Oltalama (phishing) saldırıları nasıl işler, nasıl korunulur?

Oltalama (phishing), saldırganın güvendiğiniz bir kurumu ya da kişiyi taklit ederek sizi kendi elinizle bilgi vermeye veya bir işlemi onaylamaya ikna ettiği dolandırıcılık yöntemidir. Kripto dünyasında hedef çoğunlukla borsa giriş bilgileri, cüzdanın kurtarma ifadesi ya da cüzdandan atılan bir imzadır; bunlardan biri ele geçerse varlıklar dakikalar içinde boşaltılabilir.

Bankacılıkta hatalı bir havale bazen geri çevrilebilir. Blokzincirde onaylanmış bir transfer ise geri alınamaz. Bu yüzden oltalamaya karşı en iyi savunma, işlem anından önce devreye giren alışkanlıklardır.

Oltalama nasıl işler

Her oltalama saldırısı üç parçadan oluşur:

1. Yem: Sizi harekete geçirecek bir mesaj. "Hesabınızda şüpheli giriş tespit edildi", "çekiminiz beklemede" ya da "ödül hakkınız 24 saat içinde sona eriyor" gibi.
2. Kanca: Gerçeğine çok benzeyen bir sayfa, form ya da uygulama ekranı.
3. Hasat: Girdiğiniz şifre, doğrulama kodu, kurtarma ifadesi ya da onayladığınız imza. Saldırgan bunları anında kullanır.

Mesajlar psikolojik baskı araçlarına dayanır. En yaygın dördü aciliyet (hemen yapmazsanız kaybedersiniz), korku (hesabınız kapanacak), ödül (ücretsiz token, bonus) ve otoritedir (borsa güvenlik ekibi, resmi kurum). Bir mesaj bunlardan ikisini birden taşıyorsa durup düşünmek için yeterli sebep vardır.

Saldırının ekonomisi de öğreticidir. Varsayımsal olarak 100.000 kişiye gönderilen bir e-postada alıcıların yalnızca %1'i bağlantıya tıklasa ve tıklayanların %5'i bilgilerini girse, 50 kişi tuzağa düşmüş olur. Gönderim neredeyse bedava olduğu için saldırganın çoğu kişiyi kandıramaması onun için sorun değildir.

Kripto dünyasında oltalamanın yüzleri

Saldırılar farklı kanallardan gelir:

• E-posta ve SMS: Borsa ya da cüzdan sağlayıcısından geliyormuş gibi görünen bildirimler. SMS ile yapılana smishing de denir.
• Arama motoru reklamları: Bir borsanın ya da cüzdanın adını arattığınızda en üstte çıkan ücretli sonuç sahte bir siteye gidebilir.
• Sosyal medya ve mesajlaşma grupları: Ele geçirilmiş bir proje hesabından "duyuru" paylaşılır ya da size özel mesajla "destek" teklif edilir.
• Benzer alan adları: Bir ya da iki harfi değiştirilmiş adresler. "ornekborsa.com" yerine "0rnekborsa.com" ya da "ornekbrosa.com" gibi.
• Sahte cüzdan bağlama sayfaları: Sizden şifre değil, cüzdanınızla bir işlem imzalamanızı isteyen sayfalar.

Sonuncusu kriptoya özgü ve sinsi bir türdür. Bazı imzalar, bir akıllı sözleşmeye tokenlerinizi harcama izni verir. Akıllı sözleşme, blokzincirde kendiliğinden çalışan bir programdır; ona verilen izin siz siteden çıktıktan sonra da geçerli kalır. İmza ekranında ne onayladığınızı anlayamıyorsanız onaylamamak en güvenli seçenektir.

Sahte destek hesapları, adres zehirleme ve kopyalanan adresi değiştiren zararlı yazılımlar da oltalamayla akrabadır; her biri ayrı bir konu olacak kadar geniştir.

Adresi doğru okumak

Sahte sitelerin çoğu, alan adını hızlı okuma alışkanlığımızdan yararlanır. Şu kurallar işe yarar:

• Asıl alan adı, uzantının hemen solundaki kısımdır. "ornekborsa.com.giris-dogrula.net" adresinde site aslında "giris-dogrula.net"tir; baştaki "ornekborsa.com" yalnızca bir alt alan adıdır.
• Benzer görünen harflere dikkat edin. Yan yana yazılan "rn" bir bakışta "m" gibi görünür; büyük "I" ile küçük "l" çoğu yazı tipinde ayırt edilemez.
• Farklı alfabelerden harfler kullanılabilir. Kiril alfabesindeki "а", Latin "a" ile aynı görünür. Tarayıcılar bu tür adresleri bazen "xn--" ile başlayan bir biçimde gösterir; böyle bir adres görürseniz dikkatli olun.
• Kilit simgesi güven belgesi değildir. Yalnızca bağlantının şifreli olduğunu gösterir, sitenin kime ait olduğunu göstermez. Sahte siteler de kolayca şifreli bağlantı kullanır.

En sağlam yöntem, kullandığınız borsa ve cüzdan sayfalarını bir kez doğrulayıp tarayıcıya yer imi olarak kaydetmek ve her girişte yalnızca o yer imini kullanmaktır. Mesajlardaki bağlantılara hiç tıklamamak, adres kontrolü yükünü büyük ölçüde ortadan kaldırır.

Korunma alışkanlıkları

Kurtarma ifadesi yalnızca cüzdanı geri yüklerken, cüzdan yazılımının ya da cihazının kendisine girilir. Bir web sayfasının bu ifadeyi istemesi için meşru bir sebep yoktur.

İki adımlı doğrulama (2FA) önemli bir katmandır ama her oltalamayı durdurmaz. Sahte sayfa, girdiğiniz kodu gerçek siteye anında aktarırsa saldırgan oturumu açabilir. Alan adını doğrulayan donanım güvenlik anahtarları bu tür aktarmaya karşı daha dirençlidir, çünkü sahte alan adında çalışmazlar.

Varlıkları ayırmak da zararı sınırlar. Günlük işlemler için kullanılan cüzdanda yalnızca ihtiyaç kadar varlık tutulursa, tek bir hatalı imza bütün birikimi götürmez.

Tuzağa düştüyseniz

Hızlı ve sırayla hareket etmek önemlidir:

1. Kurtarma ifadesini paylaştıysanız o cüzdanı kaybedilmiş sayın. Yeni bir cüzdan oluşturun ve kalan varlıkları hemen oraya taşıyın.
2. Borsa şifrenizi girdiyseniz şifreyi ve 2FA'yı değiştirin, açık oturumları kapatın, çekim adresi listesini kontrol edin.
3. Bir imza onayladıysanız verdiğiniz harcama izinlerini cüzdanınızın izin yönetimi ekranından iptal edin.
4. Borsaya yalnızca resmi uygulama ya da yer imine kaydettiğiniz siteden ulaşın.
5. "Kaybınızı geri getiririz" diyen kişilere para göndermeyin. Bu teklifler çoğunlukla ikinci bir dolandırıcılıktır.

Özet

• Oltalama, güvendiğiniz bir kurumu taklit ederek şifre, kurtarma ifadesi ya da imza almayı amaçlar.
• Aciliyet, korku, ödül ve otorite en sık kullanılan baskı araçlarıdır.
• Asıl alan adı uzantının hemen solundaki kısımdır; kilit simgesi sitenin gerçek olduğunu kanıtlamaz.
• Yer imi kullanmak, kurtarma ifadesini hiçbir siteye girmemek ve anlamadığınız imzayı reddetmek en etkili alışkanlıklardır.
• Tuzağa düşüldüğünde varlıkları yeni cüzdana taşımak ve izinleri iptal etmek ilk adımlardır.