Kimlik Avı Saldırıları: İşinizi ve Kişisel Verilerinizi Koruma

Ekim ayında Ulusal Siber Güvenlik Farkındalık Ayı kutlandı. Temel mesajı basit ama güçlendiriciydi “farkındalık ve proaktif önlemler en iyi savunmamızdır.”

Giderek dijitalleşen bir dünyada, küçük işletmenizi ve kişisel bilgilerinizi korumak en önemli öncelik olmalıdır. 

Bizde bu yazımızda Kimlik Avı Saldırıları hakkında bilgilendirme sağlayacağız. 

Kimlik Avı Saldırılarını Anlamak

Kimlik avı saldırıları, siber suçluların bireyleri şifreler, kredi kartı numaraları veya kişisel ayrıntılar gibi hassas bilgileri ifşa etmeleri için kandırmak amacıyla kurduğu dijital tuzaklara benzer. Bu saldırılar yaygındır ve birçok biçimde olabilir; çoğu zaman meşru görünen e-postalar, mesajlar veya web siteleri biçiminde gelir.

Kimlik Avı Taktikleri

Kimlik avının çeşitli biçimleri vardır ve güvende kalmak için bunları tanımak önemlidir. Yaygın bir tür, dolandırıcıların belirli kişileri hedef aldığı ve mesajlarının meşru görünmesini sağlamak için genellikle kişisel bilgileri kullanan Spear (Mızrak) Kimlik Avıdır. Bir diğeri ise hassas bilgilerin ifşa edilmesi için sizi kandırmak amacıyla yapılan telefon görüşmelerini içeren Vishing'dir. Smishing de buna benzer, ancak kısa mesaj yoluyla gerçekleşir. Ayrıca, saldırganların verilerinizi çalmak için sizi sahte web sitelerine yönlendirdiği Pharming var. Son zamanlardaki bir trend, Qishing adı verilen bir teknik olan, kötü amaçlı URL'leri yaymak için QR kodlarının kullanılmasını içerir . Sahte Çok Faktörlü Kimlik Doğrulama (MFA) uyarılarıyla insanları kandırarak onları QR kodlarını taramaya ikna ediyor. (MFA en az iki doğrulama biçimi gerektirir). Ancak kurbanlar amaçlanan siteye ulaşmak yerine dolandırıcının kimlik avı sayfasına yönlendiriliyor.

Siber Güvenlik Risklerini ve Etkisini Anlamak

Dikkatli ve bilgili kalmak, değerli bilgilerinizin bireyler ve işletmeler üzerinde finansal ve itibar açısından olumsuz etkilere yol açabilecek potansiyel tehditlerden korunmasında büyük bir fark yaratabilir. Kurbanlar, bilmeden bilgisayarlarına giren zararlı yazılımlar nedeniyle kimlik hırsızlığı, mali kayıplar ve hatta kötü amaçlı yazılım bulaşmalarıyla karşı karşıya kalabilir. Bu saldırılar aynı zamanda kişisel veri güvenliğini ve mahremiyetini tehlikeye atarak bireyleri daha fazla zarara karşı daha duyarlı hale getirebilir.

Bir ihlal meydana geldiğinde müşteriler verilerinin güvenliği konusunda endişelenebilir ve işletmenin güvenilirliğini sorgulayabilir. Bir siber güvenlik olayı, ürün veya hizmetlerin kalitesi gibi diğer alanlardaki zayıflıkları da ortaya çıkarabilir. Bu nedenle tüketicilerin %59'unun geçtiğimiz yıl siber saldırıların kurbanı olan şirketlerden uzak duracaklarını söylemesi şaşırtıcı değil .

Küçük ve orta ölçekli işletme sahipleri büyüklükleri ve kaynakları nedeniyle siber saldırılara karşı güvende olduklarını düşünse de gerçek şu ki tüm işletmeler risk altındadır. 

Alan Adlarıyla Kimlik Avını Azaltma

Çeşitli kimlik avı taktiklerini ve istatistiklerini inceledikten sonra çevrimiçi güvenliğin kritik bir yönüne odaklanalım: Doğru alan adını seçerek Kimlik Avı güvenlik açığını azaltmak.

Siber suçlular genellikle homografik kimlik avı gibi teknikleri kullanarak meşru ve aldatıcı web adresleri arasındaki benzerlikten yararlanır. Bu zararlı strateji, siber güvenlik anlayışımıza ve kendimizi nasıl koruyabileceğimize başka bir katman daha ekliyor.

Örneğin, “online.business” ile “onlıne.business.” düşünün. Eski meşru alan adı İngilizce "i" harfini kullanırken, ikincisi Latin harfini kullanıyor. Ziyaretçiler sahte web sitesine tıkladıklarında, kötü amaçlı yazılım veya kimlik avı planıyla karşı karşıya kalırlar .

Kimlik avı önleme teknolojisini kullanan bir alan adı kaydederek kendinizi koruyabilirsiniz. .bio, .social, .live ve .software gibi birçok yeni web adresi (geleneksel seçeneklerin ötesinde alan adları), işletmenizi ve müşterilerinizi koruyan ücretsiz kimlik avı önleme teknolojisini içerir. Bu özellik saldırıları önleyerek marka ve kimlik güvenliğinizi güvende tutar. 

Kendinizi Kimlik Avına Karşı Korumak

Şüpheli URL'leri kontrol etmeniz, e-posta başlıklarını düzensizlikler açısından incelemeniz ve e-posta eklerine karşı dikkatli olmanız önerilir. Siber suçlular, gerçek gibi görünen ancak gizli tehditler içeren ikna edici mesajlar oluşturma konusunda ustadır. Her zaman gönderenin e-posta adresini doğrulayın ve meşruiyetlerinden şüpheniz varsa bağlantılara tıklamaktan veya ekleri indirmekten kaçının.

Güven yerine doğrulamayı vurgulayan "Sıfır Güven" güvenlik stratejisinin benimsenmesi ilgi görüyor. Günümüzün uzaktan çalışma kültüründe bu yaklaşım, proaktif siber güvenlik önlemleriyle birleştiğinde kişisel verilerinizin ve iş verilerinizin korunması açısından çok önemlidir.

Çevrimiçi güvenliğinizi artırmak için yapay zekalı akıllı e-posta korumasını kullanın. Bankanızdan geldiğini iddia eden ve acilen hesap ayrıntılarınızı vermenizi isteyen bir e-posta aldığınızı hayal edin. E-posta koruma sistemi yapay zeka kullanıyorsa e-postanın içeriğini, gönderenin geçmişini ve diğer faktörleri hızla analiz edebilir. Yapay zeka herhangi bir aldatma veya tutarsızlık belirtisi tespit ederse e-postayı şüpheli olarak işaretleyecek ve bunun bir kimlik avı girişimi olabileceği konusunda sizi uyaracaktır.

MFA ile giriş sürecinize ekstra bir adım ekleyin. Örneğin, şifrenizi girdikten sonra telefonunuza, girmeniz gereken benzersiz bir kod da gelebilir. Bu işlem, şifrenizi bilen birinin bile ikinci doğrulama adımı olmadan hesabınıza erişememesini sağlar. Ayrıca, arayan kişi ne kadar meşru görünürse görünsün, çalışanlara telefonda MFA kodlarını paylaşmamaları gerektiğini hatırlatın.

Kimlik ve erişim yönetimi (IAM) araçlarını kullanarak dijital kimliğinizi koruyun. IAM araçlarını kullanarak, hassas belgelerinize kimin erişme iznine sahip olduğuna ve bu kişilerin hangi işlemleri yapmasına izin verildiğine karar verebilirsiniz. Örneğin, belirli iş arkadaşlarınıza dosyaları görüntüleme olanağı verebilir, ancak herhangi bir değişiklik yapmalarını kısıtlayabilirsiniz.

Ayrıca çevrimiçi bağlantılarınızı güvenli ve gizli tutmak için SSL şifrelemesini kullanın. Bu güvenlik önlemi, verilerinizin sizinle güvenilir web sitesi arasında güvende kalmasını sağlar. E-postaların şifrelendiğinden ve çalışanların hassas tartışmalar için güvenli mesajlaşma kullandığından emin olun. Ayrıca, özellikle birinin yanlışlıkla bir kimlik avı bağlantısına veya ekine tıklaması durumunda güvenlik açıklarını önlemeye yardımcı olmak için çalışanlarınıza cihazları ve yazılımları güncellemelerini hatırlatın.

Çalışanlarınızın kimlik avı dolandırıcılığına işaret eden kırmızı bayraklar hakkında bilgi sahibi olmasını sağlamak için bir Güvenlik Farkındalığı Eğitim Programı uygulayın. Örneğin, onlara kişisel bilgi isteyen veya tanıdık olmayan bağlantılar içeren şüpheli e-postaları tanımayı öğretin.

Kimlik Avı Dolandırıcılıklarına Yanıt

Küçük bir işletme sahibiyseniz veya kimlik avı dolandırıcılığına düşmüş bir bireyseniz endişelenmeyin. Etkilenen hesapların şifrelerini hemen değiştirerek başlayın. Daha sonra herhangi bir finansal bilginin açığa çıkması durumunda bankanızla veya kredi kartı şirketinizle iletişime geçin.  Olağandışı faaliyetlere karşı işletme hesaplarınızı yakından takip edin ve güvende kalmak için kredi izleme hizmetlerini kullanmayı düşünün. Bir firmanın parçasıysanız BT ekibinizin yardımıyla cihazlarınızı yalıtın.

Son olarak, siber güvenlik herkesi ilgilendiriyor. Saldırılar, kritik sistemleri ve bunlara bağlı herkesi etkileyen dalgalanma etkilerine sahip olabilir. Dikkatli olmak ve proaktif bir yaklaşım bu riskleri azaltmanın anahtarıdır.

Ulusal Siber Güvenlik Farkındalık Ayı bize siber güvenliğin kolektif bir çaba olduğunu hatırlatıyor. Küçük işletmeler ve bireyler, bilgili kalarak, tehditleri tanıyarak ve güçlü önleyici tedbirler alarak kimlik avı saldırılarına ve diğer siber tehditlere karşı savunmasızlıklarını önemli ölçüde azaltabilir. Dijital varlığınızı korumak yalnızca akıllıca bir hareket değil aynı zamanda günümüzün dijital ortamında gerekli bir harekettir.