Kimlik Avı (Phishing) Tekniklerindeki Son Gelişmeler
Siber güvenlik dünyasında kimlik avı (phishing) saldırıları yıllardır en etkili ve yaygın tehdit türlerinden biri olmayı sürdürüyor. 2025 itibarıyla, kimlik avı saldırıları sadece artmakla kalmadı, aynı zamanda daha sofistike, hedefli ve inandırıcı hale geldi. Geleneksel e-posta dolandırıcılıklarının yerini artık çok kanallı, yapay zeka destekli ve kişiye özel saldırı teknikleri alıyor.
1. Yapay Zeka ve Otomasyon Destekli Kimlik Avı
-Gelişen yapay zeka (AI) teknolojileri, saldırganlara sahte e-postalar, mesajlar ve hatta sesli aramalar (vishing) üretme konusunda büyük avantaj sağlıyor.
-Artık kimlik avı mesajları dilbilgisi hatalarından arındırılmış, hedef kişinin sosyal medya profiline veya önceki iletişim geçmişine dayalı kişiselleştirilmiş, otomatik analiz ve içerik oluşturma algoritmalarıyla saniyeler içinde üretilmiş durumda.
-Özellikle ChatGPT benzeri LLM (Large Language Model) sistemleri kullanılarak, bireylere özgü, ikna edici ve doğal görünen sahte içerikler oluşturulabiliyor.
2. Çok Kanallı (Multi-Vector) Saldırılar
Saldırganlar artık tek bir iletişim kanalına bağlı kalmıyor.
Yeni kimlik avı taktikleri:
-E-posta, SMS (smishing), WhatsApp, LinkedIn gibi platformlar üzerinden eş zamanlı geliyor.
-Örneğin, bir kullanıcıya önce e-posta ile bir bildirim geliyor, ardından bir "doğrulama" SMS’i gönderiliyor ve bu iki mesaj birbiriyle tutarlı olacak şekilde tasarlanıyor.
-Bu yaklaşım, kurbanın sahteciliği daha zor fark etmesine neden oluyor.
3. Deepfake Teknolojilerinin Kullanımı
Kimlik avı saldırılarında deepfake video ve ses teknolojileri de sahneye çıktı.
Özellikle:
-Şirket yöneticilerinin sesiyle yapılan sahte aramalar (CEO fraud/vishing),
-Yöneticilerin veya çalışanların sahte video mesajları,
-Güvenilir gibi görünen konferans, seminer davetiyeleri...
...artık saldırganların kullanabileceği ileri seviye yöntemlerden sadece birkaçı.
4. Tarayıcı ve QR Kod Tabanlı Saldırılar
Son dönemde "tarayıcı kimlik avı" (browser-in-the-browser) saldırıları dikkat çekiyor:
-Sahte bir tarayıcı penceresi oluşturuluyor ve kullanıcıya meşru bir giriş ekranıymış gibi gösteriliyor.
-Kullanıcılar farkında olmadan kimlik bilgilerini bu sahte pencereye giriyor.
-Ayrıca QR kod kimlik avı (quishing) da yükselişte:
-Kullanıcılar sahte QR kodları tarayıp, zararlı sitelere yönlendiriliyorlar.
-Özellikle mobil cihazlar üzerinden yapılan QR kod kullanımı, saldırganlara büyük avantaj sağlıyor.
5. Tedarik Zinciri Üzerinden Kimlik Avı
Artık doğrudan son kullanıcıyı hedeflemek yerine:
-Kullanıcının çalıştığı şirketin tedarikçileri,
-İş ortakları,
-Hizmet aldığı platformlar hedef alınıyor.
-Örneğin, kurbanın çalıştığı firmanın muhasebe departmanına benzeyen sahte e-postalarla, fatura ödeme bilgileri istenebiliyor.
-Bu yöntemler BEC (Business Email Compromise) saldırıları ile birleştirilerek daha da etkili hale getiriliyor.
6. Savunma Yöntemleri
Bu yeni nesil kimlik avı saldırılarına karşı sadece klasik antivirüs yazılımları veya spam filtreleri yeterli değil.
Önerilen önlemler şunlardır:
1. Gelişmiş e-posta güvenlik çözümleri (sandboxing, AI tabanlı analiz motorları),
2. Güçlü kimlik doğrulama yöntemleri (MFA – Multi-Factor Authentication),
3. Sürekli kullanıcı farkındalık eğitimleri (özellikle sosyal mühendislik odaklı),
4. Zero Trust Network Access (ZTNA) ve segmentasyon,
5. Anlık tehdit istihbaratı entegrasyonu ile şüpheli aktivitelerin hızlı tespiti.
6. Ayrıca, bireysel kullanıcıların şüpheli e-posta veya mesajlarda:
7. Adresleri dikkatlice kontrol etmeleri,
8. Bağlantılara doğrudan tıklamak yerine URL’yi manuel olarak yazmaları,
9. Şirket içi prosedürlere uyarak finansal işlemleri ekstra onay mekanizmalarından geçirmeleri önemlidir.
Kimlik avı saldırıları, teknolojik ilerlemelerden beslenerek her geçen gün daha sofistike hale geliyor. 2025 yılında, bu saldırılar sadece bireyleri değil, kurumsal altyapıları ve küresel tedarik zincirlerini de tehdit eder durumda.
Bu nedenle, siber güvenlik stratejilerinin dinamik bir şekilde güncellenmesi ve proaktif savunma yöntemlerinin geliştirilmesi hayati önem taşıyor.
Unutulmamalıdır ki, en güçlü savunma, teknoloji ve insan farkındalığının birleşiminden doğar.
Yazar: Asrın Haktan Şahin