• E-posta Oltalaması (Email Phishing): En bilinen ve yaygın yöntemdir. Saldırganlar, bankanızdan, bir sosyal medya platformundan veya bir devlet kurumundan geliyormuş gibi görünen sahte e-postalar gönderirler. Bu e-postalar genellikle acil bir durum (hesabınızın askıya alınması, şüpheli bir işlem, vergi iadesi) olduğunu iddia eder ve kurbanı sahte bir web sitesine yönlendiren bir bağlantı içerir. Bu sahte site, gerçek siteye birebir benzeyebilir ve kullanıcıdan kimlik bilgilerini girmesini ister.
• SMS Oltalaması (Smishing): Metin mesajları (SMS) aracılığıyla yapılan oltalama saldırılarıdır. Genellikle kargo takibi, banka bildirimi, ödül kazandığınızı belirten mesajlar şeklinde gelir. Mesajın içindeki linke tıklamanız veya belirli bir numarayı aramanız istenir. Linkler genellikle zararlı yazılım içeren veya kimlik bilgilerini çalmayı amaçlayan sahte sitelere yönlendirir.
• Sesli Oltalama (Vishing): Telefon aramaları yoluyla gerçekleştirilen oltalama türüdür. Saldırganlar, banka çalışanı, teknik destek elemanı veya resmi bir kurum yetkilisi gibi davranarak ararlar. Kurbanı korkutarak veya aciliyet hissi yaratarak hassas bilgilerini vermeye ikna etmeye çalışırlar. Bazen de kurbanı uzaktan erişim yazılımı kurmaya yönlendirirler.
• Hedefli Oltalama (Spear Phishing): Belirli bir kişi veya kuruluşu hedef alan, çok daha sofistike saldırılardır. Saldırgan, hedef hakkında önceden kapsamlı bilgi toplar (iş pozisyonu, kişisel ilgi alanları, şirket içi iletişim dinamikleri vb.) ve bu bilgileri kullanarak son derece kişiselleştirilmiş ve inandırıcı mesajlar hazırlar. Bu tür saldırılar, genellikle üst düzey yöneticileri veya hassas verilere erişimi olan çalışanları hedefler.
• Balina Avcılığı (Whaling): Hedefli oltalamanın bir alt türüdür ancak doğrudan üst düzey yöneticileri, CEO'ları veya finans departmanı sorumlularını hedefler. Amaç, büyük miktarda finansal varlığı veya kritik gizli bilgiyi çalmaktır. Saldırılar genellikle yasal işlemler, mahkeme celpleri veya üst düzey yönetici iletişimi kılığına bürünür.

• Klon Oltalama (Clone Phishing): Önceden gönderilmiş yasal bir e-postayı klonlayarak yapılır. Saldırgan, yasal e-postadaki bir bağlantıyı veya eki zararlı bir sürümle değiştirir ve bunu aynı gönderici adıyla tekrar gönderir. Alıcı, e-postayı daha önce aldığı için güvenme eğiliminde olur.
• Kör Kuyu Oltalaması (Watering Hole Attack): Bu yöntemde, saldırganlar belirli bir grubun veya kuruluşun sıkça ziyaret ettiği web sitelerini hedef alır. Bu sitelerdeki güvenlik açıklarını kullanarak zararlı yazılım yerleştirirler. Siteyi ziyaret eden herkes, farkında olmadan kötü amaçlı yazılımları indirmiş veya kimlik bilgilerini kaptırmış olur. Watering Hole saldırıları hakkında daha fazla bilgi için tıklayın.
• SEO Oltalaması (SEO Phishing): Arama motoru optimizasyonu (SEO) tekniklerini kullanarak sahte web sitelerini arama sonuçlarında üst sıralara çıkarmayı amaçlar. Kullanıcılar, arama motorunda arama yaptıklarında, ilk çıkan sonuçlardan birinin sahte bir site olduğunu fark etmeyebilir ve böylece tuzağa düşebilirler.
• Domain Gölgeleme (Domain Shadowing): Saldırganlar, yasal bir web sitesinin DNS ayarlarını ele geçirerek, mevcut alt alan adlarına (subdomain) kötü niyetli yeni kayıtlar ekler. Bu sayede, meşru görünen alt alan adları aracılığıyla oltalama sayfaları yayınlayabilirler. Kullanıcılar ana domainin yasal olduğunu gördükleri için alt domainlerin de güvenli olduğunu varsayma eğiliminde olurlar.
• QR Kod Oltalaması (Quishing): QR kodları aracılığıyla yapılan oltalama türüdür. Saldırganlar, fiziksel veya dijital ortamlara yerleştirdikleri sahte QR kodlarını kullanarak kurbanları zararlı web sitelerine veya uygulamalara yönlendirirler. Akıllı telefon kameralarıyla kolayca taranabilen bu kodlar, kullanıcıları farkında olmadan riske atabilir.

• Aciliyet (Urgency): "Hesabınız askıya alınacak", "Bu teklif sınırlı süreli", "Hemen şimdi tıklayın" gibi ifadelerle kurbanı hızlı karar vermeye zorlarlar. Panik halinde mantıklı düşünme yeteneği azalır.
• Korku ve Tehdit (Fear and Threat): Hesabın kapatılacağı, yasal işlem başlatılacağı veya kişisel verilerin sızdırılacağı gibi tehditlerle kurban üzerinde baskı kurarlar. Bu, kurbanın korkudan dolayı linke tıklamasına veya bilgi vermesine neden olabilir.
• Merak (Curiosity): "Sizin hakkınızda şok edici gerçekler", "Fotoğraflarınızı gördünüz mü?" gibi başlıklar veya içeriklerle kurbanın merakını uyandırırlar. Merak, kişiyi şüpheli bağlantılara tıklamaya teşvik eder.
• Yetki Taklidi (Authority Impersonation): Kendilerini banka müdürü, emniyet görevlisi, vergi dairesi yetkilisi veya üst düzey yönetici gibi göstererek kurbanın güvenini kazanmaya çalışırlar. Kişiler genellikle otoriteye saygı duyma eğilimindedir.
• Güven (Trust): Güvenilir bir markanın logosunu, e-posta şablonunu veya iletişim stilini taklit ederek, kurbanın sahte mesaja veya siteye güvenmesini sağlarlar.

• E-posta ve Mesajları Dikkatlice İnceleyin: Gönderen adresi, e-postanın konusu ve içeriğindeki dilbilgisi hataları gibi detaylara dikkat edin. Resmi kurumlardan gelen e-postalarda genellikle imla ve dilbilgisi hatası bulunmaz. Gönderici adresinin gerçek olup olmadığını kontrol edin (örneğin, banka adının yanlış yazılması veya farklı bir alan adından gelmesi).
• Şüpheli Linklere Asla Tıklamayın: Bir e-posta veya mesajdaki bağlantıya tıklamadan önce fare imlecini linkin üzerine getirin (mobil cihazlarda uzun basılı tutun) ve açılan URL'nin gerçek siteye ait olup olmadığını kontrol edin. Eğer URL şüpheli görünüyorsa veya beklediğiniz adresten farklıysa kesinlikle tıklamayın. Unutmayın: Gerçek bir kurum sizden asla e-posta veya SMS yoluyla şifre veya hassas bilgi istemez.
• İki Faktörlü Kimlik Doğrulama (2FA/MFA) Kullanın: Mümkün olan her yerde iki faktörlü kimlik doğrulama veya çok faktörlü kimlik doğrulama (MFA) özelliğini etkinleştirin. Bu, şifreniz çalınsa bile hesabınıza erişimi büyük ölçüde zorlaştırır, çünkü oturum açmak için ek bir doğrulama adımına (örneğin telefonunuza gelen kod) ihtiyaç duyulur.
• Güçlü ve Benzersiz Şifreler Kullanın: Tüm hesaplarınız için karmaşık, benzersiz şifreler kullanın ve bunları düzenli olarak değiştirin. Şifre yöneticileri bu konuda size yardımcı olabilir.
• Yazılım ve İşletim Sistemi Güncellemelerini Yapın: İşletim sisteminizi, tarayıcılarınızı ve diğer yazılımlarınızı düzenli olarak güncelleyin. Güncellemeler genellikle bilinen güvenlik açıklarını kapatır.
• Antivirüs ve Güvenlik Yazılımları Kullanın: Güvenilir bir antivirüs programı ve güvenlik duvarı kullanarak cihazlarınızı kötü amaçlı yazılımlara karşı koruyun. Bu yazılımlar, zararlı siteleri veya dosyaları tespit etmenize yardımcı olabilir.
• Eğitim ve Farkındalık: Kendinizi ve çevrenizdekileri oltalama taktikleri hakkında bilgilendirin. Siber güvenlik eğitimleri ve güncel tehditler hakkında bilgi sahibi olmak, saldırılara karşı direncinizi artırır.

Konu: Acil Durum: Hesabınızda Şüpheli Hareketlilik Tespit Edildi!
Gönderen: destek@banka-guvenlik.com
Sayın Müşterimiz,

Son işlemlerinizde olağan dışı bir aktivite tespit edilmiştir. Güvenliğiniz için hesabınız geçici olarak askıya alınmıştır. Hesabınızı yeniden aktif hale getirmek ve şüpheli işlemi onaylamak için aşağıdaki bağlantıya tıklayarak bilgilerinizi güncellemeniz gerekmektedir.

Hesabınızı Şimdi Güncelleyin

Bu işlemi 24 saat içinde yapmamanız durumunda hesabınız kalıcı olarak kapatılacaktır.

Saygılarımızla,
XYZ Bank Güvenlik Departmanı

Genişletmek için tıkla ...

• Gönderici Adresi: 'banka-guvenlik.com' gibi, gerçek alan adına benzeyen ancak farklı olan bir adres. Gerçek banka muhtemelen 'banka.com' veya 'banka.com.tr' gibi bir adresten gönderir.
• Aciliyet ve Tehdit: 'Acil Durum', 'askıya alınmıştır', '24 saat içinde yapılmazsa kapatılacak' gibi ifadelerle korku ve panik yaratma.
• Linkin Kendisi: Görünen metin 'Hesabınızı Şimdi Güncelleyin' olsa da, URL gerçek bankanın web adresi değildir ('bankaniz-guvenli.net'). Fareyi üzerine getirerek bunu kolayca anlayabilirsiniz.

<form action="/phishing_script.php" method="POST">
  <label for="username">Kullanıcı Adı:</label><br>
  <input type="text" id="username" name="username"><br>
  <label for="password">Şifre:</label><br>
  <input type="password" id="password" name="password"><br><br>
  <input type="submit" value="Giriş Yap">
</form>