Kimlik avı nedir ve nasıl fark edilir

Daha dikkatli olmak kimlik avını neden çözmez

Kimlik avı bilgisayarınıza saldırmaz. Karar verme sıranıza saldırır. Ortada bir içeri girme yoktur: bir mesaj gelir, sizi düşünmenin zor olduğu bir hale sokar ve sonra normalde yapmayacağınız bir şeyi yapmanızı ister.

Her kimlik avı mesajı aynı anda üç şey taşır. İnandırıcı bir bahane, tanıdık bir otorite ve düşünme zamanını alan bir aciliyet. Hesabınız askıya alınacak, siparişiniz reddedildi, bu geceye kadar süreniz var. Aciliyet süs değildir; aracın kendisidir.

Bir yanlış kanıyı daha başta bırakalım. Yıllarca insanlara kimlik avının işaretinin kötü dil ve yazım hataları olduğu söylendi. O işaret artık çalışmıyor. Akıcı ve hatasız metnin bugün bir maliyeti yok ve herkes üretebilir. Tespitiniz yazının kalitesine bağlıysa, tam da düzeltilmesi en kolay şeye bel bağlamışsınız demektir.

Görüşümüz: kimlik avını fark etmek bir his değil, bir yordamdır. Dikkatli bir insan iyi bir günde bile yakalanır, çünkü kötü bir günde kimse dikkat etmez. Kötü günde de işleyen şey, mesaj tanıdık bir adresten gelmiş olsa bile her seferinde aynı şekilde çalıştırılan sabit bir soru sırasıdır.

Sırayla sorulan dört soru

Buradaki sıra işin yarısıdır. Sorular en ucuzdan en pahalıya dizilmiştir; yani hiçbir bağlantı açmadan cevaplayabileceğinizden biraz kontrol gerektirene doğru. İlk soru cevabı veriyorsa gerisine gerek kalmaz.

Bir: bunu bekliyor muydum? Mesajın kendisinin etkileyemeyeceği tek soru budur. Hiç sipariş etmediğiniz bir fatura, hiç göndermediğiniz bir kargo, hesabınızın olmadığı bir siteden hesap uyarısı. Cevap hayırsa, mesajdaki her şey o andan itibaren itibarını yitirir; bağlantıları ve içine yazılmış telefon numarası dahil.

İki: beni acele ettiriyor mu? Gerçek kurumlar önemli her şey için süre ve birden çok yol verir. Bu gece hesabı kapatma tehdidi, gecikmeyle katlanan bir ceza, bir saat içinde biten bir indirim: hepsi tek bir iş yapar, düşünme penceresini kapatmak. Aciliyet tek başına bir şey kanıtlamaz, ama ilk soruya eklendiğinde cevap neredeyse her zaman nettir.

Üç: bağlantı iddia ettiği yere mi gidiyor? Bu soru bir beceri ister ve o beceri bir sonraki bölümde. Bir bağlantının metni herhangi bir şey olabilir; önemli olan hedef alan adıdır.

Dört: asla verilmemesi gereken bir şey mi istiyor? İstisnasız kısa bir liste: parolalar, iki adımlı doğrulama kodları, banka kartının arkasındaki kod, tek kullanımlık ödeme kodları, kurtarma kodları ve cihazınıza uzaktan erişim. Hiçbir banka, hiçbir operatör ve hiçbir destek birimi bunları istemez. Biri isterse, mesajın geri kalanı ne kadar doğru görünürse görünsün, iş orada biter.

İki durum bu sırayı kısaltır. Dördüncü sorunun cevabı evetse gerisini sormaya gerek yoktur. Ve mesaj gerçekten tanıdık bir adresten geldiği halde içeriği o kişiye benzemiyorsa, soruları bırakın ve doğrudan son bölümün anlattığı şeye gidin: o kişiye kendi seçtiğiniz bir yoldan ulaşın.

Adresi okumak, her şeyin döndüğü beceri

Bir web adresinde yalan söylemeyen tek parça alan adıdır ve alan adı sağdan sola okunur: son noktadan geriye doğru. example.com/bank adresinde alan adı example.com, bank ise o sitedeki bir klasördür. Herkes her klasörü oluşturabilir.

En çok kurban toplayan üç biçim de bu tek nokta üzerinden iş görür. Birincisi, gerçek adın alt alan adı olarak kullanılması: bankname.example.com gibi bir şey; göz tanıdık adı görür ve son noktadan sonra duran asıl alan adını okumaz. İkincisi, gerçek adın yol olarak kullanılması: example.com/bankname/login. Üçüncüsü, tek harfi farklı olan ya da başka bir uzantı takan bir alan adı. Üçü de bir bakışta doğru görünür ve bir bakış zaten yeterlidir.

Okumanın pratik yolu yalnızca iki adımdır. Son noktayı bulun ve iki yanındaki birer kelimeyi okuyun; o iki parça sitenin gerçek kimliğidir. Adresin geri kalanı, ne kadar uzun ve tanıdık kelimelerle dolu olursa olsun, yalnızca o alan adının sahibinin yazdığı şeydir. Bir adresin tam anatomisi ve her parçasının ne yaptığı internet ve ağlar izleğinde kendi dersine sahip ve buradan devam etmeden önce okumaya değer.

Telefonda bu daha zordur ve bunu söylemek gerekir: adres çubuğu kısadır, uzun adresler kırpılarak gösterilir ve bağlantıya parmakla basılı tutmak da her zaman tam hedefi göstermez. Telefonda da işleyen kural şu: bağlantıyı kontrol etmek yerine bağlantıyı kullanmayın. Banka uygulamasını ya da siteyi kendiniz açın. Bir haber varsa orada da vardır.

Ve nadiren söylenen bir şey: adresin yanındaki kilidin sitenin dürüstlüğüyle ilgisi yoktur. O kilit yalnızca bağlantının şifreli olduğunu söyler ve sahte bir sayfa da aynı kolaylıkla şifreli olabilir. Kilit, ortadaki kimsenin söylediğinizi okumadığı anlamına gelir; karşı tarafta kimin olduğunu söylemez.

İranda en sık görülen kalıplar

Yerel kimlik avı mesajları birkaç sabit şablonla gelir ve şablonu tanımak örnekleri ezberlemekten daha yararlıdır. Örnekler her ay değişir; şablonlar yıllardır sabittir. Hiçbirinin gerçek metnini burada yeniden üretmiyoruz, çünkü amaç tanımak, kurmak değil.

Bankacılık şablonu. İddia: hesabınızda ya da kartınızda bir sorun var. Talep: kimliğinizi doğrulamak ya da yeniden etkinleştirmek için bir geçide giriş yapmak. Yapısal ipucu: kart numarasını, ikinci parolayı ve SMSteki kodu tek bir formda isteyen bir sayfa. Gerçek bir banka geçidi bunların tamamını banka dışı bir sayfadan toplamaz ve internet bankacılığı parolanızı da sormaz.

Destek ve hisse şablonu. İddia: size ait bir ödeme var; bir destek, hisse ya da iade. Talep: yatırılabilmesi için banka bilgilerinizi kaydetmek. Yapısal ipucu: hiçbir kurumun size para göndermek için kart parolanıza ihtiyacı yoktur. Yatırmak için hesap numarası yeter; parola yalnızca çekmek için gerekir. Bu tek cümle şablonun tamamını devre dışı bırakır.

Kargo ve gümrük şablonu. İddia: bir paket bekliyor ve küçük bir ücret kalmış. Talep: küçük tutarı bir bağlantı üzerinden ödemek. Yapısal ipucu: tutar bilerek önemsizdir ki kontrol etmeye değer olduğunu düşünmeyesiniz; oysa gerçekten istedikleri şey o tutar değil, kart bilgileridir.

İş yeri şablonu. İddia: bir meslektaştan ya da yöneticiden gelen, genelde son derece sıradan tonda bir mesaj. Talep: bir ödemedeki hesap numarasını değiştirmek ya da bir dosyayı açmak. Bu şablon en tehlikelisidir, çünkü yukarıdaki ipuçlarının hiçbirini taşımaz. Onu durduran tek şey, ikinci bir yoldan teyit alışkanlığıdır: o kişiyi zaten elinizde olan bir numaradan aramak.

Sürekli sorulan bir SMS noktası: ekranda gördüğünüz gönderici adı ya da numarası kanıt değildir. Her zamanki numara olsa bile yeni mesaj aynı konuşma dizisine düşer ve tanıdık görünür. Her iki durumu da kapsayan kural basittir: bankanıza asla bir mesajın içinden ulaşmayın.

Gönderici gerçekte kim ve e-postanın kendisi neyi ele veriyor

Bir e-postanın From satırı, göndericinin yazdığı bir metindir. Tıpkı kağıt bir zarfın üzerindeki gönderici adı gibi: oraya her şey yazılabilir. Bu yüzden alıcı sunucunun postanın gerçekten o alan adından gelip gelmediğini kontrol edebilmesi için üç mekanizma kuruldu ve sonucu aynı mesajın başlıklarına yazar.

SPF, bu alan adı adına hangi sunucuların gönderim yapabileceğini söyler. DKIM, mesajın kendisine, DNSte yayımlanan bir açık anahtarla doğrulanan kriptografik bir imza koyar. DMARC, bu ikisi tutmadığında alıcının ne yapacağını söyler: hiçbir şey, spama koy ya da tamamen reddet. Nasıl çalıştıklarının aynı internet ve ağlar izleğinde kendi dersi var; burada yalnızca güvenlik sonucu bizi ilgilendiriyor.

Pratik sonuç şu: herhangi bir e-postada Authentication-Results başlığını açıp alıcı sunucunun ne sonuca vardığını görebilirsiniz. spf=fail, dkim=fail ya da dmarc=fail yazıyorsa mesaj destekleyemediği bir iddiada bulunmuştur. Bu sağlam bir sinyaldir ve görmesi saniyeler alır.

Şimdi bu bölümün en önemli cümlesi ve neredeyse hiçbir yerde söylenmeyeni: üçünün de geçmesi dürüstlüğü kanıtlamaz. Bu üç mekanizma tek bir soruya cevap verir ve yalnızca ona: bu mesaj gerçekten bu alan adından mı geldi? Bu sabah benzer bir alan adı kaydeden biri, akşama kadar üç kaydı da doğru kurabilir ve o andan itibaren postaları tertemiz bir geçişle ulaşır. Yani geçmek, göndericinin tam olarak bu alan adına sahip olduğu anlamına gelir ve o alan adının sandığınız mı yoksa bir harfi değiştirilmiş olan mı olduğunu yine kendiniz okumak zorundasınız.

Doğru sıra şudur: önce başlığa bakın, çünkü bir başarısızlık meseleyi orada bitirir. Geçtiyse, geçen alan adını gerçek olanla harf harf karşılaştırın. İkinci adım hiçbir sisteme devredilemez; insan gözünün gerektiği yer tam da orasıdır.

Tıkladım; şimdi sırayla ne yapmalı

Önce hem içinizi rahatlatan hem de doğru olan bir şey: bir sayfayı açmak, tek başına, genelde büyük bir olay değildir. Tehlike, bir şey yazdığınız ya da bir dosya açtığınız yerde başlar. Yani ilk iş tam olarak ne yaptığınızı bilmektir.

Sayfa yalnızca açıldıysa ve hiçbir şey girmediyseniz: kapatın, iş orada biter. Makineyi kapatmaya ya da bir banka kartını iptal etmeye gerek yok.

Parola girdiyseniz: o hizmete bağlantıdan değil, başka bir yoldan girin; adresi kendiniz yazın ya da resmi uygulamayı açın. Parolayı değiştirin ve aynı parola başka yerde de kullanıldıysa orada da değiştirin. Sonra o hesabın ayarlarında etkin oturumlara bakın ve diğer bütün cihazların oturumunu kapatın. Sıra önemlidir: birinin canlı oturumu açıkken yalnızca parolayı değiştirmek onu dışarı atmaz.

İki adımlı doğrulama kodunu da girdiyseniz: şu anda birinin hesabın içinde olduğunu varsayın. Yukarıdaki yolu hızla izleyin ve kurtarma kodlarını hemen yeniden üretin, çünkü eskileri görülmüş olabilir.

Kart bilgisi verdiyseniz: bankayı, mesajdaki numaradan değil kartın arkasında yazan numaradan arayın ve kartı bloke ettirin. Burada hız gerçekten önemlidir.

Ve bu bir iş hesabında olduysa: ne kadar utandırıcı gelirse gelsin, siteyi ya da ağı yöneten kişiye aynı dakika söyleyin. Gecikme, küçük bir hatayı bir olaya çeviren şeydir, çünkü o aralıkta biri sizin hesabınızdan diğer meslektaşlarınıza mesaj atabilir.