İçeriğe atla
Bilgi Merkezi/Makale
Makale

Phishing (Oltalama) Nedir? Türleri ve Korunma Yolları

Oltalama e-postayla, SMS'le, telefonla ve QR kodla yapılır. Türlerini, nasıl anlaşıldığını, katmanlı korunmayı ve tıklandıktan sonraki adımları anlattık.

Oğuzhan Gerçek··7 dk okuma
Phishing (Oltalama) Nedir? Türleri ve Korunma Yolları

Kısa cevap: Phishing (oltalama), saldırganın güvenilir bir kurum ya da kişi kılığına girip e-posta, SMS, telefon veya QR kod üzerinden parola gibi hassas bilgileri ele geçirmeye, zararlı yazılım kurdurmaya ya da para transferi yaptırmaya çalıştığı sosyal mühendislik saldırısıdır. Belirli bir kişiyi ya da kurumu hedef alan türüne spear phishing, üst yöneticileri hedefleyenine whaling denir; sahte ödeme talimatına dayanan iş e-postası dolandırıcılığı (BEC) da aynı ailedendir. Oltalamayı tek bir önlem durdurmaz: e-posta doğrulama ve filtreleme, oltalamaya dayanıklı MFA, uç nokta koruması ve şüpheli mesajı bildiren çalışanlar birlikte çalışır. Bağlantıya tıklandıysa hemen bildirmek, parolayı değiştirmek ve açık oturumları kapatmak gerekir.

Phishing (oltalama) nedir?

NIST sözlüğündeki tanımlardan biri phishing'i, saldırganın meşru bir şirket ya da saygın bir kişi kılığına girip e-postada veya bir web sitesinde sahte bir talep oluşturarak banka hesap numarası gibi hassas verileri ele geçirmeye çalıştığı teknik olarak açıklıyor. CISA, NSA ve FBI'ın ortak oltalama rehberi saldırganın iki amacını sayıyor: ağa ilk erişim için oturum açma bilgilerini çalmak ve sistemleri bozmak, yetki yükseltmek ya da kalıcılık sağlamak için zararlı yazılım yerleştirmek.

MITRE ATT&CK'e göre bütün oltalama biçimleri elektronik yoldan ulaştırılan sosyal mühendisliktir; teknik, ilk erişim (Initial Access) taktiğinde T1566 numarasını taşır. Oltalama dışındaki teknikleri sosyal mühendislik yazımızda, genel tabloyu siber güvenlik yazımızda anlattık; siber güvenlik teriminin kısa tanımı sözlüğümüzde var.

Oltalama ne kadar yaygın?

Verizon'un 22.000'i aşkın doğrulanmış veri ihlalini inceleyen 2026 Veri İhlali Araştırmaları Raporu'nda (DBIR) ihlallerin %16'sı oltalamayla başladı; oran bir önceki yılla aynı. Raporun tamamına göre yapay zekâ destekli ilk erişim vektörlerinin %44'ü de oltalama. FBI'ın İnternet Suçları Şikâyet Merkezi'nin (IC3) 2025 raporunda en çok şikâyet edilen suç türü, 191.561 şikâyetle phishing/spoofing.

Oltalama sitelerini izleyen APWG, 2026'nın ikinci çeyreğinde 1.069.681 saldırı saydı; ilk çeyreğe göre artış %10,1. Bu sayımda her benzersiz oltalama sitesi bir saldırı demek.

Oltalama türleri

  • Toplu oltalama: Aynı sahte mesaj çok sayıda kişiye gider. İngiltere'nin siber güvenlik merkezi NCSC'nin tarifiyle bağlantılar, zararlı yazılım barındıran ya da parola ve para isteyen sitelere çıkar.
  • Spear phishing (hedefli oltalama): Saldırgan, çalışanlar ve şirket hakkında topladığı bilgiyle mesajı daha inandırıcı hâle getirir.
  • Whaling: NIST'in tanımıyla kurumların üst düzey yöneticilerini hedefleyen oltalama.
  • İş e-postası dolandırıcılığı (BEC): IC3'e göre düzenli havale yapan şirketleri ve tedarikçileriyle çalışanları hedefler; e-posta hesabı, telefon numarası ya da sanal toplantı uygulaması ele geçirilerek yetkisiz para transferi yaptırılır. 2025'te 24.768 BEC şikâyeti geldi, düzeltilmiş kayıp yaklaşık 3,05 milyar dolar.
  • Smishing ve vishing: FBI'ın tanımıyla smishing SMS ya da MMS mesajıyla, vishing ise sesle yapılır; vishing'de yapay zekâyla üretilmiş ses de kullanılabilir. DBIR 2026'ya göre simülasyonlarda ses ve kısa mesaj gibi mobil kanallarda ortanca tıklama oranı e-postadakinden %40 yüksek.
  • QR kodlu oltalama (quishing): FBI'ın Ocak 2026 uyarısına göre zararlı bağlantı QR kodun içine gizlenir. Kodu telefonuyla okuyan kurban, kurumsal bilgisayarı koruyan e-posta denetimlerinin dışına çıkar; QR görseli URL incelemesine ve sandbox'a takılmaz.

AiTM: MFA'yı atlatan oltalama

AiTM (adversary-in-the-middle), saldırganın kullanıcıyla gerçek oturum açma sayfası arasına bir proxy sunucusu koyduğu oltalamadır. Microsoft'un anlattığı kampanya Eylül 2021'den beri 10.000'i aşkın kurumu hedeflemeye çalıştı. Proxy hem parolayı hem de oturum çerezini (session cookie) ele geçirir; saldırgan çerezi kendi tarayıcısına ekleyince MFA açık olsa bile kimlik doğrulamayı atlar. Microsoft'a göre bu MFA'daki bir açık değil: saldırgan, kullanıcı hangi yöntemle girmiş olursa olsun onun adına doğrulanmış oturumu devralıyor. Ele geçirilen posta kutuları, başka hedeflere yönelik BEC saldırılarında kullanıldı.

Çözüm, doğrulamanın kendisini oltalamaya dayanıklı yapmak. CISA'ya göre yaygın olarak kullanılabilen oltalamaya dayanıklı tek yöntem FIDO/WebAuthn; uygulamayla üretilen tek kullanımlık kod oltalamaya, SMS ise ayrıca SIM kart değişimine açık. Yöntemleri MFA yazımızda, kimlik altyapısını kimlik yönetimi hizmetimizde ele alıyoruz.

Oltalama e-postası nasıl anlaşılır?

CISA'nın listesindeki yaygın işaretler şunlar:

  • Hemen cevap verilmezse ağır sonuçlar doğacağını söyleyen, acele ettiren ya da duygulara seslenen dil
  • Kişisel veya finansal bilgi göndermenizi isteyen talepler
  • Güvenilmeyen kısaltılmış bağlantılar
  • Hatalı e-posta adresleri ve bağlantılar (CISA'nın örneği: amazan.com)

Yazım hatasına bakmak artık yetmiyor: FBI'a göre üretken yapay zekâ, dolandırıcılığı ele verebilecek insan hatalarını düzeltebiliyor. IC3, gönderen adresinin özellikle telefonda dikkatle kontrol edilmesini öneriyor. Şüphede kalırsanız NCSC'nin önerisini uygulayın: mesajdaki numarayı ya da adresi kullanmadan kuruma, resmî sitesindeki iletişim bilgileriyle ulaşın.

Oltalamadan nasıl korunulur?

NCSC'ye göre önlemler çoğu zaman kullanıcının oltalamayı fark etmesine fazla yükleniyor; oysa bütün oltalama e-postalarını fark etmek zor, hedefli olanları daha da zor. NCSC'nin önerdiği dört katman şunlar:

  1. Mesajı kullanıcıdan uzak tutun: Alan adınızın taklidini SPF, DKIM ve DMARC zorlaştırır; kurulumlarını kurumsal e-posta yazımızda anlattık. Posta, kullanıcıya varmadan süzülmeli. Microsoft Defender for Office 365'te Safe Links bağlantıyı tıklama anında da denetler, Safe Attachments eki teslimden önce sanal bir sistemde açar; Gmail'de bu işi Security Sandbox görür.
  2. Bildirmeyi kolaylaştırın: Süreç açık, basit ve hızlı olmalı; bildirene ne yapıldığı çabucak söylenmeli.
  3. Kaçan mesajın etkisini sınırlayın: MFA, çalınan parolayı tek başına işe yaramaz hâle getirir. İyi yapılandırılmış cihazlar ve uç nokta koruması, tıklansa bile zararlı yazılımın kurulmasını durdurabilir. CISA, makroların varsayılan olarak engellenmesini ve kullanıcılara yönetici yetkisi verilmemesini öneriyor; bilinen oltalama sitelerine erişimi bir proxy kesebilir.
  4. Hızlı müdahale edin: Bazı mesajlar her zaman geçer. Müdahale planı olaydan önce tatbik edilmeli; uyarılara kimin baktığını SIEM ve SOC yazımızda anlattık.

Farkındalık eğitimi ve oltalama simülasyonu

NIST'in Eylül 2024'te yayımladığı SP 800-50 Rev. 1, tatbikatlara oltalamanın yanında smishing ve vishing'i de katıyor. Rehbere göre işe grupların ya da rollerin mevcut tıklama oranını ölçerek başlanır, sonra tıklama ve bildirim oranları izlenir. Gerçek bir marka kullanılacaksa hukuk ekibine danışmak, çalışanlara tatbikatların rastgele yapıldığını önceden söylemek gerekiyor. NIST'e göre tatbikat cezalandırıcı olmamalı; hiçbir çalışan verdiği tepki yüzünden teşhir edilmemeli.

NCSC'ye göre simülasyonlar dahil hiçbir eğitim, her oltalama girişimini tanımayı öğretemez. Suçlamayan bir kültürde rahatça bildiren çalışanlar erken uyarı sistemi gibi çalışır.

Tıklandıysa ne yapılır?

NCSC'ye göre kullanıcı, tıkladıktan sonra şüphelendiğinde de bildirmekten çekinmemeli; cihaz ele geçirilmiş olabileceği için bildirimin nasıl yapılacağını önceden bilmeli. Sonraki adımlar şunlar:

  1. Hesabı kapatın ya da parolayı değiştirin: Microsoft'un rehberi, inceleme bitene kadar hesabı devre dışı bırakmayı öneriyor; bu yapılamıyorsa parola sıfırlanır. Yeni parola e-postayla gönderilmez, çünkü saldırgan posta kutusunda olabilir.
  2. Açık oturumları sonlandırın: Oturumları iptal etmek, çalınan bilgilerle açılmış erişimi hemen geçersiz kılar. AiTM'de çerez saldırganın elinde olduğu için bu adım parola değişikliği kadar önemli.
  3. Saldırganın bıraktıklarını temizleyin: Hesaba eklenmiş MFA yöntemleri, izin verilmiş uygulamalar ve posta yönlendirmeleri gözden geçirilir.
  4. Cihazı ağdan ayırın: CISA'ya göre etkilenen iş istasyonunu ayırmak, zararlı yazılımın ağda yayılmasını önlemeye yardım eder.
  5. Para gönderildiyse bankayı arayın: IC3, bankayla hemen iletişime geçip transferin geri çağrılmasını istemeyi öneriyor.

Olay kişisel veriyi etkiliyorsa bildirim hazırlığını 72 saat yazımızda anlattık. Tespit ve müdahaleyi güvenlik operasyonları, e-posta platformunu iş birliği ve mesajlaşma sayfamızda ele alıyoruz.

Sık sorulan sorular

Phishing ne demek? Oltalama demek. Saldırganın güvenilir bir kurum ya da kişi gibi davranıp sahte bir mesajla parola, kart bilgisi ya da para transferi istediği saldırıdır.

Phishing e-postası nasıl anlaşılır? Acele ettiren dil, kişisel veya finansal bilgi talebi, kısaltılmış bağlantılar ve harfleri değiştirilmiş alan adları başlıca işaretlerdir. Şüphede kalırsanız kurumu kendi bulduğunuz numaradan arayın.

Oltalama bağlantısına tıkladım, ne yapmalıyım? Durumu hemen BT ya da güvenlik ekibine bildirin ve parolanızı değiştirin. Açık oturumların kapatılması, dosya indirdiyseniz cihazın da ağdan ayrılması gerekir.

MFA oltalamayı önler mi? Her MFA önlemez. Tek kullanımlık kodlar ve oturum çerezleri sahte bir sayfa üzerinden çalınabilir; FIDO/WebAuthn tabanlı yöntemler ise oltalamaya dayanıklıdır.

Kaynaklar