İnternette para ve kişisel veriler nasıl korunur

2024 Yazar: Malcolm Clapton | [email protected]. Son düzenleme: 2023-12-17 04:13

Ne kadar bilgili olursanız, sizi aldatmak o kadar zor olur. Microsoft ile kimlik avı hakkında bilmeniz gereken her şey burada.

Kendinizi dijital tehditlerden nasıl koruyacağınız konusunda daha fazla ipucu bulun.

Kimlik avı nedir ve ne kadar tehlikelidir?

Kimlik avı, amacı hesapları ele geçirmek ve ele geçirmek, kredi kartı bilgilerini veya diğer gizli bilgileri çalmak olan yaygın bir siber dolandırıcılık türüdür.

Siber suçlular çoğu zaman e-posta kullanır: örneğin, tanınmış bir şirket adına mektuplar göndererek, kullanıcıları karlı bir promosyon bahanesiyle sahte web sitesine çekerler. Mağdur sahtekarı tanımıyor, hesabından giriş ve şifre giriyor ve böylece kullanıcı verileri dolandırıcılara kendisi aktarıyor.

Herkes acı çekebilir. Otomatik kimlik avı e-postaları çoğunlukla geniş bir kitleyi (yüz binlerce hatta milyonlarca adres) hedef alır, ancak belirli bir hedefe yönelik saldırılar da vardır. Çoğu zaman, bu hedefler üst düzey yöneticiler veya kurumsal verilere ayrıcalıklı erişime sahip diğer çalışanlardır. Bu kişiselleştirilmiş kimlik avı stratejisine "balina yakalamak" anlamına gelen balina avı adı verilir.

Kimlik avı saldırılarının sonuçları yıkıcı olabilir. Dolandırıcılar, kişisel yazışmalarınızı okuyabilir, iletişim çevrenize oltalama mesajları gönderebilir, banka hesaplarından para çekebilir ve genellikle geniş anlamda sizin adınıza hareket edebilir. Bir iş yürütüyorsanız, risk daha da büyüktür. Kimlik avcıları, kurumsal sırları çalabilir, hassas dosyaları yok edebilir veya müşterilerinizin verilerini sızdırarak şirketin itibarına zarar verebilir.

Kimlik Avı Önleme Çalışma Grubu'nun Kimlik Avı Etkinliği Eğilimleri Raporuna göre, yalnızca 2019'un son çeyreğinde, siber güvenlik uzmanları 162.000'den fazla sahte web sitesi ve 132.000 e-posta kampanyası keşfetti. Bu süre zarfında, dünyanın her yerinden yaklaşık bin şirket kimlik avının kurbanı oldu. Kaç saldırının tespit edilmediğini göreceğiz.

Evrim ve kimlik avı türleri

"Kimlik avı" terimi, İngilizce "balık avı" kelimesinden gelir. Bu dolandırıcılık türü gerçekten balık tutmaya benzer: Saldırgan, yemi sahte bir mesaj veya bağlantı şeklinde atar ve kullanıcıların ısırmasını bekler.

Ancak İngilizce'de kimlik avı biraz farklı yazılır: kimlik avı. f harfi yerine ph digrafı kullanılır. Bir versiyona göre, bu sahte ("aldatıcı", "dolandırıcı") kelimesine bir referanstır. Öte yandan - phreakers ("phreakers") olarak adlandırılan erken bilgisayar korsanlarının alt kültürüne.

Kimlik avı teriminin ilk kez 1990'ların ortalarında Usenet haber gruplarında halka açık olarak kullanıldığına inanılmaktadır. O zaman, dolandırıcılar, Amerikan İnternet sağlayıcısı AOL'nin müşterilerini hedef alan ilk kimlik avı saldırılarını başlattı. Saldırganlar, şirket çalışanı gibi davranarak kimlik bilgilerini doğrulamak isteyen mesajlar gönderdi.

İnternetin gelişmesiyle birlikte yeni kimlik avı saldırıları türleri ortaya çıktı. Dolandırıcılar tüm web sitelerini taklit etmeye başladı ve farklı kanallarda ve iletişim hizmetlerinde ustalaştı. Bugün, bu tür kimlik avı türleri ayırt edilebilir.

• E-posta kimlik avı. Dolandırıcılar, tanınmış bir şirketin veya seçilen mağdurun bir tanıdığının adresine benzer bir posta adresi kaydeder ve bu adresten mektuplar gönderir. Aynı zamanda gönderenin adı, tasarımı ve içeriği ile sahte bir mektup orijinaliyle neredeyse aynı olabilir. Sadece içeride sahte bir siteye, virüslü eklere veya gizli veri göndermek için doğrudan bir istek var.
• SMS kimlik avı (smishing). Bu şema öncekine benzer, ancak e-posta yerine SMS kullanılır. Abone, bilinmeyen (genellikle kısa) bir numaradan gizli veri talebi veya sahte bir siteye bağlantı içeren bir mesaj alır. Örneğin, bir saldırgan kendisini banka olarak tanıtabilir ve daha önce aldığınız doğrulama kodunu isteyebilir. Aslında, dolandırıcıların banka hesabınızı hacklemek için koda ihtiyacı vardır.
• Sosyal medya kimlik avı. Anlık mesajlaşma programlarının ve sosyal medyanın yaygınlaşmasıyla, kimlik avı saldırıları bu kanalları da sular altında bıraktı. Saldırganlar, tanınmış kuruluşların veya arkadaşlarınızın sahte veya güvenliği ihlal edilmiş hesapları aracılığıyla sizinle iletişim kurabilir. Aksi takdirde, saldırı prensibi öncekilerden farklı değildir.
• Telefon kimlik avı (vishing). Dolandırıcılar kısa mesajlarla sınırlı değildir ve sizi arayabilir. Çoğu zaman, bu amaç için İnternet telefonu (VoIP) kullanılır. Arayan kişi, örneğin ödeme sisteminizin destek hizmetinin bir çalışanının kimliğine bürünebilir ve sözde doğrulama için cüzdana erişmek için veri talep edebilir.
• Kimlik avı arayın. Kimlik avına doğrudan arama sonuçlarında rastlayabilirsiniz. Sahte siteye yönlendiren bağlantıya tıklamak ve üzerinde kişisel veriler bırakmak yeterlidir.
• Pop-up kimlik avı. Saldırganlar genellikle açılır pencereler kullanır. Şüpheli bir kaynağı ziyaret ettiğinizde, tanınmış bir şirket adına bazı avantajlar - örneğin indirimler veya ücretsiz ürünler - vaat eden bir afiş görebilirsiniz. Bu bağlantıya tıklayarak siber suçlular tarafından kontrol edilen bir siteye yönlendirileceksiniz.
• Çiftçilik. Kimlik avı ile doğrudan ilgili değildir, ancak çiftçilik de çok yaygın bir saldırıdır. Bu durumda saldırgan, orijinal siteler yerine kullanıcıyı otomatik olarak sahte sitelere yönlendirerek DNS verilerini taklit eder. Kurban, saldırının etkinliğini artıran herhangi bir şüpheli mesaj ve afiş görmez.

Kimlik avı gelişmeye devam ediyor. Microsoft, Microsoft 365 Gelişmiş Tehdit Koruması kimlik avı önleme hizmetinin 2019'da keşfettiği yeni tekniklerden bahsetti. Örneğin, dolandırıcılar kötü amaçlı materyalleri arama sonuçlarında daha iyi gizlemeyi öğrendiler: üstte meşru bağlantılar görüntüleniyor ve bu da kullanıcıyı birden çok yeniden yönlendirme yoluyla kimlik avı sitelerine yönlendiriyor.

Buna ek olarak, siber suçlular otomatik olarak kimlik avı bağlantıları ve e-postaların tam kopyalarını niteliksel olarak yeni bir düzeyde oluşturmaya başladı, bu da kullanıcıları daha etkili bir şekilde aldatmalarına ve güvenlik önlemlerini atlamalarına olanak tanıyor.

Buna karşılık Microsoft, yeni tehditleri belirlemeyi ve engellemeyi öğrendi. Şirket, siber güvenlik konusundaki tüm bilgilerini Microsoft 365 paketini oluşturmak için kullandı. İşiniz için ihtiyaç duyduğunuz çözümleri sağlarken, kimlik avı da dahil olmak üzere bilgilerinizin etkin bir şekilde korunmasını sağlar. Microsoft 365 Gelişmiş Tehdit Koruması, e-postalardaki kötü amaçlı ekleri ve zararlı olabilecek bağlantıları engeller, fidye yazılımlarını ve diğer tehditleri algılar.

Kendinizi kimlik avından nasıl korursunuz

Teknik okuryazarlığınızı geliştirin. Söylendiği gibi, önceden uyarılan kişi silahlıdır. Bilgi güvenliğini kendi başınıza inceleyin veya tavsiye için uzmanlara danışın. Dijital hijyenin temelleri hakkında sağlam bir bilgiye sahip olmak bile sizi birçok sorundan kurtarabilir.

Dikkat olmak. Bilinmeyen muhataplardan gelen mektuplardaki bağlantıları takip etmeyin veya ekleri açmayın. Lütfen gönderenlerin iletişim bilgilerini ve ziyaret ettiğiniz sitelerin adreslerini dikkatlice kontrol edin. Mesaj inandırıcı görünse bile, kişisel bilgi taleplerine yanıt vermeyin. Firma yetkilisi sizden bilgi isterse, çağrı merkezini arayıp durumu bildirmeniz daha doğru olacaktır. Pop-up'lara tıklamayın.

Şifreleri akıllıca kullanın. Her hesap için benzersiz ve güçlü bir parola kullanın. Kullanıcıları, hesaplarının parolaları Web'de göründüğünde uyaran hizmetlere abone olun ve güvenliği ihlal edildiği ortaya çıkarsa erişim kodunu hemen değiştirin.

Çok faktörlü kimlik doğrulamayı ayarlayın. Bu işlev ayrıca hesabı, örneğin bir kerelik şifreler kullanarak korur. Bu durumda, yeni bir cihazdan hesabınıza her giriş yaptığınızda, şifreye ek olarak, size SMS ile gönderilen veya özel bir uygulamada oluşturulan dört veya altı karakterli bir kodu da girmeniz gerekecektir. Çok uygun görünmeyebilir, ancak bu yaklaşım sizi yaygın saldırıların %99'undan koruyacaktır. Sonuçta, dolandırıcılar şifreyi çalarsa, doğrulama kodu olmadan yine de giremezler.

Parolasız oturum açma olanaklarını kullanın. Bu hizmetlerde, mümkünse, şifrelerin kullanımını tamamen terk etmeli, bunları bir akıllı telefondaki bir uygulama aracılığıyla donanım güvenlik anahtarları veya kimlik doğrulama ile değiştirmelisiniz.

Antivirüs yazılımı kullanın. Güncel antivirüs, bilgisayarınızın kimlik avı sitelerine yeniden yönlendiren veya oturum açma bilgilerini ve parolaları çalan kötü amaçlı yazılımlardan korunmasına kısmen yardımcı olacaktır. Ancak, ana korumanızın hala dijital hijyen kurallarına ve siber güvenlik önerilerine uymak olduğunu unutmayın.

Eğer bir işletme işletiyorsanız

Aşağıdaki ipuçları, işletme sahipleri ve şirket yöneticileri için de yararlı olacaktır.

Çalışanları eğitin. Astlara hangi mesajlardan kaçınılması gerektiğini ve hangi bilgilerin e-posta ve diğer iletişim kanalları aracılığıyla gönderilmemesi gerektiğini açıklayın. Çalışanların kurumsal postaları kişisel amaçlarla kullanmasını yasaklayın. Onlara şifrelerle nasıl çalışacaklarını öğretin. Bir mesaj saklama politikasını da dikkate almakta fayda var: örneğin, güvenlik amacıyla belirli bir süreden daha eski mesajları silebilirsiniz.

Eğitim phishing saldırıları gerçekleştirin. Çalışanlarınızın kimlik avına tepkisini test etmek istiyorsanız, bir saldırı numarası yapmayı deneyin. Örneğin, sizinkine benzer bir posta adresi kaydedin ve bu adresten astlarınıza size gizli bilgiler vermelerini isteyen mektuplar gönderin.

Güvenilir bir posta servisi seçin. Ücretsiz e-posta sağlayıcıları, iş iletişimlerine karşı çok savunmasızdır. Şirketler yalnızca güvenli kurumsal hizmetleri seçmelidir. Örneğin, Microsoft 365 paketinin bir parçası olan Microsoft Exchange posta hizmetinin kullanıcıları, kimlik avı ve diğer tehditlere karşı kapsamlı korumaya sahiptir. Dolandırıcılara karşı koymak için Microsoft, her ay yüz milyarlarca e-postayı analiz eder.

Bir siber güvenlik uzmanı işe alın. Bütçeniz izin veriyorsa, kimlik avı ve diğer siber tehditlere karşı sürekli koruma sağlayacak nitelikli bir profesyonel bulun.

Kimlik avı kurbanıysanız ne yapmalısınız?

Verilerinizin yanlış ellere geçtiğine inanmak için bir neden varsa, derhal harekete geçin. Cihazlarınızda virüs olup olmadığını kontrol edin ve hesap şifrelerini değiştirin. Banka personeline ödeme bilgilerinizin çalınmış olabileceğini bildirin. Gerekirse müşterileri olası sızıntı hakkında bilgilendirin.

Bu tür durumların tekrarlanmasını önlemek için güvenilir ve modern işbirliği hizmetlerini seçin. Yerleşik koruma mekanizmalarına sahip ürünler en uygunudur: mümkün olduğu kadar rahat çalışır ve dijital güvenliği riske atmanız gerekmez.

Örneğin, Microsoft 365, yerleşik bir risk değerlendirme modeliyle hesapları ve oturum açma bilgilerini güvenlik açığından korumak, ek lisans gerektirmeyen parolasız veya çok faktörlü kimlik doğrulama dahil olmak üzere bir dizi akıllı güvenlik özelliği içerir.

Ayrıca hizmet, risk değerlendirmesi ve çok çeşitli koşulları dikkate alarak dinamik erişim kontrolü sağlar. Ayrıca Microsoft 365, yerleşik otomasyon ve veri analitiği içerir ve ayrıca cihazları kontrol etmenize ve bilgileri sızıntıya karşı korumanıza olanak tanır.