Oltalama (Phishing) E-Postasına Tıkladım: Adım Adım Yapılacaklar

Bir phishing bağlantısına tıkladığınızı fark ettiğiniz an panik kaçınılmaz hissettirirse de doğru adımları hızla atmak zararı büyük ölçüde sınırlandırır. Bu rehber, tıklama anından itibaren ne yapmanız, neleri kontrol etmeniz ve bir daha aynı duruma düşmemek için hangi önlemleri almanız gerektiğini kurumsal bir perspektiften açıklar.

Phishing Nedir ve Neden Bu Kadar Etkilidir?

Phishing (oltalama), saldırganların meşru bir kurum veya kişi gibi davranarak kullanıcıları kimlik bilgilerini, finansal verilerini veya hassas belgelerini teslim etmeye yönlendirdiği sosyal mühendislik saldırısıdır. Anti-Phishing Working Group (APWG) verilerine göre 2023 yılında küresel ölçekte aylık 1 milyonun üzerinde benzersiz phishing sitesi tespit edilmiştir.

E-posta altyapısı açısından değerlendirildiğinde, phishing saldırıları çoğunlukla SPF (RFC 7208), DKIM (RFC 6376) ve DMARC (RFC 7489) kayıtları eksik veya hatalı yapılandırılmış alan adlarını taklit ederek gerçekleştirilir. Güvenilir görünen bir gönderici adresi, özellikle homoglyph karakterler (örneğin "rn" harflerinin "m" gibi görünmesi) ile pekiştirilerek kullanıcıyı yanıltır. Google Postmaster Tools ve Microsoft SNDS gibi gönderici itibar servisleri, meşru alan adlarının bu tür sahteciliklere karşı nasıl izleneceğini belgelemektedir.

Tıkladım — İlk 5 Dakikada Ne Yapmalıyım?

Soğukkanlılığı korumak, doğru tepki vermenin önkoşuludur. Şu adımları sırasıyla uygulayın:

1. Ağ bağlantısını kesin. Wi-Fi'ı kapatın veya Ethernet kablosunu çekin. Bu, saldırganın cihazınıza ek zararlı yazılım göndermesini ya da veri sızıntısını anlık olarak durdurur.
2. Hiçbir şey girmeyin. Açılan sayfa bir form gösteriyorsa kullanıcı adı, şifre veya kart bilgisi kesinlikle yazmayın; sayfayı kapatın.
3. Ekran görüntüsü alın. URL'i, sayfa içeriğini ve gelen e-postanın başlık (header) bilgilerini belgeleyin. RFC 5321'e göre SMTP zarf bilgileri (MAIL FROM, RCPT TO) orijin tespitinde kritik kanıt niteliği taşır.
4. BT veya güvenlik ekibinizi arayın. Kurumsal bir ağda iseniz olayı derhal bildirin; bireysel kullanıcıysanız internet servis sağlayıcınızın güvenlik hattını arayın.
5. Şüpheli uygulamaları zorla kapatın. İndirilen veya otomatik çalışan herhangi bir uygulama varsa görev yöneticisi aracılığıyla sonlandırın.

Hesap Güvenliğini Hemen Sağlayın

Bağlantıya tıkladıktan sonra herhangi bir forma bilgi girip girmediğinize bakılmaksızın, tıkladığınız e-postanın geldiği servise ait hesabınızın şifresini değiştirin. Özellikle aynı şifreyi birden fazla yerde kullanıyorsanız tüm bu hesapların şifrelerini de güncelleyin; NIST SP 800-63B kılavuzu, şifre yeniden kullanımını açıkça güvenlik açığı olarak tanımlamaktadır.

Şifre değişikliğinin ardından çok faktörlü kimlik doğrulamayı (MFA/2FA) etkinleştirin. TOTP (Time-based One-Time Password) standardını uygulayan Google Authenticator, Microsoft Authenticator veya donanım tabanlı FIDO2/WebAuthn anahtarları (YubiKey gibi) en güvenilir yöntemler arasındadır. SMS tabanlı doğrulama, SIM takası (SIM swapping) saldırılarına karşı kırılgan olduğundan kurumsal ortamlarda tercih edilmemelidir.

Durum Değerlendirme Tablosu

Zararlı Yazılım Taraması Nasıl Yapılır?

Bağlantı açıldığında tarayıcı açığından yararlanarak cihaza zararlı yazılım bulaşmış olabilir. Bu saldırı vektörü, özellikle güncellenmemiş tarayıcılarda yaygındır. Tarama için şu araçları kullanabilirsiniz:

• Windows: Microsoft Defender Antivirus çevrimdışı taraması (Windows Security → Virus & threat protection → Scan options → Microsoft Defender Offline scan) veya Malwarebytes Free.
• macOS: Malwarebytes for Mac, CleanMyMac X güvenlik modülü veya Apple'ın yerleşik XProtect/Gatekeeper katmanının güncellendiğini doğrulayın (Sistem Ayarları → Gizlilik ve Güvenlik).
• Kurumsal ortamlar: CrowdStrike Falcon, SentinelOne veya Microsoft Defender for Endpoint gibi EDR (Endpoint Detection and Response) platformları üzerinden olay araştırması başlatın.
• Şüpheli dosya analizi: İndirilen herhangi bir dosyayı çevrimiçi VirusTotal (virustotal.com) servisine yükleyerek 70'ten fazla antivirüs motoruyla tarattırabilirsiniz.

E-Posta Başlıklarını Okuyarak Göndereni Tespit Edin

Phishing e-postasını raporlamak ve saldırı zincirini anlamak için e-posta başlıklarını (headers) incelemeniz gerekir. Gmail'de Üç nokta menüsü → Orijinali göster, Outlook'ta Dosya → Özellikler → İnternet üstbilgileri yoluyla ham başlığa ulaşabilirsiniz.

Başlıkta dikkat edilecek alanlar şunlardır:

• Return-Path: Zarf göndericisi; RFC 5321 kapsamında gerçek SMTP kaynak adresidir.
• Authentication-Results: SPF, DKIM ve DMARC sonuçlarını gösterir. spf=fail veya dmarc=fail değerleri sahteciliğe işaret eder.
• Received: E-postanın geçtiği sunucular; IP adresleri, coğrafi konum analizi için kullanılabilir.
• X-Originating-IP: Bazı sağlayıcılarda gerçek gönderici IP adresini açığa çıkarır.

Bu başlıkları MXToolbox Email Header Analyzer gibi araçlara yapıştırarak okunabilir bir formata dönüştürebilirsiniz.

Olayı Nereye Bildirmeliyim?

Phishing saldırısını yalnızca silmek yerine yetkili mercilere bildirmek, başkalarının aynı tuzağa düşmesini önler:

• Türkiye: BTK (Bilgi Teknolojileri ve İletişim Kurumu) siber olay bildirimi için ihbar.btk.gov.tr; USOM (Ulusal Siber Olaylara Müdahale Merkezi) için usom.gov.tr.
• Google kullanıcıları: Gmail'de Kimlik avı bildir seçeneği; Google Safe Browsing kara listesine eklenmesi için safebrowsing.google.com/safebrowsing/report_phish.
• Microsoft kullanıcıları: Outlook'ta Gereksiz → Kimlik avı bildirimi; Microsoft Phishing raporlama adresi: phish@office365.microsoft.com.
• Uluslararası: Anti-Phishing Working Group (APWG) için reportphishing@apwg.org.
• Banka/ödeme sahteciliği: Doğrudan bankanızın fraud hattı ve Türkiye için Bankacılık Düzenleme ve Denetleme Kurumu (BDDK).

Kurumsal Ortamda Ek Sorumluluklar

Kurumsal bir cihaz veya hesap söz konusuysa kişisel önlemler yeterli değildir. ISO/IEC 27001 standardı ve NIST Cybersecurity Framework (CSF), siber olayların kayıt altına alınmasını ve iç bildirim süreçlerinin işletilmesini zorunlu kılmaktadır. Şu adımları atın:

• Güvenlik operasyon merkezi (SOC) veya BT yardım masasına olay kaydı açın.
• Cihazı ağdan izole ederek yetkililere teslim edin; log silmeyin veya cihazı kapatmayın.
• E-posta sunucusu loglarını inceleyin: saldırganın hesap üzerinden başka e-posta gönderip göndermediğini, kurallar oluşturup oluşturmadığını ve yetkisiz oturum açma denemesi yapıp yapmadığını kontrol edin.
• KVKK (Kişisel Verilerin Korunması Kanunu) kapsamında kişisel veri ihlali gerçekleşmişse Kişisel Verileri Koruma Kurumu'na (KVKK) 72 saat içinde bildirim yapılması yasal zorunluluktur.

Bir Daha Olmamak İçin Önlemler

En iyi savunma, teknik kontroller ile kullanıcı farkındalığının birleşimidir:

• E-posta güvenlik ağ geçidi: Proofpoint, Mimecast veya Microsoft Defender for Office 365 gibi çözümler, şüpheli e-postaları karantinaya alır ve URL'leri gerçek zamanlı analiz eder.
• DNS filtreleme: Cloudflare Gateway (1.1.1.2) veya Cisco Umbrella, bilinen phishing alan adlarına erişimi DNS katmanında engeller.
• Tarayıcı güvenlik eklentileri: Google Safe Browsing (Chrome/Firefox'ta yerleşik), Microsoft SmartScreen (Edge) phishing sitelerini tespit eder.
• Düzenli kimlik avı simülasyonları: KnowBe4 veya Proofpoint Security Awareness Training gibi platformlar, çalışanları gerçekçi senaryolarla eğitir ve farkındalığı ölçer.
• Şifre yöneticisi: Bitwarden veya 1Password gibi araçlar, sahte sitelerde otomatik doldurma yapmaz; gerçek URL eşleşmesi olmadan kimlik bilgisi sunmaz.
• DMARC raporlama: Alan adınız için DMARC politikasını p=reject düzeyine getirin ve Google Postmaster Tools veya dmarcanalyzer.com üzerinden haftalık raporları takip edin.

Sık Sorulan Sorular