Her zamankinden daha kritik bir tehdit ama endişelenmeyin. Kendinizi savunmanın pek çok yolu var.
Kimlik avı dolandırıcılıkları, makinenize kötü amaçlı yazılım bulaştıran veya sizi tamamen yasal görünen -ancak olmayan- bir sayfaya yönlendiren bir bağlantıya veya eke tıklamanız için dizayn edilmiş bir siber dolandırıcılık yöntemidir. Kimlik Avını Önleme Çalışma Grubu‘na göre, her ay yaklaşık 200.000 yeni kimlik avı sitesi ortaya çıkıyor ve kampanyalar ile ayda 500’den fazla farklı marka ve kuruluşun kimliği taklit ediliyor. FBI’ın İnternet Suçları Şikayet Merkezi, ABD merkezli kimlik avı kurbanlarının yalnızca 2019’da neredeyse 58 milyon dolar kaybettiğini tespit etti.
Bu 3 adımı izlerseniz, kimlik avı dolandırıcılığından kaçınma şansınızı artırabilirsiniz. Her şeyden önce, e-postanız söz konusu olduğunda hiçbir şeye gerçekten güvenmemeniz gerektiğini unutmayın.
1. Tıklamadan Önce Daima İki Kez Düşünün
Kimlik avı araştırma ve savunma şirketi Cofense’in teknoloji sorumlusu Aaron Higbee, “Kimlik avının kalbinde dolandırıcılık yatar” diyor.
“Kimlik avı e-postası gönderen kişilerin, bir kullanıcının etkileşime girmesini sağlamak için akıllı e-posta pazarlamacıları olması gerekir.”
– Aaron Higbee
Çoğu zaman bunu sizin duygularınızı besleyerek yaparlar.
Bu yüzden uzmanların önerdiği en önemli tavsiye içgüdülerinizi dinlemektir. Bir şey şüpheli hissettirdiğinde, muhtemelen öyledir. Ancak kimlik avının tüm amacı alarm zilleri çalmadan önce sizin bir şeyler yapmanızı sağlamak olduğu için, işler iyi görünse bile şüpheci davranmanız gerekir. Ne kadar zararsız görünürlerse görünsün veya kimin göndermiş olduğuna bakılmaksızın, ekleri indirmek ve bağlantıları tıklamak konusunda genellikle isteksiz olmalısınız.
2. Göndereni ve İletiyi İnceleyin
Kimlik avcıları, mesajlarının her zaman meşru bir kaynaktan geliyormuş gibi görünmesini sağlayarak, tanıdık bir Google hesap kurtarma e-postasının görünümünü taklit ediyor veya yeni bir ulusal Covid-19 test hizmeti sunuyor gibi davranıyor olabilirler.
Saldırganlar gerçek bir e-posta hesabını veya telefon numarasını elegeçirdiklerinde, meşru görünen bir e-posta adresinin sahte olduğu veya iletilerin aslında iddia ettikleri kaynaktan geldiği durumlarda işler daha da karmaşık hale gelir.
Peki ne yapabilirsiniz? Öncelikle, bir e-postanın gönderildiği adresi (URL) ve metnini inceleyin. Kaynak yasalsa ancak metin şüpheliyse kendinize “….. bu e-postayı gerçekten bana gönderir mi?” diye sorun. Tanıdığınız birinin gönderdiği bir mesajla ilgili bir tuhaflık seziyorsanız – özellikle de içinde bir istek ya da talep varsa – gönderinin sahibinin hacklenmiş olma olasılığı vardır. Onlara farklı bir platformdan ulaşın veya telefonu elinize alıp arayın ve size mesaj gönderip göndermediklerini sorun.
3. Bir Şifre Yöneticisi Kullanın
Tüm hesaplarınız için güçlü, benzersiz parolalar oluşturabilmesi için bir parola yöneticisi kullanın. Bu yöntem kulağa ne kadar klişe gelse de özellikle kimlik avına karşı gerçekten yardımcı olmaktadır. Parola yöneticileri söz konusu olduğunda, tüm parolalarınız benzersizse ve bir kimlik avcısı bunlardan birini çalarsa, yalnızca o hesaba erişebilir ve sonuçları hafifletmek daha kolay olur.
Hatta bunu bir adım öteye götürerek iki faktörlü kimlik doğrulama kullanabilirsiniz. Başarılı bir şekilde oturum açmak için kullanıcı adınıza ve şifrenize ek olarak fazladan bir koda veya fiziksel anahtara ihtiyacınız varsa, kimlik avcılarının hesaplarınıza ulaşması daha da zor olacaktır. Her ne kadar iki faktörlü kimlik doğrulama malware tabanlı kimlik dolandırıcılıklarına karşı koruma sağlıyor olmasa da, sıradan kimlik avı saldırıları nedeniyle hesaplarınızın tehlikeye girme riskini önemli ölçüde azaltır.
Mehmet Türker
Technical Account Manager & Cyber Security Engineer
Endpoint Bilgi Teknolojileri Güvenliği ArGe A.Ş – 2022
LinkedIn