Sosyal Medyada Kimlik Avı
“Sosyal medyada kişisel verileri çalmayı amaçlayan “kimlik avı” saldırılarının yaklaşık %60'ı sahte Facebook sayfalarıyla düzenleniyor…”
Kimlik avı; bir sosyal ağ (Facebook, Twitter gibi) veya bilinir bir kurumun (banka, kamu, STK gibi) web sitesi ve/veya e-postasının kopyasını oluşturarak, hedef kişi/kişilerin önemli verilerinin alınması olarak tanımlanıyor. Daha geniş anlamda “tüm çevrimiçi ortamlarda” yapılan kimlik hırsızlığı diyebiliriz.
Kredi kartı numaraları, parolalar, hesap bilgileri, mezun olduğunuz okul, kimlik bilgileri, kan grubu, adres vb. gibi tüm “kişisel verileri” çalmayı amaçlayan bu siber suç türüne yemleme, oltalama (phishing) gibi isimler de veriliyor.
Peki, kişisel veri nedir?
Kimliği belirli veya belirlenebilen gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmıştır. Ülkemizde de konuyla ilgili kurulan bir kurul aracılığı ile çalışma yürütülmektedir. Detaylar için; http://www.kvkk.gov.tr
Yazımıza konu olan “sosyal ağlarda kimlik avı” ise bir önceki yıla göre %33 artmış ve toplam saldırıların içindeki payı %4.11 olmuş. Kimlik avı hırsızları “sosyal ağlar” dışında; Global İnternet Siteleri %23.7, Bankalar %18.25, İnternet Mağazaları %17.26, Ödeme Sistemleri %8.41, Devlet Siteleri %4.75, Operatörler %2.47, Çevrimiçi Oyunlar %0.43 gibi mecraları kullanıyorlar
Sosyal ağlarda kimlik avı saldırısına uğrayan kullanıcı oranı en yüksek ülke %19 ile Brezilya. İlk 10 ülke arasında Türkiye yok.
Kimlik avcılarının en çok kullandığı sosyal mecra ise Facebook. Sonra sırasıyla Rus Vkontakte, LinkedIn, Paypal. Hırsızların en çok Facebook’u kullanmalarının iki sebebi var;
- En çok aktif üyeye sahip sosyal ağ.
- Kullanıcıların (Cambridge Analytica skandalında olduğu gibi) “bilinen/bilinmeyen veya sahte uygulamalara” giriş yaparak hesaplarını erişime açması.
Sosyal ağlarda kimlik avı nasıl oluyor?
Örneklerle anlatmaya çalışalım;
Örnek1: Alan adı www.facebook.com ile başlayıp başka birşey ile devam eden, tıpkı Facebook gibi görünen sahte site. Eğer alan adını kontrol etmeden tıklayıp, girerseniz tüm Facebook bilgileriniz ellerinde.
Örnek2: Facebook’ta takip ettiğiniz/edeceğiniz bir kişisel/kurumsal sayfadan “bir hediye kazandınız, tıklayın”. En çok kullanılan yöntemlerden biri, uçak bileti kazandığımızı içeren paylaşımlar olmuş. Biletler görsellerinin üstüne inandırıcılığı olması için isimler, hatta koltuk numaraları bile yazılmış. Bitmedi, paylaşımın altında kullanıcı yorumları (“teşekkürler, kazandım” gibi.) eklenmiş. Tam bir sosyal mühendislik!
Örnek3: Sevdiğiniz futbolcunun resmi Facebook sayfasına üye olun, imzalı forma kazanın. Tıklamanız yeter.
Örnek4: Sadece Facebook değil örneğin Twitter’da kimlik avı için kullanılıyor. En kolay yöntem DM’den gelen mesajlar; “Linke tıkla, şifreni değiştir.” veya “Üzgünüz, hesabınız kitlendi. Linke tıklayın” gibi. Bu mesajlardaki linklere tıkladığınızda hesabınız karşı tarafa geçmiş oluyor.
Sosyal ağlarda kimlik avı örnekleri çoğaltılabilir. Raporda geniş geniş yer vermiş.
Peki neler yapabiliriz?
- Tıkladığınız siteye, alan adına, bağlantılara ve izin isteyen uygulamalara dikkat edin. Ama gerçek hayattaki gibi bir dikkat, pürdikkat!
- Özellikle kişisel verileri isteyen her türlü sayfa ve uygulamayı silin.
- Sosyal medya sayfalarınızda “mümkün oldukça” kişisel verilerinizi paylaşmayın. (Cinsiyetiniz bile kişisel veridir.)
- Sosyal ağ taraması da yapabilen davranış temelli kimlik avı önleme yazılımları kullanın. (Norton, Kaspersky)
- Sosyal mühendisliğin zirve yaptığı bu çağda en önemlisi okuyun, araştırın ve anlayın!
Tüm bunlar kısa bir animasyonla anlatılamaz mı diyenler için;
Kimlik avcılığı nedir? Nasıl anlaşılır? Ne yapmak lazım?
