İçerik Tablosu
Siber saldırıların yüzde sekseninden fazlası bir phishing e-postasıyla başlıyor. Google ve Facebook gibi teknoloji devleri bile sahte faturalarla 100 milyon dolar dolandırıldı. Ve 2026 itibarıyla yapay zekanın devreye girmesiyle phishing saldırıları çok daha ikna edici, çok daha hızlı ve çok daha tehlikeli hale geldi.
Peki phishing tam olarak nedir, saldırganlar hangi yöntemleri kullanıyor ve işletmenizi nasıl koruyabilirsiniz?
Phishing (Oltalama) Nedir?
Phishing; saldırganların meşru bir kurum veya kişi gibi davranarak hedefi kandırıp kimlik bilgileri, finansal veriler veya hassas kurumsal bilgileri ele geçirmeyi amaçladığı sosyal mühendislik saldırısıdır.
“Phishing” kelimesi balık avlamak anlamına gelen “fishing”den türetilmiştir — hedeflere yem atılır ve birinin ısırmasını bekler. Teknik bir güvenlik açığı değil; insan psikolojisini hedef alır.
Phishing Saldırı Türleri
Standart Phishing (E-posta Oltalaması)
En yaygın yöntemdir. Geniş kitlelere rastgele gönderilen e-postalarla kullanıcılar sahte web sitelerine yönlendirilir. “Hesabınız askıya alındı”, “Paketiniz bekliyor”, “Ödemeniz reddedildi” gibi konu başlıkları dikkat çekmek için kullanılır.
Spear Phishing (Zıpkınla Avlanma)
Belirli bir kişi veya kurumu hedef alan özelleştirilmiş saldırılardır. Saldırgan hedef hakkında önceden araştırma yapar — isim, unvan, çalıştığı şirket, bağlantıları. Gelen mesaj son derece inandırıcıdır çünkü kişiye özeldir.
Whaling (Balina Avcılığı)
CEO, CFO ve üst düzey yöneticileri hedef alan yüksek değerli saldırılardır. “Acil para transferi”, “Gizli proje ödemesi” gibi konularla kurumsal hesaplara büyük miktarda para aktarımı amaçlanır.
Vishing (Sesli Oltalama)
Telefon araması yoluyla gerçekleştirilen sosyal mühendislik saldırısıdır. Saldırgan banka çalışanı, teknik destek uzmanı veya devlet kurumu temsilcisi gibi davranarak hassas bilgileri elde etmeye çalışır.
Smishing (SMS Oltalaması)
Kısa mesaj yoluyla yapılan phishing saldırısıdır. “Paketiniz teslim edilemedi, adresi güncelleyin”, “Bankanız hesabınızı doğrulamanızı istiyor” gibi mesajlarla sahte sayfalara yönlendirme yapılır.
Quishing (QR Kod Oltalaması)
Sahte QR kodlar aracılığıyla gerçekleştirilen saldırıdır. Ofis yazıcılarına, toplu taşıma duraklarına veya e-postalara yerleştirilen QR kodlar, kötü amaçlı sitelere yönlendirir. QR kodun içeriği gözle doğrulanamadığından tespit edilmesi güçtür.
Klon Phishing
Meşru ve daha önce gönderilmiş bir e-postanın bağlantıları veya ekleri kötü amaçlı versiyonlarla değiştirilerek yeniden gönderilmesi. “İletilmiş mesaj” formatında geldiği için güvenilir görünür.
BEC (Business Email Compromise — Kurumsal E-posta İhlali)
Şirket yöneticisinin, tedarikçinin veya iş ortağının e-posta hesabı ele geçirilir ya da taklit edilir. Muhasebe departmanına sahte fatura ödeme talebi veya banka hesabı değişikliği iletilir.
2026’nın Yeni Tehdidi: Yapay Zeka Destekli Phishing
Phishing artık eski phishing değil. Yapay zekanın devreye girmesiyle saldırılar tamamen farklı bir boyuta taşındı.
AI Phishing E-postaları
WormGPT ve benzeri araçlar, dil bilgisi hatasız, kişiye özel ve son derece ikna edici phishing e-postalarını saniyeler içinde üretiyor. Eskiden bir phishing e-postasını “yazım hatası” veya “garip Türkçe” ile yakalamak mümkündü — artık bu belirtiler ortadan kalktı.
Ses Klonlama (Voice Cloning)
<cite index=”15-1″>Verizon’un 2026 Veri İhlali Araştırmaları Raporu’na göre ses kanalı üzerinden gerçekleştirilen sosyal mühendislik saldırıları, kimlik bilgisi hırsızlığının giderek yaygınlaşan bir yolu haline geliyor.</cite>
Sadece birkaç saniyelik ses kaydı yeterli. Saldırgan CEO’nun LinkedIn videosundaki sesini klonluyor, muhasebe departmanını arıyor: “Acil bir satın alma var, 500 bin TL transfer yapın, üst yönetimden onay bekliyorum.” Çalışan tanıdık sesi duyunca şüphe etmiyor.
Deepfake Video
<cite index=”16-1″>2026’daki kurumsal e-posta saldırılarının yüzde kırkı artık yapay zeka üretimi ses veya video deepfake içeriyor — bu oran 2023’te yüzde beşin altındaydı.</cite>
Görüntülü toplantıda yöneticinizin yüzünü ve sesini taklit eden bir deepfake ile karşılaşabilirsiniz. Teknoloji gerçek zamanlı çalışıyor.
Orkestra Edilmiş Saldırılar
<cite index=”12-1″>2026 projeksiyonları, en başarılı saldırıların e-posta, ses (vishing) ve görüntünün (deepfake) eş zamanlı kullanıldığı “orkestra edilmiş” operasyonlar olduğunu gösteriyor.</cite> Önce phishing e-postası, ardından “sizi arayacağım” mesajı, sonra CEO sesiyle doğrulama araması — üçü birden gelince şüphe uyandırmak neredeyse imkânsız hale geliyor.
Phishing Saldırılarının Belirtileri
E-postada Dikkat Edilmesi Gerekenler
Gönderici adresindeki tutarsızlıklar: info@mbrteknoloji.com.tr yerine mbr-destek@gmail.com veya info@mbrteknoloji-destek.com gibi adresler açık bir uyarı işareti. Alan adını harfi harfine kontrol edin.
Aciliyet ve korku psikolojisi: “Hesabınız 2 saat içinde kapatılacaktır”, “Hemen tıklayın, aksi halde…” gibi ifadeler mantıklı düşünmeyi engellemeyi ve panikle hata yaptırmayı hedefler.
Beklenmedik ekler: Tanımadığınız bir kaynaktan gelen .exe, .hta, .zip veya makro içeren Office dosyaları çalıştırılmamalı.
Hover testi: Bağlantıya tıklamadan önce farenizi üzerine getirin — gösterilen URL ile gerçek hedef eşleşiyor mu?
Genel selamlama: “Sayın müşterimiz” yerine adınızla hitap eden e-postalar daha güvenilir görünür; ama spear phishing saldırılarında adınız zaten kullanılıyor olabilir.
Web Sitesinde Dikkat Edilmesi Gerekenler
- URL’yi dikkatle inceleyin:
paypal.comyerinepaypa1.comveyapaypal-giris.com - SSL sertifikasının varlığı tek başına güven işareti değildir — phishing siteleri de SSL alabilir
- Sayfa tasarımı orijinalin kopyası olabilir; URL her zaman kontrol edilmeli
Phishing Saldırılarında Kullanılan Teknikler
Alan adı aldatmacası (Typosquatting): g00gle.com, faceboook.com gibi orijinaline çok benzeyen alan adları.
Link kısaltma servisleri: Bitly ve benzeri servisler gerçek URL’yi gizlemek için kötüye kullanılır.
Görsel sahtecilik: Resmi kurumların logoları, renk paletleri ve e-posta şablonları birebir kopyalanır.
Yönlendirme zinciri: Meşru bir siteden geçerek son hedefe yönlendirme yapılır — güvenlik filtreleri bu teknikle atlatılabilir.
MFA bypass: OAuth token hırsızlığı, AiTM (Adversary-in-the-Middle) ve MFA bombing ile çok faktörlü kimlik doğrulama atlatılır.
Gerçek Phishing Saldırı Örnekleri
Google ve Facebook Vakası: Saldırgan sahte faturalar göndererek teknoloji devlerini 100 milyon dolar dolandırdı — klasik BEC saldırısı.
Hong Kong CFO Vakası (2024): Bir CFO, yöneticilerin deepfake video konferansıyla kandırılarak 25 milyon dolar transfer yaptı.
IK Tuzakları: “Maaş listesi güncellendi” başlıklı e-postalarla çalışanlara gönderilen zararlı dosyalar, kurumsal ağa sızmanın en yaygın yollarından biri olmaya devam ediyor.
Fortivpn.com.tr Vakası: Sahte FortiClient VPN sayfası aracılığıyla kurumsal VPN kimlik bilgileri çalındı. MBR Teknoloji ekibinin tespit ettiği bu aktif tehdide ilişkin detaylı analiz için: Sahte FortiClient VPN Sitesi Uyarısı →
Phishing’e Karşı Korunma Yolları
Bireysel Önlemler
Doğrulama alışkanlığı: Beklenmedik bir e-posta veya mesaj geldiğinde göndericiye farklı bir kanaldan (telefon, yüz yüze) doğrulayın. “CEO’dan acil para transferi” talebi geldiğinde telefon açın.
Tıklamadan önce düşün: Aciliyet hissi yaratan mesajlar kasıtlı. Birkaç saniye duraklamak ve URL’yi kontrol etmek yeterli.
Ses ve görüntü doğrulaması: Tanıdık bir sesin bile farklı bir kanaldan doğrulanması alışkanlık haline gelmeli. Deepfake çağında ses tek başına yeterli kanıt değil.
Güçlü ve özgün parolalar: Her platform için farklı parola kullanın. Parola yöneticisi bu yükü ortadan kaldırır.
Kurumsal Önlemler
MFA zorunluluğu: Tüm sistemlerde, özellikle e-posta ve VPN’de çok faktörlü kimlik doğrulama aktif olmalı. Bu tek önlem pek çok phishing saldırısını etkisiz kılar.
E-posta güvenlik filtreleri: SPF, DKIM ve DMARC kayıtlarının doğru yapılandırılması, alan adı sahtekârlığını büyük ölçüde engeller.
Çalışan farkındalık eğitimi ve simülasyon: Düzenli phishing simülasyonları, çalışanların gerçek saldırıyı tanıma kapasitesini artırır. Teorik eğitim tek başına yetmez — simüle edilmiş saldırı deneyimi kritik.
Büyük para transferleri için çift onay: Belirli bir tutarın üzerindeki transferler için iki farklı kanaldan yönetici onayı politikası, BEC saldırılarını etkisiz kılar.
Uç nokta koruması: EDR çözümleri, phishing e-postası üzerinden gelen zararlı dosyayı çalışma anında tespit edebilir.
SIEM ve izleme: Şüpheli giriş denemeleri, alışılmadık lokasyonlardan erişimler ve anomalilerin gerçek zamanlı tespiti için log izleme altyapısı.
Phishing Simülasyonu Testi Yaptırmalı mısınız?
Çalışanlarınızın phishing saldırısına ne kadar hazırlıklı olduğunu bilmek istiyor ama bunu gerçek bir saldırıyla öğrenmek istemiyorsanız — phishing simülasyon testi tam da bu amaç için var.
Kontrollü ortamda gerçekçi phishing e-postaları gönderilir, hangi çalışanların tıkladığı ve kimlik bilgisi girdiği ölçülür. Sonuçlara göre hedefli eğitim planlanır.
