Oltalama nedir?
Oltalama (phishing), güvenilen bir tarafı — banka, tedarikçi, mesai arkadaşı — taklit eden bir iletiyle alıcıyı kimlik bilgilerini vermeye, para transferine veya zararlı içerik açmaya kandıran bir sosyal mühendislik saldırısıdır. İstismar edilen zafiyet bir sunucu değil bir insandır; teknik önlemlerin tek başına yetmemesinin sebebi budur. Şirketler için başarılı bir oltalama e-postası, veri ihlaline veya fidye yazılımı vakasına giden en yaygın ilk adımdır.
Yaygın türler
- Toplu oltalama. Banka, kargo firması veya vergi idaresini taklit eden, tıklayan herkesi avlayan kitlesel e-postalar.
- Hedefli oltalama (spear phishing). Belirli bir kişiye, hakkındaki açık ve sızmış bilgilerle kurgulanmış özel ileti.
- İş e-postası dolandırıcılığı (BEC). Saldırgan bir yöneticinin veya tedarikçinin posta kutusunu taklit eder ya da ele geçirir; inandırıcı bir fatura veya IBAN değişikliğiyle ödemeleri yönlendirir.
- Smishing ve vishing. Aynı oyunun SMS ve sesli arama üzerinden, çoğu kez gerçek sipariş veya hesap bilgileri anılarak oynanması.
Hukuki boyut
Oltalama kişisel veri ele geçirdiğinde olay bir düzenleyici meseleye dönüşür. KVKK m. 12, veri sorumlusuna uygun güvenlik tedbirlerini alma yükümlülüğü getirir; Kurul pratiği, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde bildirilmesini arar. GDPR’ın 32 ve 33. maddeleri de aynı tedbir-artı-72-saat düzenini kurar. Yaptırım kararlarındaki asıl soru saldırganın zekâsı değil, veri sorumlusunun savunmasının makul olup olmadığıdır: Çok faktörlü kimlik doğrulama var mıydı, personel eğitilmiş miydi, posta kutusu izleniyor muydu?
Türkiye bağlamı
Kurul’un ele geçirilen hesaplara ilişkin kararları hep kimlik doğrulama beklentilerine dönüyor — kimlik doğrulama ve e-posta erişim kararlarına ilişkin incelememiz, idari para cezalarının saldırının kendisinden çok eksik iki aşamalı doğrulamaya ve zayıf iç erişim kurallarına bağlandığını gösteriyor. BEC yoluyla ödeme yönlendirmesi ayrıca, zarara dolandırılan sözleşme taraflarından hangisinin katlanacağına dair özel hukuk uyuşmazlıkları doğurur; Türk mahkemeleri bunu her transferin kendi olgularına göre çözer.
Yapın: Çok faktörlü kimlik doğrulamayı zorunlu kılın, her banka bilgisi değişikliğini ikinci bir kanaldan teyit edin ve 72 saatlik bildirim akışını tatbikatla deneyin. Yapmayın: Oltalamayı yalnızca BT sorunu saymayın; soruşturma sürüyor diye bildirimi geciktirmeyin — süre tam netlikten değil, öğrenmeden itibaren işler.
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın