E-posta Tehditleri Açıklandı: Phishing, Malware, Spam, Spear Phishing ve Whaling

E-posta tehditleri her şekil ve boyutta gelir, ancak genellikle sizi para göndermeye, finansal bilgileri paylaşmaya veya bir işletme hakkında bilgi vermeye kandırmayı amaçlayan kötü niyetli mesajlardır. Spam, malware ve virüsler gibi can sıkıcı unsurlardan, spear phishing, whaling ve business email compromise gibi büyük finansal etkileri olan hedefli saldırılara kadar uzanırlar. 

Bazıları o kadar barizdir ki gülünç gelir - bir dolandırıcılığı gizlemek için hiç çaba harcanmamıştır.

Ama hepsinin böyle olduğunu sanmayın. E-posta dolandırıcılıkları giderek daha sinsi ve yaratıcı hale geliyor gibi görünüyor. Bunlar, iPad'e sarılarak büyümüş en bilgisayar meraklısı Z kuşağı üyesinin bile fark etmeden önce iki kez bakacağı türden şeylerdir. Hatta bu kadar şeytani olmasalardı, bir adım geri çekilip yönteme hayran bile kalabilirdiniz. Size phishing'i ve diğer yaygın e-posta dolandırıcılıklarını nasıl tanıyacağınızı ve bunlara karşı nasıl korunacağınızı göstereceğiz.

E-posta tehditleri nelerdir?

Zorlu dijital güvenlik duvarlarını aşmaya çalışmak yerine, e-posta tehditleri gerçek insanları hedef alır. Amaç, sizi kötü bir bağlantıya tıklamaya veya parolanızı açıklamaya kandırmaktır. Bunu yaptığınızda, saldırganlar para çalmak, bilgisayarınıza virüs yüklemek veya kimliğinizi çalıp daha büyük bir hedefe geçmek için mükemmel bir konuma gelir. 

E-posta tehditleri neden var?

E-posta tehditleri vardır çünkü e-posta dünyadaki en popüler iletişim yöntemlerinden biri olmasına rağmen aslında o kadar güvenli değildir. Dünyadaki neredeyse her işletme e-posta yoluyla iletişim kurar ve herhangi bir çalışana ulaşmak için yalnızca e-posta adresini edinmeniz yeterlidir. Oradan itibaren, yetenekli bir saldırganın içeri sızmak için manipülasyon yapması kolaydır. Bunun nedeni şudur: 

1. Herkesin bir e-posta adresi vardır: E-postalar herkese açık bir posta kutusu gibi çalışır. İnternet bağlantısı olan herkes doğrudan telefonunuza veya bilgisayarınıza mesaj gönderebilir.

2. E-posta eskidir: E-postanın arkasındaki temel teknoloji onlarca yıl önce yerleşik güven anlayışıyla oluşturuldu. Gönderenin iddia ettiği kişi olup olmadığını otomatik olarak iki kez kontrol etmez.

3. İnsanlar kolayca kandırılır: Saldırganlar acil bir iyilik isteyen bir yönetici gibi davranabilir. Ayrıca AI araçları da dolandırıcıların inandırıcı, hatasız mesajlar yazmasına yardımcı olabilir. 

4. Ucuz ve kârlı: Milyonlarca e-posta göndermenin neredeyse hiçbir maliyeti yoktur. Dolandırıcının binlerce dolar çalabilmesi için sadece bir kişinin oyuna gelmesi yeterlidir.
   

Farklı e-posta tehdidi türleri 

1. Phishing – E-posta tehditlerinin en yaygın türüdür. Saldırganlar, Netflix, Google veya bankanız gibi popüler markalar kılığına girerek toplu e-postalar gönderir ve sizi, parolanızı girdiğiniz sahte bir web sitesini açan bir bağlantıya tıklamaya kandırmaya çalışır.
   

2. Business email compromise (BEC) – Dolandırıcılar CEO, yönetici veya güvenilir bir iş ortağı gibi davranır ve finans departmanındaki birini parayı doğrudan dolandırıcının banka hesabına havale etmeye ikna etmeye çalışır.
   

3. Malware ve ransomware – Bu saldırıda e-posta gizli bir virüs taşır. Dosyayı açarsanız, dosyalarınızı çalan veya fidye ödeyene kadar tüm bilgisayarınızı kilitleyen bir yazılım indirir.
   

4. Spoofing ve kimliğe bürünme – Saldırganlar, e-postanın "Kimden" satırını değiştirerek sanki güvendiğiniz birinden gelmiş gibi gösterir. Harfleri rakamlarla değiştirebilir veya gerçek şirket adlarıyla neredeyse aynı görünen alan adları kaydedebilirler.
   

5. QR Code Phishing ("Quishing") –  Saldırganlar, PDF ekinin içinde bir QR kodu bulunan e-postalar gönderir. Akıllı telefon kameranızla kodu taradığınızda, sizi bilgisayar güvenlik araçlarından uzaklaştırıp e-posta filtrelerinin sizi koruyamayacağı sahte bir giriş sitesine götürür. 

Geçmişten kısa bir kesit

Birçoğumuz e-posta dolandırıcılıklarının çok erken dönemlerini hatırlıyoruz—hem daha saf olduğumuz hem de e-postalara daha az güvendiğimiz o güzel günleri. Bir dolandırıcılık aldığımızda, gönderenin neden yardım için doğru kişi olduğumuzu düşündüğünü anlamaya çalışarak onu şaşkın bir ilgiyle okurduk.

The Spanish Prisoner'ı kim hatırlıyor? Büyük servete sahip talihsiz bir ruh, hapisten çıkabilmesi için fidyesini ödemesine yardım etmemize umutsuzca ihtiyaç duyuyordu. Eğlenceli olan şu ki, bu dolandırıcılık aslında e-postadan da eskidir; kökeni 19. yüzyılın başlarına dayanır. Görünüşe göre bir yerlerdeki asi bir Internet Surfer bunu dijitalleştirmeye karar vermiş.

Günümüzde e-posta dolandırıcılıkları, dijital formatlarının güçlü yönlerinden çok daha fazla yararlanıyor. Eski dolandırıcılıkların bazılarının aksine, internetin yıllar içinde sunduğu avantajları kullanıyorlar — örneğin çevrimiçi ödemeleri kolayca işleyebilme, en önemli iletişimlerimiz için e-postaya artan bağımlılık ve sosyal medyanın gelişimi bunlardan sadece birkaçı.

Bir phishing e-postasının yaygın işaretleri

Farklı e-posta dolandırıcılığı türlerine daha yakından bakmadan önce, bir e-posta dolandırıcılığını/spam'i tanımlamanıza yardımcı olacak bazı genel kuralları paylaşacağız — çünkü hepsi ortak unsurları paylaşır — bir gönderen, bir konu satırı, gövde metni ve belki de en önemlisi okunma ve inanılma ihtiyacı.

Şirket/gönderen adı

Şunlara dikkat edin:

1. Yazım hataları veya yanlış stilizasyon — Paypal ve PayPal gibi.

2. Aşırı açıklayıcı veya olasılık dışı görünen bir şey — AA Car Emergency ve AA gibi.

3. Alışveriş yapmadığınız/iş yapmadığınız şirketler — Lloyds ile bankacılık yaparken Barclays'ten gelen bir not gibi.

4. Garip görünen her şey — Sembollerden tuhaf isimli şirketlere, garip boşluklandırmalara kadar — bazen gönderenle ilgili bir şeyler sadece yanlış hissettirir.

Gönderen e-posta adresi

Şunlara dikkat edin:

1. Uyumsuz bir e-posta adresi — Şirket adıyla çelişen bir şey.

2. Benzer görünenler — Gerçek şirkete benzeyecek şekilde tasarlanmış bir adres. Bu alan adı (@paypalcare.com) veya TLD (@paypal.club) olabilir.

3. Hatalar— Adresteki yazım hataları veya diğer düzensizlikler.

Konu satırları

Şunlara dikkat edin:

1. Aciliyet hissi uyandırmak için tasarlanmış ifadeler — ‘Uyarı: Son ödeme bildirimi’.

2. Aşırı vaatkâr dil — ‘Beş dakikada £1000 kazanın’.

3. Güçlü duygusal tepki uyandıran dil — ‘İşe alındınız! Yarın başlayın!’

4. Yazım hataları — Dolandırıcılar iyi dil bilgileriyle tanınmaz.

5. Aşırı noktalama işareti veya emoji kullanımı — Gerçek şirketlerin çok azı bunları kullanır.

6. ‘Re’ varlığı — Daha önce yanıt vermediğiniz halde vermişsiniz gibi göstermek için kullanılabilir.

7. Düğmeler ve ekler— Şüpheli e-postalardaki düğmelere tıklamaktan veya ekleri indirmekten her zaman kaçının.

Gövde metni

Şunlara dikkat edin:

1. İnanılmaz vaatler— Konu satırındaki versiyona benzer, ancak gövde metninde genişletme alanı vardır ve bu da yalanları daha ikna edici hale getirme fırsatı verir.

2. Kişisel bilgi isteyen harekete geçirici çağrılar — Özellikle adres veya kart bilgileri.

3. Hatırlamadığınız şeylere yapılan atıflar— Hiç almadığınız hizmetlerden etkinliklere kadar

4. Kimliğe bürünme— Bir arkadaşınız veya akrabanız olduğunu iddia eden biri, ama kendisi gibi konuşmuyor.

Dolandırıcıların bir e-postanın farklı bölümlerini nasıl manipüle edebileceğine dair biraz arka plan edindiğinize göre, şimdi belirli örnekleri inceleyelim.

E-posta tehdidi türleri

Malware

Birçoğumuz için malware saldırıları, muhtemelen gerçekten korktuğumuz ilk tür serseri e-postalardı. O zamanlar muhtemelen bunlara sadece e-posta virüsleri diyorduk. Açarsın, ekranın kararır. Oyun biter. Bunun gibi şeyler.

Gerçekte malware, çok çeşitli kötü amaçlı saldırıları kapsar — ve açıkçası bazıları hızlı bir bilgisayar ölümünden epey daha korkutucudur.

Tuş vuruşlarını izlemek mi? CPU'nuzu bilginiz olmadan tüketmek mi? Sizi gözetlemek mi? Her beş dakikada bir şüpheli reklamların açılmasını zorlamak mı? Evet, malware bilginiz olmadan bilgisayarınıza yerleşen çok çeşitli küçük programları kapsar ve işlevleri karanlık şakacılarla ilişkilendirilen şeylerden tam teşekküllü suçlulara kadar uzanır. Kaçamak davranırlar ve çoğu zaman kurtulmaları zordur — tabii orada olduklarını biliyorsanız.

Malware nasıl tespit edilir

Yukarıda listelenen belirtilerden herhangi birini yaşıyorsanız, bunun malware olma ihtimali yüksektir. Bu bir e-postadan gelmiş olabilir — ama şart değil. Bu programların bilgisayarınıza yerleşmesinin başka yolları da vardır — indirmeler, şüpheli web siteleri ve hatta kötü amaçlı donanım cihazları. Sokakta bir USB bellek bulursanız, içinde ne olduğuna bakmayın.

Kendinizi malware'den koruyun

Aşikâr olanı söyleme pahasına, malware tespit yazılımını deneyin. Ama itibarlı bir şey seçin.

Malware'i en başta nasıl önleyeceğinizi Google'da ararsanız, en üstteki tavsiye anti-virüs yazılımı yüklemektir. Şahsen, 2010'ların sonlarından beri bunu yapan kimseyi tanımıyorum, ama ben kimim ki Gemini'den saniyenin kesrinin kesri kadar kısa bir sürede sunulan tek satırlık bir yanıta indirgenmiş tüm insan bilgisini ve toplu deneyimi çürüteyim?

Bununla birlikte, işletim sistemlerinin sunduğu tehdit koruması genel olarak ilk günlere göre daha iyidir; özellikle Windows tehditlere karşı korunmak için güncellenir, ama daha da önemlisi, birçok e-posta yazılımı işi bizim için yapıyor ve şüpheli e-postaları bize ulaşmadan önce filtreliyor.

Malware'e karşı iyi koruma sunduğunu öne çıkaran ve e-postalar size ulaşmadan önce tarayan bir e-posta sağlayıcısı bulmak iyi bir fikirdir. Bu, özellikle psikolojik saldırılardan kaçınma konusunda çok faydalıdır (ve birazdan onlara geleceğiz).

Korunmadan değil de savunmadan söz edecek olursak, bu saldırılardan biri sizi vurursa diye düzenli yedekler tutmak iyi bir fikirdir. Ben şahsen Mega Sync gibi, bir dosyayı her kaydettiğinizde güncellenen bir şeyi öneririm.

Phishing

Günümüzde büyük olasılıkla bir e-posta phishing dolandırıcılığıyla karşılaşacaksınız. Neden mi? Çünkü akılda kalıcı bir melodi ya da bahar kokusu gibi, hepimiz onların cazibesine kapılabiliriz. Peki phishing'i nasıl tanımlayabilirsiniz?

Phishing saldırıları çok yönlülükleri nedeniyle etkilidir. Bazen phishing'i tespit etmek zor değildir. Her şey olabilirler: Birini kişisel verilerini girmeye yönelten kelimenin tam anlamıyla her şey. Kişisel verilerinizi paylaşmaya veya birine para göndermeye sizi neyin mecbur hissettirebileceğini düşünün; bunun bir phishing e-postasına dönüşme potansiyeli vardır.

İşte sadece birkaç örnek ve unutmayın, phishing'in anahtarı bu e-postaların hepsinin gerçek görünmesi ama sahte olmasıdır:

1. Parola sıfırlama bildirimi.

2. Eksik banka bilgilerini doldurun.

3. Teslimatı etkinleştirmek için posta adresinizi tamamlayın.

4. Aboneliğinizi yenileyin.

5. Bir yarışma kazandınız!

6. Yardıma ihtiyacı olan bir arkadaşın yardım istemesi.

7. Vergi iadesi bildirimi.

8. Hayır amaçlı bağış talebi.

Bir phishing dolandırıcılığı görmediyseniz, gerçekten bir phish misiniz? O kadar yaygınlar ki, onlarsız e-postayı hayal etmek zor. Ama phishing yapmanın birden fazla yolu var…

Spear phishing ve whaling

Spear phishing ve whaling, genellikle daha agresif taktiklerle belirli kişileri hedef alır.

Spear phishing, daha ikna edici e-postalar hazırlamak için genellikle birkaç kaynaktan elde edilen kişisel bilgileri kullanır. Kişisel bilgiler kullanılarak yazıldığı için gerçek arkadaşlara, durumlara atıfta bulunabilir veya hatta bir bankayı (vb.) daha inandırıcı şekilde taklit edebilir. Bunun size olmasının pek olası olmadığını düşünüyorsanız, çoğu insanın internette sandığından daha fazla herkese açık bilgiye sahip olduğunu unutmayın.

Biri arkadaşınız gibi davranıp on yıl önce ikinizin de katıldığı çok özel bir olaya atıfta bulunsa, neden inanmayasınız? Bununla ilgili Facebook'ta ayrıntılı bir paylaşım yaptığınızı ve gönderinin herkese açık olduğunu hatırlamanız biraz zaman alabilir. Sizden borç para istediğinde, belki de yardım edersiniz.

Hepimiz spear phishing'e karşı savunmasızız; bu da onu daha bariz dolandırıcılıklardan daha tehlikeli kılar. Neyse ki bir spear phishing dolandırıcılığını başarıyla gerçekleştirmek için gereken araştırma seviyesi çoğu dolandırıcı için caydırıcıdır. Daha az kişinin yanıt vereceği toplu bir e-postaya güvenmek daha kolaydır. Ama gelecekte AI burada devreye girecek yer mi olacak? Tetikte kalmamız gerekiyor.

Whaling

Peki, whaling nedir? Aslında birçok açıdan whaling saldırısı spear phishing ile hemen hemen aynıdır, ancak CEO'lar gibi varlıklı kişileri hedef almaya özeldir.

Üzücü gerçek şu ki, statüleri hem onlara zaman yatırmayı daha değerli hale getirir hem de diğer etkenler (servetleri, sorumlulukları, zaman darlıkları ve geniş iletişim ağları gibi) istismar edilebilecek çeşitli zayıflıklar olduğu anlamına gelir. Örneğin, belki de sadece bir PA'yı veya sekreteri CEO'nun onay mührüne sahip olduklarına ikna etmeleri gerekir. Bu yüzden ticari whaling'in her zaman kötü bir şey olduğu anlaşılıyor.

Spear phishing ve whaling'e karşı nasıl korunulur

Yukarıdaki genel rehberimizde listelenenlerin ötesinde, güçlü spam filtreleme de kurmalısınız. İnsan faktörü, phishing e-postalarının gerçekten parladığı yerdir. Malware basit bir numaraysa, phishing bir düzeyde bizim de iş birliği yapmamızı gerektirir. Sonuçta bilgimizi bizim vermemiz gerekir. Tartıştığımız gibi, bunu duygusal tepkilerimize hitap ederek yapar.

Bu yüzden onunla en başta hiç temas etmememizi sağlamak, onunla mücadele etmenin en güçlü yoludur. Spam filtreleri, bir e-postayı değerlendirirken bizim insanlar olarak göremediğimiz birçok unsura bakar. Kara listeleri, bilinen davranış kalıplarını ve hatta Bayesian filtering olarak bilinen bir yöntemi çapraz kontrol ederler. Bu yöntem, bir e-postanın içeriğini bilinen spam ve meşru e-postalarla karşılaştırarak spam olma olasılığını hesaplar. Ayrıca iyi spam filtreleri, diğer kullanıcıların spam olarak işaretlediklerini de dikkate alır ve user feedback loop olarak bilinen şeyi oluşturur.

Ele geçirilmiş iş e-postası

Şimdiye kadar baktığımız her şeyden biraz farklı olarak, bu ters açıdan gelir — yani meşru bir e-posta hesabının ele geçirilmiş olması fikri. Bunun bir iş hesabı olması gerekmez, ancak bu madde açısından öyle olduğunu varsayarsak konuşulacak daha ilginç bazı etkenler vardır.

Bir dolandırıcı yasa dışı şekilde bir iş e-posta hesabına erişim kazanabilirse, para talep etmek için çalışan gibi davranabilir veya hassas veriler içerebilecek diğer dahili sistemlere erişim bile sağlayabilir.

Bir iş hesabının ele geçirilmesi, birçok işletmede, özellikle büyük olanlarda bulunan başka bir sosyal özelliği de kendi lehine kullanır: Her personel üyesinin diğer herkesi tanıması pek olası değildir. Bu durum, insanların iş ortamında nazik olmalarının beklenmesiyle birleşince, bu e-postalara özel hesaplara kıyasla ek avantajlar sağlar.

Buna karşı nasıl korunulur

Tüm çalışanların iki faktörlü kimlik doğrulama (email 2FA) kullanmasını sağlamak ve güçlü parolalar seçmek, çalınan/ele geçirilen hesap riskini büyük ölçüde azaltır. 2FA, biri içeri girmeye çalışırsa hesap sahibinin bunu her zaman bilmesini sağlar ve güçlü bir parola brute-force saldırılarını zorlaştırır.

Şirketten ayrılan çalışanların hesaplarını derhal devre dışı bırakarak gelecekte yaşanabilecek sorunların olasılığını da azaltabilirsiniz. Tozlanmaya bırakılmış kullanılmayan hesaplardan oluşan bir mezarlık, gerçekleşmeyi bekleyen bir kazadan farksızdır.

Sahte faturalar

Fark ediyor olabileceğiniz temalardan biri, farklı duygusal uç noktaların istismar edilmesidir. Şimdiye kadar bir CEO'nun korkusunu ya da dikkatsizliğini ve bir çalışanın diğerine karşı sözde kayıtsızlığını ele aldık. Şimdi öfkeyi deneyelim.

Birisi ona borcunuz olduğunu iddia eder ve derhal geri ödeme talep eder. Öfkelidir, kendi hatırladıklarınızdan şüphe etmenize neden olacak şeyler söyler ya da gerçek olmadığından emin olamayacağınız bir durum yaratır. Zehirli sözler ve öfke sürer gider; ta ki onlara ödeme yapmak neredeyse daha kolay görünene kadar.

Bu, çoğumuz için pek olası görünmeyebilir, ama belki de en kötü yanı budur: Muhtemelen hedefleri ‘biz’ değiliz. Başarıya ulaşacakları kişiler savunmasız olanlar olacaktır. Belki gerçekten hatırlayamayan ya da yabancılara daha çok güvenen kişiler.

Önleme

E-postayla aldığımız rastgele faturaları ödemeyeceğimizi varsayarsak, bu fırsatı çevrimiçi ortamda daha az deneyimli olan yakınlarınızla konuşmayı önermek için kullanmak faydalı olabilir. Dolandırıcılıkları tespit etme konusunda yardıma ihtiyaçları olup olmadığını sorun ve birinin para talep etmesinin, iddiasını meşru kılmadığını açıklayın. Sonuçta birbirimize göz kulak olmamız gerekir ve hiç kimse birinin apaçık bir dolandırıcılığın içine dümdüz yürümesini görmek istemez.biz

İnsanları yönlendirebileceğiniz kaynaklar vardır ve bunlar süreci kullanıcı dostu bir şekilde anlatabilir.

Spam vs phishing vs malware

Spam, bu üçünün en az tehlikeli olanıdır. Pazarlamacılar ve reklamverenler, indirimli fırsatları ve ürünleri tanıtan tonlarca otomatik mesaj gönderir. Gelen kutunuzdan temizlemesi zahmetli olsa da, aktif olarak paranızı çalmaya veya bilgisayarınıza zarar vermeye çalışmaz.

Öte yandan phishing çok daha tehlikelidir. Bu e-postalar, sizi kullanıcı adları ve parolalar gibi hassas bilgileri çalmak için tasarlanmış sahte bir giriş sayfasına götüren kötü amaçlı bir bağlantıya tıklamaya kandırır.

Malware genellikle aldığınız bir e-postadaki masum görünen bir ekin içine gizlenmiş olarak gelir. Açıldığında, tuş vuruşlarınızı kaydeden, özel dosyalarınızı çalan veya sizi tüm sisteminizden kilitleyen tehlikeli programları cihazınıza yükleyebilir.

Temel fark:

• Spam size bir şey satmaya çalışır.

• Phishing, bilgilerinizi vermeniz için sizi kandırmaya çalışır.

• Malware, bilgisayarınıza doğrudan bulaşmaya çalışır.

Kendinizi ve başkalarını korumak

Ciddi konuşmak gerekirse, ister spam ister dolandırıcılık olsun, bu gerçekten gülünecek bir konu değil. İnsanlar gerçekten zarar görüyor, para kaybediyor veya sonrasında kendini aptal hissediyor.

Kendinizi korumak için birkaç yol önerdik, ancak konu aslında üç şeye dayanıyor:

Mümkün olduğunca fazla güvenlik özelliğini etkinleştirin

Sağlayıcınız ne sunuyorsa, ister 2FA, ister otomatik oluşturulan parolalar, ister şifreleme olsun — aklınıza ne gelirse. Bunları ayarlayın. Hesabınızın ele geçirilmesini sadece biraz daha zorlaştırırlar.

Güvenliğe önem veren bir sağlayıcı seçin

güçlü spam yönetim yazılımı ve sık güvenlik güncellemeleri sunan bir sağlayıcı, işletme olarak sürekli korunmanız için muhtemelen en iyi seçenektir. Ana hatlarıyla anlattığımız dolandırıcılıkların çoğu spam yönetimiyle başlar ve biter. Onları hiç görmezsek, hiç sorun olmazlar.

Gelişmeleri yakından takip edin

Phishing dolandırıcılıkları sürekli gelişiyor. Gelen kutunuzu değil sizi hedef alırlar, bu yüzden en iyi savunmanız yine sizsiniz.

Spam ve dolandırıcılığa kanmamak için kullandığınız yöntemler var mı? Bunları duymayı çok isteriz! Düşüncelerinizi veya sorularınızı aşağıdaki yorumlar bölümüne bırakın