1. GİRİŞ

Phishing (oltalama) saldırıları, sosyal mühendislik teknikleriyle kullanıcıları kandırarak hassas bilgi, kimlik doğrulama bilgisi veya kötü amaçlı yazılım sağlamalarını hedefleyen saldırı kategorisidir. E‑posta temelli oltalama en yaygın vektör olmakla birlikte SMS (smishing), sesli arama (vishing), sahte web formları ve sosyal medya kampanyaları gibi çok sayıda kanal kullanılır. Dijital dönüşüm, uzaktan çalışma ve üçüncü taraf entegrasyonlarının artmasıyla birlikte oltalama saldırıları daha sofistike, hedefli ve verimli hâle geldi. Bu rehber, hem teknik hem organizasyonel bakış açısıyla oltalama tehditlerini inceler, tespit ve mitigasyon stratejileri sunar.

Bu neden bugün önemli?

• Kimlik hırsızlığı, hesap ele geçirme ve tedarik zinciri saldırılarında oltalama primitifleri sıklıkla başlangıç vektörü olarak kullanılıyor.
• Uzaktan çalışma ve bulut hizmetleri, kimlik bazlı saldırıların etkililiğini artırdı; MFA olmasa bile credential reuse yaygın bir risk kaynağıdır.
• Phishing kampanyaları otomasyonla ölçeklenebilir; hedefe yönelik (spear‑phishing) ve yönlendirilmiş (whaling) saldırılar kurum içindeki karar vericileri hedef alarak ciddi işsel zarar oluşturabilir.

Kimler için önemli?

Güvenlik mühendisleri, SOC analistleri, BT yöneticileri, insan kaynakları ve tüm çalışanlar için önemlidir. Üst düzey yöneticiler (C‑level) ve finans bölümleri oltalamada hedef olma ihtimali yüksek gruplardır ve özel koruma gerektirir.

Hangi problemleri çözüyor?

• Kullanıcı eğitimi ve farkındalık ile credential theft ve bilgi sızıntısını azaltma
• Teknik kontroller (email security, DMARC, anti‑phishing çözümleri) ile kötü e‑posta ve URL'leri engelleme
• Incident response playbook'ları ile oltalama vakalarında hızlı tespit, izolasyon ve remediasyon sağlama

2. KAVRAMSAL TEMELLER

2.1 Phishing türleri

• Mass phishing: Geniş kitlelere gönderilen, genellikle düşük hedeflenmiş sahte e‑posta kampanyaları.
• Spear‑phishing: Belirli kişi veya grup hedeflenir; sosyal medya ve OSINT ile özelleştirilmiş içerik kullanılır.
• Whaling: Üst yönetim ve karar vericilere yönelik özellikle yüklü finansal işlemler veya gizli bilgiler hedeflenir.
• Clone phishing: Daha önce gelen meşru bir mesajın kopyası içinde kötü amaçlı link veya ek gönderme.
• Smishing / Vishing: SMS veya telefon çağrısı üzerinden oltalama.

2.2 Temel terminoloji

• IOC (Indicator of Compromise): Phishing kampanyasına ait domain, IP, e‑posta başlığı veya attachment hash gibi göstergeler.
• Callback/C2: Kullanıcının tıkladığı linkin açtığı zararlı yazılımın komuta‑kontrol kanalına bağlanması.
• MFA bypass: Saldırganın MFA'yi atlatma teknikleri (push fatigue, token theft, protocol weaknesses).

2.3 Bileşenler

• OSINT ve sosyal medya keşfi
• Malicious landing pages ve credential harvesting formları
• Malicious attachments (document macro, DLL dropper)
• Infrastructure: domain ve hosting, URL shorteners, fast‑flux taktikleri

3. NASIL ÇALIŞIR? — TEKNİK MİMARİ VE SALDIRI AKIŞI

3.1 Tipik bir saldırı akışı

1. Reconnaissance: Hedefin sosyal profili, e‑posta adresleri, iş rolü ve tedarik ilişkileri araştırılır.
2. Kampanya hazırlığı: Sahte domain, subdomain, veya brand lookalike domain'ler oluşturulur; e‑posta şablonları hazırlanır.
3. İletim: SMTP relay veya kiralanmış botnet/SMTP servisleri üzerinden e‑posta gönderilir.
4. Receiving: Kullanıcı sahte form veya attachment ile karşılaşır; credential girişi yapar veya ek çalıştırılır.
5. Post‑compromise: Credential reuse, lateral movement, veri exfiltration veya ransomware tetiklenir.

3.2 Teknik detaylar — domain spoofing ve e‑posta spoofing

Domain spoofing iki ana biçimde görülür: (1) display name veya from header spoofing — kullanıcı arayüzünde gerçek e‑posta adresi yerine meşru görünüm, (2) lookalike domain registration — benzer yazım (typosquatting), Unicode homoglyph domain veya subdomain abuse. SPF, DKIM ve DMARC gibi e‑posta doğrulama mekanizmaları bu saldırı türüne karşı ilk savunma hatlarıdır.

3.3 Credential harvesting ve form taktikleri

Saldırganlar sıklıkla sahte giriş formlarıyla kimlik bilgilerini toplar. Bu formlar meşru servislerin görsel kopyası olabilir ve HTTPS kullanarak güven algısını güçlendirir. Bazı kampanyalar, OAuth consent screen'leri taklit ederek kullanıcıların üçüncü taraf uygulamaya erişim vermesini talep eder; bu «consent phishing» olarak adlandırılır.

4. GERÇEK DÜNYA KULLANIMLARI

4.1 Örnek vakalar

Hedefli spear‑phishing vakaları genellikle finansal dolandırıcılık veya tedarik zinciri müdahaleleri ile ilişkilidir. Örneğin üst düzey yöneticilerin muhasebe ile eşleştirilmesi ve sahte fatura talepleriyle milyonlarca dolarlık kayıplar raporlanmıştır. Diğer bir örnek, OAuth napruta saldırılarıyla üçüncü taraf API tokenlarının çalınması ve geniş çaplı veri erişimleri sağlanmasıdır.

4.2 Sektör örnekleri

• Finans: yüksek maliyetli wire transfer fraud
• Sağlık: hasta verisi hırsızlığı ve kimlik dolandırıcılığı
• Perakende: tedarikçi hesaplarının ele geçirilmesi ve sahte siparişler

5. AVANTAJLAR VE SINIRLAMALAR (SAVUNMA PERSPEKTİFİ)

Avantajlar — iyi bir anti‑phishing programının getirileri

• Kimlik tabanlı saldırılar azalır; organizasyonun risk yüzeyi daralır.
• Kullanıcı farkındalığı arttıkça insan kaynaklı güvenlik açıkları azalır.
• Teknik kontroller ile otomatik bloklama ve hızlı müdahale sağlanır.

Sınırlamalar

• İnsan faktörü tamamen ortadan kaldırılamaz; eğitim ve teknoloji birlikte yürümelidir.
• Spear‑phishing ve yüksek kaliteli taklitler bazen geleneksel kontrolleri atlatabilir.
• Domain ve hosting registrasyonu maliyetlerini takip etmek ve taklitleri sürekli kapatmak operasyonel yük getirir.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

7.1 Teknik önlemler

• SPF, DKIM ve DMARC: E‑posta sahteciliğine karşı zorunlu ilk hattır. DMARC politikalarını 'reject' olarak kademeli uygulayın ve reporting mekanizmasını aktif edin.
• Secure Email Gateway / ATP: Attachment sandboxing, URL rewriting, detonation ve emulation ile kötü ekleri ve linkleri engelleyin.
• URL detonation ve click‑time protection: Linklerin tıklanma anında kontrol edilmesi, malicious seçilirse kullanıcıya erişim engellenmesi.
• Identity protection: MFA zorunluluğu, conditional access, risk‑based authentication ve session management politikaları uygulayın.
• Brand protection: Lookalike domain monitoring, taklit domain'lerin hızlı tespiti ve takibi.

7.2 Operasyonel ve organizasyonel

• Phishing simulation programları ile düzenli test ve KPI (click rate, report rate) takibi.
• Enforce reporting channels: çalışanların şüpheli e‑postayı tek tıkla raporlayabileceği araçlar (report phish button) sağlayın.
• Incident response playbook for phishing: credential compromise, lateral movement detection ve account recovery adımlarını tanımlayın.
• Third‑party risk: tedarikçi ve partner iletişimlerinde domain/brand authentication prosedürleri yürütün.

7.3 Detection & telemetry

• SIEM entegrasyonu: e‑posta headers, phishing reports, failed logins ve anomalous access pattern'ları korele edin.
• UEBA: account takeover belirtilerini (improbable travel, impossible travel, concurrent logins) otomatik tespit edin.
• Threat intelligence enrichment: phishing kampanyalarına ait IoC'leri otomatik feed'lerle güncelleyin.

8. SIK YAPILAN HATALAR

• SPF/DKIM/DMARC yapılandırmasının eksik veya yanlış olması.
• Çalışanlara sadece "bilgilendirme" yapmak; uygulamalı test ve cezai olmayan öğrenme süreçleri eksik.
• Report butonlarının veya kolay raporlama yollarının olmaması — çalışanlar şüpheli iletileri bildirmez.
• OAuth consent phishing'e karşı koruma eksikliği — üçüncü taraf uygulama onaylarının izlenmemesi.

9. GELECEK TRENDLER

9.1 AI destekli phishing kampanyaları

Yapay zekâ ile oluşturulmuş sosyal mühendislik mesajları daha ikna edici ve kişiselleştirilmiş oluyor. Deepfake ses ve video ile vishing saldırıları artacak; bu nedenle doğrulama süreçleri de daha güçlü hale gelmeli.

9.2 Automation in defense

Otomatik URL analizleri, click‑time protection, ve SOAR playbook'ları ile oltalama zayıflıkları daha hızlı kapatılacak. Ayrıca federated taklit domain takibi ve registry polisi uygulamaları yaygınlaşacak.

9.3 Privacy‑preserving telemetry

Kullanıcı davranış telemetrisinin izlenmesi gereklilik olsa da gizlilik endişeleri ve regülasyonlar (GDPR, KVKK) nedeniyle veri toplama yaklaşımları selective ve anonimleştirilmiş biçimde evrilecek.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. 1. Phishing'e karşı en hızlı önlem nedir?

   MFA (çok faktörlü kimlik doğrulama) uygulamak ve kullanıcıların şüpheli iletileri raporlamasını kolaylaştırmaktır. Bu iki adım kısa zamanda riski önemli ölçüde azaltır.

2. 2. DMARC neden önemlidir ve nasıl uygulanmalı?

   DMARC, domain spoofing'i azaltır. Önce "p=none" ile raporlamaya başlayıp, hataları düzelttikten sonra kademeli olarak "quarantine" ve sonrasında "reject" politikalarına geçilmelidir.

3. 3. Phishing simulation'lar zararlı değil mi?

   Uygun şekilde tasarlanmış simülasyonlar eğitim amaçlıdır ve zarar vermez. Ancak testlerin izni, şeffaflığı ve sonuçların kişisel hedef alma yerine eğitim için kullanılması önemlidir.

4. 4. OAuth consent phishing'e karşı ne yapabilirim?

   Third‑party app consent audit'leri yapın, least privilege ilkesiyle izinleri kısıtlayın ve otomatik alert'lerle yeni consent'leri yöneticilere bildirin.

5. 5. Çalışanlar nasıl eğitilmeli?

   Teorik eğitim yanında uygulamalı phish testleri, tabletop senaryoları, kısa mikro‑eğitimler ve anında geribildirim içeren programlar daha etkili olur.

6. 6. E‑posta güvenliği için hangi loglar kritiktir?

   Mail headers, SPF/DKIM/DMARC raporları, inbound URL click logs, attachment detonation sonuçları ve kullanıcı phish reports önemlidir.

7. 7. Kötü domain veya taklit domain tespiti nasıl otomatikleştirilir?

   Brand‑watching araçları, passive DNS data, typosquatting detection ve WHOIS monitoring ile otomatik uyarılar kurun.

8. 8. Küçük ekipler için başlangıç önlemleri nelerdir?

   MFA, DMARC temel yapılandırması, basit phishing simulation ve report‑phish butonu ile başlayın; zamanla EDR ve SIEM entegrasyonuna geçin.

Anahtar Kavramlar

• Spear‑phishing: Hedefe yönelik özelleştirilmiş oltalama saldırıları.
• DMARC: Domain tabanlı mesaj doğrulama, raporlama ve uyum.
• MFA: Multi‑factor authentication — kimlik doğrulamada ek güvenlik katmanı.
• Click‑time protection: Linklerin tıklama anında analiz edilmesi.
• Consent phishing: OAuth veya 3rd party consent ekranlarını taklit etme.

Öğrenme Yol Haritası

1. 0–1 ay: E‑posta protokolleri (SMTP, DKIM, SPF, DMARC), temel sosyal mühendislik kavramları öğrenin.
2. 1–3 ay: Phishing simulation, reporting mekanizmaları, SIEM ve email gateway temel konfigürasyonları uygulayın.
3. 3–6 ay: Threat intelligence entegrasyonu, UEBA ve click‑time protection çözümleri üzerinde pratiğe başlayın.
4. 6–12 ay: Advanced spear‑phishing detection, brand monitoring ve automation ile SOAR entegrasyon projelerinde yer alın.