E-posta tehditlerinin farklı yüzleri

E-posta dolandırıcılıkları her şekil ve boyutta karşımıza çıkar. Bazıları o kadar barizdir ki gülünç gelir — bir dolandırıcılığı gizlemek için hiç çaba harcanmamıştır.

Ama hepsinin böyle olduğunu sanmayın. E-posta dolandırıcılıkları giderek daha sinsi ve yaratıcı hale geliyor gibi görünüyor. Bunlar, iPad’e sarılarak büyümüş, bilgisayar konusunda en bilgili Z kuşağı üyesinin bile fark etmeden önce iki kez bakacağı türden şeylerdir. Hatta bu kadar şeytani olmasalardı, bir adım geri çekilip yönteme hayran bile kalabilirdiniz. Size phishing’i ve diğer yaygın e-posta dolandırıcılıklarını nasıl tanıyacağınızı ve bunlara karşı nasıl korunacağınızı göstereceğiz.

Geçmişten kısa bir esinti

Birçoğumuz e-posta dolandırıcılıklarının çok erken dönemlerini hatırlıyoruz — hem daha saf olduğumuz ama aynı zamanda e-postalara daha az güvendiğimiz o güzel günleri. Bir dolandırıcılık aldığımızda, gönderenin neden yardım için doğru kişi olarak bizi düşündüğünü anlamaya çalışarak şaşkın bir ilgiyle okurduk.

The Spanish Prisoner’ı kim hatırlıyor? Büyük servete sahip talihsiz bir ruh, hapisten çıkabilmesi için fidyesini ödememize yardım etmemize çaresizce ihtiyaç duyuyordu. Eğlenceli olan şu ki bu dolandırıcılık aslında e-postadan da eskidir; kökeni 19. yüzyılın başlarına dayanır. Bir yerlerde asi bir internet gezgini belli ki bunu dijitalleştirmeye karar vermiş.

Bugünlerde e-posta dolandırıcılıkları dijital formatlarının güçlü yönlerinden çok daha fazla yararlanıyor. Bazı klasik dolandırıcılıkların aksine, internetin yıllar içinde sunduğu avantajları kullanıyorlar — örneğin çevrimiçi ödemeleri kolayca işleyebilme, en önemli iletişimlerimiz için e-postaya artan bağımlılık ve sosyal medyanın evrimi gibi.

Daha ilk bakışta bir dolandırıcılığın ipuçları

Farklı e-posta dolandırıcılığı türlerine daha yakından bakmadan önce, bir e-posta dolandırıcılığını/spam’i tanımlamanıza yardımcı olacak bazı genel kuralları paylaşacağız — çünkü hepsi ortak unsurları paylaşır — bir gönderen, bir konu satırı, gövde metni ve belki de en önemlisi, okunma ve inanılma ihtiyacı.

Şirket/gönderen adı

Şunlara dikkat edin:

1. Yazım hataları veya yanlış stil kullanımı — Paypal ve PayPal gibi.

2. Aşırı açıklayıcı veya pek olası görünmeyen bir şey — AA yerine AA Car Emergency gibi.

3. Alışveriş yapmadığınız/iş yapmadığınız şirketler — Lloyds müşterisiyken Barclays’ten gelen bir not gibi.

4. Garip görünen herhangi bir şey — Sembollerden tuhaf isimli şirketlere, garip boşluklandırmalara kadar — bazen gönderenle ilgili bir şeyler sadece yanlış hissettirir.

Gönderen e-posta adresi

Şunlara dikkat edin:

1. Uyumsuz bir e-posta adresi — Şirket adıyla çelişen bir şey.

2. Benzer görünenler — Gerçek şirkete benzemesi için tasarlanmış bir adres. Bu, alan adı (@paypalcare.com) veya TLD (@paypal.club) olabilir.

3. Hatalar— Adresteki yazım hataları veya diğer düzensizlikler.

Konu satırları

Şunlara dikkat edin:

1. Aciliyet hissi uyandırmak için tasarlanmış ifadeler — ‘Uyarı: Son ödeme bildirimi’.

2. Aşırı vaatkâr dil — ‘Beş dakikada £1000 kazanın’.

3. Güçlü bir duygusal tepki uyandıran dil — ‘İşe alındınız! Yarın başlayın!’

4. Yazım hataları — Dolandırıcılar iyi dil bilgileriyle tanınmaz.

5. Aşırı noktalama işareti veya emoji kullanımı — Gerçek şirketlerin çok azı bunları kullanır.

6. ‘Re’ ifadesinin bulunması — Daha önce yanıt vermediğiniz halde vermişsiniz izlenimi yaratmak için kullanılabilir.

7. Düğmeler ve ekler— Şüpheli e-postalardaki düğmelere tıklamaktan veya ekleri indirmekten her zaman kaçının.

Gövde metni

Şunlara dikkat edin:

1. İnanılmaz vaatler— Konu satırındaki versiyona benzer, ancak gövde metninde genişleme alanı olduğu için yalanları daha ikna edici hale getirme fırsatı verir.

2. Kişisel bilgi isteyen harekete geçirici çağrılar — Özellikle adres veya kart bilgileri.

3. Hatırlamadığınız şeylere yapılan atıflar— Etkinliklerden hiç almadığınız hizmetlere kadar

4. Kimliğe bürünme— Bir arkadaşınız veya akrabanız olduğunu iddia eden biri, ama kendisi gibi konuşmuyor.

Dolandırıcıların bir e-postanın farklı bölümlerini nasıl manipüle edebileceğine dair biraz arka plan edindiğinize göre, şimdi belirli örnekleri inceleyelim.

Kötü amaçlı yazılım

Birçok kişi için kötü amaçlı yazılım saldırıları, muhtemelen gerçekten korktuğumuz ilk tür sahte e-postalardı. O zamanlar muhtemelen bunlara sadece e-posta virüsleri diyorduk. Açarsın, ekran kararır. Oyun biter. O tür şeyler.

Gerçekte kötü amaçlı yazılım, çok çeşitli zararlı saldırıları kapsar — ve açıkçası bazıları, bilgisayarın hızla ölmesinden çok daha korkutucudur.

Tuş vuruşlarını izlemek mi? CPU’nuzu bilginiz olmadan tüketmek mi? Sizi gözetlemek mi? Her beş dakikada bir şüpheli reklamların açılmasını zorlamak mı? Evet, kötü amaçlı yazılım, bilginiz olmadan bilgisayarınıza yerleşen çok çeşitli küçük programları kapsar ve işlevleri, kötü niyetli şakacılarla ilişkilendirilen şeylerden tam teşekküllü suçlulara kadar uzanır. Kaçamak davranırlar ve çoğu zaman onlardan kurtulmak zordur — tabii orada olduklarını biliyorsanız.

Kötü amaçlı yazılım nasıl tespit edilir

Yukarıda listelenen belirtilerden herhangi birini yaşıyorsanız, bunun kötü amaçlı yazılım olma ihtimali yüksektir. Bu bir e-postadan gelmiş olabilir — ama şart değil. Bu programların bilgisayarınıza yerleşmesinin başka yolları da vardır — indirmeler, şüpheli web siteleri ve hatta sahte donanım cihazları. Sokakta bir USB bellek bulursanız, içinde ne olduğuna bakmayın.

Kendinizi kötü amaçlı yazılımdan koruyun

Apaçık olanı söyleme pahasına, kötü amaçlı yazılım tespit yazılımını deneyin. Ama itibarlı bir şey seçin.

Kötü amaçlı yazılımı en başta nasıl önleyeceğinizi Google’da aratırsanız, en üstteki tavsiye antivirüs yazılımı kurmaktır. Şahsen, 2010’ların sonlarından beri bunu yapan kimseyi tanımıyorum ama insan bilgisinin ve kitlesel deneyimin tamamının Gemini’den gelen tek satırlık bir yanıta indirgenmiş haline, saniyenin kesrinin kesrinde sunulmuşken, kim karşı çıkabilir ki?

Bununla birlikte, işletim sistemlerinin sunduğu tehdit koruması genel olarak ilk dönemlere göre daha iyidir; özellikle Windows tehditlere karşı korunmak için güncellenir, ama daha da önemlisi, birçok e-posta yazılımı bizim yerimize işi yapıyor ve şüpheli e-postaları bize ulaşmadan önce filtreliyor.

Kötü amaçlı yazılımlara karşı iyi koruma sunduğunu öne çıkaran ve e-postalar size ulaşmadan önce tarayan bir e-posta sağlayıcısı bulmak iyi bir fikirdir. Bu, özellikle psikolojik saldırılardan kaçınma konusunda çok faydalıdır (birazdan onlara da geleceğiz).

Önlemeden ziyade korumadan söz ediyorsak, bu saldırılardan birine maruz kalmanız ihtimaline karşı düzenli yedekler tutmak iyi bir fikirdir. Ben şahsen, bir dosyada her kaydet tuşuna bastığınızda güncellenen Mega Sync gibi bir şeyi öneririm.

Phishing

Bugünlerde büyük olasılıkla en çok bir e-posta phishing dolandırıcılığıyla karşılaşırsınız. Neden mi? Çünkü akılda kalıcı bir melodi ya da bahar kokusu gibi, hepimiz onların cazibesine kapılabiliriz. Peki phishing’i nasıl tanıyabilirsiniz?

Phishing saldırıları çok yönlü oldukları için etkilidir. Bazen phishing’i tespit etmek zor değildir. Her şey olabilirler: Kelimenin tam anlamıyla, birini kişisel verilerini girmeye yönelten her şey. Kişisel verilerinizi paylaşmak ya da birine para göndermek zorunda hissedebileceğiniz herhangi bir nedeni düşünün; bunun bir phishing e-postasına dönüşme potansiyeli vardır.

İşte sadece birkaç örnek ve unutmayın, phishing’in anahtarı bu e-postaların hepsinin gerçek görünmesi ama sahte olmasıdır:

1. Parola sıfırlama bildirimi.

2. Eksik banka bilgilerini doldurun.

3. Teslimatı etkinleştirmek için posta adresinizi tamamlayın.

4. Aboneliğinizi yenileyin.

5. Bir yarışmanın kazananısınız!

6. Yardıma ihtiyacı olan bir arkadaş yardım istiyor.

7. Vergi iadesi bildirimi.

8. Hayır amaçlı bağış talebi.

Bir phishing dolandırıcılığı görmediyseniz, gerçekten bir “phish” sayılır mısınız? O kadar yaygınlar ki e-postayı onlarsız hayal etmek zor. Ama phishing yapmanın birden fazla yolu var…

Spear phishing ve whaling

Spear phishing ve whaling, genellikle daha agresif taktiklerle belirli kişileri hedef alır.

Spear phishing, genellikle birkaç kaynaktan elde edilen kişisel bilgileri kullanarak daha ikna edici e-postalar oluşturur. Kişisel bilgiler kullanılarak yazıldığı için gerçek arkadaşlara, durumlara atıfta bulunabilir veya hatta bir bankayı (vb.) daha inandırıcı şekilde taklit edebilir. Bunun sizin başınıza gelmesinin pek olası olmadığını düşünüyorsanız, çoğu insanın internette kamuya açık olarak erişilebilen, fark ettiğinden daha fazla bilgiye sahip olduğunu unutmayın.

Birisi arkadaşınız gibi davranıp on yıl önce ikinizin de katıldığı çok özel bir olaya atıfta bulunsa, neden inanmayasınız ki? Bunu Facebook’ta ayrıntılı şekilde paylaştığınızı ve gönderinin herkese açık olduğunu hatırlamanız biraz zaman alabilir. Sizden borç para istediklerinde, belki de yardım edersiniz.

Hepimiz spear phishing’e karşı savunmasızız; bu da onu daha bariz dolandırıcılıklardan daha tehlikeli hale getiriyor. Neyse ki bir spear phishing dolandırıcılığını başarıyla gerçekleştirmek için gereken araştırma düzeyi, çoğu dolandırıcı için caydırıcıdır. Daha az kişinin yanıt vereceği toplu bir e-postada şanslarını denemek daha kolaydır. Ama gelecekte burada AI devreye mi girecek? Tetikte kalmamız gerekiyor.

Whaling

Peki, whaling nedir? Aslında birçok açıdan whaling saldırısı, spear phishing ile hemen hemen aynıdır, ancak CEO’lar gibi yüksek net değere sahip kişileri hedef almaya özeldir.

Üzücü gerçek şu ki, statüleri hem onlara zaman yatırmayı daha değerli hedefler haline getirir hem de diğer etkenler (servetleri, sorumlulukları, zaman azlıkları ve geniş iletişim ağları gibi) istismar edilebilecek çeşitli zayıflıklar yaratır. Örneğin, belki de sadece bir kişisel asistanı veya sekreteri CEO’nun onayını aldıklarına ikna etmeleri gerekir. Yani ticari whaling’in her zaman kötü bir şey olduğu anlaşılıyor.

Spear phishing ve whaling’e karşı nasıl korunulur

Yukarıdaki genel rehberimizde listelenenlerin ötesinde, güçlü spam filtreleme de kurmalısınız. İnsan faktörü, phishing e-postalarının gerçekten parladığı yerdir. Kötü amaçlı yazılım basit bir hileyse, phishing bir düzeyde bizim de işin içinde olmamızı gerektirir. Sonuçta bilgimizi bizim vermemiz gerekir. Konuştuğumuz gibi, bunu duygusal tepkilerimize hitap ederek yapar.

Bu yüzden onunla en başta hiç temas etmememizi sağlamak, onunla mücadele etmenin en güçlü yoludur. Spam filtreleri, insanların göremediği bir e-postayı değerlendirirken birden fazla unsura bakar. Kara listeleri, bilinen davranış kalıplarını ve hatta Bayes filtreleme olarak bilinen bir yöntemi çapraz kontrol ederler. Bu yöntem, bir e-postanın içeriğini bilinen spam ve meşru e-postalarla karşılaştırarak spam olma olasılığını hesaplar. Ayrıca iyi spam filtreleri, diğer kullanıcıların spam olarak işaretlediklerini de dikkate alır ve böylece kullanıcı geri bildirim döngüsü olarak bilinen şeyi oluşturur.

Ele geçirilmiş kurumsal e-posta

Şimdiye kadar baktığımız her şeyden biraz farklı olarak, bu ters açıdan gelir — yani meşru bir e-posta hesabının ele geçirilmiş olması fikri. Bunun bir işletme hesabı olması gerekmez, ancak bu bölüm açısından öyle olduğunu varsayarsak konuşulacak daha ilginç bazı noktalar var.

Bir dolandırıcı yasa dışı şekilde bir kurumsal e-posta hesabına erişim kazanabilirse, çalışan gibi davranarak para talep edebilir veya hassas veriler içerebilecek diğer dahili sistemlere erişim isteyebilir.

Bir kurumsal hesabın ele geçirilmesi, birçok işletmede, özellikle büyük olanlarda bulunan başka bir sosyal tuhaflıktan da yararlanır: Her çalışanın herkesi tanıması pek olası değildir. Bu, insanların iş ortamında nazik olmalarının beklenmesiyle birleştiğinde, bu e-postalara özel hesaplara kıyasla ek avantajlar sağlar.

Buna karşı nasıl korunulur

Tüm çalışanların iki faktörlü kimlik doğrulama (e-posta 2FA) kullanmasını sağlamak ve güçlü parolalar seçmek, çalınan/hacklenen hesap riskini büyük ölçüde azaltır. 2FA, biri içeri girmeye çalışırsa hesap sahibinin bunu her zaman bilmesini sağlar ve güçlü bir parola kaba kuvvet saldırılarını zorlaştırır.

Şirketten ayrılan çalışanların hesaplarını derhal devre dışı bırakarak gelecekteki sorunların olasılığını da azaltabilirsiniz. Toz toplayan kullanılmayan hesaplardan oluşan bir mezarlık, gerçekleşmeyi bekleyen bir kazadır.

Sahte faturalar

Fark ediyor olabileceğiniz temalardan biri, farklı duygusal uç noktaların istismar edilmesidir. Şimdiye kadar bir CEO’nun korkusunu veya dikkatsizliğini ve bir çalışanın diğerine karşı sözde kayıtsızlığını ele aldık. Şimdi öfkeyi deneyelim.

Birisi ona borçlu olduğunuzu iddia eder ve derhal geri ödeme talep eder. Öfkelidir, kendi hatırladıklarınızdan şüphe etmenize neden olacak şeyler söyler ya da gerçek olmadığından emin olamayacağınız bir durum yaratır. Nefret ve öfke öyle bir noktaya gelir ki, onlara ödeme yapmak neredeyse daha kolay görünür.

Bu, çoğumuz için pek olası görünmeyebilir, ama belki de en kötü yanı budur: Muhtemelen hedefleri ‘biz’ değiliz. Başarıları savunmasız kişiler olacaktır. Belki gerçekten hatırlayamayanlar ya da yabancılara daha çok güvenenler.

Önleme

E-postayla gelen rastgele faturaları ödemeyeceğimizi varsayarsak, bu fırsatı hayatınızdaki internette daha az deneyimli kişilerle konuşmayı önermek için kullanmak faydalı olabilir. Onlara dolandırıcılıkları tanımlama konusunda yardıma ihtiyaçları olup olmadığını sorun ve birinin para talep etmesinin, iddiasını meşru kılmadığını açıklayın. Sonuçta birbirimize göz kulak olmamız gerekiyor ve kimse birinin apaçık bir dolandırıcılığın içine yürüdüğünü görmek istemez.

İnsanları yönlendirebileceğiniz kaynaklar vardır; bunlar konuyu kullanıcı dostu bir şekilde anlatabilir.

İş teklifi dolandırıcılıkları

Diğer bazılarının aksine, bunları fark etmek en deneyimlilerimiz için bile zor olabilir. Bunun bir nedeni, bunların e-postanın boşluğunda var olmamasıdır. İçimizden herhangi biri durduk yere iş bulduğumuzu söyleyen bir e-posta alsa, bunun spam olduğunu hemen anlardık. Ama ya olay böyle gelişmediyse?

Ya dolandırıcılık gerçek bir iş sitesindeki gerçek bir ilanla başladıysa? Ona bir sürü başka gerçek işle birlikte başvurdunuz ve diğerleri kadar olası görünüyordu. O zaman bu, beklediğiniz — hatta ummakta olduğunuz — bir e-postadır. Ve spear phishing’e benzer şekilde, bu durum dolandırıcılık için daha ayrıntılı bir fırsat yaratır. Çünkü artık siz de istekli bir katılımcısınızdır — en azından başlangıçta.

Ama neyin? Bu dolandırıcılıklar sayısız biçim alabilir, ancak özünde geçmişin eski piramit şemaları gibi, masrafları karşılama, ekipman satın alma veya hatta pozisyon için eğitim verme bahanesiyle peşin para isterler — ve bunların hiçbiri gerçek değildir. Bazen sistemin içinde bunun gerçek olduğuna inanan başkaları da olabilir ve bu, aslında olmayan bir meşruiyet izlenimi yaratabilir.

Bir iş teklifi dolandırıcılığı nasıl anlaşılır

İş başvurusu yaparken, işin meşru olmadığını gösterebilecek bazı ipuçlarına dikkat edebilirsiniz:

1. Gerçekçi olmayan maaşlar — Bir şey gerçek olamayacak kadar iyiyse, muhtemelen gerçek değildir.

2. Belirsiz veya olasılık dışı işler — Birinin gerçekten bu rolü yerine getirecek birine ihtiyacı ya da isteği olur mu?

3. Mülakat gerekmemesi — Ya da gerekli inceleme yapılmadan hevesli bir iş teklifi.

4. Profesyonel olmayan iletişimler — Gerekenden fazla veri istemek.

5. Şirketin çevrimiçi varlığının olmaması — Ya da web sitesi biraz şüpheli görünen bir şirket. Stok görseller, inandırıcı olmayan yorumlar, gerçek içerik yokluğu — bu tür şeyler.

Aynı şekilde, kötü hazırlanmış bir ilan yüzünden meşru işleri de elemek istemezsiniz. Bu yüzden dikkat edilmesi gereken asıl şey, işe başlamadan önce para isteyen herkestir. Bir işin sizden peşin olarak herhangi bir şey için ödeme yapmanızı gerektirmesi gereken neredeyse hiçbir durum yoktur; ücretsiz olarak herhangi bir görev yapmanızı istemesi ise çok daha az olasıdır.

O noktaya kadar süreçten ne kadar emin olursanız olun, konu para transferine geldiği anda içiniz rahat olsun — bu bir dolandırıcılıktır.

Aşk dolandırıcılıkları

Muhtemelen hepsinin en güçlü duygusal manipülasyonu: Aşık olduğumuzda hissettiklerimiz.

Bir flört uygulamasında birinin benden borç para istemesiyle ilgili kişisel deneyimim var (bu tür dolandırıcılığın bugünlerde en çok görüldüğü yer muhtemelen burasıdır). Bu, düşündüğünüz kadar nadir değildir — ve bazı durumlarda, bunu bir dolandırıcılık olarak düşünmekte bile zorlanabiliriz…

Kalbimiz aklımıza hükmetmeye başladığında sınırlar hızla bulanıklaşır. Hatta içimizden bir parça “belki aptal yerine konuyorum ama aşk söz konusu olduğunda on sterlin nedir ki?” diye bile düşünebilir. Ama o kişi tüm gününü flört uygulamasında geçiriyor olabilir. Günde on kişiden onar sterlin almayı başarıyorsa, bu aslında hiç de kötü bir kazanç değildir. Ve bu kesinlikle dolandırıcılık olarak sınıflandırılır.

Bir aşk dolandırıcılığına kapılıp gitmemek için ne yapmalı

Dert ortağına dönüşme pahasına söyleyelim, kalbinizin peşinden gitmeyin. Aklınız bunun bir dolandırıcılık olduğunu söylüyorsa, muhtemelen öyledir. Sizi ne kadar sevdiğini iddia ederse etsin, iyi tanımadığınız birine asla para vermeyin. İnsanların manipülasyon için duyguların uç noktalarını kullandığı, hayatın üzücü bir gerçeğidir.

Ödül dolandırıcılıkları

Muhtemelen çoğumuz postada bir piyango kazandığımızı ve ödülümüzü almak için bir numarayı aramamız gerektiğini söyleyen bir broşür aldığımızı hatırlarız. Sanırım bunun da bir e-postaya dönüşmesi kaçınılmazdı.

Burada, diğer bölümlerde söylenmemiş çok fazla yeni şey yok. Belki de hayat için basit bir mantra oluşturabiliriz. Bir e-posta size ödül kazandığınızı söylüyorsa, ödül kazanmadınız*.

*Tabii gerçekten bir ödül kazandıysanız başka. Ama siz kesinlikle bir ödül kazanmadınız. Ödülü düşünmeyi bırakın.

Önleme

Bakın, gerçekten, gerçekten bir ödül kazanmadınız. İlla istiyorsanız bir piyango bileti alın — ama o spam düğmesine basın.

Kendinizi ve başkalarını korumak

Ciddi konuşmak gerekirse, ister spam ister dolandırıcılık olsun, bu gerçekten gülünecek bir konu değil. İnsanlar gerçekten zarar görüyor, para kaybediyor ya da sonrasında kendilerini aptal hissediyor.

Kendinizi korumak için birkaç yol önerdik, ama işin özü gerçekten üç şeye dayanıyor:

• Mümkün olduğunca fazla güvenlik özelliğini etkinleştirin

Sağlayıcınız ne sunuyorsa, ister 2FA, ister otomatik oluşturulan parolalar, hatta şifreleme olsun — aklınıza ne gelirse. Bunları kurun. Hesabınızın ele geçirilmesini sadece biraz daha zorlaştırırlar.

• Güvenlik odaklı bir sağlayıcı seçin

güçlü spam yönetim yazılımı ve sık güvenlik güncellemeleri sunan bir sağlayıcı, işletme olarak sizin için muhtemelen en iyi sürekli koruma biçimidir. Ana hatlarıyla anlattığımız dolandırıcılıkların çoğu spam yönetimiyle başlar ve biter. Onları hiç görmezsek, hiç sorun olmazlar.

• Gelişmeleri yakından takip edin

Phishing dolandırıcılıkları gelişmeyi asla bırakmaz. Gelen kutunuzu değil sizi hedef alırlar, bu yüzden en iyi savunmanız yine sizsiniz.

Spam ve dolandırıcılıklara kanmamak için kullandığınız yöntemler var mı? Bunları duymayı çok isteriz! Düşüncelerinizi veya sorularınızı aşağıdaki yorumlar bölümüne bırakın