Şüpheli bir e-posta, SMS veya web sitesi gördüğünüzde "Acaba gerçek mi?" diye tereddüt ettiyseniz doğru yerdesiniz. Bu rehberde phishing'i (oltalama) tanımanın somut işaretlerini ve hesaplarınızı, paranızı ve lisanslarınızı korumanın pratik yollarını adım adım anlatıyoruz. Endişelenmeyin; birkaç basit alışkanlık edindiğinizde bu tür saldırıların büyük çoğunluğunu daha açmadan fark edebilirsiniz.
Phishing (Oltalama) Nedir?
Phishing, dolandırıcıların güvendiğiniz bir kurum (bankanız, kargo firması, e-posta sağlayıcınız, bir yazılım üreticisi) gibi davranarak sizi kandırmaya çalıştığı bir saldırı türüdür. Amaç genellikle şudur: sahte bir e-posta, SMS ya da web sitesiyle sizi kandırıp şifrenizi, kart bilgilerinizi veya doğrulama kodunuzu ele geçirmek.
Saldırı farklı kanallardan gelebilir:
- E-posta ile (klasik phishing): Sahte e-posta, gerçeğine benzeyen bir siteye yönlendirir.
- SMS ile (smishing): Kısa mesajla "kargonuz beklemede / hesabınız kapanacak" der.
- Telefon ile (vishing): Sizi arayıp banka/kurum görevlisi gibi konuşur.
Tek bir altın kural unutmayın: Hiçbir kurum sizden şifrenizi, kart güvenlik kodunuzu (CVV) veya SMS doğrulama kodunuzu e-posta, SMS ya da telefonla istemez. Bunu isteyen herkes dolandırıcıdır.
Bölüm 1 — Phishing'i Tanıma İşaretleri
Sahte mesajlar genellikle aynı kalıpları kullanır. Aşağıdaki işaretlerden biri veya birkaçı varsa alarma geçin.
1. Aciliyet ve korku dili
Dolandırıcılar düşünmenize fırsat vermeden harekete geçmenizi ister. Tipik ifadeler:
- "Hesabınız 24 saat içinde kapatılacak."
- "Hemen tıklamazsanız siparişiniz iptal edilecek."
- "Şüpheli giriş tespit edildi, doğrulamazsanız bloke olacaksınız."
Gerçek kurumlar sizi bu kadar baskı altına almaz. Aciliyet + korku = şüphe sebebi.
2. Gönderen adresini kontrol edin
Görünen isim ("Garanti BBVA", "Microsoft") sahte olabilir; asıl bakılacak yer gerçek e-posta adresidir.
- Gönderen adının yanındaki gerçek adrese bakın: gibi bir adres gerçek değildir.
- Sık kullanılan numaralar: harf yerine rakam (, ), araya tire/ek kelime (), tanıdık marka + alakasız uzantı.
- Outlook/Gmail uygulamasında gönderen adının üzerine gelerek ya da dokunarak tam adresi görebilirsiniz.
3. Yazım ve dil bozuklukları
Profesyonel kurumların mesajları genellikle düzgündür. Şu işaretler şüphe uyandırmalı:
- Türkçe karakter hataları, bozuk cümleler, garip çeviri ("Sayın Müşteri Bizim").
- Size isminizle değil "Değerli Kullanıcı / Dear Customer" gibi genel bir ifadeyle hitap edilmesi.
- Tutarsız logo, eski tarihli tasarım, kalitesiz görseller.
4. Linkin gerçek adresini kontrol edin (en önemli adım)
Bağlantı metni ("Hesabımı Doğrula") ile gittiği gerçek adres farklı olabilir.
- Bilgisayarda: Linke tıklamadan fare imlecini üzerine getirin; tarayıcının/e-posta programının sol alt köşesinde gidilecek gerçek adres belirir.
- Telefonda: Linke basılı tutun (dokunup beklemeyin, açılmasın); çıkan menüde adresin tamamını görebilirsiniz.
- Adresin ana alan adına bakın. güvenilirken; adresinde gerçek alan adı `giris-dogrulama.ru`'dur — markanın adı yalnızca öne serpiştirilmiştir.
- Kısaltılmış linkler (bit.ly vb.) nereye gittiğini gizler; beklenmedik mesajlardaki kısa linklere güvenmeyin.
5. "Kilit simgesi" (HTTPS) tek başına yeterli değil
Eskiden "yeşil kilit varsa güvenli" denirdi; bu artık doğru değil. Sahte siteler de ücretsiz sertifika alıp adres çubuğunda kilit gösterebilir. Kilit yalnızca bağlantının şifreli olduğunu söyler; sitenin dürüst olduğunu söylemez. Asıl bakılacak yer yine alan adının kendisidir.
6. Beklenmedik ek dosya
Beklemediğiniz bir e-postada ek varsa açmayın. Riskli ekler:
- , , , gibi çalıştırılabilir dosyalar.
- Makro çalıştırmanızı isteyen Office dosyaları ("İçeriği Etkinleştir" uyarısı).
- Parolayla korunmuş ZIP/RAR arşivleri (parola e-postada yazılıysa, bu tipik bir kötü amaçlı yazılım taşıma yöntemidir).
7. Beklemediğiniz bir şey isteniyor
"Faturanızı görüntüleyin", "ödülünüzü alın", "vergi iadeniz hazır", "size para göndereceğiz, IBAN'ınızı yazın" gibi sizin başlatmadığınız işlemler büyük ihtimalle tuzaktır.
Bölüm 2 — Saldırıdan Korunma Adımları
Tanımak savunmanın yarısıdır; geri kalanı doğru alışkanlıklardır.
Adım 1: Linke tıklamak yerine siteye elle gidin
Bir bankadan/kurumdan mesaj geldiğinde, mesajdaki linke tıklamayın. Bunun yerine: 1. Tarayıcınızı kendiniz açın. 2. Kurumun resmi adresini kendi elinizle yazın ya da daha önce kaydettiğiniz yer imini (favori) kullanın. 3. İşleminizi orada yapın. Gerçek bir bildirim varsa hesabınızda zaten görürsünüz.
Bu tek alışkanlık, sahte sitelerin büyük kısmını etkisiz hâle getirir.
Adım 2: İki Adımlı Doğrulamayı (2FA) açın
İki adımlı doğrulama, şifreniz çalınsa bile hesabınıza girişi engelleyen ikinci bir kapıdır. Şifrenize ek olarak telefonunuza gelen/üreten bir kod istenir.
- Mümkünse kimlik doğrulama uygulaması (Google Authenticator, Microsoft Authenticator, Authy vb.) kullanın; bu yöntem SMS'ten daha güvenlidir.
- Microsoft hesabınız için: adresine girip oturum açın, Güvenlik sayfasına geçin, Oturum açma yöntemlerimi yönet altından iki adımlı doğrulamayı Aç ile etkinleştirin.
- Google hesabınız için: adresine girip 2 Adımlı Doğrulama'yı seçin ve ekrandaki adımları izleyin.
- Dikkat: 2FA kodunuzu kimseyle paylaşmayın. Sizi arayıp "doğrulama kodunu okuyun" diyen herkes dolandırıcıdır.
Adım 3: Şifre yöneticisi kullanın
Şifre yöneticisi (Bitwarden, KeePassXC gibi güçlü ücretsiz seçenekler vardır; tarayıcıların yerleşik şifre yöneticileri de iş görür) her hesabınız için ayrı, güçlü şifre üretip saklar. Phishing'e karşı gizli bir avantajı vardır:
- Şifre yöneticisi, parolayı yalnızca kayıtlı doğru alan adında otomatik doldurur. Sahte bir sitede otomatik doldurma çalışmıyorsa, bu sitenin sahte olabileceğine dair güçlü bir ipucudur.
- Aynı şifreyi birden çok yerde kullanmayın; bir site sızdırılırsa diğer hesaplarınız da tehlikeye girer.
Adım 4: Ödeme ve para isteklerini ayrı bir kanaldan doğrulayın
"IBAN değişti, ödemeyi şu hesaba yapın", "patronunuz acil havale istiyor" gibi para içeren talepleri asla yalnızca mesaja güvenerek yapmayın.
- Karşı tarafı bildiğiniz, daha önceden kayıtlı bir telefon numarasından arayıp teyit edin (mesajdaki numarayı kullanmayın).
- IBAN/hesap değişikliği bildirimlerine özellikle dikkat edin; bu, işletmeleri hedefleyen çok yaygın bir dolandırıcılık türüdür.
Adım 5: İşletim sistemi, tarayıcı ve antivirüsü güncel tutun
Güncel bir sistem, bilinen güvenlik açıklarını kapatır ve birçok kötü amaçlı bağlantı/dosyayı otomatik engeller.
- Windows için Ayarlar > Windows Update'ten güncellemeleri yükleyin.
- Windows'ta yerleşik Windows Güvenliği (Microsoft Defender) açık ve güncel olsun; ayrı bir güvenlik programı kullanıyorsanız onun güncel olduğundan emin olun.
- Tarayıcınızı güncel tutun; modern tarayıcılar bilinen sahte siteler için uyarı gösterir.
Bölüm 3 — Sahte Yazılım / Lisans Sitesini Tanıma
Phishing yalnızca banka/kargo ile sınırlı değildir. Yazılım ve lisans alırken de sahte ya da güvenilmez sitelerle karşılaşabilirsiniz. İşte güvenilir bir satıcıyı ayırt etmenize yardımcı işaretler.
Güvenilir satıcının işaretleri
- Net iletişim ve kurumsal bilgiler: Satıcının adı/unvanı, iletişim e-postası ve adresi açıkça yazılıdır. Sözleşmeler (Mesafeli Satış, Gizlilik/KVKK, İptal-İade koşulları) sitede yer alır.
- Güvenli ödeme: Ödeme, bilinen bir ödeme altyapısı üzerinden ve https ile alınır. Kart bilgilerinizi e-posta/WhatsApp ile isteyen hiçbir satıcıya vermeyin.
- Gerçekçi fiyat: "1.500 TL'lik lisans 19 TL" gibi inanılmayacak kadar ucuz teklifler güçlü bir uyarı işaretidir. Çok ucuz lisanslar çoğu zaman iptal edilen, paylaşılan veya hiç çalışmayan anahtarlardır.
- Şeffaf teslimat ve destek: Ürünün nasıl teslim edileceği (ör. dijital lisans anahtarı + kurulum yönlendirmesi) ve bir sorun çıkarsa destek alabileceğiniz açık bir kanal bulunur.
- Faturalandırma: Yasal bir satıcı talebiniz hâlinde fatura düzenler.
Uyarı işaretleri
- Yalnızca havale/EFT veya kripto ile ödeme dayatılması, kart ödemesinin reddedilmesi.
- İletişim için yalnızca bir form ya da geçici bir e-posta; şirket/satıcı bilgisi yok.
- Acele ettiren açılır pencereler, geri sayım sayaçları, "son 2 lisans kaldı" baskısı.
- Resmi marka adresine çok benzeyen ama farklı alan adı ( gibi).
Enlisans olarak sattığımız anahtarlar %100 orijinal Microsoft anahtarlarıdır ve Microsoft'un kendi resmi etkinleştirme yöntemiyle etkinleşir. Bağımsız bir satıcıyız; ödeme güvenli altyapı üzerinden alınır, satışınız faturalandırılır ve bir sorun olursa destek hattımız size adım adım yardımcı olur.
"Crack / keygen / aktivatör" tuzağı hakkında uyarı
İnternette "ücretsiz lisans", "crack", "keygen", "aktivatör" vaat eden dosyalar çok büyük oranda kötü amaçlı yazılım taşır (şifre çalan, fidye yazılımı yükleyen vb.). Bunlardan uzak durun.
- WinRAR, 40 günlük deneme süresi dolduktan sonra da çalışmaya devam eder; yalnızca açılışta bir hatırlatma penceresi gösterir. Bu pencereden rahatsızsanız lisansını uygun fiyata orijinal yoldan alabilirsiniz. Kalıcı olarak ücretsiz bir seçenek isterseniz 7-Zip açık kaynaklı ve tamamen ücretsizdir, güvenle kullanabilirsiniz.
- Office gibi ürünlerde de ihtiyacınız tam sürüm değilse ücretsiz ve meşru alternatifler (ör. tarayıcıdan kullanılan ücretsiz Office uygulamaları, LibreOffice) vardır.
- Lisans satın alacaksanız her zaman orijinal anahtar alın; crack/keygen hem güvenlik hem yasal açıdan risklidir.
Bölüm 4 — "Tıkladım / Bilgilerimi Girdim" Diyorsanız Ne Yapmalısınız?
Panik yapmayın; hızlı hareket etmek zararı en aza indirir.
1. Şifrenizi hemen değiştirin. Önce o hesabın şifresini, ardından aynı şifreyi kullandığınız diğer tüm hesapların şifrelerini değiştirin. 2. 2FA'yı açın (henüz açık değilse) — böylece çalınan şifre tek başına işe yaramaz. 3. Kart bilgilerinizi girdiyseniz bankanızı arayın. Bankanızın kartın arkasındaki resmi numarasından arayıp kartı blokeletin ve durumu bildirin. 4. Açık oturumları kapatın. Hesabınızın güvenlik ayarlarından "tüm cihazlardan çıkış yap" seçeneğini kullanın. 5. Cihazınızı tarayın. Şüpheli bir ek/dosya çalıştırdıysanız Windows Güvenliği (Microsoft Defender) ile tam tarama yapın. 6. Bildirin. Sahte e-postayı/SMS'i ilgili kuruma iletin ve gerekirse resmi şikâyet kanallarına başvurun.
Kısa Özet
- Acele ettiren + korkutan mesajlara şüpheyle yaklaşın; gerçek kurumlar sizi panikletmez.
- Gönderen adresini ve linkin gerçek adresini kontrol edin; markanın adı geçiyor diye site gerçek olmaz — asıl alan adına bakın.
- Kilit simgesi (HTTPS) tek başına güvence değildir.
- Linke tıklamak yerine resmi siteye kendiniz girin.
- İki adımlı doğrulamayı (2FA) açın ve şifre yöneticisi kullanın; doğrulama kodunuzu kimseyle paylaşmayın.
- Para/IBAN değişikliği taleplerini bilinen bir numaradan mutlaka teyit edin.
- Lisans alırken gerçekçi fiyat, açık satıcı bilgisi, güvenli ödeme ve fatura arayın; crack/keygen dosyalarından uzak durun.
- Tuzağa düştüyseniz hızla şifre değiştirin, kartı blokeletin ve 2FA açın.
Aklınıza takılan bir mesajın gerçek olup olmadığından emin değilseniz veya bir lisans/aktivasyon konusunda yönlendirmeye ihtiyacınız olursa Enlisans destek hattı size adım adım yardımcı olmaktan memnuniyet duyar.
