Sosyal Mühendislik Taktikleri
Bir önceki derste kimlik avı e-postaları ve zararlı bağlantılar gibi dijital tehditleri incelemiştik. Ancak saldırganların en etkili silahı bazen bir yazılım açığı değil, insan doğasıdır. Bu derste, saldırganların güven, merak, korku ve aciliyet duygularımızı nasıl kullandığını; yani sosyal mühendislik taktiklerini ele alıyoruz.
Sosyal Mühendislik Nedir?
Sosyal mühendislik, bir kişiyi kandırarak gizli bilgi vermesini, bir sisteme erişim sağlamasını veya güvenlik kurallarını ihlal etmesini sağlama sanatıdır. Saldırgan genellikle güvenilir bir kimliğe bürünür: IT departmanından biri, bir tedarikçi, hatta üst yönetimden biri gibi davranabilir.
Yaygın Taktikler
| Taktik | Açıklama | Örnek |
|---|---|---|
| Vishing | Telefonla ikna yoluyla bilgi sızdırma | "Ben IT desteğinden arıyorum, şifrenizi doğrulamam gerekiyor" |
| Tailgating | Yetkisiz kişinin fiziksel alana sızması | Kartlı kapıdan geçen çalışanın arkasından "elim dolu, tutar mısınız?" diyerek girmek |
| Pretexting | Sahte bir senaryo/kimlikle güven kazanma | Denetçi ya da kurye gibi davranmak |
| Baiting | Merakı tuzak olarak kullanma | Otoparkta bırakılan "Maaş Listesi 2026" yazılı bir USB bellek |
Telefonla Dolandırıcılık (Vishing)
Saldırgan telefonda aciliyet hissi yaratır: "Hesabınız birazdan kilitlenecek", "Yöneticiniz acil onay bekliyor" gibi ifadelerle sizi düşünmeden hareket etmeye iter. Gerçek IT ve destek birimleri asla telefonda şifre sormaz.
Tailgating (Fiziksel Takip)
Güvenlik yalnızca ekranlarda değil, kapılarda da başlar. Kartsız bir kişinin sizin arkanızdan binaya girmesine izin vermek, dijital tüm önlemleri anlamsız kılabilir. Nazik olmak isteği burada saldırganın en büyük avantajıdır.
Diğer Yöntemler
- Pretexting: Sahte bir kimlik ve inandırıcı bir hikâye ile güven inşa etme
- Baiting: Merakı tetikleyen fiziksel veya dijital tuzaklar (USB bellek, sahte indirme linki)
- Quid pro quo: "Yardım karşılığında bilgi" teklifiyle kandırma
Kendinizi Nasıl Korursunuz?
- Kimliği doğrulanmamış hiç kimseye şifre, yetki kodu veya hassas bilgi vermeyin
- Aciliyet hissi yaratan her talebi bir adım geriden değerlendirin
- Tanımadığınız kişileri kartsız olarak binaya almayın, güvenlik görevlisine yönlendirin
- Şüpheli bir durum sezdiğinizde doğrulamak için resmi iletişim kanalını kendiniz arayın
Unutmayın
En gelişmiş güvenlik sistemleri bile, bir kapıyı nazikçe açık tutan ya da telefonda güvenen bir çalışanı aşamaz. Şüphe duymak kabalık değil, sorumluluktur.
Bu dersi kayıt olmadan izleyebilirsin. İlerlemeni kaydetmek, sertifika almak ve puan tablosuna girmek için ücretsiz üye ol: Kayıt Ol