Phishing Saldırılarından Korunma

Phishing, Türkçede oltalama, sizi tanıdığınız bir kurum sanıp bilgi vermeye ikna eden saldırıdır. E-posta, kısa mesaj, reklam veya sosyal medya mesajı olabilir. Mesaj acildir: hesabınız kapanacak, paketiniz gümrükte, kartınız ele geçti. Acele, düşünmeyi kısaltır. Kısaltılan düşüncede bağlantıya basılır. Açılan sayfa bankanın veya mağazanın kopyasıdır. Oraya yazılan parola, kart veya tek kullanımlık kod saldırgana gider.

Korunma, daha zeki bir yazılım beklemek değildir. Mesajın istediği hızı vermemektir.

Mesajı ayırmak

Kurumlar hesap kapatmayı bir bağlantının içine sıkıştırmaz. Gerçek bir uyarı, uygulamayı kendiniz açtığınızda da görünür. Mesajdaki “hemen girin” bağlantısını kullanmayın. Uygulamayı veya siteyi, telefonunuzdaki kayıtlı simgeden veya tarayıcıya yazdığınız adresten açın. İçeride uyarı yoksa mesaj sahte olabilir. Varsa da işlemi oradan yapın, mesajdan değil.

Gönderen adı taklit edilebilir. “Banka” yazması, iletinin bankadan çıktığını göstermez. Adresin tamamına bakın. Tanımadığınız bir alan adından gelen resmi uyarıya ihtiyatla yaklaşın. Ek dosya açmayın. “Hesap özeti” diye gelen dosya, özet değil zararlı yazılım olabilir.

Kod tuzağı

Güncel oltalama, kartı aldıktan sonra bankanın gönderdiği gerçek kodu da ister. Saldırgan sizin kartınızla gerçek bir ödeme başlatır. Banka size kod gönderir. Sahte sayfa “kodu girin, iptal edelim” der. Siz girersiniz. Kod, iptale değil ödemenin onayına gider. 3D Secure bu kodun meşru yeridir. Meşru yer, siz alışveriş yapıyorken ihraççının ekranıdır. Alışverişte değilseniz gelen kodu kimseye yazmayın. Bankayı, kartın üzerindeki numaradan arayın.

Kimse sizden kodu telefonda okumanızı istememelidir. “Güvenlik görevlisi” dahil. Görevli kodu bilirse işlemi o tamamlar.

Sayfayı ayırmak

Kopya sayfa piksel piksel benzeyebilir. Benzemez olan adres ve istenen verinin fazlalığıdır. Banka girişinden hemen sonra kartın tamamını ve güvenlik kodunu isteyen sayfa, banka girişi değildir. Sahte ödeme siteleri bu formu ayrıca anlatır. Şüphelenince sayfayı kapatın. Parolayı değiştirmeyi, resmi uygulamadan yapın. Aynı parolayı başka yerde kullandıysanız orada da değiştirin.

Kodu isteyen kişi, kodun sahibi olmuş olur. Okumayın.

Olduktan sonra

Bağlantıya bastıysanız ve bilgi yazdıysanız beklemek zararlıdır. Kartı dondurun, parola değiştirin, ihraççıya haber verin. Haber numarasını mesajdan almayın. Cihazda tanımadığınız bir uygulama kaldıysa kaldırın. Hesap ele geçtiyse yeni sanal kart açmak da saldırganın işine yarayabilir. Önce girişi temizleyin, sonra kart üretin.

Eğitim vaadiyle “test oltalaması” gönderen tanımadık dosyaları da açmayın. Kurumunuz böyle bir test yapıyorsa bunu önceden kendi kanalından duyurur. Duyuru yoksa test de sahte olabilir.

Oltalama, teknolojiden çok tempo kullanır. Tempoyu düşürün. Uygulamayı kendiniz açın. Kodu kimseye vermeyin. Bu iki cümle, uzun bir araç listesinden daha çok kart kurtarır. Online ödemelerde güvenlik aynı sıranın diğer basamaklarıdır.

Evde ve işte aynı refleks

Oltalama yalnızca banka mesajı değildir. Kargo, vergi, insan kaynakları ve “faturanız hazır” başlıkları da aynı kapıyı kullanır. İş e-postasına gelen dosya, kişisel telefona gelen kod talebiyle aynı aileden olabilir. Aile, acelenin markasını değiştirir. Marka değişince refleks değişmemelidir: bağlantıya basmadan uygulamayı kendiniz açın.

Ortak kullanılan bir bilgisayarda banka girişi yapmak, oturumu sizden sonrakine bırakabilir. Çıkış yapmak, tarayıcının şifre kaydını silmez. Kayıtlı şifre, sonraki kişinin de girişidir. Ortak cihazda “beni hatırla” kutusunu işaretlemeyin. İşaretli kutu, oltalama olmadan da kapıyı açık bırakır.

Bir yakınınız kodu size okutuyorsa durun. Onun ekranı sahte olabilir. Kod sizin kartınızı, onun sandığı iptali değil, gerçek bir ödemeyi bitirir. Yakınlık, kodun güvenli taşındığı anlamına gelmez.

Sesli aramada da oltalama olur. Arayan, banka santralini taklit eden bir numara gösterebilir. Gösterilen numara, kartın üzerindeki numara değildir. Kartın üzerindeki numarayı kendiniz çevirmeden kimlik, kart veya kod vermeyin. Kendiniz çevirdiğiniz hatta bekleyen bir uyarı varsa onu görevliyle konuşun. Bekleyen uyarı yoksa arama sahte olabilir.

Kısa mesajdaki kodu, mesajın hemen altındaki yanıta yazmayın. Yanıt, kodu gönderene geri yollar. Kod yalnızca sizin açtığınız banka ekranında kullanılmalıdır. Başka bir kutu, meşru görünse de hedef olabilir.