E-Posta Oltalama (Phishing) Saldırısı Nasıl Tanınır?

Her yıl milyonlarca kişi ve kurum, meşru bir kaynaktan geliyormuş gibi görünen sahte e-postalar aracılığıyla kimlik bilgilerini, finansal verilerini ve kurumsal sırlarını kaptırıyor. Oltalama (phishing) saldırıları; teknik açıdan gelişmiş olmayan, ancak sosyal mühendislik gücüyle son derece etkili bir siber tehdit biçimidir. Bu rehber, size bir e-postanın gerçek mi yoksa tuzak mı olduğunu adım adım nasıl anlayacağınızı açıklıyor.

Oltalama Nedir ve Nasıl Çalışır?

Oltalama (İngilizce: phishing), siber saldırganların meşru bir kuruluş, banka, kamu kurumu veya tanıdık kişi kılığına bürünerek hedeften hassas bilgi çalmayı ya da zararlı yazılım yüklemeyi amaçladığı bir sosyal mühendislik tekniğidir. "Phishing" terimi, balık avlamayı simgeler: saldırgan yem (sahte e-posta) atar, hedef yemi yutarsa oltaya düşmüş olur.

Teknik altyapı açısından phishing e-postaları çoğunlukla gerçek posta sunucularından farklı, ancak adına benzer alan adlarından gönderilir. Örneğin @garanti.com.tr yerine @garanti-guvenlik.net ya da Punycode kullanılarak oluşturulan görsel olarak özdeş Latin harfleri içeren alan adları (Homograf saldırısı) tercih edilir. IETF'nin RFC 5321 (SMTP) ve RFC 7208 (SPF) standartları, gönderen doğrulamasını mümkün kılmak için tasarlanmış olsa da yanlış yapılandırılmış ya da hiç yapılandırılmamış alan adları bu korumaları işlevsiz bırakır.

Phishing saldırılarının alt türleri şunlardır:

• Spear Phishing (Hedefli Oltalama): Belirli bir kişi ya da kuruma özel hazırlanmış, hedefin adını ve kurumsal bilgilerini içeren kişiselleştirilmiş e-postalar.
• Whaling (Balina Avı): Üst düzey yöneticileri veya CEO'ları hedef alan spear phishing varyantı.
• Clone Phishing: Daha önce gerçekten gönderilmiş bir e-postanın birebir kopyasının, bağlantılar veya ekler değiştirilerek yeniden gönderilmesi.
• Vishing/Smishing: Sesli arama (voice) ya da SMS yoluyla gerçekleştirilen oltalama.

Phishing E-Postasının 8 Temel Belirtisi

Aşağıdaki tablo, gerçek bir kurumsal e-posta ile tipik bir phishing e-postasını ayırt etmenin pratik yollarını özetlemektedir.

Gönderen Adresini Doğrulama: Teknik Detaylar

E-posta zarfında iki farklı "gönderen" alanı bulunur: MAIL FROM (zarf göndereni, teknik olarak Return-Path) ve From: başlığı (ekranda gösterilen). Phishing saldırıları genellikle bu ikisini birbirinden ayırır; ekranda güvenilir bir adres gösterilirken gerçek posta sunucusu bambaşka bir alan adından gönderir. RFC 5322, From: alanının gösterim biçimini tanımlar ancak içeriğini kısıtlamaz; bu yüzden doğrulama mekanizmaları kritiktir:

• SPF (Sender Policy Framework – RFC 7208): Alan adı sahibinin hangi sunucuların o alan adı adına posta gönderebileceğini DNS TXT kaydıyla ilan etmesini sağlar.
• DKIM (DomainKeys Identified Mail – RFC 6376): Gönderen sunucu, e-posta başlıklarını ve gövdesini özel anahtarıyla imzalar; alıcı sunucu DNS'teki açık anahtarla imzayı doğrular.
• DMARC (Domain-based Message Authentication – RFC 7489): SPF ve DKIM sonuçlarını bir politikaya bağlar; başarısız iletilerin reddedilmesini veya karantinaya alınmasını zorunlu kılabilir ve raporlama mekanizması sunar.

E-posta istemcinizde "Orijinal İletiyi Göster" veya "Ham Kaynağı Görüntüle" seçeneğiyle bu başlıkları kendiniz inceleyebilirsiniz. Authentication-Results: satırında spf=pass, dkim=pass ve dmarc=pass görüyorsanız e-posta olduğunu iddia ettiği sunucudan gelmiştir; aksi durumlar şüphe uyandırmalıdır.

URL ve Bağlantı Analizinde Dikkat Edilecekler

Phishing e-postalarındaki bağlantılar, ilk bakışta gerçekmiş gibi görünecek biçimde tasarlanır. Saldırganların kullandığı başlıca teknikler şunlardır:

• Alt alan adı yanıltmacası: giris.banka.com.tr.hesap-dogrula.xyz adresinde gerçek alan adı .xyz'deki son parçadır; banka.com.tr yalnızca bir alt alan adı görüntüsü oluşturur.
• URL kısaltıcılar: bit.ly veya tinyurl.com gibi hizmetlerle gerçek hedef gizlenir. Tıklamadan önce kısaltılmış URL'nin hedefini checkshorturl.com gibi araçlarla kontrol edebilirsiniz.
• Homograf (Unicode) saldırısı: Kiril alfabesindeki "а" harfi Latin "a" ile görsel olarak özdeştir. Punycode biçiminde görüntülendiğinde (xn-- ön eki) fark edilebilir.
• Yönlendirme zincirleri (Open Redirect): Güvenilir bir sitenin yönlendirme özelliği kötüye kullanılarak URL'nin bir kısmı meşru görünür hale getirilir.

Pratik kural: Bağlantıya tıklamadan fareyi üzerinde tutun (hover edin) ve tarayıcı durum çubuğunda gerçek hedefi okuyun. Mobil cihazlarda bağlantıya uzun basarak "URL'yi kopyala" ile adresi inceleyebilirsiniz.

Türk Hukuku Açısından Phishing: Yasal Çerçeve

Türkiye'de phishing saldırıları birden fazla mevzuat kapsamında suç teşkil eder:

• 5237 sayılı Türk Ceza Kanunu, Madde 243-245: Bilişim sistemine izinsiz erişim (m. 243), sistemi engelleme-bozma-değiştirme (m. 244) ve bilişim yoluyla dolandırıcılık (m. 245) suçlarını düzenler. Bilişim yoluyla dolandırıcılık için 1 ila 5 yıl hapis cezası öngörülmektedir; nitelikli hallerde bu süre artabilir.
• 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK): Phishing yoluyla elde edilen kimlik, iletişim ve finansal veriler kişisel veri niteliği taşır. Bu verilerin hukuka aykırı biçimde elde edilmesi ve işlenmesi KVKK kapsamında idari para cezası ve hapis cezasını birlikte getirebilir.
• 5411 sayılı Bankacılık Kanunu: Banka müşterilerini hedef alan phishing saldırıları aynı zamanda bu kanun kapsamında değerlendirilebilir; mağdurların Bankacılık Düzenleme ve Denetleme Kurumu'na (BDDK) şikâyette bulunma hakkı bulunmaktadır.
• Bilgi Teknolojileri ve İletişim Kurumu (BTK): Phishing sitelerinin ihbarı için ihbarweb.org.tr adresi kullanılabilir; BTK bu siteleri idari kararla erişime kapatabilir.

Kurumsal tarafta ise 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (ETK), ticari elektronik ileti gönderiminde onay zorunluluğunu ve gönderen kimliğinin açıkça belirtilmesini şart koşar. Meşru işletmeler bu kurallara uymak zorunda olduğundan, kurumsal görünümlü bir e-posta bu zorunlulukları yerine getirmiyorsa şüpheyle yaklaşılmalıdır.

Kurumsal Düzeyde Korunma Adımları

Bireysel farkındalığın ötesinde, kurumların altyapısal önlemler alması saldırı yüzeyini önemli ölçüde daraltır:

• Alan adı için SPF, DKIM ve DMARC kayıtlarını doğru biçimde yapılandırın; DMARC politikasını zamanla p=reject düzeyine taşıyın.
• Çalışanlara düzenli aralıklarla simüle phishing tatbikatları yapın (örn. açık kaynaklı GoPhish aracı).
• E-posta güvenlik geçidi (SEG) veya API tabanlı e-posta güvenlik çözümleri kullanın; gelen kutusuna ulaşmadan önce şüpheli iletileri filtreleyin.
• Kritik sistemlere erişimde çok faktörlü kimlik doğrulama (MFA) zorunlu kılın; kimlik bilgileri ele geçirilse bile hesabın ele geçirilmesini engelleyin.
• DNS tabanlı koruma (DNS filtering / RPZ – Response Policy Zones) ile bilinen phishing alan adlarına erişimi engelleyin.

Sık Sorulan Sorular

Kaynaklar ve İleri Okuma

• RFC 7208 – Sender Policy Framework (SPF) — SPF protokolünün resmi teknik standardı; alan adı doğrulama mekanizmasının tam tanımı.
• RFC 6376 – DomainKeys Identified Mail (DKIM) Signatures — DKIM imzalama ve doğrulama protokolünün IETF standardı.
• RFC 7489 – Domain-based Message Authentication, Reporting & Conformance (DMARC) — DMARC politika çerçevesini ve raporlama biçimini tanımlayan IETF standardı.
• 5237 Sayılı Türk Ceza Kanunu – Bilişim Suçları (m. 243-245) — Bilişim sistemlerine izinsiz erişim ve bilişim yoluyla dolandırıcılık suçlarını düzenleyen yasal metin.
• 6698 Sayılı KVKK – Kişisel Verilerin Korunması Kanunu — Phishing ile elde edilen kişisel verilerin hukuki statüsünü ve yaptırımları düzenleyen kanun.
• APWG Phishing Activity Trends Reports — Anti-Phishing Working Group'un düzenli olarak yayımladığı, küresel phishing istatistiklerini ve trend analizlerini içeren ücretsiz raporlar.
• BTK İhbar Web – ihbarweb.org.tr — Phishing sitelerini ve zararlı içerikleri Bilgi Teknolojileri ve İletişim Kurumu'na bildirmeye yarayan resmi Türk devlet platformu.