Phishing ve Dolandırıcılık: E-posta Örnekleriyle Güvende Kalma Rehberi

Phishing ve Dolandırıcılık: E-posta Örnekleri, Link Kontrolü ve Güvende Kalmanın Yolları

Her yıl yeni siber dolandırıcılık yöntemleri ortaya çıksa da, phishing (oltalama) hâlâ internette en yaygın aldatma yöntemlerinden biri olmaya devam ediyor. 2024-2025 yıllarında gerçekleştirilen tüm siber saldırıların %80'inden fazlası phishing ile başladı. Hem acemi hem de deneyimli kullanıcılar bu tuzağa düşebiliyor. Dolandırıcılar, sahte siteler, e-postalar veya mesajlar oluşturup kendilerini banka, popüler servisler ya da iş arkadaşınız gibi göstererek, sizden kişisel bilgilerinizi girmenizi isterler. Sahte bir linke tıklamak, şifrelerinizin, banka kartınızın ve paranızın çalınmasına yol açabilir.

Phishing Saldırıları Nedir?

Phishing (İngilizce "fishing" kelimesinden türemiştir), internet üzerinden yapılan bir dolandırıcılık türüdür. Saldırganlar, kullanıcıların giriş bilgileri, şifreleri, banka kartı numaraları, kimlik bilgileri veya kurumsal sistem erişimlerini "avlamak" isterler.

Phishing Saldırısı: Basitçe Nedir?

Phishing; gerçek bir e-posta veya web sitesi gibi görünen, aslında sahte olan bir kaynak üzerinden kullanıcıyı kandırma yöntemidir. Mağdur, banka sitesine ya da resmi bir servise giriş yaptığını düşünürken, bilgilerini doğrudan dolandırıcılara iletir.

Phishing'in Temel Belirtileri

• E-posta veya mesaj, resmi bir şirketten gelmiş gibi görünür.
• Link, genellikle orijinaline çok benzeyen sahte bir siteye yönlendirir.
• Acil bir şekilde bilgi girmeniz, oturum açmanız veya "borç" ödemeniz istenir.

Phishing, SMS dolandırıcılığı, sahte banka aramaları, sahte kampanyalar ve toplu e-posta gönderimleri gibi diğer siber suçlarla yakından ilişkilidir. Bu yüzden "phishing ve dolandırıcılık" kavramları genellikle birlikte kullanılır.

Phishing E-posta Örnekleri

Kendinizi korumayı öğrenmenin en iyi yolu, gerçek phishing e-postalarının nasıl göründüğünü bilmektir. İşte en yaygın senaryolar:

1. "Bankadan Acil Mesaj"
   • "Hesabınızda şüpheli hareket tespit edildi. Erişimi geri almak için kimliğinizi doğrulayın." gibi bir bildirim gelir.
   • E-postada "Hesabınıza Giriş Yapın" butonu bulunur ve bu link sahte bir siteye yönlendirir.
2. "Abonelik Ücretiniz Çekildi"
   • Netflix, Spotify gibi bir servis adına "Ücretiniz çekildi. Siz değilseniz işlemi iptal edin." mesajı gelir.
   • Mağdur panikle tıklayıp kart bilgilerini girer.
3. "Vergi veya Devlet Kurumundan Mesaj"
   • Vergi iadesi vadedilir ya da ceza bildirimi yapılır.
   • "Tazminat almak" için kimlik bilgilerinizi girdiğiniz bir form doldurmanız istenir.
4. "Çalışma E-postası" (Kurumsal Phishing)
   • Çalışana, IT departmanından gelmiş gibi görünen "Şifreniz eskidi, yenilemek için tıklayın." mesajı gelir.
   • Bilgiler, hesabı güncellemek yerine dolandırıcılara gider.

Phishing E-postasının Belirtileri

• Metinde yazım ve dilbilgisi hataları bulunur.
• Gönderen adresi tuhaftır (ör. support@paypa1.com yerine paypal.com).
• Linkler, resmi siteye değil, fazladan karakterli domainlere yönlendirir.
• Gereksiz aciliyet vurgusu ("24 saat içinde onaylamazsanız hesabınız kapanacak").

Phishing'in tehlikesi, bu tür e-postaların genellikle ikna edici görünebilmesidir. Dolandırıcılar, şirketlerin logolarını, renklerini ve stilini taklit eder; bu da sahte ile gerçeği ayırt etmeyi zorlaştırır.

Bir Linkin Phishing Olup Olmadığı Nasıl Kontrol Edilir?

Phishing'in en sık kullanılan yöntemi sahte linklerdir. Güvenliğiniz için, herhangi bir bilgi girmeden önce linkin adresini mutlaka kontrol etmelisiniz.

1. İmleci linkin üstüne getirin (veya telefonda linke basılı tutun).
   Gerçek adres, tarayıcının altında ya da açılan pencerede görünür. Örneğin, bir e-postada "Ziraat Bankası" yazıyorsa ama link ziraatbank-login.info ise, bu phishing'dir.
2. Domaine dikkat edin.
   Resmi siteler .com, .com.tr, .org gibi uzantılar kullanır. Sahte linklerde fazladan harfler (paypa1 yerine paypal) veya ekstra alt domainler olur (banka-giris.secure.com).
3. HTTPS'i kontrol edin.
   Tarayıcıdaki kilit simgesi tek başına güvenlik garantisi olmasa da, yokluğu genellikle sitenin sahte olduğunu gösterir.
4. Online kontrol servislerini kullanın.
   VirusTotal, PhishTank, Google Transparency Report gibi sitelere linki yapıştırarak kontrol edebilirsiniz.
5. Hemen tıklamayın.
   Şüpheli bir link gördüğünüzde, bankanın ya da servisin adresini tarayıcıya elle yazmak daha güvenli olur.

Dolandırıcılar, acele etmenizi ister. Ne kadar hızlı tıklarsanız, başarılı olma şansları artar. O yüzden, en iyi koruma yöntemi yavaşlamak ve iki kez kontrol etmektir.

Phishing Türleri

Phishing, farklı şekillerde karşınıza çıkabilir. Ne kadar çok yöntemi bilirseniz, o kadar kolay tanırsınız.

1. E-posta Phishing
   Sahte linkli klasik e-posta yöntemi. Hem en yaygın hem de en tehlikeli olanıdır.
2. SMS Phishing (Smishing)
   "Kartınız bloke oldu, hemen tıklayın" gibi SMS'ler gelir. Özellikle yaşlılar arasında daha etkilidir.
3. Telefon Phishing (Vishing)
   Dolandırıcılar, banka ya da güvenlik görevlisi gibi arayarak SMS kodu veya kart bilgilerinizi ister.
4. Sosyal Medya Phishing
   Sahte şirket hesapları, ödül çekilişleri veya özel mesajlardaki linklerle kullanıcıları kandırır.
5. Spear Phishing
   Hedefli saldırılardır. Dolandırıcılar, belirli bir kişi ya da şirket hakkında bilgi toplayıp, e-postayı son derece ikna edici hale getirir. Örneğin, çalışana "patron" adına ödeme isteği gelir.

Tüm bu yöntemlerin ortak noktası, güveninizi kazanıp hızlı hareket etmenizi sağlamaktır. Dolayısıyla, tipik senaryoları bilmek en iyi savunmadır.

Phishing'e Düşmemek İçin Ne Yapmalı?

Phishing'e karşı en iyi savunma, dikkatli olmak ve birkaç basit dijital hijyen kuralını uygulamaktır.

1. Göndereni kontrol edin.
   Banka e-postasında gönderen adresini kontrol edin; resmi şirketler asla Gmail, Yahoo, Hotmail gibi ücretsiz servislerden yazmaz.
2. E-postalardaki linklere tıklamayın.
   Özellikle para işlemleriyle ilgili ise, siteyi tarayıcıya elle yazın veya uygulama üzerinden girin.
3. SMS kodlarını kimseyle paylaşmayın.
   Bankalar asla doğrulama kodlarını istemez. Telefon ya da sohbet yoluyla kod isteyen biri dolandırıcıdır.
4. İki faktörlü kimlik doğrulama kullanın.
   Şifreniz çalınsa bile, ek kod olmadan hesabınıza giriş yapılamaz.
5. Metni dikkatlice okuyun.
   Yazım hataları, "Değerli Müşteri" gibi genel hitaplar veya aşırı aciliyet ("sadece bugün", "acil onay") dolandırıcılık işaretidir.
6. Antivirüs ve anti-phishing eklentileri kurun.
   Bu araçlar, şüpheli siteleri ve linkleri siz tıklamadan önce engeller.
7. Web sitelerini arama motorunda kontrol edin.
   Şüpheli bir mağaza veya servis için ismini ve "yorumlar" kelimesini aratın. Sahte sitelerin geçmişi olmaz.

En önemli kural: Acele etmeyin. Dolandırıcılar anlık kararlarınıza güvenir. Biraz durup düşünmek, phishing'e düşme riskinizi büyük ölçüde azaltır.

Phishing'e Düşerseniz Ne Yapmalı?

En dikkatli kullanıcılar bile hata yapabilir. Panik yapmayın, hızlı hareket edin:

• Kart bilgilerinizi girdiyseniz:
  • Hemen bankanızı arayın ve kartı bloke ettirin.
  • Kartı yeniden çıkarttırın ve işlem bildirimlerini açın.
• Giriş bilgilerini verdiyseniz:
  • Hemen tüm servislerde şifrenizi değiştirin.
  • İki faktörlü kimlik doğrulamayı aktif edin.
• Şüpheli bir linke tıkladıysanız:
  • Cihazınızı antivirüsle tarayın.
  • Tarayıcı önbelleği ve çerezleri temizleyin.
• Phishing e-postası aldıysanız:
  • Linklere tıklamayın.
  • İlgili servisin veya bankanın destek hattına e-postayı iletebilirsiniz.
  • Google Safe Browsing veya Türkiye Siber Suçlar Birimi'ne bildirerek şikâyet edebilirsiniz.

Ne kadar hızlı hareket ederseniz, zararı o kadar azaltırsınız. Birçok banka ve servis, zamanında haber verilirse işlemleri engelleyebilir.

Kendinizi Nasıl Daha İyi Koruyabilirsiniz?

Phishing riskini en aza indirmek için ek araçlar kullanabilirsiniz. Bu araçlar, şüpheli siteleri ve e-postaları siz tıklamadan önce tespit etmeye yardımcı olur:

• Antivirüs programları (phishing koruması olan):
  Kaspersky, ESET, Bitdefender ve Dr.Web gibi birçok güncel antivirüs, phishing sitelerine karşı koruma sağlar.
• Tarayıcı eklentileri:
  Avast Online Security, Netcraft Extension, Guardio gibi eklentiler, sahte site şüphesi olduğunda sizi uyarır. Google Chrome ve Microsoft Edge de tehlikeli siteleri otomatik kontrol eder.
• Link kontrol servisleri:
  VirusTotal ve PhishTank gibi siteler, bir linki onlarca veri tabanında kontrol etmenizi sağlar.
• E-posta filtreleri:
  Gmail, Outlook ve Yandex.Mail gibi servislerin yerleşik koruması vardır ancak %100 güvenli değildir.
• Şifre yöneticileri:
  LastPass, 1Password, Bitwarden gibi araçlar, site domainini kaydedilenle karşılaştırır. Site sahte ise şifreyi otomatik olarak girmez.

Bu araçlar dikkatinizin yerine geçmese de, ek bir güvenlik katmanı sağlar ve hataları önler.

İşletmeler için Phishing Tehlikesi

Bireysel kullanıcılar için phishing, kişisel veri veya para kaybı anlamına gelirken; şirketler için sonuçlar çok daha ağır olabilir. Kurumsal phishing, 2025'te işletmeler için en büyük tehditlerden biridir.

Kurumsal Phishing Nasıl Çalışır?

• Çalışana, IT ekibi ya da yönetici gibi görünen birinden e-posta gelir.
• Şifre güncellemesi, giriş veya ödeme yapması istenir.
• Sonuçta, kurum içi sistemlere veya muhasebeye erişim sağlanır.

Kurumsal Saldırı Örnekleri

• Yöneticilere özel spear phishing ("balina avı" olarak da bilinir).
• Microsoft 365 veya Google Workspace adına sahte toplu e-posta gönderimi.
• "İş ortağı" gibi görünen sahte fatura e-postaları.

İşletmeler Nasıl Korunmalı?

1. Düzenli eğitimlerle çalışanlara phishing e-postalarının nasıl göründüğünü anlatmak.
2. Çalışanlara sahte e-posta testleri göndererek pratik yaptırmak.
3. Kurum içi e-posta filtreleri ve anti-phishing sistemleri kurmak.
4. Tüm hesaplarda çok faktörlü kimlik doğrulaması kullanmak.
5. Erişim haklarını sınırlayarak, tek bir hesabın ele geçirilmesi durumunda zararı en aza indirmek.

İş dünyasında phishing, genellikle fidye yazılımı saldırılarının veya ticari sırların çalınmasının ilk adımıdır.

Sonuç

Phishing, hâlâ en tehlikeli internet dolandırıcılığı türlerinden biri. Karmaşık teknolojilerle değil, insan dikkatsizliğiyle - güven, acelecilik ve "hemen çözme" isteğiyle çalışır. Bu yüzden deneyimli kullanıcılar bile tuzağa düşebilir.

Phishing e-postalarını tanımayı, sahte linkleri kontrol etmeyi ve hata yaptığınızda ne yapmanız gerektiğini öğrenmek, en büyük açıklarınızı kapatır. Basit dijital hijyen kuralları, karmaşık koruma sistemlerinden çok daha etkili olabilir:

• E-posta ve mesajlardaki linklere tıklamayın.
• Bilgi girmeden önce web adresini kontrol edin.
• İki faktörlü kimlik doğrulama kullanın.
• Kodları ve şifreleri, "banka çalışanı" bile olsa kimseyle paylaşmayın.
• Phishing sitelerini ve e-postalarını ilgili servislere bildirin.

Sonuç olarak, phishing'e karşı en etkili savunma dikkatli olmaktır. Bir an durup bilgileri ve linkleri kontrol etmek, mağdur olma riskinizi minimuma indirir.