Phishing Nasıl Anlaşılır? Oltalama 8 İşaret

Kısa cevap: Oltalama sitelerini tespit etmenin en güvenilir yolu adres çubuğunu okumaktır — tasarım değil. Sahte siteler görsel olarak birebir kopya olabilir, ama alan adı asla birebir aynı olamaz. Kilit simgesi de güvenlik garantisi değildir; sahte sitelerin çoğu HTTPS kullanır.

Oltalama nedir?

Oltalama (phishing), seni gerçek bir siteye girdiğine inandırarak giriş bilgilerini toplama yöntemidir. Saldırgan sahte bir sayfa kurar, sen şifreni yazarsın, bilgi doğrudan ona gider.

En etkili yanı teknik değil psikolojiktir: aciliyet, korku veya fırsat duygusuyla seni düşünmeden hareket etmeye yönlendirir.

8 işaret

1. Alan adı — en güvenilir kontrol

Sahte site tasarımı birebir kopyalayabilir. Alan adını kopyalayamaz. Yakın bir varyant kullanmak zorundadır:

Gerçek	Sahte varyantlar
`ornek.com`	`ornek-giris.com`
	`ornekcom.net`
	`0rnek.com` (o yerine sıfır)
	`ornek.com.guvenli-giris.xyz`

Son satır en sinsi olanıdır. ornek.com metni adreste geçiyor ama asıl alan adı guvenli-giris.xyz. Adres okurken şu kurala göre bak:

Gerçek alan adı, son eğik çizgiden önceki son iki parçadır. a.b.c.example.com/... → alan adı example.com

2. Kilit simgesi kanıt değil

Yaygın yanılgı: “kilit varsa güvenlidir.”

HTTPS sertifikaları ücretsiz ve dakikalar içinde alınabilir. Oltalama sitelerinin büyük çoğunluğu HTTPS kullanır. Kilit yalnızca bağlantının şifreli olduğunu söyler — karşı tarafın kim olduğunu değil.

Kilit yokluğu kötü bir işarettir; varlığı iyi bir işaret değildir.

3. Yazım ve dil hataları

Bozuk Türkçe, eksik karakterler, garip çeviriler. Kurumsal sitelerde metinler denetimden geçer; oltalama sayfaları çoğu zaman aceleyle hazırlanır.

Ama bu işaretin zayıfladığını bilmek gerekir: metinler artık daha temiz üretiliyor. Yazım hatası varsa şüphelen, yoksa rahatlama.

4. Aciliyet baskısı

Klasik kalıplar:

“Hesabınız 24 saat içinde kapatılacak”
“Şüpheli giriş tespit edildi, hemen doğrulayın”
“Ödülünüzü almak için son 10 dakika”

Amaç düşünmeni engellemektir. Meşru kurumlar seni panikletmeye çalışmaz.

Bu duyguyu hissettiğin an yapılacak tek şey: dur. Bağlantıya tıklama, adresi kendin yaz, oradan kontrol et.

5. Beklemediğin mesaj

Sen talep etmediğin hâlde gelen “doğrulama” mesajları. Özellikle:

SMS ile gelen kısaltılmış bağlantılar
Sosyal medyadan gelen özel mesajlar
“Destek ekibi” olduğunu söyleyen hesaplar

Meşru destek seni aramaz. Sen ulaşırsın, onlar yanıtlar.

6. İstenmemesi gereken bilgiler

Hiçbir meşru site şunları istemez:

Asla istenmez	Neden
Kripto kurtarma cümlesi	Cüzdanının tek anahtarı
Cüzdan özel anahtarı	Aynı
Kart CVV kodu (destek talebinde)	Ödeme dışında gereksiz
Şifreni “doğrulamak için”	Site zaten şifreni biliyor
2FA kodunu başkasına	Kod sana gelir, sen girersin

Bunlardan biri istendiği an, karşı taraf kim olduğunu iddia ederse etsin, konuşma biter.

7. Kısaltılmış bağlantılar

bit.ly, t.ly, cutt.ly gibi kısaltmalar hedefi gizler. Meşru kullanımı da vardır ama giriş yapacağın bir sayfaya kısaltmayla yönlendirilmek şüphelidir.

Kısaltmayı çözmeden tıklama; hedefini gösteren araçlar mevcuttur.

8. Arama sonucu reklamları

Marka adını arattığında ilk sıradaki reklam sahte olabilir. Saldırganlar marka adına reklam verip kendi sitelerini üstte gösterebilir.

Bunun için: adresi kendin yaz veya daha önce kaydettiğin yer imini kullan.

Örnek üzerinden analiz

Gerçekte karşılaşabileceğin bir mesajı parça parça inceleyelim:

Sayın kullanıcı, hesabınızda şüpheli giriş tespit edilmiştir. Hesabınızın kapatılmaması için 24 saat içinde doğrulama yapmanız gerekmektedir. Doğrulama için: t.ly/dogrulama-islem

Dört ayrı işaret var:

1. “Sayın kullanıcı” — adınla hitap edilmiyor. Gerçek bir sistem seni tanır; toplu gönderimlerde isim kullanılmaz.

2. “Şüpheli giriş tespit edildi” — korku tetikleyicisi. Refleksin “hemen kontrol edeyim” olur, tam da istenen şey budur.

3. “24 saat içinde” — aciliyet baskısı. Düşünmeni engellemek için.

4. Kısaltılmış bağlantı — hedef gizli. Meşru bir kurum kendi alan adını gizlemez.

Doğru tepki: mesajı kapat, tarayıcıyı aç, adresi kendin yaz, hesabına oradan gir. Gerçekten bir sorun varsa panelde görürsün. Yoksa zaten yoktur.

Mesaja hiç cevap vermene gerek yok — “hayır” demek bile hedef listesinde aktif olduğunu doğrular.

Tarayıcı ve cihaz korumaları

Kendi dikkatinin üstüne teknik katmanlar eklemek riski belirgin biçimde düşürür:

Tarayıcı güvenli gezinti özelliği. Modern tarayıcılar bilinen oltalama sitelerini engeller. Açık olduğundan emin ol; kapatılmış olabilir.

Tarayıcıyı güncel tut. Güvenlik yamaları buradan gelir.

Şifre yöneticisi. Yukarıda anlatılan alan adı eşleştirmesi, gözün fark etmediği sahte adresleri yakalar.

DNS tabanlı filtreleme. Bazı DNS servisleri bilinen zararlı alan adlarını ağ seviyesinde engeller — cihaz başına ayar gerektirmez.

Uzantılara dikkat. Tarayıcı uzantıları sayfa içeriğini okuyabilir. Yalnızca gerçekten kullandıklarını tut, gerisini kaldır.

Pratik alışkanlıklar

Adresi kendin yaz. Giriş yapacağın siteye e-postadan, mesajdan veya arama sonucundan değil, doğrudan adres çubuğuna yazarak git.

Yer imi kullan. Bir kez doğru adrese ulaştığında kaydet, sonra hep oradan gir. Bu tek alışkanlık oltalama riskinin büyük kısmını ortadan kaldırır.

Şifre yöneticisi kullan. Sadece kolaylık değil, güvenlik aracıdır: şifre yöneticisi kayıtlı alan adında değilse şifreyi otomatik doldurmaz. Sahte sitede alan doldurulmuyorsa, bu bir uyarıdır.

2FA aç. Şifren sızsa bile ikinci adım korur. İki aşamalı doğrulama →

Bahis siteleri özelinde

Bu alanda oltalama daha yaygındır çünkü hesaplar doğrudan bakiye taşır.

Sık görülen senaryolar:

Sahte “güncel adres” duyuruları. Sosyal medyada marka adıyla paylaşılan, kısaltılmış bağlantı içeren duyurular. Gerçek adresi her zaman markanın resmi kanallarından doğrula.

Sahte bonus kampanyaları. “Şu bağlantıdan giriş yapana özel bonus” mesajları. Bonus kampanyaları platformun kendi arayüzünde duyurulur.

Sahte destek hesapları. Sorununu paylaştıktan kısa süre sonra yazan “destek” hesapları. Sahte destek hesaplarını tanıma →

Bir sitenin gerçekten aradığın site olup olmadığını doğrulamak için: Bethand güvenilir mi? →

Girdiğimi fark ettim, ne yapmalıyım?

Sırayla ve hızlı:

Şifreni değiştir — önce gerçek siteden, adresi kendin yazarak
Aynı şifreyi kullandığın diğer hesapları da değiştir — en kritik adım
2FA’yı aç veya sıfırla
Hesap hareketlerini kontrol et — tanımadığın işlem var mı
Aktif oturumları kapat — seçenek varsa
Destekle iletişime geç — durumu bildir, yazılı kayıt bırak

İkinci madde en çok atlanan ve en pahalıya mal olandır: saldırgan o şifreyi diğer sitelerde de dener.

Sık sorulanlar

Siteye girdim ama bilgi vermedim, risk var mı? Yalnızca ziyaret genelde zararsızdır. Bir dosya indirdiysen veya bir uzantı kurduysan cihazını tarat.

Kilit simgesi varsa güvenli değil mi? Hayır. Kilit yalnızca şifreli bağlantıyı gösterir, sitenin kimliğini değil.

Sahte siteyi nasıl bildirebilirim? Tarayıcıların oltalama bildirim mekanizmaları vardır. Markanın kendi destek kanalına bildirmek de faydalıdır.

QR kod taramak da riskli mi? Evet — QR kodlar da bir adrese yönlendirir ve hedefi gözle göremezsin. Kamerada beliren adresi okumadan onaylama. Fiziksel ortamlara yapıştırılan sahte QR kodlar bilinen bir yöntemdir.

Mesaj gerçek numaradan/hesaptan geliyor gibi görünüyor. Gönderen adı ve numarası taklit edilebilir (spoofing). Görünen kaynak, kaynağı kanıtlamaz.

Şifre yöneticisi gerçekten koruyor mu? Dolaylı ama etkili biçimde: alan adı eşleşmezse doldurmaz. Bu sessiz uyarı, gözle fark edilmeyen adresleri yakalar.

Bethand güncel giriş adresi: /giris/ sayfasında yazılı ve her adres değişikliğinde güncelleniyor. Bir giriş sayfasının gerçek olup olmadığını oradaki adresle karşılaştırarak anlayabilirsin.

Bethand özelinde doğrulama: resmî adreslerimiz ve sosyal hesaplarımızın tam listesi resmî kanallar sayfasındadır. Bir bağlantı veya hesabın gerçek olup olmadığını oradan kontrol edebilirsin.

İlgili sayfalar: Resmî kanallar · İki aşamalı doğrulama · Güçlü şifre · Sahte destek hesapları · Güvenilir mi?

Bahis bir eğlence biçimidir, gelir kaynağı değil. Sorumlu oyun →