiyorsa ne yapmalıyım?
Öncelikle alan adınızın kimlik doğrulama kayıtlarını sıkılaştırın; DMARC politikası doğru yapılandırıldığında sahte gönderimler alıcı tarafında engellenebilir. Ayrıca müşterilerinizi bilgilendirmek ve resmi iletişim kanallarınızı hatırlatmak itibar açısından önemlidir.
Sonuç
Oltalamayı durduran şey artık dikkatli okuma değil, yazılı bir doğrulama kuralıdır. Ödeme ve erişim gibi kritik işlemler e-posta ile onaylanmadığı sürece, mesaj ne kadar inandırıcı olursa olsun saldırı sonuç vermez.
E-posta güvenliğinizi denetlememizi isterseniz bize ulaşın. Kurumsal e-posta, e-posta çözümlerimiz ve güvenli hosting sayfalarımızı inceleyebilirsiniz.