Kimlik Avı Nedir?

Kimlik avı, saldırganların bankalar, bulut hizmetleri, iş arkadaşları gibi güvenilir varlıklar olarak kendilerini göstererek kurbanı kandırdığı ve şifre, kredi kartı numarası veya diğer kimlik bilgileri gibi hassas bilgilerini ifşa etmelerini sağladığı bir tür sosyal mühendislik saldırısıdır. Kimlik avı, e-posta, SMS, telefon görüşmesi veya sahte web sitesi gibi çeşitli ortamlarda gerçekleşebilir.

Siber Güvenlikte Kimlik Avının Önemi

Kimlik avı, en tehlikeli saldırı yöntemlerinden biri haline gelmektedir. Çoğu zaman daha büyük zararlar, kötü amaçlı yazılım enfeksiyonu, fidye yazılımı gibi durumlar için bir sıçrama taşı haline gelir. Güçlü güvenlik sistemine sahip kuruluşlar bile kimlik avı tarafından yenilebilir çünkü bu saldırı, teknik açıklar yerine insan güvenini istismar eder.

Yaygın Kimlik Avı Türleri

• E-posta Kimlik Avı: Sahte e-postalar, meşru mesajlar gibi davranır
• Hedefli Kimlik Avı: Organizasyonda yüksek profilli bireyleri hedefleyen çok hedefli kimlik avı
• SMS Kimlik Avı: SMS veya mesajlaşma uygulamaları aracılığıyla gerçekleştirilen kimlik avı saldırıları
• Telefon Kimlik Avı: Telefon görüşmeleri aracılığıyla gerçekleştirilen kimlik avı saldırısı
• Klon Kimlik Avı: Saldırganlar, orijinal bir e-postayı kopyalar ve bağlantıları veya ekleri kötü amaçlı olanlarla değiştirir

Kimlik Avı Saldırısının İşaretleri

• Şüpheli gönderici adresi
• Hızlı eylem talebi (“şifrenizi şimdi sıfırlayın”)
• Çok hafifçe yanlış yazılmış alan adı
• Hassas bilgiler isteme (şifreler, banka bilgileri, kredi kartı vb.)
• Şüpheli ekler veya bağlantılar

Örnek

Bir kurban, bankasından geldiğini belirten bir e-posta alır ve kurbandan “hesabı doğrulamasını” ister.

E-posta, gerçek olanla özdeşmiş gibi davranan sahte bir web sitesi girişine bağlantı içerir. Kurban sahte web sitesine kimlik bilgilerini girdikten sonra saldırganlar bunları çalar ve gerçek banka hesaplarına erişim sağlar.

Kimlik Avına Karşı Nasıl Korunulur

• Kimlik bilgileri çalınsa bile hesabı korumak için MFA (Çok Faktörlü Kimlik Doğrulama) etkinleştirin
• Çalışanları kimlik avı farkındalığı konusunda eğitin
• Şüpheli e-postalardan kaçınmak için e-posta güvenlik ağ geçitleri ve spam filtreleri kullanın
• Şüpheli bağlantıları veya ekleri tıklamadan önce kontrol edin
• Kompromize olmuş hesapların zararını sınırlamak için en az ayrıcalık uygulayın

İlgili Terimler

• Spear Phishing
• Kötü Amaçlı Yazılım
• Sosyal Mühendislik
• MFA
• Fidye Yazılımı