Vishing vs Phishing vs Smishing: Farkları, Ortak Noktaları ve Korunma Yolları

Phishing (E-posta Oltalaması)

Saldırgan güvenilir bir kurumu taklit eden bir e-posta gönderir; e-postada genellikle sahte bir siteye giden link ya da zararlı bir ek bulunur. Tipik bir örnek: “Sayın kullanıcı, hesabınızda şüpheli aktivite tespit ettik. Aşağıdaki bağlantıdan bilgilerinizi doğrulayın.”

Saldırgan için cazip yanı, binlerce kişiye neredeyse sıfır maliyetle ulaşabilmesi ve bir markanın görünümünü kolayca kopyalayabilmesidir. Öte yandan spam filtreleri ve link analizleri bu saldırıların önemli bir kısmını yakalar; gönderilen her e-posta da dijital bir iz bırakır.

Şüphelenmek için birkaç işaret yeterli: gönderici adresinin gerçek alan adından farklı olması, yazım hataları, acele ettiren bir dil ve fareyle linkin üzerine gelindiğinde beklenmedik bir adresin görünmesi. Ayrıntılar için Oltalama Nedir? Sahte Mailleri Çözme ve Korunma Yolları yazımıza göz atabilirsiniz.

Vishing (Sesli Oltalama)

Burada saldırgan doğrudan arar ve ikna gücünü sesiyle kurar: “Bankanızın güvenlik biriminden arıyorum. Hesabınızda onaylanmamış bir işlem var, kimliğinizi doğrulamam için SMS kodunuzu paylaşır mısınız?”

Telefon aramaları için bir spam filtresi yoktur; numara taklit edilebilir, yapay zekâ ile ses klonlamak da artık mümkün. Bu yüzden vishing’in anlık psikolojik etkisi yüksektir. Saldırgan açısından dezavantajı ise ölçeklenememesidir: her arama zaman alır ve görüşme kaydedilebilir.

Beklenmedik bir arama, bilgi talebi, aciliyet ve gizlilik vurgusu bir aradaysa ya da geri aramanız engellenmeye çalışılıyorsa dikkatli olmakta fayda var. Ayrıntılar için: Vishing Nedir? Rehberi

Smishing (SMS Oltalaması)

Smishing’de ilk temas bir SMS’tir. Mesaj sizi bir linke tıklamaya ya da bir numarayı aramaya yönlendirir: “Kargonuz teslim edilemedi. Teslimat adresinizi güncellemek için: [kısaltılmış link]. Takip No: TR892847”

SMS’in en büyük avantajı okunma oranıdır. Yaygın kabul gören verilere göre SMS’lerin açılma oranı %98’e ulaşırken e-postalarda bu oran %20-30 civarında kalır. Kısaltılmış linkler gerçek adresi gizler, bildirim de anında dikkat çeker. Buna karşılık SMS göndermek e-postadan pahalıdır, karakter sınırı vardır ve operatörlerin filtreleri her geçen gün gelişiyor.

Bilinmeyen bir numaradan gelen, link içeren ve panik yaratmaya çalışan bir mesaj çoğu zaman smishing’in ta kendisidir.

Karşılaştırma Tablosu

IBM X-Force’un 2022 Tehdit İstihbaratı Endeksi verilerine göre, telefon aramasıyla desteklenen phishing kampanyaları yalnızca e-postayla yürütülenlere göre yaklaşık 3 kat daha başarılı. Kanalların birlikte kullanılmasını tehlikeli yapan da bu.

Çok Kanallı (Multi-Channel) Saldırılar

Gerçek saldırılarda bu üç kanal nadiren tek başına kullanılır. Saldırgan bir kanalda güven kurar, diğerinde bilgiyi alır. İki tipik örnek:

Örnek: Banka Dolandırıcılığı

1. SMS: “Bankanız: Hesabınızda şüpheli işlem. 0850 XXX XX XX’i arayın.” şeklinde bir mesaj gelir.
2. Telefon: Numarayı arayan kişi sahte bir çağrı merkezine bağlanır ve bilgileri alınır.
3. E-posta: Ardından “işlem onay formu” diye sahte bir link gönderilir.

Örnek: Kurumsal Hedefli Saldırı

1. E-posta: Hedef çalışana sahte bir toplantı daveti gelir.
2. Telefon: “Toplantıya bağlanmakta sorun var, uzaktan bakmam lazım” diye aranır.
3. SMS: “IT ekibinden: Toplantı erişim kodunuz: [link]” mesajı gönderilir.

Savunma Stratejileri

Phishing’e Karşı

Teknik tarafta e-posta filtreleri ile DMARC, SPF ve DKIM yapılandırması temel korumayı sağlar. Kullanıcı tarafında ise gönderici adresini kontrol etme ve linke tıklamadan önce üzerine gelip adrese bakma alışkanlığı işe yarar. Düzenli phishing simülasyonları bu alışkanlığın ne kadar yerleştiğini gösterir.

Vishing’e Karşı

Ekranda görünen numara tek başına güvence değildir; şüpheli bir aramada kurumu bilinen numarasından geri aramak en güvenli yoldur. SMS kodu, parola ya da kart bilgisinin telefonda paylaşılmaması, olağandışı taleplerin de ikinci bir kanaldan doğrulanması gerekir. Çalışanların bu konudaki refleksini ölçmek için düzenli sesli oltalama farkındalık testleri yapılabilir.

Smishing’e Karşı

Bilinmeyen numaralardan gelen linklere tıklamamak ve adresi tam haliyle görmeden işlem yapmamak temel kuraldır. Kargo ve banka işlemlerinde resmî uygulamaları kullanmak, sahte linklerin önüne büyük ölçüde geçer.

Tüm Kanallara Karşı

Nesil Teknoloji Phishing Platformu, sesli oltalama ve e-posta oltalama simülasyonlarını tek bir platformda birleştirir: Voice Phishing modülü telefon kanalını, Phishing modülü e-posta, SMS ve QR kod senaryolarını kapsar. Saldırılar çok kanallı olduğunda savunmanın da öyle olması gerekir.

Sıkça Sorulan Sorular