İçeriğe atla
Bilgi Merkezi/Makale
Makale

Sosyal Mühendislik Nedir? Saldırı Türleri ve Önlemler

Sosyal mühendislik teknik açığı değil, insanı hedef alır. Neden işe yaradığını, oltalama dışındaki teknikleri, deepfake'i ve kurumsal önlemleri anlattık.

Oğuzhan Gerçek··7 dk okuma
Sosyal Mühendislik Nedir? Saldırı Türleri ve Önlemler

Kısa cevap: Sosyal mühendislik, saldırganın teknik bir açık yerine insanı hedef aldığı saldırıların genel adıdır: kişinin güvenini kazanan ya da otorite ve aciliyetle baskı kuran saldırgan, onu bilgi vermeye, erişim açmaya veya para göndermeye ikna eder. En yaygın biçimi oltalamadır (phishing); bahane senaryosu (pretexting), yem (baiting), karşılık vaadi (quid pro quo), peşinden içeri girme (tailgating), telefonla kandırma (vishing) ve yapay zekâyla üretilmiş ses ya da görüntüyle kimlik taklidi de aynı ailedendir. Başlıca önlemler, ödeme ve hesap değişikliklerini ikinci bir kanaldan doğrulamak, yetkileri en aza indirmek, oltalamaya dayanıklı MFA kullanmak ve çalışanların şüpheyi cezalandırılma korkusu olmadan bildirebilmesini sağlamaktır.

Sosyal mühendislik nedir?

NIST'in dijital kimlik rehberi SP 800-63-4'teki tanıma göre sosyal mühendislik, bir kişinin güvenini kazanarak onu hassas bilgi vermeye kandırmak, yetkisiz erişim elde etmek ya da dolandırıcılık yapmaktır.

Verizon'un 2026 DBIR raporunda ihlallerin %62'sinde insan unsuru var; Social Engineering örüntüsü ihlallerin %16'sıyla üçüncü sırada. Sosyal mühendisliğin siber güvenlik tehditleri arasındaki yerini siber güvenlik yazımızda anlattık.

Sosyal mühendislik neden işe yarar?

Cisco'nun ifadesiyle sosyal mühendislik bir ikna psikolojisidir; amaç, hedefin güvenini kazanıp tetikte olmamasını sağlamaktır. İngiltere'nin siber güvenlik merkezi NCSC, dolandırıcıların kullandığı beş baskı unsurunu sayıyor:

  • Otorite: Banka, doktor, avukat ya da devlet kurumu gibi önemli bir kişi veya kurum kılığına girmek
  • Aciliyet: Para cezası gibi olumsuz sonuçlarla tehdit etmek
  • Duygu: Tehditkâr bir dil kullanmak, sahte destek vaat etmek ya da merak uyandırmak
  • Kıtlık: Kaçırılmaması gereken bir fırsat izlenimiyle hızlı cevap aldırmak
  • Güncel olaylar: Haberleri, büyük etkinlikleri ya da vergi dönemi gibi zamanları kullanmak

MITRE'ye göre kimlik taklidinden önce çoğu zaman keşif gelir: saldırgan hedefin kimlik ve kurum bilgilerini toplar. NCSC'ye göre de kurumun web sitesinde ve sosyal medyasında açıkça duran bilgi, hedefli mesajları daha inandırıcı kılar.

Oltalama ve öteki teknikler

ENISA'nın 2025 olaylarını inceleyen Threat Landscape 2026 raporunda sosyal mühendislik teknikleri arasında oltalama %77,8'le başı çekiyor, onu %13'le zararlı istenmeyen posta (malspam) izliyor. Oltalamanın türlerini ve korunma yollarını phishing yazımızda anlattık; öteki teknikler şunlar:

  • Pretexting (bahane senaryosu): Verizon'un tanımıyla saldırgan uydurma senaryolarla güven ilişkisi kurar ve kullanıcıyı farkında olmadan kurumu tehlikeye atacak bir işe yönlendirir; çoğunlukla telefonla, bazen e-posta ya da kısa mesajla. DBIR 2026'da pretexting ihlallerin %6'sında ilk erişim yolu oldu ve fidye yazılımı ile şantaj saldırılarına giden yollar arasında daha sık görülüyor.
  • Baiting (yem): Cloudflare'in anlatımıyla saldırgan cazip bir yem sunar: zararlı yazılım içeren ücretsiz bir program, para vaadi ya da mesleki bir iyilik. Cisco'ya göre fiziksel biçiminde zararlı yüklenmiş USB bellekler, bulan birinin kurumsal bilgisayara takması umuduyla bırakılır.
  • Quid pro quo (karşılık vaadi): ENISA bu tekniği sosyal mühendislik vektörleri arasında sayıyor. Microsoft'un rehberi aynı yaklaşımı yardım teklifi olarak anlatıyor: saldırgan yardım önerir, yardımın sonunda hedefin kişisel bilgilerini vermesi gerekir.
  • Tailgating (peşinden girme): Aynı rehberin tanımıyla yetkisiz birinin, kartlı bir çalışanın peşinden ofise girmesi.
  • Vishing ve geri arama: FBI'ın tanımıyla vishing, sesle yapılan hedeflemedir. MITRE'ye göre bazı mesajlar kurbandan bir numarayı aramasını ister; telefondaki kişi onu zararlı bir siteye, dosya indirmeye ya da uzaktan yönetim aracı kurmaya yönlendirir.
  • ClickFix: ENISA'ya göre 2025'te kullanımı artan bu teknikte kurbandan bir sorunu "düzeltmesi" istenir; sonuçta zararlı kod çalışır.

Yardım masası üzerinden hesap ele geçirme

FBI ve CISA'nın 16 Kasım 2023 tarihli AA23-320A uyarısı, Scattered Spider grubunun yöntemlerini anlatıyor. Grup, şirketin BT ya da yardım masası personeli gibi davranıp telefonla veya SMS ile çalışanlardan kimlik bilgisi aldı ve sosyal mühendislikle yardım masası çalışanlarını parola ve MFA sıfırlamaya ikna etti. Art arda MFA bildirimi göndererek çalışanların "Kabul et"e basmasını sağladı (MFA yorgunluğu); mobil operatörleri kandırıp hedefin telefon numarasını kendi SIM kartına taşıttı.

NCSC, perakendecileri etkileyen olayların ardından Mayıs 2025'te kurumlara yardım masasının parola sıfırlama sürecini, özellikle yüksek yetkili personeli nasıl doğruladığını gözden geçirmelerini önerdi. DBIR 2026 işin zor yanını şöyle anlatıyor: yardım masası ve müşteri destek çalışanlarına, manipüle edilmek istendiklerinde yardımsever davranmamayı öğretmek, e-postanın dışarıdan gelip gelmediğine bakmak kadar basit değil. Hesap sıfırlama süreçlerini kimlik yönetimi hizmetimizde ele alıyoruz.

Deepfake: ses ve görüntü taklidiyle dolandırıcılık

FBI'ın Aralık 2024 uyarısına göre dolandırıcılar, ödeme almak için yapay zekâyla üretilmiş sesle tanınmış kişileri ya da yakınları taklit ediyor; şirket yöneticisi, kolluk görevlisi ya da başka bir yetkili kılığında gerçek zamanlı görüntülü görüşme için video da üretiyor. IC3'ün 2025 raporunda yapay zekâyla ilgili bilgi içeren şikâyet sayısı 22.364, düzeltilmiş kayıp 893 milyon doları aşıyor.

FBI'ın önerisi basit: arayanın kimliğinden şüphelenirseniz telefonu kapatın, kurumun numarasını kendiniz bulun ve o numarayı arayın.

MITRE ATT&CK'te sosyal mühendislik

  • T1566 Phishing: İlk erişim taktiğinde; ses üzerinden yapılan Spearphishing Voice dahil dört alt tekniği var.
  • T1684.001 Impersonation: ATT&CK'in 28 Nisan 2026'da yayımlanan v19 sürümü, v14'te T1656 numarasıyla eklenen Impersonation tekniğini kaldırıp yerine Social Engineering'in alt tekniğini koydu: T1684.001. Saldırgan bir yönetici, iş arkadaşı ya da tedarikçi kılığına girer; birçok BEC vakasında kurban bu yolla para göndermeye kandırılır.
  • T1683.002 Generate Content: Audio-Visual Content: Aynı sürümle gelen bu teknik, sentetik ses kayıtlarını ve canlı görüşmede değiştirilmiş ses ya da görüntüyü kapsıyor.

Üst teknik T1684, kullanıcıyı teknik izi en aza indirerek yönlendirmeyi tarif ediyor ve v19'da Defense Evasion'dan ayrılan Stealth taktiğinde duruyor. Impersonation için önerilen önlemler kullanıcı eğitimi (M1017) ve tehdit istihbaratı programı (M1019). Tespit kurallarını ATT&CK'e eşlemeyi SIEM ve SOC yazımızda anlattık.

Sosyal mühendislikten nasıl korunulur?

  • İkinci kanaldan doğrulama: IC3, hesap bilgisi değişikliği taleplerinin ikinci bir kanaldan ya da iki faktörlü doğrulamayla teyit edilmesini öneriyor.
  • En az yetki: Kandırılan kişinin yetkisi saldırganın sınırını belirler. NIST'in tanımıyla yetkiler, görev için gereken en aza indirilir; ayrıntısı IAM yazımızda.
  • Oltalamaya dayanıklı MFA: CISA ve FBI'a göre FIDO/WebAuthn ya da PKI tabanlı MFA oltalamaya dayanıklıdır, MFA yorgunluğundan ve SIM değişiminden etkilenmez. Ayrıntısı MFA yazımızda.
  • Eğitim ve bildirim kültürü: DBIR 2026'ya göre e-posta simülasyonları artık her yerde, ama pretexting her hedef alana göre yazılmış iş kurallarını gerektiriyor. Tatbikatları ve suçlamayan bildirim kültürünü phishing yazımızda anlattık.
  • Fiziksel güvenlik: Cisco'ya göre yardım masası çalışanları, resepsiyon görevlileri ve sık seyahat edenler yüz yüze saldırılara daha açık; ziyaretçi kaydı, refakat zorunluluğu ve geçmiş taraması gibi kontroller öneriliyor.
  • Test: NIST SP 800-115'e göre sosyal mühendislik testi insan unsurunu ve güvenlik farkındalığını sınar; yöntemini sızma testi yazımızda, hizmetini güvenlik değerlendirmesi sayfamızda bulabilirsiniz.

Tedarikçinin banka hesabını değiştirme talebinde örnek bir doğrulama prosedürü şöyle işleyebilir:

  1. Talep hangi kanaldan gelirse gelsin, değişiklik o kanal üzerinden onaylanmaz.
  2. Satın alma birimi tedarikçiyi sistemde önceden kayıtlı numarasından arar; talepteki numara kullanılmaz.
  3. Değişikliği, aramayı yapandan farklı ikinci bir kişi onaylar (iki kişi kuralı).
  4. Aramanın kim tarafından, hangi numaraya, ne zaman yapıldığı ve sonucu kayda geçer.

Bu bir örnektir; roller kurumunuzda farklı olacaktır. Tespit ve müdahale tarafını güvenlik operasyonları sayfamızda ele alıyoruz.

Sık sorulan sorular

Sosyal mühendislik ne demek? Saldırganın teknik bir açık yerine insanı kandırarak bilgi, erişim ya da para elde etmeye çalışması demek. Güven, otorite ve aciliyet duygusunu kullanır.

Sosyal mühendislik saldırı türleri nelerdir? Başlıcaları oltalama (phishing), pretexting, baiting, quid pro quo, tailgating, vishing, yardım masası üzerinden hesap ele geçirme ve yapay zekâyla üretilmiş ses ya da görüntüyle kimlik taklididir.

Sosyal mühendislik ile phishing arasındaki fark nedir? Sosyal mühendislik genel kavramdır. Phishing ise bu kavramın e-posta ve SMS gibi elektronik kanallarla yapılan, en yaygın görülen biçimidir.

Sosyal mühendislik saldırılarından nasıl korunulur? Ödeme ve hesap değişikliklerini ikinci bir kanaldan doğrulamak, yetkileri en aza indirmek, oltalamaya dayanıklı MFA kullanmak, çalışanları eğitmek ve şüpheyi cezasız bildirebilecekleri bir kültür kurmak başlıca önlemlerdir.

Kaynaklar