Tasarım suçu

Tek tıkla ödeme, belirsiz gönderen adları, mobilde kesilen URL’ler — bunlar salt “insan hatası” değil arayüz siyasetidir. Oltalama, korku ekonomisiyle ölçeklenir çünkü sistem böyle tasarlanmıştır: aciliyet ödüllendirilir, yavaşlama cezalandırılır, destek hatları kaotik bırakılır.

Yüksek düzeyde olan biten nettir: sahte aciliyet + marka taklidi + resmi olmayan kanal. Amaç oturum bilgisi, tek kullanımlık kod veya zararlı bir eki açtırmaktır. Teknik saldırı adımı, payload veya istismar tarifi yazmıyoruz; tanıma ve savunma yeterlidir.

Analiz çerçevesi

Kendinize ve ekibinize sorun:

  • Kim kazanç sağlıyor?
  • Hangi marka veya kurum taklit ediliyor?
  • Hangi aciliyet dili kullanılıyor (kilitlenme, ceza, ödül, kargo, hukuki tehdit)?
  • Aynı iş resmi uygulamadan veya yer iminden yapılabilir mi?
  • Parola yöneticisi bu etki alanını tanıyor mu?

Bu sorular exploit bilgisi gerektirmez; özerklik refleksidir.

E-posta ve istemci hijyeni (savunma)

  • Görünen ad ile gerçek adresi ayırın; benzer yazımlı alan adlarına dikkat edin.
  • Reply-To’nun From’dan farklı olup olmadığına bakın.
  • Mümkünse “orijinal ileti / ham başlık”ta Authentication-Results (SPF/DKIM/DMARC) satırlarına göz atın: fail şüpheyi artırır, pass tek başına güven demek değildir.
  • Bağlantının üzerine gelerek (tıklamadan) hedefi okuyun; mobilde bu zorsa yer imine gidin.
  • Kısa URL ve QR: hedefi gizler; resmi kanala dönün.
  • Ek: çift uzantı, makro uyarısı, beklenmeyen arşiv — ikinci kanal doğrulaması olmadan açmayın.

Kurumsal hesap

Şirketler çalışanı eğitirken kendi simülasyonlarını cezalandırma aracına çeviriyorsa itaat kültürü üretirler. İyi pratik:

  • Şüpheli postayı ortak kanala raporlamayı kolaylaştırmak ve utandırmamak
  • Oltalamaya daha dirençli ikinci faktör (TOTP, donanım anahtarı, passkey)
  • Net politika: “Biz sizi asla SMS/telefonda kod istemeyiz”
  • Mağduriyet sonrası oturum düşürme ve parola yenileme prosedürü

Oltalama kitlesel üretimdir; herkes hedeftir. Farkındalık broşürü değil; günlük şüphe, yavaşlama ve doğrulama pratikleridir.

Günlük savunma rutini

Oltalama tanıma, saldırı tarifi öğrenmek zorunda olmadan yapılabilir. Her şüpheli iletide şu sırayı izleyin:

  1. Bağlantıya ve eke dokunmadan durun.
  2. Görünen ad ile gerçek adresi karşılaştırın; Reply-To farkına bakın.
  3. Aynı işlemi yer iminden veya resmi uygulamadan deneyin.
  4. Ödeme, parola veya kod isteniyorsa ikinci kanaldan (bildiğiniz telefon / şube / IT) doğrulayın.
  5. Kurumsal ortamda ortak rapor kanalına iletin; silip unutmak kolektif bağışıklığı zayıflatır.

Mobil istemciler URL’yi keser; şüphede masaüstü veya resmi uygulama tercih edin. Kısa URL ve QR kodu hedefi gizlediği için özellikle yavaşlanmalıdır. “Hesabınız kilitlenecek” dili çoğu zaman korku ekonomisidir; gerçek kurumlar sizi soğuk kanaldan kod okutmaya zorlamaz.

Parola yöneticisinin domain eşleştirmesi sahte sayfada doldurmayı engelleyebilir — uyarıyı yok saymayın. 2FA olarak TOTP veya donanım anahtarı, ele geçirilmiş parolanın tek başına yetmesini zorlaştırır. Mağduriyet sonrası: tüm oturumları düşürün, parolayı yenileyin, iletim kurallarını kontrol edin, ödeme yöntemlerini gözden geçirin.

İkinci faktör seçim rehberi

SMS’i geçici köprü sayın. TOTP kurarken gizli anahtarı / QR’ı bulut albümüne atmayın; yedek kodları çevrimdışı ve mümkünse şifreli saklayın. Aynı TOTP sırrını ikinci bir cihaza (veya kasaya) yedeklemek, telefon kaybında kilitlenmeyi önler.

Donanım anahtarı veya passkey kullanıyorsanız en az iki cihaz planlayın: biri günlük, biri yedek. İş hesaplarında merkezi politika; kişisel hesaplarda kurtarma e-postasının da 2FA’sı olsun. Beklenmeyen push onaylarını reddedin — bu bir “yorgunluk” senaryosu olabilir; oturumu düşün ve parolayı değiştirin.

Güvenlik sorularını gerçek kişisel cevaplarla doldurmayın; rastgele değer üretip kasaya yazın. “2FA var” diye kurtarma telefonunu yıllarca güncellemeyi unutmak klasik zayıf kapıdır.