Kimlik avı saldırılarında, bir tehdit aktörü, kendilerinin olmadığı biriymiş gibi davranır ve bir kurbanı hassas bilgileri paylaşması veya kötü amaçlı yazılım indirmesi için kandırmak amacıyla sahte iletişim kullanır.
İçindekiler
Kimlik avı, tehdit aktörlerinin meşru tüzel kişilikleri taklit ederek kurbanlarını kandırmak için 'resimleri' kullanma şekline atıfta bulunarak balıkçılık kelimesiyle oynamaktadır. Bu bir sosyal mühendislik saldırısı olarak kabul edilir, çünkü korku, empati ve açgözlülük gibi insan duygularında oynamak için hilekar ve hileli davranışlar kullanır.
Bir kimlik avı planında, saldırgan e-posta, kısa mesaj, telefon görüşmesi veya meşru ve güvenilir bir kişi veya işletme gibi davranan sosyal medya platformu ile iletişime geçer. Mağduru hassas kişisel veya kurumsal verileri paylaşması için kandırmak üzere duygusal manipülasyon kullanırlar. Amaç şunlar olabilir:
- Kullanıcı adları, parolalar, kredi kartı numaraları, bankacılık bilgileri veya hesapları ele geçirmek veya para çalmak için satabilecekleri veya kullanabilecekleri hassas kurumsal bilgiler gibi kişisel olarak tanımlanabilir bilgileri (PII) çalmak
- Kullanıcıyı itibarlı bir kişi veya şirket gibi görünen bir şeye para aktarmaya ikna edin
- Kullanıcının bilgisayarına kötü amaçlı yazılım veya fidye yazılımı bulaştırmak
Kimlik avı saldırıları ne kadar yaygındır?
Kimlik avı, veri ihlalleri için en yaygın saldırı vektörüdür. 2025'in ilk çeyreğinde, Kimlik Avı Önleme Çalışma Grubu, 2023'ün sonlarından bu yana en büyük sayı olan bir milyondan fazla kimlik avı saldırısını saydı1. Bu saldırıların %30'undan fazlası online ödeme ve finans sektörlerini hedef aldı.
Kimlik avının siber saldırganlar arasında popüler olmasının birkaç nedeni vardır:
- Düşük bir maliyeti var: tek yapmanız gereken, gerçek bir şirketten geliyor gibi görünen bir e-posta veya metin mesajı oluşturmak.
- Saldırılar, önceden programlanmış teknolojiden ziyade insan duygularını kullandıkları için son derece başarılıdır.
- Kuruluşlar e-postaya büyük ölçüde güveniyor ve bu da onu en yüksek tehdit vektörlerinden biri yapıyor.
- Güvenlik yazılımı ile bile bu saldırıları devam etmekte olan saldırıları yakalamak her zaman mümkün değildir, çünkü bir insan yine de bir bağlantıya tıklamayı, bir belgeyi açmayı veya hassas bilgileri paylaşmayı seçebilir. Gartner® raporuna göre, “İnsan hataları tüm güvenlik ihlallerinin yaklaşık %76'sını oluşturur. Ayrıca, sistem saldırıları, temel web uygulama saldırıları ve sosyal mühendislik toplu olarak tüm ihlallerin %79'unu temsil ediyor.”
Kimlik avı saldırıları nasıl başladı
Kimlik avı terimi ilk olarak 1994 yılında bir grup genç AOL'deki şüphelenmeyen kullanıcılardan kredi kartı numaralarını manuel olarak almaya çalıştığında kullanılmıştır.
O zamandan bu yana, bilgisayar korsanları internete bağlı herhangi birinden bilgi toplamak için yeni yollar icat etmeye devam etti. 2000’li yılların ortalarına gelindiğinde, özellikle yöneticileri veya yüksek profilli ve geniş yetkilere sahip kişileri hedef alan saldırıları tanımlamak için “spear phishing” ve “whaling” gibi terimler ortaya çıkmıştır.
2010'lara gelindiğinde, kimlik avı saldırıları yalnızca e-posta veya sohbet odaları aracılığıyla gerçekleşmekle kalmıyordu. Tehdit aktörleri, mobil cihazlar, sosyal medya ve mesajlaşma uygulamaları dahil olmak üzere birden fazla platform kullanıyordu.
Günümüzde tehdit aktörleri, telefon görüşmeleri ve videolar da dahil olmak üzere mesajlar üretmek, daha inanılır görünmek, dilbilgisi ve yazım hatalarını düzeltmek, sosyal medyadan veri toplayarak mesajları kişiselleştirerek ve bunları herhangi bir hedef dile dönüştürerek yapay zekayı kullanıyor. Ayrıca, yapay zekanın sıklıkla bir kişinin sesini veya görüntüsünü yakalamak için kullanıldığı son derece gerçekçi ses ve video içeriği olan Deepfake’leri de oluşturabilirler.
Kimlik avı nasıl çalışır?
Genellikle, bir kimlik avı saldırısını başlatmak için kullanılan mesaj acil görünür ve hızlı bir yanıt gerektirir. Örneğin bir hesabın devre dışı bırakılmasını önlemek için alıcıdan bir bağlantıya tıklamasını veya hassas bilgiler göndermesini isteyebilir. Kullanıcı eylemi tamamlarsa, verileri kötü aktörle paylaşılır veya kötü amaçlı yazılım bilgisayarına indirilir. Kimlik avı mesajlarını tespit etmek kasıtlı olarak zordur, çünkü resmi logolar, URL'ler ve diğer özellikleri kullanarak meşru mesajların görünümünü ve hissini taklit ederler.
Çoğu kimlik avı mesajı, banka gibi bilinen ve güvenilir bir kaynaktan geliyor gibi görünse de, bazen gönderen, “Nijerya prensi” dolandırıcılığı olarak bilinen erken kimlik avı saldırısında olduğu gibi bir yabancıdır. Kurban, ülke dışına para transfer etmek için yardıma ihtiyaç duyan zengin bir kraliyet veya yetkili olduğunu iddia eden birinden bir e-posta alır. Alıcı önce kendisine para veya kişisel bilgi gönderirse, gelecekte büyük bir ödül vaat ettiler. Bu taktik bugün hala kullanılıyor.
Kimlik avının teknik yönleri
Kimlik avı saldırısı, sahte bir e-posta kadar basit olsa da, mesajları daha ikna edici ve bilgi yakalamayı daha etkili hale getirmek için yıllar içinde geliştirilmiş birçok karmaşık teknik vardır:
- Etki alanı sahtekarlığı: bir e-postayı veya web sitesini özgün bir etki alanındanmış gibi göstermek için gizlemek, örneğin benzer bir URL veya yazım hatası (meşru bir web sitesinin yanlış yazımı veya küçük bir varyasyonu).
- Sahte web siteleri: Gerçek bir web sitesini taklit etmek için tasarlanmış sahte bir web sitesi oluşturmak.
- E-posta sahteciliği: bir gönderenin e-posta adresini taklit etmek, böylece mesaj gerçek bir kuruluştan geliyormuş gibi görünür.
- Sahte SSL sertifikaları: Genellikle bilinen asma kilit sembolünü göstererek bir web sitesinin güvenli görünmesini sağlamak için çalınan veya hileli bir güvenlik sertifikasının kullanılması.
- Sahte/kötü amaçlı oturum açma sayfaları: Kurbanın kullanıcı adını ve parolasını yakalayan orijinal oturum açma formlarının kopyaları.
- Kötü amaçlı bağlantılar: Kötü amaçlı yazılım sağlayan veya kullanıcıyı bir kimlik avı sayfasına yönlendiren URL'ler.
- İletişim Verisi Toplama (Contact Scraping): Hedef listeleri oluşturmak veya mesajları kişiselleştirmek amacıyla e-posta adresleri, çalışan isimleri veya kişisel bilgiler gibi verileri toplamak için kullanılan çeşitli teknikler.
- DNS Fast-Fluxing: Zararlı bir alan adıyla ilişkilendirilen IP adreslerinin tespit edilmekten kaçınmak amacıyla hızlı bir şekilde değiştirilmesi.
Kimlik avı diğer siber saldırılardan nasıl farklıdır?
Diğer yaygın siber saldırı türleri kötü amaçlı yazılım ve istenmeyen e-postadır. Kimlik avı şu şekilde farklıdır:
- Kötü amaçlı yazılım, bir insan sahte bir mesaja yanıt vermeden bir sisteme kurulabilen teknik bir tehdittir. Kimlik avı, kötü amaçlı yazılımları dağıtmak için kullanılabilir, ancak ikisi farklıdır.
- İstenmeyen posta, istenmeyen reklamlar veya içerik gibi istenmeyen toplu mesajlaşma anlamına gelir. Kimlik avından farklı olarak, istenmeyen e-posta kimliğine bürünmeyi veya sosyal mühendisliği içermez.
Kimlik avı saldırısı türleri
Kötü aktörlerin kullanabileceği bu kadar çok ortam varken, günümüzde çok sayıda kimlik avı saldırısı olması şaşırtıcı değil:
- Angler/Sosyal medya kimlik avı: Kötü bir aktör, sosyal medya platformunda bir DM aracılığıyla mağdura ulaşarak sosyal medya kimlik avına yol açar.
- Uygulama/Uygulama içi kimlik avı: Sahte oturum açma ekranları veya kötü amaçlı açılır mesajlar meşru uygulamalarda görünür.
- İş e-posta gizliliğinin bozulması (BEC): Bu son derece zarar verici kurumsal kimlik avı biçimi, mesaj göndermek veya dolandırıcılık amaçlı bir hesaba para transferi talep etmek için bir yönetici veya satıcıyı siber suçlu olarak taklit etmek için bilgisayar korsanlığı saldırısına uğramış çalışan e-posta hesaplarını kullanabilir. Bazen BEC'ler şirket içi bilgiye sahip bir şirket tarafından şirket içi ödeme sistemine erişmek ve fonları yönlendirmek için kullanılan çalıntı kimlik bilgileriyle şirket içi olabilir.
- Klonlama ile kimlik avı: Daha önce alınan güvenilir ve özgün bir mesaj, kötü amaçlı bir bağlantı veya tehlikeli bir ek ile tekrar gönderilir. Alıcı ilk mesaja güvendiğinden, sonraki mesaja inanma ve yanıt verme olasılıkları daha yüksektir.
- E-posta kimlik avı: Bir bilgisayar korsanı, endişeye, endişeye veya meraka neden olmak ve alıcıdan bir bağlantıya tıklamasını veya kişisel verileri paylaşmasını istemek için tasarlanmış meşru görünümlü bir e-posta gönderir. Siber suçluların kullanabileceği çok sayıda yeni platforma rağmen, e-posta kimlik avı en yaygın olanı olmaya devam ediyor. Bunun bir nedeni, aynı mesajın birçok kişiye ayrı ayrı gönderilip başarı şansını artırabilmesidir.
- Kare kod ile kimlik avı / Quishing: Quishing, bir kare kodun kullanıcıyı zararlı bir web sitesine yönlendirdiği ve burada kullanıcı bilgileri veya diğer hassas verilerin ele geçirilebildiği bir phishing (oltalama) türüdür.
- Smishing: Siber suçlu, alıcıdan bir bağlantıya tıklamasını veya göndereni telefonla aramasını isteyen bir kısa mesaj (SMS) gönderir ve smishing'e yol açar.
- Hedefli kimlik avı: Bir bilgisayar korsanı, bir kuruluşa veya bireye hedefli bir e-posta gönderir. Genellikle finans departmanındaki bir kişi, hassas verilere ayrıcalıklı erişime veya bu veriler üzerinde yetkiye sahip olduğu için hedef alınır. Siber suçlu, mesajı daha spesifik ve inandırıcı hale getirmek için hedefleri hakkında bilgi toplayabilir veya satın alabilir.
- Vishing: Bir tehdit aktörü, kullanıcının vishing olarak bilinen bir konuşmaya katılması için sabit hattı, cep telefonunu veya VoIP telefonunu arar.
- Whaling: Whaling, hedef odaklı kimlik avına benzer, ancak genellikle üst düzey yöneticileri hedefler.
Kimlik avı girişimlerini tanıma
Kimlik avının yaygın olması nedeniyle, tüm personelin aşağıdakiler dahil olmak üzere kimlik avı mesajlarının işaretlerinin farkında olması çok önemlidir:
- Şüpheli gönderici adresleri, e-posta adında ‘paypal’ kullanan ancak aslında bir gmail adresi olan accounts.paypal@gmail.com gibi.
- Mesajda yanlış yazım veya dil bilgisi hataları.
- Acil eylem çağrıları, tehditler veya kişisel bilgi talepleri.
- Web sitesinde veya e-posta imzasında iletişim bilgisi yok.
- Gerçek olamayacak kadar iyi teklifler.
- Kişisel adı olmayan e-postalar, örneğin “Sayın Hanımefendi.”
- Kısaltılmış bağlantılar.
- Alan adı uyumsuzlukları: e-posta adresindeki alan adının resmi web sitesiyle uyuşmaması durumlarıdır; örneğin name@amazon.com yerine name@amaz0n.com kullanılması. Burada, o harfi sıfır ile değiştirilmiştir.
- Özellikle .exe veya .zip olmak üzere beklenmedik bir dosya türüne sahip ekler.
Başarılı kimlik avı saldırılarına ilişkin vaka çalışmaları
Son yıllarda ün kazanmış birçok kimlik avı kampanyası vardır:
- Google Docs Phishing (2017): Kurbanlar, Google Doc gibi görünen ancak sahte bir OAuth uygulaması olan bir şeye erişim sağlamalarını isteyen e-postalar aldı. Kullanıcılar erişim izni verdiğinde, saldırganlar kullanıcıların Gmail kişilerine erişebildi ve mesajı daha da fazla kurbana gönderebildi.
- PayPal Kimlik Avı Dolandırıcılıkları (devam ediyor): Kötü niyetli kişiler, resmi PayPal mesajları gibi görünen e-postalar göndererek şüpheli faaliyetler veya hesap sorunları hakkında uyarı gönderir. Alıcı bağlantıya tıkladığında, kimlik bilgilerinin ve finansal bilgilerinin çalındığı sahte bir oturum açma sayfasına gider.
- Office 365 Kimlik Bilgisi Saldırıları (2019–günümüz): Microsoft'tan gelen bildirimlere benzeyecek şekilde yapılan ve genellikle işletmeleri hedefleyen e-postalar. Alıcının parolasının süresinin dolduğunu veya BEC saldırılarında kullanılmak üzere kurumsal kimlik bilgilerini yakalayan sahte bir oturum açma portalına giden bir bağlantı içeren yeni bir sesli postaya sahip olduklarını iddia edebilirler.
Kimlik avı saldırılarını önleme
Kimlik avı yaygın olsa da, bireylerin ve kuruluşların kendilerini ve işletmelerini koruyabilmelerinin birçok yolu vardır.
Bireyler için en iyi uygulamalar
- Yanıt vermeden önce e-postaları dikkatlice inceleyin. Yazım veya dil bilgisi hataları olup olmadığını kontrol edin ve finansal veya kişisel verileri e-posta yoluyla paylaşmaktan kaçının. E-posta eklentisini açmadan önce düşünün. Gerçekten bu kişiden bir e-posta bekliyor muydunuz? Değilse, doğrudan sorun.
- Tıklamadan önce URL'leri kontrol edin ve bilinmeyen kaynaklardan gelen bağlantılara tıklamaktan kaçının. Meşru görünüp görünmediğini ve güvenli bir site olduğunu gösteren ‘https’ ile başladığını görmek için bağlantının üzerine gelin. Kısaltılmış URL'lere tıklamaktan kaçının, ör. bit.ly
- Hassas verileri bir web sitesine yazmadan önce, sayfanın üst kısmındaki URL'ye bakın. Bu gerçek web sitesi mi? Adreste fazladan harf var mı? O yerine 0 gibi sayılarla değiştirilen harfler var mı? https ile mi başlıyor?
- Güvenlik yazılımlarını, uygulamaları, cihazları ve tarayıcıları güncel tutun.
- Güvenlik duvarlarının yanı sıra antivirüs, kötü amaçlı yazılımdan koruma ve kimlik avından koruma araçları kullanın.
- Parolaları sık sık değiştirin ve 20 karaktere yakın veya daha uzun parolalar kullanın. Parolalarınıza büyük harf, küçük harf, sayı veya semboller ekleyin. Aynı parolayı birden fazla site veya uygulama için tekrar kullanmayın. Parolalarınızı takip etmekte sorun yaşıyorsanız, hatırlayacağınız uzun bir parola oluşturun ve geri kalanını bir parola yöneticisine kilitleyin.
- Hesabınızda iki faktörlü kimlik doğrulamayı (2FA) etkinleştirin.
- Güvenli mesajlaşma platformları kullanın.
- Arkadaşlarınızın gönderilerine tıklamadan önce düşünün. Gerçek olamayacak kadar iyi bir şey gibi görünüyorsa gerçek değildir. Arkadaşınızın başının belada olduğunu ve paraya ihtiyacı olduğunu söyleyen bir gönderiye cevap vermeden önce düşünün. Arkadaşınız gerçekten birisiyle bu şekilde iletişim kurar mı? Sizinle bu şekilde mi iletişime geçerler?
- Açılır penceredeki bir bağlantıya tıklamadan önce düşünün.
- Güvendiğiniz biriyle konuşma konusunda pozitif değilseniz kişisel veri vermeyin.
Kuruluşlar için en iyi uygulamalar
- İstenmeyen e-postaları engellemek ve şüpheli bağlantılar veya ekler içeren e-postaları kaldırmak için bir e-posta ağ geçidi kullanın.
- Gartner, “Yapay zeka tarafından oluşturulan kimlik avı ve kimlik avı girişimlerini belirlemek için e-posta güvenliği çözümleri makine öğrenimi (ML) yeteneklerine yatırım yapın.3” diyor. Bu araçlar, geleneksel filtrelerin kaçırabileceği sofistike saldırıları tespit etmeye yardımcı oluyor.
- Saldırganların bir e-postada "gönderen" adresini yanıltmasını önlemek için etki alanı tabanlı bir mesaj doğrulama, raporlama ve uygunluk (DMARC) e-posta doğrulama aracı kullanın.
- Kötü amaçlı URL tespiti ve içerik filtrelemesi gerçekleştiren bir web filtresine yatırım yapın
- Kuruluşun cihazlarını korumak için bir uç nokta koruma çözümü kurun.
- BEC e-postalarını tespit etmek için yapay zeka filtreleme yöntemlerini kullanın.
- Kuruluşunuzun içinden gelen kimlik avı saldırılarına karşı koruma sağlamak için hizmetle tümleşik bir güvenlik çözümü kullanın.
- Çalışanlarınızı düzenli kimlik avı simülasyonlarına ve eğitimlerine dahil ederek kimlik avı saldırılarının tehlikelerinden haberdar edin.
Kimlik avıyla karşılaşırsanız ne yapmalısınız?
Siz veya kuruluşunuz bir kimlik avı girişimine kapılırsanız, hızlı hareket etmek önemlidir:
- Mali hesapları şüpheli veya beklenmedik faaliyetler açısından kontrol edin.
- Parolaları değiştirin ve 2FA'yı etkinleştirin.
- Güvenlik taraması çalıştırın ve antivirüs ve kötü amaçlı yazılımdan koruma yazılımını yükleyin veya güncelleyin.
- Banka, sosyal medya platformları, ISP, BT departmanı ve finans departmanını içerebilecek ilgili makamları bilgilendirin.
- Saldırıyı Federal Ticaret Komisyonuna (FTC) ve Kimlik Avı Önleme Çalışma Grubuna bildirin.
- Kimlik hırsızlığına karşı korumaya devam etmek için Equifax, Experian veya TransUnion gibi bir kredi raporlama kuruluşuna kaydolun.
Tehdidin bir adım önünde olun
Kimlik avı girişimleri, veri ihlallerine, finansal kayıplara, fikri mülkiyet hırsızlığına, fidye yazılımı bulaşmasına veya itibarın zarar görmesine neden olarak yıkıcı olabilir. Kuruluşların katmanlı güvenlik kullanarak, tetikte kalarak ve personel arasında farkındalığı artırarak kendilerini proaktif olarak korumaları çok önemlidir.
Kimlik avı saldırılarına karşı savunma konusunda nereden yardım alabilirim?
Kimlik avı, saldırganların kuruluşlara sızmasına neden olan en etkili ve maliyetli yöntemlerden biri olmaya devam ediyor. Sosyal mühendislik teknikleri geliştikçe, geleneksel e-posta filtreleri ve reaktif savunmalar yeterli değildir. Güvenlik ekipleri, insan davranışını anlayan, ince anormallikleri tespit eden ve tehditleri gelen kutusuna ulaşmadan çok önce durduran araçlara ihtiyaç duyar. İşte bu noktada modern, yapay zeka destekli e-posta ve iş birliği güvenliği devreye giriyor.
Trend Vision One™ – E-posta ve İşbirliği Güvenliği, kuruluşların insan riskini proaktif olarak yönetmesine ve günümüzün en gelişmiş kimlik avı tehditlerine karşı savunmasına yardımcı olur. Yalnızca statik kurallara veya imza tabanlı tespite güvenmek yerine, insanları siber güvenliğin merkezine yerleştirir—güvenilir ilişkilerde gizli saldırıları ortaya çıkarmak için iletişim kalıplarını, kullanıcı davranışlarını, e-posta niyetlerini ve bağlamsal sinyalleri analiz eder.
Scott Sargeant, Trend Micro’da Ürün Yönetimi Başkan Yardımcısıdır ve siber güvenlik ile BT alanında kurumsal düzeyde çözümler sunma konusunda 25 yılı aşkın deneyime sahip köklü bir teknoloji lideridir.
Sıkça Sorulan Sorular (SSS)
Kimlik avı saldırıları küçük işletmeleri büyük işletmelerden farklı şekilde etkiliyor mu?
Kimlik avı saldırıları, genellikle aynı siber güvenlik kaynaklarına sahip olmadıklarından küçük işletmeler için daha fazla finansal kayba, kesinti sürelerine ve itibar kaybına yol açar.
Kimlik avı ve pharming arasındaki fark nedir?
Kimlik avı, kurbanları hassas bilgileri paylaşmaları için kandırır. Pharming, bir kullanıcıyı gizlice gerçek bir web sitesinden sahte bir web sitesine yönlendirir.
Kimlik avı saldırıları iki faktörlü kimlik doğrulamayı (2FA) atlayabilir mi?
Evet. Kimlik avı kitinin tek seferlik bir kod yakalaması veya temel olarak 2FA'yı atlayarak bir oturum açma oturumunu ele geçirmek için ters proxy kullanması mümkündür.
Gerçek dünya kimlik avı e-postasına örnek olarak neler verilebilir?
Amazon'dan, hesabınızın askıya alındığını ve hesabınızın bir kimlik avı örneği olacağını doğrulamak için bir bağlantıya tıklamanızı söyleyen sahte bir e-posta.
Siber suçlular kimlik avında yapay zekayı veya deepfake içerikleri nasıl kullanıyor?
Tehdit aktörleri, hedefli, inandırıcı mesajlar yazmak veya alıcının tanıdığı biri gibi görünen deepfake sesler veya videolar oluşturmak için yapay zekayı kullanır.
Kimlik avı saldırıları en çok hangi sektörleri hedef alıyor?
Kimlik avı saldırılarının en çok hedef aldığı sektörler arasında finansal hizmetler, sağlık hizmetleri ve perakende yer alır, çünkü büyük miktarda müşteri verisi ve ödeme bilgisi depolarlarlar.
Mobil cihaz kullanıcıları kendilerini kimlik avından nasıl koruyabilir?
Mobil cihaz kullanıcıları, mesaj gönderenleri doğrulamalı, mobil güvenlik uygulamalarını kullanmalı, cihazlarını ve tarayıcılarını güncel tutmalı ve şüpheli bağlantılara tıklamaktan kaçınmalıdır.
Kuruluşların bir kimlik avı saldırısını tespit etmesi ne kadar sürer?
Kimlik avı saldırısını tespit etmek haftalar veya aylar sürebilir, çünkü kimlik avı genellikle yalnızca kimlik bilgileri kötüye kullanıldıktan veya şüpheli faaliyet fark edildikten sonra belirgin hale gelir.
Kimlik avı saldırganları için hangi yasal sonuçlar var?
Kimlik avı saldırganları için yasal sonuçlar arasında para cezaları, hapis, varlıkların ele geçirilmesi ve hatta işten çıkarma yer alır.
Kimlik avını önlemede DNS güvenliği nasıl bir rol oynuyor?
DNS güvenliği, bir kullanıcının bilinen kötü amaçlı etki alanlarına veya sahte sitelere erişmesini engeller ve gönderenleri doğrulamak için DMARC, SPF ve DKIM gibi kimlik doğrulama protokollerini destekler.