Oltalama (Phishing) Nedir? Nasıl Anlaşılır?

Bir sabah bankanızdan gelmiş görünen bir mesaj: "Hesabınız 15 dakika içinde kapatılacak, doğrulamak için tıklayın." Bağlantı gerçeğine çok benzeyen bir sayfaya gider, sayfa parolanızı ister. Verirseniz hesabınız artık sizin değildir. Buna oltalama denir ve işleyişinde hiçbir teknik açık yoktur; açık, aceleyle verilen karardır.

Oltalama nedir?

Oltalama, saldırganın tanınan bir kurum ya da kişi kılığına girerek kurbandan bilgi istemesidir. Jandarma Genel Komutanlığı'nın bilgi notunda bu, e-posta, anlık mesaj veya kısa mesajla yapılan bir sosyal mühendislik saldırısı olarak tanımlanır ve iki temel türe ayrılır: toplu gönderilen oltalama e-postaları ve hedef hakkında önceden bilgi toplanarak hazırlanan hedefli oltalama.^[1]

FBI'ın internet suçları merkezi tanımı daha geniş tutar: bir meşru şirketten geliyormuş gibi görünen, kişisel ve finansal bilgi ya da giriş bilgisi isteyen istenmeyen e-postalar, kısa mesajlar ve telefon aramaları.^[2]

Türleri

• E-posta oltalaması: Klasik yöntem. Toplu gönderilir, az kişinin tıklaması yeterlidir.
• Hedefli oltalama (spear phishing): Tek bir kişiye, hakkında toplanmış bilgilerle yazılır. İsminiz, şirketiniz, yöneticinizin adı mesajın içindedir.^[1]
• Smishing: SMS ile. APWG verisine göre 2026'nın ilk çeyreğinden ikinci çeyreğine %40 artmıştır.^[3]
• Vishing: Telefonla. Aynı dönemde %20 artış göstermiştir.^[3]
• Quishing: QR kod ile. Gerçek kodun üzerine çıkartma yapıştırmak yaygın bir yöntemdir.
• Kurumsal e-posta dolandırıcılığı (BEC): Şirketin ödeme sürecini hedef alır; zararı en büyük olan türdür.

Ne kadar yaygın? Ölçülmüş veriler

Oltalama ile uğraşan sektör birliği APWG, çeyreklik raporlar yayımlar. 2026'nın ikinci çeyreğinde (Nisan–Haziran) 1.069.681 tekil oltalama saldırısı kaydedilmiş; bu, ilk çeyrekteki 971.181^[4]'e göre %10,1 artıştır ve 2025'in üçüncü çeyreğinden bu yana en yüksek değerdir. Aynı dönemde 941 farklı markanın taklit edildiği, en çok hedeflenen sektörün %29,1 payla bulut yazılım ve web posta hizmetleri olduğu belirtilmiştir.^[3]

FBI'ın 2025 yılı raporunda ise tablo iki eksenden okunmalıdır:^[2]

Yani oltalama en çok bildirilen suçtur ama tek bir olaydaki zarar görece küçüktür; oltalamadan türeyen kurumsal e-posta dolandırıcılığı ise çok daha az şikâyetle çok daha büyük zarara yol açar. Aynı raporda yapay zekâ ile ilgili 22.364 şikâyet ve 893 milyon dolar zarar da yer alır.^[2]

Verizon'un yıllık ihlal raporu insan tarafını ölçer: 2026 raporunda incelenen ihlallerin %62'sinde insan unsuru bulunmuş, oltalama ihlallerin %16'sında görülmüştür. Aynı raporda oltalama tatbikatlarında mobil kanalların (ses ve mesaj) başarı oranının e-postaya göre %40 daha yüksek olduğu belirtilir.^[5]

Sahte mesaj nasıl anlaşılır?

Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin uyarısı, saldırganın kullandığı duygusal kaldıraçları sıralar: başınızın derde girdiğine inanmanız, güvendiğiniz birine yardım etme isteği, ödül kazandığınız düşüncesi ve hızlı karar vermeye zorlanmanız. Aynı uyarıda "bağlantıyı 15 dakika içinde açın" türü süre baskısı ve e-Devlet üzerinden para iadesi vaat eden reklamlar örnek olarak verilir.^[7]

Pratikte bakılacaklar:

• Adrese bakın, görünen ada değil. Gönderenin görünen adı istenildiği gibi yazılabilir. Önemli olan e-posta adresinin alan adıdır.
• Bağlantının gerçek hedefini okuyun. Bilgisayarda bağlantının üzerine gelmek, telefonda basılı tutmak hedefi gösterir. Benzeyen ama aynı olmayan alan adları (harf eksiltme, tire ekleme, farklı uzantı) en yaygın hiledir; Jandarma bilgi notu da yazım hataları ve alan adındaki tuhaflıkların kontrol edilmesini söyler.^[1]
• İstenen şeye bakın. Hiçbir banka ya da kamu kurumu e-posta veya SMS ile parola, kart şifresi ya da doğrulama kodu istemez. Dijital Dönüşüm Ofisi'nin uyarısı da kimlik bilgilerinin, doğum tarihinin ve kimlik numarasının e-posta ile gönderilmemesini söyler.^[7]
• Aciliyete direnin. Süre baskısı neredeyse her oltalama mesajında vardır.^[7]
• Kendi yolunuzdan gidin. Mesajdaki bağlantıyı değil, bildiğiniz adresi kendiniz yazarak girin ya da kurumun uygulamasını açın.^[7]

Gerçekten işe yarayan korunma yolları

1. Oltalamaya dayanıklı doğrulama. Güvenlik anahtarları ve passkey'ler kimliği siteye bağlar; sahte bir sayfa bunları kullanamaz. SMS ya da uygulama kodları gerçek zamanlı aktarılabildiği için bu güvenceyi vermez.
2. Parola yöneticisi. Yanlış alan adında otomatik doldurma yapmadığı için, siz fark etmeseniz bile sahte sayfayı belli eder.
3. Her siteye ayrı parola. Dijital Dönüşüm Ofisi'nin uyarısında kurumsal, sosyal medya ve e-ticaret hesaplarında aynı parolanın kullanılmaması özellikle belirtilir.^[7]
4. Kurum içi eğitim ve bildirim kolaylığı. Verizon 2024 verisinde kullanıcıların %20'den fazlasının oltalama tatbikatında şüpheli iletiyi bildirdiği, tıklayanların %11'inin de bildirimde bulunduğu görülmüştür.^[6]

Tıkladıysam ne yapmalıyım?

• Parolayı girdiyseniz ilgili hesabın parolasını hemen değiştirin; aynı parolayı kullandığınız diğer hesapları da değiştirin.
• Hesabın oturumlarını kapatın ve iki adımlı doğrulamayı açın.
• Banka bilgisi verdiyseniz bankanızı arayın; kartı bloke ettirin.
• Kurum hesabıysa gecikmeden bilgi işlem birimini bilgilendirin — Dijital Dönüşüm Ofisi'nin tavsiyesi de budur.^[7]
• Olayı ihbar edin: Türkiye'de siber ihbar kanalı Siber Güvenlik Başkanlığı'nın ihbar formudur.^[8]

Türkiye'deki kurumsal yapı

Ulusal Siber Olaylara Müdahale Merkezi'nin (USOM) hizmetleri kurumsal bir değişiklikten geçti: CVE başvuruları, siber ihbar süreçleri, zararlı bağlantı listeleri ve güvenlik bültenleri artık Siber Güvenlik Başkanlığı'nın sitesi üzerinden yürütülüyor. Dayanak olarak 177 sayılı Cumhurbaşkanlığı Kararnamesi ile 12 Mart 2025 tarihli 7545 sayılı Siber Güvenlik Kanunu gösteriliyor. Zararlı bağlantıların .txt dosyası olarak dağıtımı 1 Haziran 2026'da sona ermiş, yerine API hizmetleri yönlendirilmiştir.^[9]

Ulaştırma ve Altyapı Bakanlığı'nın 7 Ocak 2025 tarihli duyurusunda, USOM'da geliştirilen yerli yapay zekâ sisteminin vatandaşları dolandırmak için kurulan 64.115 alan adını engellediği, 424.156 zararlı internet adresinin tespit edildiği bildirilmiştir.^[10]

İlgili içerikler

• İnternet Bankacılığı Nedir? İşlemler Nasıl Yapılır?
• İki Adımlı Doğrulama Nedir? Nasıl Açılır?
• QR Kod Nedir? Nasıl Çalışır? Kare Kodun Yapısı