Siber güvenlik, günümüz dünyasında her birey ve organizasyon için öncelikli bir konu haline gelmiştir. Çoğumuz, teknolojik açıkları hedef alan hacker saldırılarına karşı savunma yapmayı düşünürüz. Ancak, siber saldırıların bir başka türü olan sosyal mühendislik, insan zaaflarını hedef alarak daha karmaşık ve tehlikeli bir tehdit oluşturur. Sosyal mühendislik, insanları manipüle ederek hassas bilgiler elde etmeyi veya sistemlere yetkisiz erişim sağlamayı amaçlayan bir saldırı biçimidir.

Bu yazıda sosyal mühendisliğin ne olduğunu, yaygın saldırı türlerini ve bu tür saldırılardan nasıl korunabileceğinizi detaylı bir şekilde ele alacağız. Yazı, Kaspersky’nin “How to Avoid Social Engineering Attacks” başlıklı makalesi temel alınarak hazırlanmıştır¹.

Sosyal Mühendislik Nedir?

Sosyal mühendislik, bireyleri kandırarak bilgi paylaşmalarını veya belirli eylemleri gerçekleştirmelerini sağlamaya yönelik bir manipülasyon sanatıdır. Örneğin, bir saldırgan kendisini teknik destek personeli olarak tanıtarak, kullanıcı adı ve şifre gibi kritik bilgileri talep edebilir. İnsanların yardım etme eğilimlerini veya acil durum hissine kapılmalarını kullanarak bu bilgilere ulaşabilirler.

Sosyal mühendisliğin temel amacı, hedef alınan bireyin mantıklı düşünmesini engelleyerek, hassas bilgileri veya erişim yetkilerini ele geçirmektir.

Sosyal Mühendislik Saldırı Türleri

Sosyal mühendislik farklı yöntemlerle gerçekleştirilebilir. Bu saldırı türlerini bilmek, kendinizi ve sistemlerinizi daha iyi korumanıza yardımcı olur. İşte en yaygın saldırı türleri:

1. Yemleme (Baiting)

Yemleme, kurbanın merakını tetiklemek için çeşitli tuzaklar kurar. Örneğin:

• Zararlı USB Bellek: Saldırgan, zararlı yazılım yüklü bir USB bellek bırakır. Merak eden kurban belleği bilgisayarına taktığında sistem tehlikeye girer.
• Fiziksel Hasar Veren USB: Enerji biriktirip bilgisayara zarar verebilecek bir USB cihazı bile kullanılabilir.

2. Bahane Üretme (Pretexting)

Bu saldırı, bir hikâye veya bahane yaratarak kurbanın dikkatini çekmeyi amaçlar. Örnekler:

• Bir ankete katılım bahanesiyle bankacılık bilgilerini istemek.
• Denetim yaptığını iddia eden bir kişinin sahte kimlik kullanarak ofislere erişim sağlaması.

3. Kimlik Avı (Phishing)

Kimlik avı saldırıları genellikle e-posta veya SMS yoluyla gerçekleştirilir. Bu mesajlar güvenilir bir kurumdan geliyormuş gibi görünür. Örneğin:

• Sahte bir banka e-postası ile kullanıcıların hesap bilgilerini doğrulaması istenir.
• Spear Phishing: Bu türde, saldırganlar belirli bir kişiyi hedef alır ve üst düzey yöneticilerden geliyormuş gibi görünen mesajlar gönderir.

4. Vishing ve Smishing

• Vishing (Sesli Kimlik Avı): Telefon aramaları yoluyla kişisel bilgi talep edilir.
• Smishing (SMS Kimlik Avı): Sahte mesajlarla bilgi paylaşımı istenir.

5. Quid Pro Quo

Bu yöntemde saldırgan, bir şey vaat ederek bilgi elde etmeye çalışır. Örneğin:

• “Bilgisayarınızdaki güvenlik açığını kapatıyoruz” diyerek kurbanın sahte bir yazılım indirmesini sağlamak.

6. İletişim Spam ve E-posta Hackleme

Saldırgan, bir e-posta veya sosyal medya hesabını hackleyerek kurbanın bağlantılarına sahte mesajlar gönderir. Örneğin:

• “Acil paraya ihtiyacım var” mesajıyla para talep edilir.
• Zararlı bağlantılar içeren “mutlaka izlenmesi gereken” videolar paylaşılır.

7. Çiftçilik (Farming)

Bu yöntem, hızlı bilgi toplamaktan ziyade kurbanla uzun vadeli bir ilişki kurarak daha fazla bilgi elde etmeyi amaçlar. Saldırgan, kurbanın güvenini kazanarak daha geniş çaplı bilgiye erişebilir.

Sosyal Mühendislik Saldırılarından Korunma Yolları

Sosyal mühendislik saldırıları, insanların doğal eğilimlerini hedef aldığı için fark edilmesi zor olabilir. Ancak aşağıdaki adımlarla bu saldırılardan korunabilirsiniz:

1. Kaynağı Kontrol Edin

• E-posta adresini ve bağlantıyı dikkatle inceleyin.
• Şüpheli durumlarda doğrudan resmi web sitesi veya telefon numarası üzerinden kurumla iletişime geçin.

2. Döngüyü Kırın

Sosyal mühendislik genellikle acil bir durum yaratmaya çalışır. Böyle durumlarda:

• Duraklayın ve kaynağı farklı bir yöntemle doğrulayın.
• Örneğin, bir e-posta aldıysanız, gönderen kişiyi telefonla arayarak mesajın doğruluğunu kontrol edin.

3. Kimlik Sorgulayın

• Kimlik kartlarını veya bağlı oldukları kurumu doğrulamalarını isteyin.
• “Kime rapor veriyorsunuz?” gibi sorular sorun ve verilen bilgileri kontrol edin.

4. Cihazlarınızı Güvenceye Alın

• Anti-virüs Yazılımı: Güncel bir güvenlik yazılımı kullanın.
• Güçlü Parola Kullanımı: Farklı hesaplar için farklı parolalar belirleyin.
• İki Faktörlü Kimlik Doğrulama: SMS kodları, biyometrik kimlik doğrulama veya güvenlik cihazları kullanın.

5. Dijital Ayak İzine Dikkat Edin

• Sosyal medyada aşırı paylaşım yapmaktan kaçının.
• Özellikle adres, telefon numarası gibi hassas bilgileri paylaşmamaya özen gösterin.

6. Spam Filtresini Geliştirin

E-posta programınızda spam filtresini aktif hale getirin ve şüpheli e-postaları engelleyin.

7. Analitik Olun

Gelen taleplerin gerçekçi olup olmadığını sorgulayın. Örneğin:

• Bir banka neden telefonla şifrelerinizi sorsun?
• Gerçek bir arkadaşınız neden sadece e-posta yoluyla yardım istesin?