Oltalama (Phishing) Nedir? Sahte E-postaları, Mesajları ve QR Kodlarını Nasıl Tanırsınız

Oltalama nedir?

Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) oltalamayı, suçluların kurbanlarını kandırmak için dolandırıcı e-postalar, kısa mesajlar veya telefon aramaları kullanması olarak tanımlıyor; amaç çoğu zaman bilgisayarınıza virüs indirebilecek bir web sitesini ziyaret etmenizi sağlamak ya da banka bilgilerinizi veya diğer kişisel bilgilerinizi çalmaktır ^[3]. ABD Federal Ticaret Komisyonu (FTC) bunu daha kısa ifade ediyor: dolandırıcılar sizi kişisel ve finansal bilgilerinizi vermeye kandırmak için e-posta veya kısa mesaj kullanır ^[1].

FBI bu suçu 'oltalama/sahtecilik' başlığı altında topluyor: kişisel, finansal veya oturum açma bilgileri isteyen, sözde meşru bir şirketten gelen istenmeyen e-postalar, mesajlar ve telefon aramaları ^[8]. Sahtecilik (spoofing), göndereni taklit etmek, örneğin bir mesajı bankanızdan geliyormuş gibi göstermek anlamına gelir.

Oltalama, FBI'ın bir kişiyi kandırarak güvenli verileri ifşa etmesini sağlamak olarak tanımladığı sosyal mühendisliğin bir biçimidir ^[12]. Teknik açıklar yerine insanların güvenine dayanır; bu nedenle bir kişi parolasını veya kodunu vermeye ikna edilebilirse güçlü sistemleri bile aşabilir.

Oltalama hangi biçimlerde karşımıza çıkar?

• E-posta oltalaması: bankaları, mağazaları, kargo şirketlerini veya işverenleri taklit eden toplu mesajlar ^[1].
• Hedefli oltalama (spear phishing): başarı şansını artırmaya yönelik bilgiler kullanarak belirli bir kişiyi veya grubu kandırmaya yönelik doğrudan bir girişim ^[12].
• Kısa mesaj oltalaması (smishing): aynı hilelerin SMS ile gönderilmesi; FTC'nin tanımı kısa mesajları açıkça kapsıyor ^[1].
• Telefon oltalaması (vishing): güvenilir bir kuruluştan arıyormuş gibi yapan aramalar; NCSC dolandırıcı aramaları oltalamanın bir parçası olarak görüyor ^[3].
• QR kod oltalaması (quishing): e-postalarda yer alan ve kötü amaçlı web sitelerine yönlendiren QR kodları ^[6].

Yapay zekâ oltalamayı nasıl değiştiriyor?

FBI Aralık 2024'te, suçluların üretken yapay zekâyı sosyal mühendislik ve hedefli oltalama için inandırıcı metinler yazmak, mesajları daha geniş bir kitleye daha hızlı göndermek ve mesajları daha az dil bilgisi veya yazım hatası içerecek şekilde çevirmek için kullandığı konusunda uyardı ^[12]. NCSC de benzer şekilde dolandırıcılıkların eskiden kötü yazım veya tuhaf tasarım sayesinde daha kolay fark edildiğini, ancak giderek daha akıllı hâle geldiğini ve bazılarının uzmanları bile kandırdığını belirtiyor ^[4].

Kimler kişisel olarak hedef alınıyor?

Suçlular, mesajları daha inandırıcı hâle getirmek için sosyal medya dahil çevrimiçi ortamda bulunan bilgilerinizi kullanır ^[3]. Kamuoyunda tanınan gruplar devletle bağlantılı kampanyalarla da karşı karşıyadır. Freedom House, İran İslam Devrim Muhafızları Ordusu ile bağlantılı bir hacker grubunun hükümet eleştirmenlerini oltalama operasyonlarına çekmek için çevrimiçi ortamda gazetecilerin ve insan hakları aktivistlerinin kimliğine büründüğünü bildirdi ^[13]. Farsça konuşan gazeteciler ve aktivistler için beklenmedik bir röportaj talebi veya belge bağlantısı, bir banka mesajıyla aynı kontrolleri hak eder.

Bir oltalama mesajını nasıl tanırsınız?

FTC'ye göre oltalama mesajları çoğu zaman şüpheli etkinlik veya oturum açma girişimleri fark ettiklerini söyler, hesabınızda veya ödeme bilgilerinizde bir sorun olduğunu iddia eder, kişisel veya finansal bilgilerinizi doğrulamanızı ister, tanımadığınız bir fatura içerir, ödeme yapmak için bir bağlantıya tıklamanızı ister, devletten iade almaya hak kazandığınızı söyler ya da ücretsiz ürünler için kupon sunar ^[1].

NCSC, şüpheli bir mesajı şu belirgin işaretler açısından kontrol etmenizi öneriyor ^[4]:

1. Otorite: Bankanız, doktorunuz, bir avukat veya bir devlet dairesi gibi resmî birinden geldiğini mi iddia ediyor ^[4]?
2. Aciliyet: Size çoğu zaman para cezası tehdidiyle 24 saat içinde veya hemen yanıt vermeniz mi söyleniyor ^[4]?
3. Duygu: Sizi paniğe mi sürüklüyor, korkutuyor mu, umutlandırıyor mu ya da merakınızı mı uyandırıyor ^[4]?
4. Kıtlık: Konser biletleri, para veya bir tedavi gibi kıt bir şey mi sunuyor ^[4]?
5. Güncel olaylar: Bir haberden, büyük bir etkinlikten veya vergi dönemi gibi yılın belirli bir zamanından mı yararlanıyor ^[4]?

NCSC, bankanızın veya başka herhangi bir resmî kaynağın sizden asla e-postayla kişisel bilgi istemeyeceğini ya da arayıp banka hesap bilgilerinizi doğrulamanızı istemeyeceğini ekliyor ^[4]. Şüpheniz varsa kuruluşla, mesajdaki numaraları veya adresleri değil, resmî web sitesindeki iletişim bilgilerini kullanarak doğrudan iletişime geçin ^[4].

Oltalama ne kadar yaygın?

FBI'ın İnternet Suçları Şikâyet Merkezi (IC3), 2025'te 20,877 milyar dolar bildirilen kayıpla 1.008.597 şikâyet aldı ^[8]. Oltalama/sahtecilik, 191.561 şikâyetle sayı bakımından en büyük kategori oldu ^[8]. Bu kategorideki bildirilen kayıplar 2024'teki 70.013.036 dolardan 2025'te 215.843.126 dolara yükseldi ^[8]. Şikâyet sayıları, gerçekleşen tüm oltalama vakalarını değil, yalnızca insanların IC3'e bildirmeyi seçtiklerini kapsar.

Bir sektör koalisyonu olan Anti-Phishing Working Group (APWG), 2025'in ilk çeyreğinde 2023 sonundan bu yana en yüksek sayı olan 1.003.924 oltalama saldırısı gözlemledi ve suçluların her gün QR kod içeren milyonlarca e-posta gönderdiğini belirtti ^[9]. Çevrimiçi ödeme ve bankacılığa yönelik saldırılar, o çeyrekteki tüm saldırıların toplam yüzde 30,9'unu oluşturdu ^[9].

Birleşik Krallık'ta NCSC'nin bildirim hizmeti, Eylül 2026 itibarıyla 59,6 milyondan fazla dolandırıcılık bildirimi aldı; bu bildirimler 466.300 URL genelinde 263,7 bin dolandırıcılığın kaldırılmasını sağladı ^[3].

QR kodları taramak güvenli mi?

Sıradan yerlerde genellikle evet. NCSC, barlardaki veya restoranlardaki QR kodların muhtemelen taranmasının güvenli olduğunu, QR kodla yapılan dolandırıcılığın diğer siber dolandırıcılıklara kıyasla nispeten küçük kaldığını ve bunun çoğunun istasyonlar ve otoparklar gibi açık alanlarda, çoğu zaman sosyal mühendislikle birlikte gerçekleştiğini söylüyor ^[6].

Asıl endişe e-posta. NCSC, oltalama e-postalarında bazen quishing olarak adlandırılan QR kod kullanımında bir artış görüyor; çünkü QR kodlar kötü amaçlı bağlantıları gizliyor, e-posta güvenlik araçlarının hepsi görüntüleri taramıyor ve insanlar kodları iş bilgisayarına göre daha zayıf korumaya sahip olabilecek kişisel telefonlarıyla tarama eğiliminde ^[6].

FBI ve FTC ne öneriyor?

• Taradıktan sonra web adresini kontrol edin; kötü amaçlı bir alan adı, bir yazım hatası veya yeri değiştirilmiş bir harfle gerçeğine benzeyebilir ^[7].
• Fiziksel bir kodda, üzerine çıkartma yapıştırılmadığını kontrol edin ^[7]. FTC, dolandırıcıların otopark sayaçlarındaki QR kodların üzerini kendi kodlarıyla kapattığına dair bildirimlere dikkat çekiyor ^[2].
• Bir QR koddan uygulama indirmeyin veya ayrı bir QR tarayıcı uygulaması yüklemeyin; çoğu telefonun kamera uygulamasında bir tarayıcı bulunur ^[7].
• Beklemediğiniz bir e-postadaki veya mesajdaki QR kodu taramayın; şirketle gerçek olduğunu bildiğiniz bir telefon numarası veya web sitesi üzerinden iletişime geçin ^[2].
• QR kod aracılığıyla ulaşılan bir sitede ödeme yapmaktan kaçının; bunun yerine bildiğiniz ve güvendiğiniz bir adresi yazın ^[7].

Bir oltalama bağlantısına tıkladıysanız ne yapmalısınız?

Hızlı ve şu sırayla hareket edin:

1. Durun ve iletişimi kesin. NCSC'nin tavsiyesi durmak, iletişimi kesmek ve kullanılan dili değerlendirmektir ^[4].
2. Bir parola verdiyseniz, NCSC aynı parolayı kullanan tüm hesaplarınızın parolalarını değiştirmenizi ve mümkünse bunun yerine bir geçiş anahtarı kullanmanızı söylüyor ^[14]. FTC de hesapları korumak için çok faktörlü kimlik doğrulamayı öneriyor ^[1].
3. Bir eki açtıysanız veya bir şey yüklediyseniz, güvenlik yazılımınızı güncelleyin, tarama yapın ve işaretlediği her şeyi kaldırın ^[1][14]. Bu bir iş dizüstü bilgisayarında veya telefonunda olduysa BT departmanınıza haber verin ^[14].
4. Para kaybettiyseniz veya banka bilgilerinizi verdiyseniz, resmî iletişim bilgilerinin genellikle yazılı olduğu kartınızdaki veya hesap özetinizdeki numarayı kullanarak bankanızı bilgilendirin ^[4] ve durumu suç olarak bildirin; İngiltere, Galler ve Kuzey İrlanda'da bu Report Fraud, İskoçya'da ise Police Scotland anlamına gelir ^[14]. Sosyal Güvenlik, kart veya banka numarası açığa çıkmış olabilecek ABD'deki okurlar IdentityTheft.gov'daki adımları izleyebilir ^[1].
5. Değiştirilmiş bir QR kod üzerinden ödeme yaptıysanız, FBI durumu bildirmenizi söylüyor ve kolluk kuvvetlerinin kaybedilen paranın geri alınmasını garanti edemeyeceği konusunda uyarıyor ^[7].

Oltalama nasıl bildirilir?

Birleşik Krallık'ta şüpheli e-postaları NCSC'nin Şüpheli E-posta Bildirim Hizmeti'ne, report@phishing.gov.uk adresine iletin ^[5]. ABD'de FTC, oltalama e-postalarının reportphishing@apwg.org adresinden Anti-Phishing Working Group'a iletilmesini, oltalama mesajlarının SPAM (7726) numarasına iletilmesini ve girişimin ReportFraud.ftc.gov üzerinden bildirilmesini öneriyor ^[1]. ABD'deki dolandırıcılık kayıpları FBI'ın IC3'üne de bildirilebilir ^[7]. Bu metin finansal veya hukuki tavsiye değil, genel bilgidir; durumunuzla ilgili yetkili merciler bankanız ve ulusal bildirim merkezinizdir.

Oltalamayı gerçekten hangi savunmalar durdurur?

FTC dört koruma önlemi sıralıyor: bilgisayarınızda güvenlik yazılımı, telefonunuzda otomatik güncellemeler, hesaplarınızda çok faktörlü kimlik doğrulama ve verilerinizin yedekleri ^[1].

Çok faktörlü kimlik doğrulama oltalamayı durdurur mu?

Çok yardımcı olur, ama tamamen değil. Çok faktörlü kimlik doğrulama (MFA), parola artı kod gibi iki veya daha fazla türde kanıt gerektirir ^[10]. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yaygın bir oltalama tekniğinin kullanıcıları kullanıcı adlarını, parolalarını ve doğrulama uygulamalarından gelen 6 haneli kodu girdikleri sahte bir oturum açma sayfasına yönlendirdiğini, saldırganın da bunları kullandığını açıklıyor ^[10]. CISA, kısa mesaj veya sesli arama ile gönderilen kodların SS7 ağ açıkları veya SIM değiştirme yoluyla da çalınabileceğini ve saldırganların kullanıcılara Kabul Et'e basana kadar anlık bildirim yağdırdığını ekliyor ^[10].

CISA, yaygın olarak erişilebilen tek oltalamaya dayanıklı kimlik doğrulamanın büyük tarayıcılarda, işletim sistemlerinde ve akıllı telefonlarda desteklenen FIDO/WebAuthn olduğunu belirtiyor ^[10]. Yine de her türlü MFA'nın hiç olmamasından daha iyi olduğunu söylüyor ^[10]. Geçiş anahtarları, parolaların yerini kriptografik anahtar çiftleriyle alan FIDO kimlik bilgileridir; FIDO Alliance, parolaların aksine geçiş anahtarlarının her zaman güçlü ve oltalamaya dayanıklı olduğunu söylüyor ^[11]. İhlal edilen veritabanlarından çalınacak parola da bulunmadığını ekliyor ^[11].

Riski başka neler azaltır?

Suçlular bu bilgileri mesajları kişiselleştirmek için kullandığından, sizin ve başkalarının sizinle ilgili çevrimiçi paylaştıklarını gözden geçirin ve sosyal medya gizlilik ayarlarını sıkılaştırın ^[3]. Şüpheli mesajları bildirin: NCSC, bildirimde bulunmanın size gelen dolandırıcılık mesajlarını azalttığını ve başkalarını korumaya yardım ettiğini söylüyor ^[3].