Sosyal mühendislik, teknolojiyi değil insan psikolojisini hedef alan en tehlikeli siber saldırı türüdür. Manipülasyon taktiklerini tanıyın ve savunmanızı güçlendirin.
22 dkOkuma Süresi
8 BölümDetaylı Rehber
%98Saldırı İnsan Hatası
DERS PLANI
Sosyal Mühendislik Savunma Yolculuğu
Manipülasyon taktiklerini tanıyın ve kendinizi koruyun.
Sosyal mühendislik, teknik açıkları değil insan psikolojisini hedef alan bir siber saldırı türüdür. Saldırganlar, insanları manipüle ederek hassas bilgileri (şifreler, finansal veriler, erişim kodları) ifşa etmelerini veya güvenlik ihlalleri yapmalarını sağlar.
🔴 Tehlike Boyutu
Siber saldırıların %98'i insan hatası içerir (Stanford University). Sosyal mühendislik saldırıları 2023'te %350 arttı. Ortalama bir saldırının maliyeti $4.9 milyon. En iyi güvenlik duvarı bile insan zafiyetini durduramaz.
Sosyal Mühendislik vs Teknik Saldırı
Özellik
Teknik Saldırı
Sosyal Mühendislik
Hedef
Yazılım, donanım, ağ
İnsan psikolojisi
Gereken Beceri
Yüksek teknik bilgi
Psikolojik manipülasyon
Maliyet
Yüksek (araç, altyapı)
Düşük (telefon, e-posta)
Tespit Zorluğu
Orta
Çok Yüksek
Başarı Oranı
%10-30
%70-95
Savunma
Yazılım güncellemeleri
Eğitim + farkındalık
Neden İnsanlar Manipüle Edilir?
Yardım Etme İçgüdüsü
İnsanlar doğuştan yardımseverdir. Saldırganlar bu iyi niyeti kullanır.
Korku ve Aciliyet
"Hesabınız kapatılacak!" gibi tehditler mantıklı düşünmeyi engeller.
Otoriteye İtaat
"CEO'dan talimat" gibi ifadeler sorgulamayı engeller.
Ödül Beklentisi
"Kazandınız!" mesajları dikkati dağıtır ve harekete geçirir.
"Bu fotoğrafı sen misin?" gibi mesajlar tıklamayı tetikler.
💡 Temel İlke
Sosyal mühendislik saldırıları duygusal tepkiler üzerine kuruludur. Herhangi bir acil, korkutucu veya çok iyi görünen mesaj aldığınızda durun, düşünün, doğrulayın.
BÖLÜM 02
Sosyal Mühendislik Saldırı Türleri
Sosyal mühendislik saldırıları farklı kanallar ve yöntemler kullanır. Her türü tanımak, savunmanızı güçlendirir.
Ana Saldırı Kategorileri
EN YAYGIN
Phishing (Oltalama)
Sahte e-posta, SMS veya mesajlarla hassas bilgi çalma. Toplu gönderim yapılır.
%80Tüm saldırıların
Örnek: "Hesabınız askıya alındı, hemen doğrulayın"
HEDEFLENMİŞ
Spear Phishing
Belirli bir kişiye özel hazırlanmış saldırı. Hedef hakkında araştırma yapılır.
Arkadaşınızdan bile olsa acil para veya bilgi isteği alırsanız, telefonla doğrulayın.
💡 Altın Kural
Herhangi bir iletişim duygusal tepki (korku, heyecan, merak) uyandırıyorsa, bu muhtemelen bir sosyal mühendislik saldırısıdır. Sakin olun, doğrulayın.
BÖLÜM 07
Kurumsal Savunma Stratejileri
Kurumlar, sosyal mühendislik saldırılarına karşı çok katmanlı savunma stratejisi uygulamalıdır. Teknoloji, süreç ve insan faktörü bir arada ele alınmalıdır.
Kurumsal Savunma Katmanları
1
Çalışan Eğitimi
Düzenli sosyal mühendislik farkındalık eğitimleri. Yılda en az 2 kez zorunlu eğitim.
Simülasyon testleriVaka analizleriSertifikasyon
2
Phishing Simülasyonları
Aylık sahte phishing e-postaları göndererek çalışanları test edin. Başarısız olanlara ek eğitim verin.
KnowBe4PhishMeGoPhish
3
E-posta Güvenlik Gateway
Gelişmiş e-posta filtreleme sistemleri. SPF, DKIM, DMARC kayıtları.
ProofpointMimecastBarracuda
4
Erişim Kontrolleri
Least privilege principle. MFA zorunluluğu. Rol bazlı erişim kontrolü.
RBACMFAZero Trust
5
Incident Response Planı
Sosyal mühendislik saldırısı durumunda ne yapılacak? Adım adım prosedür.
Gerekli mercilere (KVKK, emniyet) bildirim yapılır. Etkilenen kişiler bilgilendirilir.
6
Ders Çıkarma
Olay dokümante edilir, prosedürler güncellenir, ek eğitimler planlanır.
⚠️ Kritik Not
Sosyal mühendislik savunmasında suçlayıcı olmayan kültür önemlidir. Çalışanlar hata yaptıklarında raporlamaktan korkmamalı. "Blame-free" raporlama sistemi kurun.
BÖLÜM 08
Sosyal Mühendislik Savunma Kontrol Listesi
Sosyal mühendislik savunmanızı değerlendirmek için bu kontrol listesini kullanın. Tüm maddeleri işaretleyerek güvenliğinizi maksimize edin.
Bireysel Farkındalık
Teknik Önlemler
Kurumsal Önlemler
Final Quiz: Sosyal Mühendislik
Soru 3/3
"CEO'dan acil havale talimatı" e-postası aldınız. Ne yapmalısınız?
🎉 Tebrikler!
Sosyal Mühendislik rehberini tamamladınız! Artık manipülasyon taktiklerini tanıyor ve savunma stratejilerini biliyorsunuz. Öğrendiklerinizi uygulayarak kendinizi ve yakınlarınızı koruyun.
SIKÇA SORULAN SORULAR
Sosyal Mühendislik SSS
Sosyal mühendislik saldırısı nasıl anlaşılır?
Aciliyet baskısı, beklenmeyen iletişim, kişisel bilgi isteme, genel hitap, şüpheli linkler ve duygusal manipülasyon en yaygın belirtilerdir. Her zaman durun, düşünün ve doğrulayın.
Bankam beni aradıysa ne yapmalıyım?
Bankanız sizi asla arayarak şifre, TCKN veya kredi kartı bilgisi istemez. Aramayı kapatın ve bankanın resmi müşteri hizmetleri numarasını kendiniz arayın.
CEO'dan acil talimat e-postası aldım, ne yapmalıyım?
Önce e-posta adresini dikkatlice kontrol edin. Sonra CEO'yu bildiğiniz resmi kanaldan (dahili telefon, Teams) arayarak talimatı doğrulayın. Asla e-postadaki numarayı kullanmayın.
Teknik destek araması aldım, gerçek mi?
Microsoft, Apple gibi şirketler sizi asla arayarak virüs uyarısı vermez. Aramayı kapatın. Bilgisayarınızda sorun varsa, siz resmi kanallardan destek talep edin.
Sosyal mühendislikten korunmanın en etkili yolu nedir?
Eğitim ve farkındalık. Saldırı türlerini tanımak, kırmızı bayrakları bilmek ve "dur-düşün-doğrula" kuralını uygulamak en güçlü savunmadır.
Çalışanlarıma phishing simülasyonu yapmalı mıyım?
Evet, aylık simülasyonlar önerilir. Ancak suçlayıcı olmayan bir kültür oluşturun. Başarısız olanları eğitin, cezalandırmayın.
Deepfake ses ile aranabilir miyim?
Evet, 2019'da CEO'nun sesi klonlanarak €243K çalınan vaka yaşandı. Finansal işlemler için her zaman çift onay (telefon + e-posta) prosedürü uygulayın.
MFA fatigue saldırısı nedir?
Saldırgan, size art arda MFA onay bildirimi gönderir. Yorulup "Evet" dediğinizde hesabınızı ele geçirir. Number matching özelliği bu saldırıyı engeller.
Sosyal Mühendislik Farkındalığınızı Test Edin
Phishing simülasyonu ve güvenlik araçları ile kendinizi test edin.
