Sosyal Mühendislik Nedir? Gerçek Hayattan Örnekler ve Korunma Refleksleri

Dolandırıcılık denince çoğumuzun aklına karmaşık bilgisayar saldırıları gelir. Oysa birçok vakada saldırgan hiçbir sistemi kırmaz; sadece doğru kişiyi, doğru anda, doğru hikâyeyle ikna eder. Kapıyı içeriden açan, çoğu zaman kandırılan kişinin kendisidir.

Buna sosyal mühendislik denir. Bu yazıda sosyal mühendisliğin nasıl çalıştığını, Türkiye'de sık karşılaşılan örneklerini ve kendinizi korumak için edinebileceğiniz basit refleksleri anlatıyoruz.

Sosyal mühendislik nedir?

Sosyal mühendislik, insanların güven, korku, yardımseverlik ve otoriteye saygı gibi doğal duygularını kullanarak onlardan bilgi, para ya da erişim elde etme yöntemidir. Saldırgan kendini bir banka çalışanı, kamu görevlisi, yöneticiniz ya da yakınınız gibi tanıtabilir.

Bu yöntemlerin ortak özelliği, sizi düşünmeye zaman bırakmamaktır. Aciliyet, gizlilik ve otorite bir araya geldiğinde en dikkatli insan bile hata yapabilir. Bu yüzden kandırılmak bir zekâ meselesi değil, doğru anda yakalanma meselesidir.

Örnek 1: Sahte banka ya da kurum araması

Telefonunuz çalar, arayan kişi bankanızdan aradığını söyler. Adınızı, belki kartınızın son rakamlarını bilir. "Hesabınızda şüpheli bir işlem tespit ettik, iptal etmek için size gönderdiğimiz kodu okur musunuz?" der.

Gerçekte bu kod, dolandırıcının sizin adınıza yaptığı bir işlemi onaylamak içindir. Arayan numara bankanın numarasına benziyor olsa bile bu tek başına güvence değildir; arayan numaranın taklit edilebildiğini unutmayın.

Refleks: Telefonda kod, şifre ya da kart bilgisi paylaşmayın. Görüşmeyi nazikçe sonlandırın ve bankanızı kartınızın arkasındaki ya da resmi uygulamadaki numaradan kendiniz arayın.

Örnek 2: "Polis" ya da "savcı" taklidi

Bu senaryoda arayan kişi kendini polis, savcı ya da başka bir kamu görevlisi olarak tanıtır. Adınızın bir soruşturmaya karıştığını, hesaplarınızın risk altında olduğunu söyler. Sizi korkutur ve konuşmayı kimseyle paylaşmamanızı ister.

Ardından "paranızı güvenceye almak" bahanesiyle bir hesaba para göndermenizi, altın ya da nakit parayı birine teslim etmenizi veya kart bilgilerinizi vermenizi talep eder. Bu senaryo özellikle yaşça büyük kişileri hedef alabilir.

Refleks: Gerçek kamu görevlileri telefonla sizden para göndermenizi, altın ya da nakit teslim etmenizi veya kart bilgilerinizi istemez. "Kimseye söylemeyin" talebi başlı başına bir alarm işaretidir. Telefonu kapatın, bir yakınınızla konuşun ve gerekiyorsa en yakın emniyet birimine kendiniz başvurun.

Örnek 3: İş yerinde sahte yönetici talimatı

Muhasebe ya da finans biriminde çalışan birine, şirket yöneticisinden geliyormuş gibi görünen bir e-posta ya da mesaj gelir: "Gizli bir anlaşma yürütüyoruz, bugün şu hesaba acil ödeme yapılması gerekiyor. Şu an toplantıdayım, beni aramayın."

E-posta adresi gerçeğine çok benzer, üslup inandırıcıdır. Bazen bir tedarikçinin "banka hesabımız değişti" mesajı şeklinde de gelir. Küçük işletmeler, onay süreçleri daha esnek olduğu için bu tür taleplere karşı özellikle savunmasız olabilir.

Refleks: Ödeme ya da hesap bilgisi değişikliği taleplerini, mesajın geldiği kanaldan değil, daha önceden bildiğiniz bir telefon numarasından arayarak doğrulayın. Belirli bir tutarın üzerindeki ödemeler için iki kişinin onayını şart koşan basit bir kural belirleyin.

Diğer yaygın senaryolar

• Teknik destek taklidi: "Bilgisayarınıza virüs bulaştı, uzaktan bağlanıp düzeltelim" diyerek uzaktan erişim uygulaması kurdurmak.
• Hesap doğrulama tuzağı: Sosyal medyada bir arkadaşınızın hesabından "Yanlışlıkla sana kod gönderdim, bana iletir misin?" mesajı. Çoğu zaman o arkadaşın hesabı ele geçirilmiştir.
• Ödül ve çekiliş: "Kazandınız, ödülünüzü almak için küçük bir işlem ücreti ödeyin."
• Yakın taklidi: Yeni bir numaradan "Anne, telefonum bozuldu, bu benim yeni numaram, acil para lazım" mesajı.

Sosyal mühendisliğe karşı beş temel refleks

1. Yavaşlayın. Sizi acele ettiren her talep, bir dakika durmanız için bir işarettir. Gerçek kurumlar size düşünme ve doğrulama zamanı tanır.
2. Kanalı değiştirin. Size ulaşan kişiyi aynı kanaldan değil, kendi bildiğiniz numara ya da resmi uygulama üzerinden doğrulayın.
3. Kodları kimseyle paylaşmayın. Telefonunuza gelen tek kullanımlık kod yalnızca sizin içindir. Bankanız, platform çalışanı ya da kamu görevlisi bu kodu istemez.
4. Gizlilik talebine şüpheyle yaklaşın. "Kimseye söylemeyin" diyen bir talep, dolandırıcılığın klasik işaretidir.
5. Konuşun. Emin olmadığınızda bir yakınınıza, iş arkadaşınıza ya da yöneticinize danışın. İkinci bir göz çoğu tuzağı hemen fark eder.

İşletmeler için basit önlemler

Küçük bir işletme yönetiyorsanız sosyal mühendisliğe karşı büyük bütçelere ihtiyacınız yok. Birkaç net kural çoğu riski azaltır:

• Ödeme ve banka hesabı değişikliği talepleri için yazılı bir doğrulama adımı belirleyin ve istisna tanımayın.
• Çalışanlarınıza, yöneticiden gelse bile "acil ve gizli" ödeme taleplerini sorgulamanın bir sadakatsizlik değil, görevlerinin parçası olduğunu açıkça söyleyin.
• Şüpheli bir talep geldiğinde kime haber verileceğini önceden belirleyin.
• Bu senaryoları ekiple kısa toplantılarda konuşun; bir kez duyulan örnek, gerçek bir saldırıda hatırlanır.

Dikkat edilmesi gerekenler

• Sosyal medyada paylaştığınız bilgiler (iş yeriniz, aile bireylerinizin adları, tatil planlarınız) dolandırıcıların hikâyelerini inandırıcı kılmak için kullanılabilir. Paylaşımlarınızı gözden geçirin.
• Ailenizdeki büyüklerle bu senaryoları önceden konuşun. Önceden duyulmuş bir senaryoya kanmak çok daha zordur.
• Kandırıldığınızı fark ederseniz utanmayın. Hemen bankanızı arayın, şifrelerinizi değiştirin ve Cumhuriyet Başsavcılığı'na ya da emniyete başvurun. Siber suçlarla ilgili genel bilgilere egm.gov.tr üzerinden, şüpheli bağlantı ve siteleri bildirmek için USOM'a ulaşabilirsiniz.

Özetle

Sosyal mühendislik teknolojiden çok insan psikolojisine dayanır. Bu yüzden en iyi savunma da teknik bir araç değil, edinilmiş reflekslerdir: yavaşlamak, kanalı değiştirerek doğrulamak, kodları paylaşmamak ve emin olmadığınızda birine danışmak. Bu alışkanlıkları kendinize ve çevrenize kazandırdığınızda, dolandırıcıların en güçlü silahı olan aciliyet etkisini kaybeder.