Sosyal mühendislik saldırıları, sürekli olarak evrilen siber güvenlik tehditleri arasında hem bireyler hem de kuruluşlar için en büyük endişe kaynağı olmaya devam ediyor. Siber güvenlik şirketi ESET’in hazırladığı ve antivirus.com.tr web sitesinden ücretsiz olarak yayınlanan bir kitapçık, kimlik avı saldırılarına karşı farkındalık çalışmalarını desteklemeyi amaçlıyor.
Teknoloji, dijital güvenlikte önemli bir rol oynasa da insan faktörü hâlâ kritik bir etkendir. Verizon’un 2023 Veri İhlali Araştırmaları Raporu’na göre, ihlallerin yüzde 74’ü sosyal mühendislik saldırıları, hatalar ve kötüye kullanım içeren insan etmenini içeriyor. Bu veriler, çalışanların çeşitli saldırı türleri ve koruma yöntemleri hakkında eğitilmesinin önemini vurguluyor.
ESET Türkiye Ürün ve Pazarlama Müdürü Can Erginkurban, ESET Türkiye olarak artan kimlik avı saldırılarına dikkat çekerek hazırladıkları el kitapçığıyla farkındalık çalışmalarına katkıda bulunmayı ve sosyal bir fayda sağlamayı amaçladıklarını belirtti. Siber suçluların kullandığı sosyal mühendislik teknikleri hakkında bilgi vererek dijital güvenlik altyapısının güçlendirilmesine yönelik ipuçlarını paylaştı.
Vishing: Telefonla Sosyal Mühendislik
“Vishing”, sesli oltalamanın (Voice Phishing) kısaltmasıdır ve dolandırıcıların telefon aramaları veya sesli mesajlar kullanarak bireyleri hassas bilgileri ifşa etmeleri veya hileli ödemeler yapmaları için kandırmalarını içerir. Bu saldırıların karmaşıklığı, insan taklidi yapanlardan otomatik robocall’lara kadar değişmektedir. Bazı dolandırıcılar, aldatmacalarını geliştirmek için yasal telefon numaralarını kullanarak çağrı sahteciliği bile yapmaktadır. Vishing’in en son versiyonu, daha da inandırıcı hale getirmek için yapay zekâ araçlarını kullanarak belirli bir kişinin sesini taklit edebilen deepfake aramaları içerir.
Smishing: SMS ile Sosyal Mühendislik
Smishing veya “SMS phishing”, kurbanları belirli eylemleri gerçekleştirmeye yönlendirmek için metin veya mesajlaşma uygulamaları aracılığıyla hileli mesajlar göndermek anlamına gelir. Mesajlar genellikle alıcıları kötü niyetli web sitelerine, giriş sayfalarına veya uygulamalara yönlendiren bağlantılar içerir. Bu kanallara erişildiğinde, ödeme kartı bilgileri de dahil olmak üzere kişisel bilgiler alınabilir veya kurbanın cihazına kötü amaçlı yazılım bulaştırılabilir.
Phishing: E-posta yoluyla Sosyal Mühendislik
Şirketlerde çalışanlar, phishing yani oltalama hakkında bir şeyler duymuştur, fakat bu terimin bilinmesi tehlikesini azaltmıyor. Aksine, oltalama e-postaları, saldırganların güvenilir varlıklar gibi davranarak bireyleri; parolalar, kredi kartı bilgileri veya kişisel kimlik bilgileri gibi hassas bilgileri ifşa etmeleri için kandırmaya çalıştıkları en üretken siber suç teknikleri arasında yer almaya devam ediyor. Genellikle, meşru kuruluşları veya kişileri taklit eden web sitelerine bağlantılar içeren sahte e-postalar gibi aldatıcı taktikler kullanırlar.
Sosyal Mühendislik Türlerine Karşı Korunma Yöntemleri
- Duraklayın, düşünün ve sonra harekete geçin: Dolandırıcılar kurbanları manipüle etmek için aceleye güvenirler. Talepleri değerlendirmek için zaman ayırın ve aceleci davranmaktan kaçının. Kısa mesajlardaki bağlantılara tıklamaktan kaçının ve iletişimin meşruiyetini doğrulamak için kuruluşun resmi web sitesini ziyaret edin.
- Bilinmeyen numaralara karşı şüpheci olun: Tanıdık olmayan veya şüpheli numaralardan gelen aramaları veya kısa mesajları doğrulayın. Herhangi bir kişisel bilgiyi ifşa etmekten veya mesajlardaki bilinmeyen bağlantılara tıklamaktan kaçının. Bu, bu tür dolandırıcılıkların kurbanı olma olasılığınızı en aza indirmenize yardımcı olur.
- Kişisel bilgilerinizi gizli tutun: Hesap numaraları, kimlik numaraları, parolalar veya Çok Faktörlü Kimlik Doğrulama (MFA) kodları gibi hassas bilgileri asla bilinmeyen kişilere telefonda veya bir mesajla açıklamayın. Meşru kuruluşlar bu tür bilgileri istenmeyen aramalar veya mesajlar yoluyla talep etmez.
- Kimliği doğrulayın: Bir şirketi veya devlet kurumunu temsil ettiğini iddia eden birinden mesaj alırsanız, doğrudan etkileşime girmekten kaçının. Bunun yerine, web sitelerinde bulunan resmi iletişim bilgilerini kullanarak kuruluşla iletişime geçerek gerçekliğini bağımsız olarak doğrulayın.
- Güçlü güvenlik önlemlerini etkinleştirin: Hesaplarınızı korumak için güçlü ve benzersiz parolalar kullanın. Uzun ve karmaşık parolalar veya parolalar oluşturmak ve bunları güvenli bir şekilde saklamak için parola oluşturucuları ve yöneticileri kullanmayı düşünün. Ekstra bir koruma katmanı eklemek için mümkün olduğunda Çok Faktörlü Kimlik Doğrulama (MFA) kullanın.
Kitapçığa ulaşmak için tıklayın.
