Vishing Nedir? Sesli Oltalama Saldırıları Rehberi

Telefondaki kişi kendini “bankanızın güvenlik birimi” olarak tanıtıyor, kartınızda şüpheli bir işlem olduğunu söylüyor ve birkaç dakika sonra telefonunuza gelen kodu istiyorsa, büyük ihtimalle bir vishing girişimiyle karşı karşıyasınız.

E-postadaki oltalamayı spam filtreleri bir ölçüde yakalar. Telefon görüşmesinde böyle bir filtre yok; karar o an, karşıdaki sesin ne kadar ikna edici olduğuna bakılarak verilir. Vishing’e karşı en etkili savunmanın teknik değil insani olmasının sebebi de bu.

Vishing Nasıl Çalışır?

Çoğu vishing saldırısı aynı yolu izler ve beş adımda ilerler:

1. Ön araştırma (reconnaissance): Saldırgan önce hedefini tanır. LinkedIn’den unvanınızı, şirket sitesinden yöneticinizin adını, sosyal medyadan hangi kargoyu beklediğinizi öğrenir.
2. Senaryo hazırlığı (pretexting): Bu bilgilere uyan bir hikâye kurar: “BT’den arıyorum, hesabınızda şüpheli bir giriş var” ya da “bankanızdan arıyorum, onaylanmamış bir işlem görünüyor.”
3. Arama ve baskı: Acele ettirir (“hesabınız yarım saat içinde kilitlenecek”), otoriteye yaslanır (“genel müdür bizzat istedi”) ya da korkutur.
4. Bilgiyi alma: Panikleyen kişi parolasını, telefonuna gelen kodu veya şirket içi bir bilgiyi paylaşır.
5. İstismar: Saldırgan bu bilgiyle hesaba girer, para transferi yapar ya da daha büyük bir saldırının ilk adımını atar.

En Yaygın Vishing Senaryoları

Senaryolar değişse de amaç hep aynı: sizi düşünmeye fırsat bulmadan harekete geçirmek.

Banka ve Finans Kurumları Taklidi

Türkiye’de en sık duyulan senaryolardan biri. Arayan kişi kartınızda şüpheli bir işlem olduğunu söyler, “işlemi iptal etmek için” kart numaranızı ve SMS ile gelen kodu ister. Bankalar bu bilgileri telefonda sormaz. Böyle bir aramada en doğrusu telefonu kapatıp bankanın numarasını kendiniz aramaktır.

BT Destek Taklidi

Kurumlarda en çok bununla karşılaşılır. “Bilgisayarınıza bir güncelleme yüklememiz lazım, AnyDesk’i açar mısınız?” cümlesi masum görünür. Ama uzaktan erişimi verdiğiniz anda saldırgan artık sizin ekranınızdadır.

Yönetici Taklidi (CEO Fraud)

Arayan kişi genel müdür ya da finans direktörü olduğunu söyler, acil ve “gizli” bir ödeme ister, kimseye söylememenizi rica eder. Gizlilik vurgusu tesadüf değildir: kimseye danışmazsanız sizi durduracak kimse de olmaz. Yüksek tutarlı kayıpların çoğu bu senaryodan çıkar.

Kargo ve Teslimat

“Kargonuz gümrükte bekliyor, teslimat için kimlik numaranızı doğrulamamız gerekiyor.” Kampanya dönemlerinde sıklaşır ve çoğu zaman önce bir SMS ile başlar.

Resmî Kurum Taklidi

Vergi dairesi ya da SGK adına yapılan aramalar borç ve haciz tehdidiyle panik yaratır. Resmî kurumlar telefonda ödeme istemez; borcunuz olup olmadığını e-Devlet’ten kendiniz kontrol edebilirsiniz.

Bu senaryoların gerçek örneklerle anlatıldığı En Yaygın 10 Vishing Senaryosu yazımıza da göz atabilirsiniz.

Vishing ve Phishing Arasındaki Fark

İkisi de aynı aileden: insanı kandırarak bilgi almak. Phishing bunu e-postayla, sahte link ve eklerle yapar; vishing ise telefonla, ses tonu ve aciliyetle. Aradaki en önemli fark zaman. Şüpheli bir e-postayı bekletip birine danışabilirsiniz, telefonda ise karşı taraf cevabı hemen ister. Bu yüzden vishing’de bilginin bir anda elden çıkma riski daha yüksektir.

E-posta, telefon ve SMS kanallarını yan yana koyduğumuz Vishing vs Phishing vs Smishing rehberinde korunma yollarını da ayrıntılı anlattık.

Kurumsal Ortamda Vishing Riskleri

Bireyler çoğunlukla para kaybeder; kurumlarda kaybedilen şey ise erişimdir. Kurumsal saldırıları farklı kılan noktalar şunlar:

• Hedefli arama (spear vishing): Rastgele numaralar değil, belirli bir kişi ya da departman aranır; çoğu zaman finans, İK veya BT.
• Çok kanallı kurgu: Arama tek başına gelmez; öncesinde bir e-posta ya da SMS ile zemin hazırlanır.
• Masum görünen sorular: Sohbet arasında hangi sistemlerin kullanıldığı, kimin kime bağlı olduğu, yöneticinin o hafta izinde olup olmadığı öğrenilir.
• MFA’nın aşılması: Çok faktörlü doğrulama parolayı tek başına yetersiz kılar. Ama çalışan telefonuna gelen kodu kendi ağzıyla okursa bu katman da işe yaramaz.

Vishing’e Karşı Korunma

Bireysel Önlemler

Genel bir ilke olarak, aramayı siz başlatmadıysanız bilgi paylaşmamak en güvenli yoldur.

• Kart numarası, parola veya SMS kodu isteyen bir aramayı sonlandırıp kurumu bilinen numarasından aramak en sağlıklısıdır.
• “Acil” ve “kimseye söylemeyin” ifadeleri aynı görüşmede geçiyorsa bir adım geri çekilmekte fayda var. Bu ikili neredeyse her vishing senaryosunda karşımıza çıkar.
• SMS ile gelen kodlar size özeldir; bankanız da BT ekibiniz de bu kodu sizden istemez.
• Ekranda görünen numara tek başına güvence değildir; numaralar taklit edilebilir.

Kurumsal Önlemler

• Simülasyonla ölçüm: Eğitimin işe yarayıp yaramadığı gerçekçi vishing senaryolarıyla test edilebilir.
• Düzenli eğitim: Yılda bir yapılan tek bir sunum çoğu zaman yeterli olmuyor; sosyal mühendislik eğitiminin periyodik hale getirilmesi önerilir.
• Kolay bildirim kanalı: Şüpheli aramalar için basit bir kanal yeterlidir; bir e-posta adresi ya da dahili hat bu iş için uygundur.
• Yazılı politika: Telefonda hangi bilgilerin paylaşılabileceğinin net bir politikaya bağlanması karışıklığı önler.

Bu ölçümü yapmak için Nesil Teknoloji’nin sesli oltalama simülasyonu çözümünü kullanabilirsiniz. Kargo, BT destek ve yönetici taklidi gibi senaryolar farklı zorluk seviyelerinde uygulanır ve her çalışanın tepkisi hedef bazlı bir risk skoruna dönüşür.

Sıkça Sorulan Sorular