Oltalama (Phishing) E-postası Nasıl Anlaşılır? Dikkat Etmeniz Gereken İşaretler

Gelen kutunuzda bankanızdan, kargo şirketinden ya da kullandığınız bir platformdan geliyormuş gibi görünen bir e-posta var. "Hesabınız askıya alınacak", "Ödemeniz başarısız oldu" ya da "Paketiniz teslim edilemedi" diyor ve bir bağlantıya tıklamanızı istiyor. İçinizde bir huzursuzluk oluşuyor ama mesaj o kadar gerçekçi görünüyor ki emin olamıyorsunuz.

Bu duygu çok normal. Oltalama (phishing) e-postaları tam da bu tereddütten yararlanmak için tasarlanır. İyi haber şu: Birkaç basit kontrolü alışkanlık hâline getirdiğinizde sahte e-postaların büyük kısmını kolayca ayırt edebilirsiniz.

Oltalama e-postası nedir, neyi hedefler?

Oltalama, dolandırıcıların güvenilir bir kurumu taklit ederek sizden şifre, kart bilgisi, doğrulama kodu gibi bilgileri almaya çalıştığı bir yöntemdir. Bazen amaç bilgi toplamak değil, bilgisayarınıza zararlı bir yazılım bulaştırmaktır.

Bu e-postalar genellikle sizi düşünmeden hareket etmeye yönlendirir. Bu yüzden en önemli savunmanız, tıklamadan önce birkaç saniye durup kontrol etmektir.

1. Gönderen adresine dikkatle bakın

E-postada görünen ad ile gerçek gönderen adresi farklı olabilir. "Banka Müşteri Hizmetleri" yazan bir ismin arkasında bambaşka bir adres gizlenebilir.

• Gönderen adının üzerine gelin veya dokunun; tam e-posta adresini görün.
• Alan adındaki küçük yazım farklarına dikkat edin: fazladan bir harf, rakamla değiştirilmiş bir harf, tire veya alakasız bir uzantı.
• Kurumsal bir yazışmanın ücretsiz bir e-posta servisinden gelmesi ciddi bir uyarı işaretidir.
• Adres doğru görünse bile tek başına güvence değildir; diğer işaretleri de mutlaka değerlendirin.

2. Bağlantıya tıklamadan önce nereye gittiğini kontrol edin

Oltalama e-postalarının çoğu sizi gerçeğine çok benzeyen sahte bir giriş sayfasına yönlendirir. Orada girdiğiniz bilgiler doğrudan dolandırıcılara gider.

• Bilgisayarda fareyi bağlantının üzerinde bekletin, gerçek adresi görün. Telefonda bağlantıya uzun basarak önizleyebilirsiniz.
• Görünen metin ile gerçek adres farklıysa tıklamayın.
• Kısaltılmış bağlantılara ve tanımadığınız alan adlarına karşı temkinli olun.
• En güvenli yol: E-postadaki bağlantıyı kullanmak yerine kurumun sitesine adres çubuğuna kendiniz yazarak veya resmi uygulamasından girin.

3. Ek dosyalara karşı temkinli olun

Beklemediğiniz bir fatura, sipariş belgesi ya da "önemli doküman" eki zararlı yazılım taşıyor olabilir.

• Tanımadığınız kişilerden gelen ekleri açmayın.
• Tanıdığınız birinden bile beklenmedik bir ek gelirse, açmadan önce o kişiye başka bir kanaldan (telefon gibi) teyit edin.
• Bir belgenin sizden "makroları etkinleştir" veya "içeriği etkinleştir" gibi izinler istemesi tehlike işaretidir.
• Sıkıştırılmış dosyalar ve çalıştırılabilir dosya uzantıları özellikle risklidir.

4. Aciliyet ve korku dilini tanıyın

Dolandırıcılar sizi düşünmeye fırsat bırakmadan harekete geçirmek ister. Bu yüzden mesajlarda sıklıkla baskı kuran ifadeler kullanılır.

• "24 saat içinde işlem yapmazsanız hesabınız kapatılacak"
• "Hesabınızda şüpheli işlem tespit edildi, hemen doğrulayın"
• "Ödül kazandınız, hemen talep edin"
• "Yasal işlem başlatılacak"

Bu tür bir dil gördüğünüzde yavaşlayın. Gerçek kurumlar genellikle sizi panikletmeye çalışmaz ve şifrenizi, kart şifrenizi veya tek kullanımlık doğrulama kodunuzu e-postayla istemez.

5. İçerikteki diğer ipuçları

Tek başına kesin kanıt olmasa da şu detaylar şüphenizi artırmalıdır:

• Adınız yerine "Sayın Müşteri" gibi genel bir hitap
• Özensiz çeviri, yazım ve dilbilgisi hataları
• Logo veya tasarımda tuhaflıklar
• Hiç üye olmadığınız bir hizmetten gelen bildirim
• Kişisel bilgilerinizi bir form üzerinden "güncellemenizi" isteyen talepler

Unutmayın: Günümüzde bazı sahte e-postalar kusursuz bir dille ve gerçek logolarla hazırlanabiliyor. Dilin düzgün olması e-postanın gerçek olduğu anlamına gelmez.

Şüpheli bir e-posta aldığınızda ne yapmalısınız?

1. Bağlantılara tıklamayın, ekleri açmayın, yanıt vermeyin.
2. Kurumla, kendi bildiğiniz resmi iletişim kanalından iletişime geçerek durumu teyit edin.
3. E-posta servisinizin "oltalama bildir" veya "spam olarak işaretle" seçeneğini kullanın.
4. Oltalama girişimlerini Ulusal Siber Olaylara Müdahale Merkezi'ne (usom.gov.tr) bildirebilirsiniz.
5. Yanlışlıkla bir bağlantıya tıklayıp bilgi girdiyseniz, ilgili hesabın şifresini hemen değiştirin ve iki adımlı doğrulamayı açın. Kart bilgisi paylaştıysanız vakit kaybetmeden bankanızı arayın.

Şirketler için ek öneriler

İşletmeler, özellikle fatura, ödeme ve yönetici talebi görünümlü oltalama e-postalarının hedefindedir. Birkaç önlem riski belirgin şekilde azaltır:

• Çalışan farkındalığı: Ekibinize oltalama işaretlerini düzenli aralıklarla anlatın; şüpheli e-postayı bildirmenin cezalandırılmadığını, aksine takdir edildiğini hissettirin.
• Ödeme teyidi kuralı: Banka hesabı değişikliği veya acil ödeme talepleri e-postayla gelse bile, mutlaka telefonla ve önceden bilinen bir numaradan teyit edilsin.
• İki adımlı doğrulama: Kurumsal e-posta ve kritik sistemlerde zorunlu hâle getirin.
• Alan adı koruması: E-posta altyapınızda SPF, DKIM ve DMARC gibi kimlik doğrulama kayıtlarının doğru yapılandırıldığından emin olun; bu, adınıza sahte e-posta gönderilmesini zorlaştırır.
• Yetki sınırlaması: Herkesin her sisteme erişimi olmasın; bir hesabın ele geçirilmesinin etkisi sınırlı kalsın.
• Güncel yazılım: İşletim sistemi, tarayıcı ve güvenlik yazılımları güncel tutulsun.

Sık yapılan hatalar

• Sadece gönderen adına bakıp e-postayı güvenilir saymak
• "Bir kez tıklamaktan bir şey olmaz" diye düşünmek
• E-postadaki telefon numarasını arayarak teyit etmeye çalışmak (o numara da dolandırıcılara ait olabilir)
• Tıkladıktan sonra utanıp durumu kimseye söylememek; şirketlerde bu, zararın büyümesine yol açar

Özetle

Oltalama e-postalarını tanımanın anahtarı acele etmemektir. Gönderen adresini, bağlantının gerçek hedefini, ek dosyaları ve mesajın sizi ne kadar sıkıştırdığını kontrol edin. Şüphe duyduğunuzda kurumla kendi bildiğiniz kanaldan iletişime geçin. Birkaç saniyelik dikkat, hesaplarınızı ve paranızı korumanın en kolay yoludur.