Sesli Oltalama Farkındalık Testi Nasıl Yapılır? Adım Adım Kurumsal Rehber
Son güncelleme: 23 Ekim 2026Sesli oltalama farkındalık testi, çalışanların sosyal mühendislik içeren telefon aramalarına nasıl tepki verdiğini kontrollü ve gerçekçi senaryolarla ölçme yöntemidir. Güvenlik duvarı, e-posta filtresi ya da MFA gibi önlemler birçok saldırıyı durdurur; telefonla yapılan oltalama ise bu katmanların hiçbirine takılmadan doğrudan çalışana ulaşır.
İlgili Vishing Rehberleri
Vishing Nedir?
Sesli oltalamanın tanımı, işleyişi ve temel korunma yolları.
En Yaygın 10 Vishing Senaryosu
Banka, BT destek ve CEO taklidi gibi gerçek senaryolar.
Vishing, Phishing ve Smishing
Üç saldırı türünün farkları ve ortak noktaları.
Yapay Zekâ ve Deepfake Vishing
Ses klonlama tehditleri ve kurumsal savunma.
Vishing saldırılarının nasıl çalıştığını daha önce anlatmıştık. Bu yazıda kurum içinde böyle bir testin neden gerekli olduğuna ve adım adım nasıl yapıldığına bakıyoruz.
İçindekiler
Neden Teknik Önlemler Yeterli Değil?
Telefon kanalı, teknik önlemlerin en zayıf kaldığı yerdir:
- Filtre yok: E-postadaki spam filtresinin telefon aramalarında bir karşılığı bulunmuyor.
- Numara yanıltıcı olabilir: Arayan numara taklit edilebildiği için ekranda görünen isim tek başına bir güvence değil.
- Ses ikna eder: Ses tonu, aciliyet ve otorite, yazılı bir mesajdan çok daha güçlü bir baskı kurar.
- MFA aşılabilir: Çalışan telefonuna gelen kodu sesli olarak paylaşırsa çok faktörlü doğrulama devre dışı kalır.
Bu yüzden insan faktörünü test etmek teknik önlemlerin yerini almaz, ama onların bıraktığı boşluğu doldurur.
Sesli Oltalama Farkındalık Testi Nasıl Yapılır?
Adım 1: Kapsam ve Hedef Belirleme
İlk iş kapsamı belirlemek: hangi departmanların test edileceği, hangi senaryoların kullanılacağı, zorluk seviyesi ve neyin başarı sayılacağı. Bu kararlar netleştikten sonra üst yönetimin onayı alınır; onaysız bir test hem etik hem hukuki sorun yaratabilir.
Adım 2: Senaryo Tasarımı
İyi bir senaryo şirketin gerçek işleyişine uyar, farklı manipülasyon tekniklerini dener ve sonunda ölçülebilir bir veri üretir. Örneğin finans ekibine acil ödeme talebi, tüm çalışanlara ise kargo ya da İK senaryosu daha gerçekçi gelir.
Örnek senaryolar:
| Senaryo | Seviye | Hedef Grup |
|---|---|---|
| Kargo bildirimi: adres doğrulama | Kolay | Tüm çalışanlar |
| BT destek: uzaktan erişim talebi | Orta | BT dışı departmanlar |
| CFO taklidi: acil ödeme | Zor | Finans departmanı |
| İK: maaş bilgisi güncelleme | Orta | Tüm çalışanlar |
| Dış denetçi: belge talebi | Zor | Üst yönetim |
Saldırganların en sık kullandığı senaryoları gerçek örneklerle En Yaygın 10 Vishing Senaryosu yazımızda ele aldık.
Adım 3: Uygulama
Aramalar önceden planlanan takvime göre yapılır. Her aramada çalışanın bilgi paylaşıp paylaşmadığı, paylaştıysa neyi paylaştığı ve şüpheli aramayı bildirip bildirmediği kaydedilir.
Adım 4: Analiz ve Raporlama
Sonuçlar departman, senaryo ve zorluk seviyesine göre ayrıştırılır. Önceki testlerle karşılaştırıldığında hangi ekibin geliştiği, hangisinin hâlâ risk taşıdığı açıkça görülür.
Adım 5: Hedefli Eğitim ve Tekrar
Bilgi paylaşan çalışanlara konuya özel kısa bir farkındalık eğitimi verilir. İki üç ay sonra test tekrarlanır ve eğitimin işe yarayıp yaramadığı ölçülür.
Farkındalık Testinin Kuruma Kattığı Değer
Regülasyon Uyumu
Farkındalık testleri birçok standart ve düzenlemenin beklentisini karşılamaya da yardımcı olur:
- ISO 27001 (Madde 7.2-7.3): Bilgi güvenliği yetkinliği ve farkındalığı
- BDDK: Bilgi sistemleri denetimi ve personel farkındalığı beklentileri
- PCI-DSS (Gereksinim 12.6): Güvenlik farkındalık programı zorunluluğu
- KVKK: Kişisel verileri işleyen çalışanların farkındalığı
Sesli oltalama testleri, daha kapsamlı sosyal mühendislik testlerinin bir parçası olarak da yapılabilir.
Ölçülebilir Sonuçlar
Düzenli test yapan kurumlarda genellikle iki eğilim birlikte görülür: bilgi paylaşan çalışan sayısı azalır, şüpheli aramaları bildirenlerin sayısı artar. Test tekrarlandıkça departman bazlı risk seviyeleri de somut bir şekilde izlenebilir hale gelir.
Testi Hangi Araçla Yapabilirsiniz?
Bu süreci elle yapılan aramalarla yürütmek hem zaman alır hem de ölçümü zorlaştırır. Nesil Teknoloji’nin vishing simülasyonu çözümü hazır senaryo kütüphanesi, ses ve SMS şablonları, kampanya zamanlama ve hedef bazlı risk skoru ile bu adımların hepsini tek platformdan yönetmenizi sağlar.
Testte Dikkat Edilmesi Gerekenler
Etik ve Hukuki Çerçeve
- Testten önce üst yönetimin onayının alınması
- Sonuçların cezalandırmak için değil, eğitim için kullanılması
- Toplanan verilerin KVKK kapsamında korunması
Başarı İçin İpuçları
Testin amacına ulaşması için birkaç küçük ayrıntı fark yaratır:
- İlk testi bir öğrenme fırsatı olarak sunmak
- Sonuçları çalışanlarla anonim ve eğitici bir dille paylaşmak
- Testi yılda 2-4 kez tekrarlamak
- Her seferinde farklı senaryolar denemek
- Doğru tepki veren çalışanları takdir etmek
Sıkça Sorulan Sorular
Sesli oltalama testi çalışanları rahatsız eder mi?
Doğru kurgulandığında hayır. Testi bir sınav gibi değil, bir eğitim aracı gibi konumlandırmak önemli. Sonuçlar kişileri değerlendirmek için değil, kurumun eksiklerini görmek için kullanıldığında çalışanlar da süreci daha rahat karşılar.
Test sonuçlarını yönetime nasıl sunmalıyım?
Bireysel isimler yerine departman bazlı sonuçlar paylaşmak daha doğru olur. Yönetim için genel risk seviyesini, önceki testlerle karşılaştırmayı ve önerileri içeren kısa bir özet genellikle yeterlidir.
Sesli oltalama testi ne sıklıkla yapılmalı?
Yılda en az iki, ideal olarak dört kez yapılması önerilir; her seferinde farklı senaryolar kullanmak gerekir. Nesil Teknoloji Phishing Platformu kampanya zamanlama özelliğiyle bu takvimi kolaylaştırır.
Küçük işletmeler için de gerekli mi?
Evet. Küçük işletmelerde BT kaynakları sınırlı, onay süreçleri de daha az katmanlı olduğu için risk aslında daha yüksek. Basit senaryolarla başlayıp düzenli tekrar etmek, bütçe ne olursa olsun fayda sağlar.
Sesli Oltalama Farkındalık Testi İçin Ön Görüşme
Çalışanlarınızın vishing saldırılarına ne kadar hazırlıklı olduğunu kontrollü bir testle ölçelim.
Teklif Talep Et