Sosyal mühendislik örnekleri: 15 saldırı ve bunlara karşı nasıl önlem alınır

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) ifadesiyle sosyal mühendislik, bir saldırı türüdür; "Saldırgan, bir kuruluş veya bilgisayar sistemleri hakkında bilgi edinmek veya bu bilgileri tehlikeye atmak için insan etkileşimini (sosyal becerileri) kullanır."Bu yöntem işe yarıyor çünkü yazılımı değil, insanları hedef alıyor. Verizon'ın 2026 Veri İhlali Araştırma Raporu şunu ortaya koydu: İhlallerin %62'sinde insan faktörü mevcuttu.Bir önceki yıla göre %60'tan yükseldi.

İşte 5'erli 3 set halinde 15 sosyal mühendislik örneği. Her birinde dikkat edilmesi gereken bir uyarı işareti ve alınması gereken bir önlem bulunmaktadır. 1. set kimlik avı (phishing) ailesini, 2. set sahte kimlik kullanma ve taklit etme yöntemlerini, 3. set ise fiziksel saldırıları ve yemleme yöntemlerini kapsamaktadır. Her set bir uyarı işaretiyle sona ermektedir. Bizim seçimÖncelikle eğiteceğimiz örneği, tek satırlık bir gerekçeyle açıklayalım.

Aşağıdaki örnek şirketlerin, kişilerin ve mesajların tamamı uydurmadır.

Set 1: Kimlik avı ailesi

1. E-posta kimlik avı. Bir bankadan, tedarikçiden veya kendi BT ekibinizden gelmiş gibi görünen bir mesaj, bir bağlantıya tıklamanızı ve oturum açmanızı ister. CISA, kimlik avı saldırılarının e-posta veya kötü amaçlı web siteleri kullandığını belirtiyor. Güvenilir bir kuruluş gibi davranarak kişisel bilgiler talep etmek. Kırmızı bayrak: Gerçek bir işletmeyi taklit eden gönderen adresi, "Değerli Müşterimiz" gibi genel bir selamlama veya üzerine gelindiğinde adresi metinle eşleşmeyen bir bağlantı. Durdur: Tıklamayın. Siteye adresi kendiniz yazarak gidin veya mesajı bildirin.
2. Yemleme kancası. Aynı hile, bu sefer tek bir kişiye yönelik. Gönderen kişi sizin adınızı, yöneticinizin adını ve gerçekten üzerinde çalıştığınız bir projeyi kullanıyor; bu bilgiler kamuya açık verilerden bir araya getirilebiliyor. Kırmızı bayrak: "Atlas sözleşmesini bugün bana gönderin" gibi, tuhaf bir şekilde spesifik ama aynı zamanda alışılmadık bir istek. Durdur: Gönderene farklı bir kanaldan, örneğin zaten kayıtlı bir numarayı arayarak soru sorun.
3. Gülen. Kısa mesajla kimlik avı. CISA açıklıyor. smishing SMS mesajlarını istismar eden, üzerine tıklandığında tarayıcı açan veya arama başlatan bağlantılar, numaralar veya adresler içeren sosyal mühendislik yöntemleri olarak tanımlanabilir. Kırmızı bayrak: "Paket beklemede" veya "hesap kilitlendi" şeklinde kısa bir bağlantı içeren bir metin. Durdur: Onu silin ve gerçek uygulamayı veya siteyi kendiniz açın.
4. Vişing. Sesli kimlik avı. CISA diyor ki: vishing Sesli aramaları kullanıyor ve arayan kimliği sahte gösterilebiliyor, bu nedenle tanıdık bir isim gösteren bir arama hiçbir şeyi kanıtlamaz. Kırmızı bayrak: Arayan kişi baskı kurarak kod veya şifre istiyor. Durdur: Telefonu kapatın ve ekstrenizde veya şirket web sitesinde yazılı olan numarayı arayarak tekrar iletişime geçin.
5. QR kodlu kimlik avı. QR kodları, yönlendirdiği adresi gizler. FBI, bu konuda uyarıda bulundu. QR kodu içeren istenmeyen paketler Alıcıdan kişisel ve finansal bilgiler isteyen veya veri hırsızlığı yazılımı yükleyen e-postalar. Kırmızı bayrak: Beklemediğiniz bir kod, gönderen bilgisi içermiyor. Durdur: Bilinmeyen kaynaklardan gelen QR kodlarını taramayın.

Bizim tercihimiz: örnek 4, vishing. Verizon, kimlik avı simülasyonlarında ortalama tıklama oranının şu şekilde olduğunu tespit etti: Sesli ve yazılı mesajlaşma gibi mobil odaklı iletişim yöntemlerinin oranı %40 daha yüksekti. İnsanlar, telefon görüşmesine güvenmemeyi öğrenmekten çok daha hızlı bir şekilde e-postaya güvenmemeyi öğrendiler.

2. Bölüm: Bahane uydurma ve kimlik taklidi

Verizon, "önceden uydurma" taktiğini, saldırganların kullandığı bir taktik olarak tanımlar. Uydurma senaryolar aracılığıyla güvene dayalı bir ilişki kurulur. Kullanıcıyı, genellikle sesli iletişim yoluyla ancak e-posta veya kısa mesaj yoluyla da, kuruluşu tehlikeye atacak bir eyleme yönlendirmek için kandırmak. 2026 raporunda tüm ihlallerin %6'sını oluştururken, kimlik avı saldırıları %16'lık bir paya sahipti.

6. CEO'nun dolandırıcılığı ve iş e-postalarının ele geçirilmesi. FBI'ın İnternet Suçları Şikayet Merkezi (IC3) şu şekilde tanımlar: iş e-posta güvenliği (BEC) İşletmeleri hedef alan ve ele geçirilmiş e-posta hesapları ve diğer iletişim kanalları aracılığıyla yetkisiz para transferlerine neden olan bir dolandırıcılık türü olarak tanımlanmaktadır. IC3, 2025 yılında 24,768 BEC şikayeti ve yaklaşık 3.05 milyar dolarlık bildirilen kayıp kaydetti. Kırmızı bayrak: Üst düzey bir yöneticiden gelen, "kimseye söylemeyin" notuyla birlikte, ödeme yapılması veya hediye kartı satın alınması yönünde acil bir talep. Durdur: Ödeme taleplerinizi telefonla veya şahsen teyit edin.
7. Sahte BT desteği. Birisi yardım masasından olduğunu iddia ediyor ve "bir sorunu çözmek için" şifrenize veya uzaktan erişime ihtiyacı olduğunu söylüyor. IC3 bu bilgiyi aldı. 2025 yılında 47,794 teknik destek şikayeti bekleniyor.Bildirilen kayıplar 2.1 milyar doların üzerinde. Kırmızı bayrak: Öncelikle BT departmanı sizinle iletişime geçip parola veya tek kullanımlık kod isteyecektir. Durdur: Gerçek BT ​​ekiplerinin şifrenize ihtiyacı yok. Telefonu kapatın ve her zamanki yoldan bir destek talebi oluşturun.
8. Tedarikçi faturasında değişiklik. Görünüşe göre düzenli bir tedarikçiden gelen bir e-postada, banka bilgilerinin değiştiği belirtiliyor. IC3'ün BEC tanımı, hedef kitle olarak dolandırıcılık yapanları kapsayan dolandırıcılıkları içeriyor. Tedarikçilerle çalışan ve düzenli olarak banka havalesi yapan işletmeler. Kırmızı bayrak: Ödeme son tarihiyle birlikte yeni banka bilgileri. Durdur: Herhangi bir değişiklik yapmadan önce, önceden kayıtlı olan numaradan tedarikçiyi arayın.
9. Sahte işe alımcı. Bir "işe alım görevlisi", bir personele terfi gibi görünen bir pozisyon teklif ediyor, ardından kişisel belgeler veya indirilmesi gereken bir test görevi istiyor. IC3 bu durumu ele aldı. 2025 yılında 24,688 iş bulma dolandırıcılığı şikayeti bekleniyor.. Kırmızı bayrak: Başvurmadığınız bir teklif, hızlı ilerleyen aşamalarla. Durdur: İşe alım uzmanını şirketin kendi kariyer sayfasından kontrol edin ve asla mülakat için yazılım yüklemeyin.
10. Deepfake ses. IC3, yönetmeninizin acil ödeme talebine benzeyen klonlanmış bir sesin geldiğini söylüyor. Ses klonlama, havale yoluyla ödeme talebinde bulunmak için kullanılabilir. Ayrıca işletmelerin 2025 yılında yapay zekâ içeren BEC dolandırıcılıklarından 30 milyon doların üzerinde zarar bildirdiği belirtildi. Kırmızı bayrak: Kontrol etmeden önce harekete geçmenizi gerektiren bir sesli mesaj veya arama. Durdur: Ödeme işlemleri için bir şifre kelimesi veya geri arama kuralı üzerinde anlaşmak gerekir, bu nedenle ikna edici bir ses yeterli değildir.

Bizim tercihimiz: 6. örnek, CEO dolandırıcılığı ve BEC. Bu, IC3'ün 2025 rakamlarında teknik destek dolandırıcılıklarından bile daha maliyetli olan en pahalı örnek ve durdurma işlemi de ucuz: herhangi bir para transferi olmadan önce bilinen bir numarayı aramak yeterli.

3. Set: Fiziksel saldırılar ve tuzak kurma

Bu saldırılar klavye gerektirmez. Önemlidirler çünkü binadaki bir yabancı, güvenlik duvarının koruduğu şeye ulaşabilir.

11. Araç arkası partisi. Birisi "elleri dolu olduğu için" güvenlikli kapıdan sizi takip ediyor. Kırmızı bayrak: Üzerinde rozet olmayan, rahat ve arkadaş canlısı bir kişi. Durdur: Onlardan kibarca giriş kartlarını kullanmalarını rica edin veya onları resepsiyona kadar götürün.
12. USB belleklerle yemleme. "2027 Maaş Değerlendirmesi" yazılı bir USB bellek otoparkta veya lobide bırakılmış. Kırmızı bayrak: Satın almadığınız herhangi bir çıkarılabilir sürücü. Durdur: Bulduğunuz hiçbir cihazı asla prize takmayın. Güvenli bir şekilde inceleyebilecek olan BT departmanına teslim edin.
13. Omuz üzerinden bakarak bilgi edinme. Birisi trende veya ortak çalışma masasında ekranınızı okuyor veya PIN kodunuzu girerken sizi izliyor. Kırmızı bayrak: Ekranınıza çok yaklaşan veya telefonunu ekranınıza doğru açılı bir şekilde tutan bir kişi. Durdur: Gizlilik filtresi kullanın, uzaklaştığınızda ekranınızı kilitleyin ve sırtınızı duvara yaslayarak oturun.
14. Çöp konteynerlerinde yiyecek aramak. Sıradan bir çöp kutusuna atılan basılı e-postalar, organizasyon şemaları ve toplantı notları, saldırgana bir sonraki arama için isimler, telefon numaraları ve proje başlıkları gibi bilgiler sağlayabilir. Kırmızı bayrak: Üzerinde isim veya numara yazılı kağıtların bulunduğu açık bir çöp kutusu. Durdur: Evrak imha makinesi veya kilitli çöp kutusu kullanın ve masanızı düzenli tutma alışkanlığı edinin.
15. Sahte teslimat. Üzerinde marka logosu bulunan bir ceket giyen kurye, resepsiyondan geçerek içeri alınmayı veya paketi sunucu odasına bırakmayı rica ediyor. Kırmızı bayrak: Kimsenin sipariş etmediği veya resepsiyona teslim edilemeyen bir teslimat. Durdur: Bunu resepsiyondan alın ve beklenmedik paketleri etikette adı yazılı kişiyle kontrol edin.

Bizim tercihimiz: 11. örnek, maç öncesi piknik. Hiçbir beceri gerektirmez ve hiçbir maliyeti yoktur; önemli olan iyi davranışlardır. Personele kibar bir metin verin, böylece birine meydan okumak normalmiş gibi hissettirsin, kabalık olarak görülmesin.

15'inin hepsini nasıl durdurabilirim?

Bu 15 örneğin ortak bir noktası var: sizi hızlı ve yalnız hareket etmeye itiyorlar. Üç alışkanlık bunu bozuyor.

1. İkinci bir kanal üzerinden doğrulama yapın. Eğer bir istek para, şifre, kod veya erişim içeriyorsa, zaten sahip olduğunuz iletişim bilgilerini kullanarak başka bir yolla doğrulayın. CISA, bir isteğin gerçek olup olmadığından emin değilseniz, Doğrudan şirketle iletişime geçerek doğrulayın.ve mesajda verilen iletişim bilgileriyle değil.
2. Onu rapor et. CISA'nın şüpheli kimlik avı vakaları için tavsiyesi şudur: mesajı bildir ve sonra silin. Bildirimi tek tıklamalık, kimseyi suçlamayan bir alışkanlık haline getirin, böylece bir şeyi ilk fark eden kişi diğer herkesi uyarır.
3. Yavaşlatmak. CISA listeleri acil veya duygusal olarak etkileyici dil Kimlik avının yaygın belirtileri arasında yer alıyor. CISA ayrıca, yapay zeka sayesinde bazı e-postaların artık mükemmel yazım kurallarına sahip olması nedeniyle, kusursuz dilbilgisinin artık güvenliğin kanıtı olmadığını belirtiyor. Bir mesaj hız gerektiriyorsa, bu duraklama sinyalidir.

Alışkanlıkların yerleşmesinin yolu eğitimden geçer. İhlallerin %62'sinde insan faktörünün rol oynadığı göz önüne alındığında, Verizon'ın 2026 raporuBu 15 örneği tespit etme konusunda pratik yapmış bir ekip, savunmanızın gerçek bir parçasıdır. Daha kapsamlı bir program için kılavuzumuza bakın. siber güvenlik farkındalık eğitimi.

Sosyal mühendislik oturumu düzenlemenin yolları AhaSlides

15 örneği canlı olarak, bir odada veya video görüşmesi üzerinden uygulayın; katılımcılar yanıt verdikçe cevaplar ekranda görünecektir.

1. Yanıt Seçin: "Gerçek mi, yoksa dolandırıcılık mı?" Her örnek için uydurma bir mesaj gösterin ve gerçek olup olmadığını sorun. Şüphe uyandıran noktaları ortaya çıkarın ve tartışın.
2. Kelime Bulutu: "En sık karşılaştığınız dolandırıcılık türü". En büyük kelime, önce neyi çalışmanız gerektiğini gösterir.
3. Değerlendirme Ölçeği: "Sahtekarlığı tespit etme konusunda ne kadar kendinize güveniyorsunuz?" Seans öncesinde ve sonrasında 1 ile 5 arasında bir puanlama isteyin ve ortalamaları karşılaştırın.
4. Açık Uçlu Soru: "Aldığım şüpheli bir mesaj". İsimleri çıkarılmış gerçek örnekler toplayın ve en iyisini bir sonraki tur senaryosu olarak kullanın.

Kimlik avı ve sosyal mühendislik kursu şablonu, uyarlayabileceğiniz hazır slaytlar sunarken, iç tehdit farkındalığı şablonu da tüm ekip için iyi bir takip materyali niteliğindedir.

Sık Sorulan Sorular

Sosyal mühendisliğin örnekleri nelerdir?

Kimlik avı, sahte vaatlerle kandırma, yemleme ve takip etme başlıca yöntemlerdir. Bu yazıda e-posta kimlik avı ve sesli kimlik avından sahte BT desteğine, USB yemlemeye ve sahte teslimatlara kadar 15 yöntem listelenmiştir.

En yaygın sosyal mühendislik türü nedir?

Kimlik avı. Verizon'ın 2026 raporuna göre, kimlik avı tüm ihlallerin %16'sını oluştururken, sahte kimlikle kandırma oranı %6'da kalıyor ve IC3 2025 yılında 191,561 kimlik avı ve sahte kimlik şikayeti aldı.

Sosyal mühendisliği nasıl önlersiniz?

İstekleri ikinci bir kanal üzerinden doğrulayın ve şüpheli olanları bildirin. Saldırılar tek seferlik bir eğitimden daha hızlı değiştiği için kısa ve düzenli eğitimler ekleyin.

Önsezi kurma nedir?

Bilgi veya erişim elde etmek için uydurulmuş bir hikaye. Saldırgan, bir yardım masası araması gibi inandırıcı bir senaryo aracılığıyla güven oluşturur, ardından parola, ödeme veya kapının açık tutulmasını ister.

Nerede başlar

Bir örnek seçin ve bir sonraki ekip toplantınızda uygulayın. Sadece bir örnek için vaktiniz varsa, bu bir "vishing" (görüşmeli arama) örneği olsun ve ardından herkese bir sonraki beklenmedik aramada ne yapacaklarını sorun.