Phishing saldırıları genellikle kullanıcı isimleri, şifreler, kredi kartı bilgileri, ağ kimlik bilgileri gibi hassas ve gizli bilgilere ulaşmak amacıyla yapılan saldırılardır. Siber saldırganlar, telefon veya e-posta yoluyla normal bir birey veya kurum gibi görünerek mağdurları belirli eylemleri - zararlı bir bağlantıya veya eke tıklamak gibi - gerçekleştirmeleri veya isteyerek gizli bilgileri açıklamaları için manipüle etmek üzere sosyal mühendisliği kullanırlar.
Burada amaç; e-postayı alan kişiyi, mesajda istediği veya ihtiyacı olduğu bir şey olduğuna – müşterisi olduğu bankadan gelen bir istek veya şirketindeki çalışma arkadaşından gelen e-posta gibi – inandırmaktır. Phishing dolandırıcılığı, mağdurları hassas bilgileri sağlama konusunda kandırmak için e-posta dışında, telefon görüşmelerini, kısa mesajları ve sosyal medya araçlarını da kullanabilir.
Phishing, geçmişi 1990’lara dayanan en eski siber atak türlerinden biridir ve giderek sofistike hale gelen phishing mesajları ve teknikleriyle günümüzde oldukça yaygındır.
Hem bireyler hem de kurumlar phishing saldırısına maruz kalabilir. Neredeyse her tür kişisel ve kurumsal veri dolandırıcılık yapmak veya kuruluşun ağına sızmak için değerli olabilir.
Phishing saldırılarından nasıl korunabiliriz?
Kullanıcı eğitimi
Kurumunuzu phishing saldırılarından korumanın bir yolu kullanıcı eğitimidir. Eğitim, tüm çalışanları içermelidir. Onlara phishing e-postasını nasıl tanıyacağını ve bu tür bir e-posta aldıklarında ne yapmaları gerektiğini öğretmeniz önemlidir. Simülasyon alıştırmaları da çalışanlarınızın aşamalı bir phishing saldırısına tepki verme şeklini değerlendirmek için önemlidir.
Aşağıdakiler, bir e-postanın phishing girişimi olduğunu işaret ediyor olabilir:
- Alıcının ismi yerine, “Merhaba X Bankasının Müşterisi” gibi genel selamlamalar içeren e-postalar.
- Kişisel bilgiler talep eden e-postalar. Çoğu yasal faaliyet gösteren şirket, müşterilerinin bir bağlantıya veya web sitesine tıklayarak kimlik bilgilerini veya diğer kişisel bilgilerini paylaşmasını isteyen e-postalar göndermez. Bu, tüketicilerin korunmasına ve müşterilerin sahte e-postaları yasal (legitimate) olanlardan ayırt etmesine yardımcı olan bir güvenlik önlemidir.
- Acil cevap isteyen e-postalar. Çoğu phishing e-postası bir aciliyet hissi yaratmaya çalışır; alıcıları hesaplarının tehlikede olduğuna veya hemen hareket etmezlerse önemli bilgilere erişimlerini kaybedeceklerine inandırmaya çalışır.
- Sahte bağlantı içeren e-postalar. Mesajdaki bir link gerçekten iddia ettiği sayfaya yönlendiriyor mu? Öğrenmek için denemeye kalkmayın; bunun yerine, güvenilirliğini doğrulamak için bağlantının üzerine gelin ve bakın. Ayrıca, HTTPS ile başlayan URL’ler olmasına dikkat edin. “S”, bir web sitesinin kullanıcıların sayfa isteklerini korumak için şifreleme (encryption) kullanıldığını gösterir.
Güvenlik teknolojisi
Tek bir siber güvenlik teknolojisi, phishing saldırılarını önleyemez. Bunun yerine, kuruluşlar saldırı sayısını azaltmak ve saldırı durumunda zararlı etkileri minimuma indirmek için katmanlı bir yaklaşım izlemelidir. Uygulanması gereken ağ güvenliği teknolojileri, e-posta ve web güvenliği, kötü amaçlı yazılımdan korunma, kullanıcı davranışını izleme ve erişim kontrolünü içerir.