Giriş
Yakın tarihli bir Interpol raporu, kimlik avının küresel olarak yükselişte olduğunu gösteriyor. Burada, dolandırıcıların genellikle kripto para kullanıcılarını nasıl dolandırmaya çalıştığına ve kendinizi nasıl koruyacağınıza dair örnekler gösteriyoruz.
Anahtar Çıkarımlar:
- Kimlik avı, bilgisayar korsanları ve dolandırıcılar tarafından şüphelenmeyen kullanıcıları kimlik bilgilerini ve/veya hassas bilgilerini vermeye ikna etmek için kullanılan bir ‘sosyal mühendislik’ tekniğidir.
- Kimlik avı, e-posta kimlik avı, SMS kimlik avı ve sesli arama kimlik avı dahil olmak üzere çeşitli şekillerde gerçekleşebilir.
- Kimlik avı, yanlışlıklar, aciliyet hissi, güvenlik özelliklerinin eksikliği ve kişisel bilgi talepleri gibi çeşitli belirtilerle tanınabilir.
- Kendinizi kimlik avından korumak, sağlıklı bir şüphecilik dozu ve tüm mesajların, e-postaların ve bağlantıların dikkatli bir şekilde incelenmesini gerektirir.
Oltalama Nedir?
Kimlik avı, dolandırıcıların farkında olmayan kullanıcıları hedef alarak doğum tarihi, adres, e-posta kullanıcı adı ve şifre kombinasyonları, çevrimiçi bankacılık bilgileri ve kurumsal hesaplar gibi kişisel olarak tanımlanabilir bilgiler(PII) gibi hassas bilgilerini ve nihayetinde fonlarını çalmak için kullandıkları saldırı yollarından biridir.
Oltalama, bilgisayar korsanlığı teknikleri kullanarak cihazlarına veya hesaplarına girmeye çalışmak yerine, farkında olmayan bir kullanıcıyı kimlik bilgilerini ve/veya fonlarını gönüllü olarak teslim etmesi için kandırmaya dayanan bir ‘sosyal mühendislik’ biçimidir.
Tipik bir oltalama saldırısında, bir kullanıcı genellikle, kuruluşun web sitesinin sofistike kopyaları, SMS bildirimleri, e-postalar veya telefon aramaları yoluyla, genellikle muhatap oldukları bir kuruluş (örneğin bankaları, işverenleri veya telekomünikasyon sağlayıcıları) tarafından kendileriyle iletişime geçildiğine inandırılır. Bu saldırılar, kullanıcının kimlik bilgileri, parolalar veya kurtarma ifadeleri gibi hassas bilgileri sağlamasına neden olabilir.
Kimlik avı saldırıları, belirli bir kuruluşun personeline veya üyelerine ya da belirli bir hizmetin kullanıcılarına yönelik olarak koordine edilebilir. Saldırganlar genellikle bir veri ihlali olayından sonra müşteri bilgilerini ele geçirmiş olurlar ve bu bilgileri daha sonra aynı müşterileri bir kimlik avı saldırısıyla hedef almak için kullanırlar. Diğer durumlarda, saldırılar rastgele olabilir ve telefon numarası bloklarının, otomatik olarak oluşturulan e-posta adreslerinin veya posta listelerine abone olanlardan yasa dışı yollarla elde edilen e-posta adresleri listelerinin hedeflenmesine dayanabilir.
Oltalama saldırılarının hedefleri kısa vadeli veya uzun vadeli olabilir. Kısa vadeli hedefler arasında kurban cihazlarına fidye yazılımı yerleştirmek ve verilerin şifresini çözmek için fidye talep etmek veya kurban hesaplarından para çalmak yer alıyor.
Uzun vadeli hedefler arasında kurbanın kuruluşunun kurumsal ağına/sistemlerine erişim elde etmek, uzun vadeli ve sürekli kazanç için kurban sistemlerine kötü amaçlı yazılım yerleştirmek veya gözetleme ve gasp yer alır.
Oltalama Türleri
Kimlik avı, aşağıdakiler de dahil olmak üzere çeşitli kanallar üzerinden gerçekleşebilir:
- E-posta
- SMS (‘Smishing’ olarak da bilinir)
- Sosyal medya ve Anlık Mesajlaşma
- Telefon aramaları/sesli aramalar (‘Vishing’ olarak da bilinir)
1. E-postalar: “Kaçınmak için Bu Bağlantıya Tıklayın…”
E-posta oltalama saldırısında, saldırgan genellikle gerçek bir kaynaktan geliyormuş gibi görünen bir e-posta gönderir ve olası kurbanın sonuçlardan kaçınmak için bir bağlantıya tıklamasını gerektiren bir ‘eylem çağrısı’ içerir.
Örneğin, saldırganlar bankanızı taklit eden bir e-posta gönderebilir ve oturum açmanızı ve hesabınızı yeniden etkinleştirmenizi veya hesabınızın askıya alınmasını ve fonlara erişim kaybını riske atmanızı isteyebilir. Diğer durumlarda, saldırganlar bir hizmet sağlayıcıdan gecikme ücreti ve ek masraflardan kaçınmak için faturayı ödemek gibi acil eylem gerektiren gecikmiş bir fatura gönderebilir.
Kimlik avcıları, mesajın mümkün olduğunca meşru bir mesaja yakın görünmesini sağlamak için hedef kuruluşla aynı logo, renk şeması ve yazı tipi dahil olmak üzere sofistike tasarımlar kullanabilir.
Gönderene Yakından Bakın
Ayrıca, kimlik avcıları, mesajın meşru bir kaynaktan geliyormuş gibi görünmesini sağlamak için, özellikle kaynak e-posta adresini (örneğin,[email protected]) doldurarak ve/veya kullanıcının tıklaması gereken bağlantıları benzer şekilde manipüle ederek ayrıntılı yöntemler kullanabilir.
Diğer bazı durumlarda, saldırganlar ‘homograf saldırıları’ olarak bilinen ve İngiliz alfabesi dışındaki dillerden benzer görünümlü harflere sahip paralel alan adlarını kullandıkları başka bir teknik kullanabilirler. Örneğin, İngiliz ve Kiril alfabelerindeki a, c, e, o, p ve x harfleri benzerdir. Bunlara homograf denir.
Bu, deneyimli bir kullanıcının bile bağlantı ve/veya kaynak adres için kullanılan alan adının sahte olduğunu tespit etmesini zorlaştırır çünkü benzerlikler çok azdır (örneğin, contact@ßitcoin.com; ‘ßitcoin’deki ‘B’ye dikkat edin).
2. SMS Mesajlarının Taklit Edilmesi Kolaydır
SMS oltalama (veya ‘Smishing’) e-posta oltalama ile benzerlik gösterse de, SMS mesajları genellikle biçimlendirme veya grafik içermediğinden saldırganlar tarafında çok daha az karmaşıklık gerektirir.
Smishing’de saldırgan, kurbanlara bir servis sağlayıcıdan gelen meşru bir kısa mesaja benzeyen kısa mesajlar göndererek onları hedef alır. Bunlar genellikle FUD ya da FOMO‘ya dayanır.
FUD’a bir örnek olarak, hedefin kredi kartındaki yetkisiz işlemler hakkında bilgilendirilmesi ve diğer işlemleri durdurmak için hemen bir bağlantıya tıklamasının istenmesi verilebilir. FOMO için bir örnek, saldırganların hedefi özel bir teklife/indirime katılması için çok kısa bir süre olduğu konusunda bilgilendirmesini içerebilir. Her iki durumda da hedefler SMS mesajlarında verilen bağlantılara tıklamaya teşvik edilmektedir.
Bu örneklerde ne yetkisiz işlemler ne de özel teklifler/indirimler gerçektir. Bunun yerine, bu sahte senaryolar saldırganların hedeflerindeki FUD ya da FOMO’dan yararlanmak için bir aciliyet duygusu yaratır.
3. Sosyal Medyada Kimlik Avı
Sosyal medya ve Anlık Mesajlaşma platformlarında, saldırgan bir hizmet sağlayıcı (bir hizmet sağlayıcının müşteri destek personeli, destek sunan bir şirketin çalışanı, vb) gibi davranabilir ve kullanıcıyı e-posta ve SMS kimlik avına benzer şekilde bir kimlik avı bağlantısına tıklaması için kandırmaya çalışabilir. ‘_crypto com official_’ gibi aldatıcı kullanıcı adlarını arayın.
Bu saldırıların temel amacı genellikle kullanıcının bağlantıya tıklamasını sağlamaktır. Bazı durumlarda, bağlantı kurbanın cihazına kötü amaçlı yazılım/casus yazılım/fidye yazılımı dağıtır; diğer durumlarda ise bağlantı kurbanı gerçekçi görünen/taklit bir web sitesine yönlendirir ve burada kimlik bilgilerini girerek bilgisayar korsanlarının kullanıcının gerçek web sitesindeki gerçek hesabına erişmesini sağlar.
4. Beklenmedik Telefon Aramalarına Dikkat Edin
Sesli oltalama (veya ‘Vishing’), saldırganların kurbanları aradığı veya önceden kaydedilmiş mesajlar kullanarak kurbanları toplu olarak aramak için teknolojiden yararlandığı biraz farklı bir oltalama çeşididir. Hesaplarına erişmek, kimliklerini çalmak veya yasadışı yollardan para elde etmek amacıyla masum kurbanlarının özel bilgilerini elde etmek için kurbanları yasal bir kuruluştan (örneğin, vergi dairesi gibi bir devlet kurumu veya bankalar, telekomünikasyon şirketleri vb. gibi bir hizmet sağlayıcı) aradıklarına ikna etmeye çalışacaklardır.
Bazı durumlarda mağdurlar, saldırganlar için iddia edilen sonuçlardan (örneğin, tutuklanma, sınır dışı edilme, evlerine haciz konulması vb.) kaçınmak için hediye ve ön ödemeli kartlar gibi takip edilemeyen ödeme yöntemleriyle ödeme yapmaya zorlanabilmektedir. Gerçekten de, vergi dairesi veya bankanın ön ödemeli hediye kartlarıyla ödeme yapılmasını istemesi her zaman kırmızı bayrak çekilmesine neden olmalıdır.
Kimlik Avını Tanıma ve Kendinizi Koruma
Kimlik avına karşı ilk savunma hattı, acil eylem çağrısı içeren beklenmedik e-postalara, mesajlara veya telefon aramalarına her zaman şüpheyle yaklaşmaktır.
Buna ek olarak, gelen bir mesajın gerçek olup olmadığını değerlendirirken dikkat etmeniz ve göz önünde bulundurmanız gereken birkaç belirti vardır:
- Kaynak e-posta adresi o kuruluşun olağan iletişim e-postasından mı geliyor? Tam e-posta adresine ve alan adına bakın – Normal alan adından sonra herhangi bir şey var mı? Örneğin, Crypto.com’un e-posta etki alanı @crypto.com’dur; ancak e-posta etki alanı doldurulursa (örneğin @crypto.com.somethingelse.com), bu aynı etki alanı değildir.
- Kuruluş bir kimlik avı önleme kodu özelliği sunuyor mu? Hesabınız için açık mı? Her iki sorunun yanıtı da evet ise, e-postada doğru kod görünüyor mu?
Kendinizi korumak için Crypto.com’un kimlik avı önleme kodunu kullanın. Crypto.com Uygulamasında, Borsada ve NFT Marketplace‘te nasıl açacağınızı öğrenin.
- Tıklamanız gereken bağlantının üzerine gelerek (tıklamayarak) kontrol edin. Bağlantı kuruluşun alan adına mı gidiyor? Bağlantıdaki alan adı, yukarıda bahsedilen e-posta alan adı dolgusu gibi herhangi bir ekleme ile doldurulmuş mu?
- Yazım ve dilbilgisi hatalarına bakın. Saldırganlar genellikle göze çarpan hatalar yapar, bu da e-postanın meşru bir e-posta olmadığının göstergesidir.
- Size isminizle mi yoksa ortak bir terimle mi hitap ediliyor (örneğin, Sayın[İsminiz ] vs Sayın Müşteri)? Saldırganlar adınıza ve e-postanıza sahip olabileceğinden ve kurbanlara tek tek hitap etmek için posta birleştirme yazılımını kullanabileceğinden, bunun her zaman güvenilir bir gösterge olmadığını unutmayın.
- Sözde bir şirket temsilcisi tarafından sosyal medya ve/veya bir Anlık Mesajlaşma platformu üzerinden aniden sizinle iletişime geçildi mi? Bunlar özellikle şirketin hizmetiyle ilgili bir şikayet veya soru gönderdikten sonra ortaya çıkar. Çoğu durumda temsilciler, siz onların doğrulanmış hesabına/sayfasına gidip kendiniz iletişim başlatmadığınız sürece iletişim başlatmayacaktır.
- Eğer gerçek olamayacak kadar iyiyse, neredeyse kesinlikle öyledir. Gerçek olamayacak kadar iyi görünen koşullarda yatırım fırsatları veya krediler mi teklif ediliyor? Bunlar kimlik avında kullanılan yaygın yemlerden bazılarıdır.
- Hemen harekete geçmezseniz sonuçlarıyla tehdit ediliyor musunuz? Panik yapmayın. Unutmayın, her zaman telefonu kapatıp kuruluşu kamuya açık numaralarından geri arayabilir veya yasal ve resmi müşteri hizmetleri kanalları aracılığıyla onlarla iletişime geçebilirsiniz.
Altın kural şudur: Tüm bunlardan sonra hala emin değilseniz, hiçbir bağlantıya tıklamamanız veya e-posta/SMS/IM/telefon görüşmesi yoluyla size iletilen hiçbir talebi yerine getirmemeniz daha iyi olacaktır. Bunun yerine, güvenli iletişim kanallarını kullanarak (müşteri destek sohbeti, müşteri destek hattını arama veya URL’yi bir tarayıcıya girip hesabınıza giriş yaparak web sitelerine gitme) kuruluşla kendiniz iletişime geçin.
Kripto Kullanıcılarına Yönelik Kimlik Avı Girişimleri
Peki bu pratikte nasıl görünüyor? İşte varsayımsal oltalama saldırılarına beş örnek. Yakında kırmızı bayrakların ne olduğunu göreceksiniz.
1. Şirketler DM Görüşmeleri Başlatmıyor – ve İki İstisna
Bu örnekte, bir kimlik avcısı olası bir kurbanla iletişime geçerek onunla bir konuşma başlatır, ancak hizmet sağlayıcılar genellikle önce kullanıcılara doğrudan mesaj (DM) göndermez. Başka bir deyişle, genellikle bir DM başlatmanız gerekir. Ödülün yerine getirilmesi için yarışma kazananlarıyla iletişime geçilmesi ve kullanıcı tarafından oluşturulan içeriğin kullanılması için izin istenmesi istisnai durumlardır. İkincisi için, yarışmaya katıldığınızı net bir şekilde hatırlamalı ve doğrulanmış bir profil gibi meşru bir hesabın diğer tüm işaretlerini aramalısınız. Sizi kısaltılmış bağlantılara gönderme girişimleri kırmızı bayraktır.
2. Meşru Şirketler Hızlı Zengin Olma Fırsatları Sunmazlar
Bu tür bir senaryoda, bölgesel topluluk yöneticisi gibi bir personeli taklit eden sahte bir hesap, sosyal medyada potansiyel bir kurbana mesaj atarak yatırım fırsatları sunar.
3. Şirketler Topluluk Kanallarına Kullanıcı Eklemiyor
Bu örnekte, bir kimlik avcısı, kopya bir Telegram Grubu oluşturarak ve potansiyel kurbanlar ekleyerek bir topluluk kanalını kopyalar. Dolandırıcılar gerçek personel gibi davranarak kurbanların oturum açma kimlik bilgilerini ifşa etmelerini sağlamaya çalışabilir.
Politika ile ilgili olarak, hizmet sağlayıcılar genellikle kullanıcıları bir topluluk grubuna veya kanala eklemez. Bunun yerine, kullanıcılar resmi topluluk gruplarının ve kanallarının bağlantılarını bulmalıdır.
4. Sadece Resmi Web Sitelerini Kullanın
Burada, benzer renk şemaları ve logolar kullanarak Cronos blok zinciri web sitesine benzemeye çalışan taklitçi bir web sitesinin varsayımsal bir örneği yer almaktadır. Dolandırıcılar, kullanıcıların kripto cüzdan tohum cümlelerini vermelerini sağlamaya çalışırlar; bu da dolandırıcılara kullanıcının velayeti olmayan cüzdanlarına geri alınamaz erişim sağlar ve tüm varlıkları boşaltmalarına izin verir.
Kullanıcılar çok basit site yapısına, basit bir altıgenle değiştirilen eksik logoya ve eylem çağrısına dikkat etmeli ve dikkatli olmalıdır.
Buna karşılık, aşağıdaki yasal Cronos web sitesi, onu yukarıdaki taklitçi web sitesinden ayıran birkaç benzersiz özelliğe sahiptir.
5. Sosyal Medya Hesaplarının Doğrulanmış Olup Olmadığını Kontrol Edin
Başka bir örnekte, bir kimlik avcısı, sahte bir airdrop’u yem olarak kullanarak para çalmaya çalışmak için örneğin resmi Loaded Lions hesab ına benzeyen gerçek hayat görünümlü bir Twitter hesabı oluşturabilir.
Takip ettiğiniz hesapların resmi olarak doğrulandığından emin olun ve önce sizi takip eden büyük isimli hesaplara şüpheyle yaklaşın. Aşağıda hem sahte hem de gerçek Twitter profillerinin ekran görüntüsünü görebilirsiniz.
6. URL’leri Dikkatlice Kontrol Edin
Kimlik avcıları gerçek bir proje için sahte bir sayfa oluşturabilir ve bu sayfanın ilk sırada görünmesi için bir Google reklamına ödeme yapabilir. Örneğin, dikkatli bir göz reklamdaki URL’de bir yazım hatası (tcetonic.finance) olduğunu görebilirken, Cronos Zinciri üzerine inşa edilmiş merkezi olmayan, gözetim dışı algoritmik bir para piyasası protokolü olan Tectonic’in yasal web sitesi (tectonic.finance) reklamın altında ilk arama sonucu olarak görünmektedir.
7. Üçüncü Taraf Promosyon Kodlarına Karşı Dikkatli Olun
Bu son örnekte, bir kullanıcı bir promosyon kodu arayabilir ve kötü amaçlı bağlantılar içerebilen sahte promosyon kodları için dolandırıcılık web sitelerine yönlendirilebilir.
Promosyon kodlarını yalnızca doğrudan resmi sitelerden ve doğrulanmış kanallardan kullanın.
Sonuç – Kendinizi Kimlik Avcılarından Nasıl Korursunuz?
Bilgisayar korsanları ve dolandırıcılar kurbanlar ve fonlar için sürekli artan bir çaba içinde olduklarından, oltalama saldırılarının artması bekleniyor. İster veri ihlallerinden kaynaklansın ister rastgele hedef alınsın, oltalama saldırıları herkesin gizliliği ve mali durumu için bir risktir. Dikkatli olmak, kimlik avının neye benzediğini bilmek ve sağlıklı bir şüphecilik dozu, kendinizi kimlik avı girişimlerinden korumak için gerekli bazı araçlardır.
Durum Tespiti ve Kendi Araştırmanızı Yapın
Bu makalede listelenen tüm örnekler yalnızca bilgilendirme amaçlıdır. Bu tür bilgileri veya diğer materyalleri yasal, vergi, yatırım, finans, siber güvenlik veya diğer tavsiyeler olarak yorumlamamalısınız. Burada yer alan hiçbir şey, Crypto.com tarafından herhangi bir madeni para, jeton veya diğer kripto varlıklarına yatırım yapmak, satın almak veya satmak için bir talep, öneri, onay veya teklif teşkil etmez. Kripto varlıkların alım satımından elde edilen getiriler, bulunduğunuz ülkede sermaye kazancı vergisi de dahil olmak üzere vergiye tabi olabilir. Crypto.com ürünlerinin veya özelliklerinin herhangi bir açıklaması yalnızca açıklama amaçlıdır ve bir onay, davet veya talep teşkil etmez.
Geçmiş performans, gelecekteki performansın garantisi veya öngörücüsü değildir. Kripto varlıkların değeri artabilir veya azalabilir ve satın alma fiyatınızın tamamını veya önemli bir miktarını kaybedebilirsiniz. Bir kripto varlığı değerlendirirken, mümkün olan en iyi kararı vermek için araştırma ve durum tespiti yapmanız çok önemlidir, çünkü herhangi bir satın alma işlemi tamamen sizin sorumluluğunuzda olacaktır.
