Kimlik avı, insanların bilgileri açığa çıkarmasını sağlamak için güçlü bir tekniktir. Saldırgan, banka gibi meşru bir kaynaktan geliyormuş gibi görünen bir e-posta gönderir. Kurban bu bağlantıya tıklar, hesabına giriş yapmaya çalışır ve giriş bilgileri çalınır. Phishing, Hizmet Olarak Kimlik Avı (PaaS) bir güvenlik riskidir ve başa bela açar, peki nasıl yapılır, siteleri, email saldırısı nedir?
Bir kimlik avı, yani verilerinizin çalınması başarısı, ne kadar gerçekçi olduğuna bağlıdır. Bu, birçok siber suçlunun sahip olmadığı bir beceri seti gerektirir. Bu konuda kendini geliştirmiş ve kesinlikle dalgınlığınızdan faydalanan yöntemlerle verinizi çalmaktalar. Peki Phishing nedir, nasıl yapılır, siteleri, email saldırısı nedir?
Phishing Nedir?
Phishing, siber suçluların hizmet sağlayıcıları haline geldiği bir trendin parçasıdır. Siber saldırıları kendi başlarına gerçekleştirmek yerine, başkalarının bir ücret karşılığında saldırı gerçekleştirmesine yardımcı oluyorlar.
Müşterilerin aylık bir ücret karşılığında yazılıma erişimlerinin sağlandığı Hizmet Olarak Yazılım iş modeline dayanmaktadır.
Bu, siber suçlulara yeni bir gelir akışı sağlar ve herkesin daha profesyonel saldırılar gerçekleştirmesini sağlar.
Phishing Nedir ve Kimlik Avı Nasıl Yapılır?
Phishing servisi satıcıları, ürünlerinin reklamını kimlik avı kitleri olarak sunar. Öncelikle dark web‘de satılırlar, ancak bazı phishing kitleri artık herkesin ulaşabileceği web’de (yani normal internet) mevcuttur.
Bir Phishing kiti, başarılı bir kimlik avı saldırısı başlatmak için gereken her şeyi içerir. Meşru şirketlerden geliyormuş gibi görünen e-postalar göndermek için e-posta şablonları ve ayrıca kurbanları göndermek için web siteleri için şablonlar içerir. Bazı Phishing kitleri ayrıca potansiyel hedeflerin listelerini de size satabilir.
Phishing kitleri teknik becerilere sahip olmayanları hedef aldığından, genellikle ayrıntılı talimatlar ve müşteri desteği de içerir.
Phishing kitlerinin reklamı, becerilerine bakılmaksızın herkesin kimlik avı saldırıları gerçekleştirerek para kazanmasına olanak tanıyan ürünler olarak tanıtılır. Bu, siber suçlara karışmak isteyen ancak gerekli bilgiye sahip olmayanlar için popüler bir hizmettir. Fakat kullanmamanızı tavsiye ederim. Peki Phishing nedir, nasıl yapılır, siteleri, email saldırısı nedir?
Phishing Nasıl Yapılır?
Phishing teriminin Türkçesi ‘oltalamadır’. Yani size olta atarlar siz de ‘sazan balığı gibi’ oltaya takılırsınız. Phishing yapmanın bir çok yöntemi vardır. En yaygın kullanımı mail hesabınıza gelen e-posta mesajlarıdır.
E-Posta hesabınıza, ilginizi çekecek ya da sizi endişelendirecek mailler gönderilir. Mesela ‘Banka Hesabınızın Şifre Yenileme Talebi Alındı, Şifre Değişimi İstemediyseniz buraya Tıklayın’ gibi. Siz gönderilen linke tıklarsınız. Kullandığınız bankanın resmi sayfasına tıpa tıp benzer bir sayfa açılır, TC Kimlik No ve Şifre alanlarını doldurur, ‘Giriş’e tıklarsınız. Siz şifrenizi değiştireceğinizi sanarken aslında girdiğiniz bilgiler anında Phishing yapan kişinin önüne düşmüştür bile. Elbette banka güvenliğiniz üst seviyede ise ve İki Faktörlü Şifreleme kullanıyorsanız, Phishing sizde işe yaramaz.
Bu tip Phishing uygulamaları arasında sahte alışveriş siteleri de vardır ve bunlar genel olarak Kredi Kartı Bilgilerinizi çalmaya odaklıdır ve aynı mantıkla çalışır. Bu sebeple mailinize gelen her linke tıklamayın, tıklarsanız bile maili gönderen kurumun resmi sayfası olup olmadığına dikkatli bakın.
Çalınan Kimlik Bilgilerine Ne Olur?
Bir kurbanın kimlik bilgileri çalındıktan sonra, birkaç olasılık vardır. Saldırgan, kimlik bilgilerini kendileri için kullanabilir. Bu bir finansal hesapsa, para transfer etmeye çalışabilirler. Veya bir ağa erişim ise, bu erişimi bir fidye yazılımı saldırısı başlatmak için kullanabilirler.
Kimlik bilgileri ayrıca dark web’de yeniden satılabilir. Bu, birisinin, gerçekte bir kullanımları olmasa bile, çalınan kimlik bilgilerinden kazanç sağlamasına olanak tanır.
Bazı Phishing kitleri, çalınan kimlik bilgilerinin bir kopyasını tutmak ve bunları kimlik avı kiti yayıncısına göndermek için de tasarlanmıştır. Bu, kimlik avı kiti yayıncısı için ek potansiyel gelir sağlar. Aynı zamanda, kimlik bilgilerinin, onları çalan kişinin başka amaçları olsa bile, genellikle dark web’de yeniden satıldığı anlamına gelir.
Phishing Neden Bir Sorun?
Phishing, kimlik avına giriş engelini ortadan kaldırdığı için bir sorundur. Normalde, bir siber suçlunun etkili bir e-posta oluşturmak için HTML’yi anlaması gerekir. Ayrıca hem gerçekçi görünen hem de şifreleri çalan bir web sitesinin nasıl oluşturulacağını bilmesi gerekir. Birisi bir Phishing kiti satın alırsa, saldırı gerçekleştirmek için bu becerilere ihtiyaç duymaz.
Phishing, halihazırda kimlik avı saldırıları gerçekleştiren kişileri daha başarılı hale getirir. Bir avın başarısı genellikle faillerin yetenekleriyle sınırlıdır. Bu kişi bir kimlik avı kiti için ödeme yaparsa, muhtemelen daha fazla insan saldırılarına kanacaktır.
Phishing, kimlik avı saldırılarının kovuşturulmasını da zorlaştırır.
Phishing kitleri tasarlamada iyi olan kişilerin, herhangi bir kimlik avı saldırısı gerçekleştirmeden insanların bu hizmetten yararlanmalarını sağlar. Phishing kiti kullanan kişi yakalanırsa, kimlik avı kitini sağlayan kişinin kovuşturmadan kaçınması muhtemeldir. Daha sonra başkalarına satmaya devam edebilirler. Bu sebeple şunu sakın unutmayın Phishing kiti kullanırken yakalanabilirsiniz ve bu hukuken suçtur.
Phishing ile Kimler Hedeflenir?
Kimlik avı saldırıları hem işletmelere hem de özel kişilere karşı gerçekleştirilir. Özel bir kişi hedeflenirse, finansal ve kişisel hesaplarının oturum açma bilgileri çalınmak istenir.
Bir işletmeye yönelik başarılı bir kimlik avı saldırısı, başka siber saldırıların gerçekleşmesine neden olabilir. Saldırgan bir ağın kimlik bilgilerini çalarsa, müşterilerin özel bilgileri çalınabilir veya fidye yazılımı yüklenebilir.
Kimlik Avı Nasıl Önlenir
Phishing, kimlik avı saldırılarının tespit edilmesini zorlaştırsa da, ne arayacağınızı anlarsanız yine de bunlardan kaçınılabilir.
1. Göndereni Kontrol Edin
Kimlik avı e-postaları, alıcının gönderenin adına düzgün bakmamasına bağlıdır. Gönderen, meşru görünmek için e-posta sahtekarlığını kullanabilir, ancak küçük yazım değişikliklerinden kaçınmak imkansızdır.
2. Biçimlendirme Hatalarını Arayın
Phishing ürünleri genellikle son derece gerçekçi e-postalar içerir, ancak yine de gerçek kadar profesyonel değildirler. Hem biçimlendirme hem de kullanılan dildeki hataları arayın.
3. Bağlantılara Tıklamayın veya Ekleri Açmayın
Gönderenin kim olduğuna bakılmaksızın, bir e-postadaki bir bağlantıya asla tıklamamalısınız. Ayrıca ne içerdiğinden emin olmadığınız bir e-posta ekini asla indirmemelisiniz.
4. Bilgi Taleplerine Karşı Dikkatli Olun
Tüm Phishing e-postaları sizden bir şey yapmanızı ister. Sizden bilgi vermenizi veya bir hesaba giriş yapmanızı isteyen herhangi bir e-postadan şüphelenmelisiniz.
5. İşletmeler Çalışanlarını Eğitmelidir
İşletmelere yönelik kimlik avı saldırıları öncelikle çalışanları hedef alır. Bu tehdidi azaltmak için tüm çalışanların buna göre eğitilmesi gerekir.
6. İşletmeler Kimlik Avı Önleme Yazılımı Kullanabilir
Kimlik avı e-postalarını tespit etmek ve çalışanların gelen kutularına ulaşmasını önlemek için yazılımlar yaygın olarak mevcuttur. Bu yazılım, çalışan eğitimine yeterli bir alternatif olmasa da, çalışanların karşılaştığı tehdidin boyutunu azaltabilir.
Phishing, Kimlik Avını Daha Büyük Bir Tehdit Haline Getiriyor
Phishing, hem kişiler hem de işletmeler için önemli bir tehdittir. Bireyler üzerinde hesap saldırılarına ve işletmelerde ağa izinsiz girişlere yol açar. Phishing, beceri setlerinden bağımsız olarak herkesin bu tür saldırıları gerçekleştirmesine izin vererek bu tehdide katkıda bulunur.
Takiye.com’u twitter ve google haberler üzerinden abone olarak takip edebilirsiniz.
Güvenlik kategorimizdeki yazılarımıza ulaşmak için buraya tıklayınız.
