Kimlik avı, bir kişi veya kurumun kimliğine bürünerek parola, doğrulama kodu, ödeme ya da dosya indirme gibi bir işlem yaptırmayı amaçlayan aldatma yöntemidir. E-posta, SMS, sosyal medya mesajı, telefon görüşmesi ve QR kod üzerinden karşınıza çıkabilir. İyi hazırlanmış bir mesajda yazım hatası bulunmayabilir; logo ve gönderen adı da tek başına kanıt sayılmaz.
Kimlik avı mesajlarında hangi işaretler aranmalı?
“Hesabınız kapanacak”, “teslimat ücretini hemen ödeyin” ve “ödülünüzü almak için giriş yapın” gibi ifadeler karar verme süresini kısaltmaya çalışır. Aciliyet gerçek bir bildirimde de bulunabilir. Bu nedenle tek bir işarete bakarak hüküm vermek yerine mesajın kaynağını bağımsız bir kanaldan doğrulamak gerekir.
Örneğin kargo bekliyor olmanız, gelen her teslimat mesajının size ait olduğunu göstermez. Mesajdaki bağlantıya gitmek yerine kargo firmasının uygulamasını açıp kayıtlı gönderinizi kontrol edin. Kurumsal bir ödeme talebinde de e-postadaki numara yerine daha önce doğrulanmış iletişim bilgisini kullanın.
Tıklamadan önce uygulayabileceğiniz 7 kontrol
- Gönderen adresini açın. Görünen adın arkasındaki e-posta adresini ve alan adını inceleyin.
- Bağlamı sorgulayın. Böyle bir işlem, dosya veya ödeme bekliyor muydunuz?
- Bağlantının hedefini okuyun. Masaüstünde üzerine gelin; mobilde açmadan hedef adresi gösteren önizlemeyi kullanın.
- Alan adını bütünüyle kontrol edin. Marka adının bir alt alan adında veya yol bölümünde geçmesi gerçek siteye ait olduğunu kanıtlamaz.
- Doğrulama kodlarını paylaşmayın. Destek görevlisi olduğunu söyleyen kişilere parola, kurtarma kodu veya MFA kodu vermeyin.
- Ekleri değerlendirin. Beklenmeyen arşiv, çalıştırılabilir dosya veya makro etkinleştirme talebinde işlemi durdurun.
- Ayrı bir kanaldan teyit edin. Kurumun kayıtlı uygulamasını veya kendi yazdığınız resmî adresi kullanın.
Şüpheli bağlantıya tıkladıysanız ne yapmalısınız?
Yalnızca sayfayı açmak ile parola girmek veya dosya çalıştırmak farklı riskler doğurur. Önce hangi işlemleri yaptığınızı not alın. Parola girdiyseniz güvenilir bir cihazdan ilgili hesabın parolasını değiştirin, açık oturumları sonlandırın ve kurtarma bilgilerini gözden geçirin. Aynı parola başka hesaplarda da kullanılıyorsa onları da değiştirin.
Bir dosya indirdiyseniz açmayın. Dosyayı çalıştırdıysanız kurumsal cihazlarda güvenlik ekibine haber verin ve cihazı ağdan ayırma konusunda kurum prosedürünü izleyin. Mesajı ve saat bilgisini saklamak incelemeyi kolaylaştırır. Hesap veya ödeme kaybı şüphesinde ilgili hizmetin resmî destek kanalına başvurun.
Kimlik avına karşı günlük korunma alışkanlıkları
Önemli siteleri yer imlerinden açın, tarayıcınızı güncel tutun ve mümkün olduğunda kimlik avına dayanıklı geçiş anahtarı ya da güvenlik anahtarı kullanın. Bir parola yöneticisinin beklenen sitede otomatik doldurma yapmaması da adresi yeniden kontrol etmeniz için bir işaret olabilir. Ancak hiçbir tek kontrol, mesajın bütünüyle güvenilir olduğunu garanti etmez.
Sık sorulan sorular
HTTPS kullanan bir sayfa sahte olabilir mi?
Evet. HTTPS aktarımı şifreler; sitenin dürüst bir işletmeye ait olduğunu garanti etmez. Adresin hangi kuruma ait olduğunu ayrıca doğrulayın.
QR kodlar kimlik avında kullanılabilir mi?
Evet. QR kodun açacağı adresi kontrol edin. Özellikle ödeme veya giriş isteyen kodları, fiziksel ortamda bulunmaları nedeniyle otomatik olarak güvenilir kabul etmeyin.
Devam edin: şüpheli URL kontrol rehberi ve MFA yöntemleri karşılaştırması.
Kaynak ve ileri okuma
NIST: Phishing. Kaynak kontrol tarihi: 17 Ekim 2026.
