Sahte Giriş Sayfası (Phishing) Nasıl Anlaşılır?
Sahte giriş sayfaları ve kimlik avı (phishing) nasıl anlaşılır: URL kontrolü, sayfa tasarım ipuçları, SMS ve e-posta tuzakları, tıkladıysanız yapılacaklar.
Kısa cevap
Sahte giriş sayfası, gerçek sitenin birebir kopyasıdır; tek güvenilir ayırt edici unsur adres çubuğudur: alan adını harf harf okuyun ('google.com' yerine 'gooogle.com', 'garanti.com.tr' yerine 'garanti-kampanya.com' gibi sapmaları yakalayın). Şüpheli mesajlarda üç kalıp hemen alarm verir: aciliyet ve tehdit dili, uyarıdaki 'giriş yap' veya 'şifremi sıfırla' bağlantısı ve hiç istemediğiniz bir ödül/cevap talebi. Kural nettir: e-posta veya SMS'teki hiçbir bağlantıya tıklamadan, siteye tarayıcının adres çubuğundan elle girin veya resmî uygulamayı açın. Tıkladıysanız ve bilgilerinizi girdiyseniz ilk dakikalar kritiktir: şifreyi gerçek siteden hemen değiştirin, iki adımlı doğrulamayı açın ve banka hesaplarına varsa kart bilgilerini güncelleyin.
Kimlik avı, hesap ele geçirmenin en ucuz ve en yaygın yoludur: saldırganın virüs yazmasına, sisteme sızmasına gerek yoktur — sizi bir sahte giriş sayfasına yönlendirmesi yeter. Sahte sayfalar artık görsel olarak kusursuzdur; logo, renkler ve hatta telif yazısı bile birebir aynıdır. Bu yüzden tek güvenilir savunma, sayfanın görünümüne değil kimliğine bakmaktır.
Tek Kanıt: Adres Çubuğu
Sahte sayfa, gerçek alan adını kullanamaz; alan adını kaydettirmez çünkü tescil işlemi doğrulama gerektirir. Bu yüzden adresi harf harf okuyun. Üç klasik hile vardır: benzer harf (‘gooogle.com’, ‘faceb00k.com’), alt alan adı yanılsaması (‘instagram.com.giris-dogrulama.net’ — asıl adres noktadan sonraki kısımdır, yani giris-dogrulama.net) ve kısaltılmış bağlantılar (bit.ly gibi) ki hedefi gizler. Kilit simgesi (HTTPS) kanıt değildir: sahte siteler de ücretsiz sertifika alır. Kanıt, alan adının kendisidir.
Mesajın Kendisi: Üç Alarm Kalıbı
Kimlik avı mesajları (e-posta, SMS, WhatsApp, Instagram DM) neredeyse hep aynı üç kalıbı kullanır. Aciliyet: ‘hesabınız 24 saat içinde kapatılacak’, ‘paket teslim edilemedi, vergi ödeyin’. Bağlantı: ‘şifrenizi sıfırlamak için tıklayın’, ‘doğrulamak için giriş yapın’ — hiçbir resmî kurum, sizin başlatmadığınız bir işlem için mesajla şifre sıfırlama sayfası göndermez. Ödül/talep: kazanmadığınız bir çekiliş, ‘KDV iadesi’, ‘sigorta para iadesi’ veya tanıdığınız birinden beklenmedik para transferi hikâyesi. Bu üçünden biri varsa, mesajı silin; yanıt vermeyin, linke tıklamayın.
Tıkladıysanız: İlk Dakikalar Yeterli
Linke tıkladıysanız ama bilgi girmediyseniz sorun yok; sayfayı kapatın, mesajı silin. Bilgi girdiyseniz ilk on dakika kritiktir: şifreyi, gerçek siteden (adres çubuğuna elle yazarak) hemen değiştirin. Aynı şifreyi kullandığınız diğer hesapları da sırayla değiştirin — saldırgan girilen kombinasyonu otomatik olarak yüzlerce sitede dener. İki adımlı doğrulamayı açın; kodlu giriş, çalınan şifreyi işlevsiz bırakır. Kart bilgisi girdiyseniz bankadan kartı bloke ettirin.
Zorlu Durumlar: SMS ve Telefonda Kimlik Avı
SMS kimlik avı (smishing) Türkiye’de en yaygın kargı-banka-kampanya tuzaklarıdır: kısa numaradan gelen ‘kargonuz depoda’ mesajları, gerçek bildirimlerle karışır. Kural aynıdır: kargonun gerçekten gelip gelmediğini kargo şirketinin kendi sitesinden, gönderi numarasıyla kontrol edin; mesajdaki bağlantıyı kullanmayın. Telefonda arayan ‘banka görevlisi’ kalıbı ise sizi güvenli gibi gösteren bir işleme yönlendirir — hiçbir banka, telefonda şifrenizi veya doğrulama kodunuzu istemez; kod isteyen her aramayı sonlandırın.
Alışkanlık: Otomatik Savunma
Savunmayı alışkanlığa bağlayın: şüpheli mesajı asla cihazdan işlem yapmadan ele alın; her kritik girişi resmî uygulamadan ya da elle yazılmış adresten yapın; şüpheli mesajları platformların ‘kimlik avı bildir’ seçeneğiyle işaretleyin. İki adımlı doğrulama ve şifre yöneticisi de sessiz savunmadır: şifre yöneticisi, adresi doğru olmayan bir sitede şifrenizi otomatik doldurmayı reddeder — bu, sahte sayfanın en sessiz yakalanma anıdır.
Sık sorulan sorular
Sahte sayfa görünüşte birebir aynıysa neye bakmalıyım?
Tasarımı değil, adresi kontrol edin; saldırgan görseli kusursuz kopyalar ama gerçek alan adını kullanamaz (kayıt edemez). Adres çubuğunda alan adının tam olarak doğru olduğuna bakın: alt alan adı hilesi ('google.com.dolandi.com' gibi) ve benzer harf hilesi ('rn' yerine 'm') en yaygın iki yöntemdir. HTTPS kilit simgesi güvenlik kanıtı değildir — sahte siteler de ücretsiz sertifika alabilir.
Kredi kartı bilgilerimi sahte sayfaya girdim, ne yapmalıyım?
Hemen bankanızı arayın ve kartı bloke ettirin — telefonda beklemek yerine bankanın uygulamasından kartı dondurabilirsiniz. İşlem geçmişinde tanımadığınız harcama olup olmadığını kontrol edin ve şüpheli hareketi bankaya bildirin. Ardından o sayfaya kayıtlı diğer şifrelerinizi de değiştirin; saldırganlar girilen bilgileri hızla otomatik denemelerde kullanır.
Phishing mesajını nereye bildirebilirim?
Gmail'de mesajı 'Kimlik avı bildir' seçeneğiyle işaretleyin; WhatsApp'ta göndericiyi bildirip engelleyin. Türkiye'de dolandırıcılık girişimlerini siber suçlarla ilgili resmî kanallara şikâyet edebilirsiniz; banka ve operatörler de kendi iç bildirim kanallarını sunar. Bildirim, mesajın başkalarına ulaşmasını engelleyen filtrelerin çalışmasına doğrudan katkı verir.
QR kodlarla yapılan kimlik avı (quishing) nedir?
Quishing, sahte URL'yi QR kodla gizleyen yeni bir kimlik avı biçimidir: posterlerde, park cezası sahte etiketlerinde veya e-posta eklerinde 'menüyü görmek için okutun' gibi kodlarla sizi telefonunuzda sahte sayfaya götürür. Telefonunuzda QR sonrası açılan sayfanın adresini mutlaka kontrol edin ve ödeme/şifre isteyen QR'ları asla güvenmeden okutmayın.
