Kısaca
Sosyal mühendislik (social engineering), teknik güvenlik kontrollerini atlayarak doğrudan insan psikolojisini hedef alan saldırı tekniklerinin genel adıdır. Verizon 2025 Data Breach Investigations Report'a göre veri ihlallerinin %74'ünde insan faktörü rol oynamaktadır. En gelişmiş firewall, EDR ve SIEM çözümleri bile, eğitimsiz bir çalışanın zararlı bir bağlantıya tıklamasını veya telefonda kimlik bilgilerini paylaşmasını engelleyemez.
Bu rehberde; sosyal mühendisliğin temel psikolojik prensiplerini, yaygın saldırı türlerini (phishing, pretexting, baiting, tailgating), hedefli saldırı vektörlerini (spear phishing, whaling, BEC), fiziksel sosyal mühendislik tekniklerini, AI ve deepfake destekli yeni nesil tehditleri, tespit yöntemlerini, kurumsal savunma stratejilerini ve SİTEY platformuyla güvenlik farkındalığı entegrasyonunu kapsamlı biçimde ele alıyoruz.
Sosyal Mühendislik Nedir?
Sosyal mühendislik, bir hedef bireyi manipüle ederek gizli bilgi paylaşmasını, yetkisiz erişim sağlamasını veya güvenlik protokollerini ihlal etmesini sağlama sanatıdır. Kevin Mitnick'in ünlü sözüyle: "İnsan güvenlik zincirinin en zayıf halkasıdır." Teknik güvenlik önlemleri ne kadar güçlü olursa olsun, insan faktörü her zaman istismar edilebilir bir saldırı yüzeyi sunar.
Sosyal mühendislik saldırılarının temel karakteristikleri:
- Güven İnşası: Saldırgan, hedefle bir güven ilişkisi kurar - meşru bir kurum çalışanı, teknik destek personeli veya iş ortağı olarak kendini tanıtır.
- Aciliyet Yaratma: Hedefin rasyonel düşünmesine fırsat vermeden acil eylem talep eder - "hesabınız 30 dakika içinde kapanacak", "CEO acil ödeme istiyor".
- Bilgi Toplama: Saldırgan, hedef hakkında önceden araştırma yapar; sosyal medya profilleri, kurumsal web sitesi, LinkedIn ağı gibi açık kaynaklardan bilgi derler.
- Duygusal Manipülasyon: Korku, merak, açgözlülük, yardımseverlik gibi temel insan duygularını istismar eder.
- Çok Aşamalı Yaklaşım: Gelişmiş saldırılar, tek bir e-posta yerine günler veya haftalarca süren çok aşamalı ilişki kurma sürecini içerir.
Sosyal mühendislik saldırıları, siber güvenlik ekiplerinin en zorlu mücadele alanlarından biridir çünkü savunma tamamen teknolojik çözümlerle sağlanamaz; insan davranışının da yönetilmesi gerekir.
Sosyal Mühendisliğin Psikolojik Temelleri
Robert Cialdini'nin "İkna Psikolojisi" çerçevesinde tanımladığı altı (ve sonradan eklenen yedinci) temel etki prensibi, sosyal mühendislik saldırılarının çekirdeğini oluşturur:
1. Karşılıklılık (Reciprocity)
İnsanlar kendilerine yapılan iyiliği karşılama eğilimindedir. Saldırgan önce bir "iyilik" yapar (ücretsiz yazılım, yardımcı bilgi vb.), ardından hedeften bilgi veya erişim talep eder. Örneğin: "Sisteminizde bir güvenlik açığı buldum, düzeltmem için uzaktan erişim vermeniz gerekiyor."
2. Bağlılık ve Tutarlılık (Commitment & Consistency)
İnsanlar önceki söz ve eylemlerine tutarlı davranma eğilimindedir. Saldırgan önce küçük, masum görünen isteklerde bulunur, ardından giderek artan talepler sunar (foot-in-the-door tekniği).
3. Sosyal Kanıt (Social Proof)
Belirsiz durumlarda insanlar başkalarının davranışlarını referans alır. "Şirketinizdeki diğer çalışanlar da bu formu doldurdu" gibi ifadeler, hedefin uyum sağlamasını kolaylaştırır.
4. Otorite (Authority)
İnsanlar otorite figürlerinin taleplerine daha kolay itaat eder. Saldırgan, CEO, IT müdürü, polis, vergi dairesi veya banka yetkilisi olarak kendini tanıtarak bu prensibi istismar eder.
5. Beğenme (Liking)
İnsanlar beğendikleri, ortak noktalar buldukları kişilerin isteklerini daha kolay yerine getirir. Saldırgan, ortak ilgi alanları, hemşehrilik veya aynı okul gibi bağlantılar kurarak güven inşa eder.
6. Kıtlık (Scarcity)
Sınırlı süre veya miktar algısı, acil karar vermeye zorlar ve rasyonel değerlendirmeyi engeller. "Bu teklif 1 saate kadar geçerli", "Son 3 lisans kaldı" gibi ifadeler bu prensibi kullanır.
7. Birlik (Unity)
Cialdini'nin sonradan eklediği yedinci prensip. Aidiyet duygusu - aynı grubun, şirketin, ailenin parçası olma hissi. "Biz IT ekibi olarak..." gibi ifadeler bu hissi tetikler.
Temel Sosyal Mühendislik Saldırı Türleri
Phishing (Oltalama)
En yaygın sosyal mühendislik saldırı türüdür. Meşru görünen sahte e-postalar, web siteleri veya mesajlar aracılığıyla hassas bilgilerin ele geçirilmesini amaçlar:
- E-posta Phishing: Toplu gönderimli sahte e-postalar (banka, kargo, bulut servis bildirimleri)
- Smishing (SMS Phishing): SMS veya mesajlaşma uygulamaları üzerinden yapılan oltalama
- Vishing (Voice Phishing): Telefon aramaları ile kimlik bilgileri veya finansal bilgi elde etme
- Clone Phishing: Daha önce gönderilmiş meşru bir e-postanın kopyalanarak zararlı içerikle yeniden gönderilmesi
Pretexting (Senaryo Oluşturma)
Saldırganın sahte bir senaryo (pretext) oluşturarak hedefle iletişim kurmasıdır. Genellikle telefon veya yüz yüze gerçekleştirilir:
- IT destek personeli gibi davranarak parola sıfırlama talebi
- Tedarikçi temsilcisi olarak fatura bilgileri isteme
- Yeni işe başlayan çalışan rolüyle sistem erişim bilgilerini öğrenme
Baiting (Yemleme)
Fiziksel veya dijital bir "yem" bırakarak hedefin merakını istismar etme. Enfekte USB bellekler otopark veya lobi gibi alanlara bırakılır. Ücretsiz film, müzik veya yazılım vaadiyle zararlı dosya indirme.
Tailgating / Piggybacking
Fiziksel erişim kontrollerini, yetkili bir kişinin arkasından girerek atlatma. Ellerinde kutu taşıyan "teslimatçı"nın kapıyı tutmasını isteme gibi sosyal normları istismar eder.
Quid Pro Quo
Bir hizmet veya bilgi karşılığında hedeften bilgi talep etme. "IT desteği arıyorum, bilgisayarınızdaki sorunu çözmem için uzaktan erişim vermeniz gerekiyor" gibi senaryolar.
Watering Hole
Hedef grubun sıklıkla ziyaret ettiği web sitelerinin tespit edilip enfekte edilmesi. Endüstri portalları, profesyonel forumlar veya tedarik zinciri siteleri hedef alınır.
Hedefli Saldırılar: Spear Phishing, Whaling ve BEC
Spear Phishing (Hedefli Oltalama)
Belirli bir kişi veya kuruluşa özel olarak hazırlanmış phishing saldırılarıdır. Saldırgan, hedef hakkında kapsamlı OSINT araştırması yapar:
- LinkedIn profili, sosyal medya paylaşımları, konferans katılımları analiz edilir
- E-posta formatı (ad.soyad@sirket.com) belirlenir
- Organizasyon yapısı, raporlama zinciri ve iş süreçleri öğrenilir
- Güncel projeler, ortaklıklar veya olaylarla bağlantılı senaryolar oluşturulur
Whaling (Balina Avı)
C-level yöneticileri (CEO, CFO, CTO) hedef alan spear phishing saldırılarıdır. Yöneticilerin meşguliyeti, geniş yetkileri ve genellikle teknik detaylara az dikkat etmeleri, bu saldırıları özellikle etkili kılar.
Business Email Compromise (BEC)
FBI'ın verilerine göre en yüksek finansal kayba neden olan siber suç türlerinden biridir. Saldırgan, bir yöneticinin veya iş ortağının e-posta hesabını ele geçirir veya taklit eder:
- CEO Fraud: CEO'dan geliyormuş gibi görünen acil ödeme talimatları
- Vendor Email Compromise: Tedarikçi e-postasının ele geçirilerek fatura bilgilerinin değiştirilmesi
- Payroll Diversion: İK veya muhasebe çalışanlarına maaş hesap bilgisi değişikliği talebi
- Lawyer Impersonation: Hukuk müşaviri gibi davranarak gizli belge veya ödeme talep etme
Fiziksel Sosyal Mühendislik
Sosyal mühendislik saldırıları dijital ortamla sınırlı değildir. Fiziksel erişim, genellikle dijital saldırılardan daha yıkıcı sonuçlara yol açabilir:
- Tailgating/Piggybacking: Kart okuyuculu kapılardan yetkili bir kişinin ardından geçme. Kurye, temizlik personeli veya teknik servis çalışanı kılığında tesise sızma.
- Shoulder Surfing: Hedefin omzunun üzerinden parola, PIN veya hassas bilgileri gözlemleme. Lobi, kafeterya ve toplantı odalarında yaygın risk.
- Dumpster Diving: Çöp kutularını karıştırarak atılmış belgeler, Post-it notlar, yazıcı çıktıları ve eski donanımlardan bilgi toplama.
- USB Drop: Zararlı yazılım yüklü USB bellekleri stratejik noktalara (otopark, resepsiyon, toplantı odası) bırakma. Human Interface Device (HID) saldırıları ile otomatik komut çalıştırma.
- Impersonation: IT personeli, denetçi, yangın müfettişi veya bina bakım ekibi gibi davranarak fiziksel alanlara erişim kazanma.
Fiziksel sosyal mühendislik testleri, kapsamlı sızma testi hizmetlerinin önemli bir parçası olmalıdır. Red team operasyonlarında fiziksel ve dijital saldırı vektörleri birlikte değerlendirilir.
Deepfake ve AI Destekli Saldırılar
Yapay zekâ teknolojilerinin hızlı gelişimi, sosyal mühendislik saldırılarının sofistikasyonunu dramatik biçimde artırmıştır. 2025 itibarıyla AI destekli sosyal mühendislik saldırıları, en büyük siber güvenlik tehditlerinden biri haline gelmiştir:
Ses Klonlama (Voice Cloning)
- Hedefin birkaç saniyelik ses kaydıyla gerçekçi ses sentezi oluşturma
- CEO'nun sesini klonlayarak CFO'yu arayan ve acil para transferi talep eden saldırılar - 2024'te Hong Kong'da 25 milyon dolarlık kayıp yaşanmıştır
- Gerçek zamanlı ses dönüştürme ile canlı telefon görüşmelerinde manipülasyon
Deepfake Video
- Video konferans aramaları sırasında gerçek zamanlı yüz takası (face swap)
- Sahte video mesajlar ile çalışanlara talimat verme
- Sosyal medyada deepfake içerikle itibar saldırıları
AI-Generated Phishing
- Büyük Dil Modelleri (LLM) ile dilbilgisi hatası olmayan, kişiselleştirilmiş phishing e-postaları oluşturma
- Hedefin yazım stilini analiz ederek taklit e-postalar üretme
- Çok dilli saldırılarda yerelleştirme kalitesinin dramatik artışı
- Otomatik senaryo oluşturma ve hedef profilleme
AI Chatbot Manipülasyonu
- Müşteri destek chatbot'larını manipüle ederek hassas bilgi sızdırma
- Sahte AI asistanlar oluşturarak kullanıcıları yönlendirme
- Prompt injection ile kurumsal AI araçlarını istismar etme
Sosyal Mühendislik Saldırılarını Tespit Yöntemleri
Sosyal mühendislik saldırılarının tespiti, teknik kontroller ve insan farkındalığının birlikte çalışmasını gerektirir:
Teknik Kontroller
- E-posta Güvenlik Gateway'leri: SPF, DKIM, DMARC doğrulamaları ile sahte gönderici tespiti. Sandbox analizi ile zararlı ek ve bağlantı kontrolü.
- URL Filtreleme: Bilinen phishing siteleri, homograph saldırıları (ör. sıtey.com vs sitey.com) ve yeni kayıtlı domain'lerin engellenmesi.
- AI Tabanlı Anomali Tespiti: E-posta metadata analizi, yazım stili karşılaştırması, gönderim zamanı ve davranış anomalileri.
- Deepfake Tespit Araçları: Ses ve video analizinde mikro ifade tutarsızlıkları, ses spektrum anomalileri ve dijital artefakt tespiti.
İnsan Temelli Tespit
- Beklenmedik veya acil talepleri bağımsız bir kanal üzerinden doğrulama
- Gönderici e-posta adresini dikkatle kontrol etme (domain, karakter değişiklikleri)
- Para transferi veya hassas bilgi paylaşımında çift onay mekanizması
- Fiziksel erişim taleplerinde kimlik doğrulaması yapma
Kurumsal Savunma Stratejileri
Sosyal mühendislik saldırılarına karşı etkili kurumsal savunma, çok katmanlı bir yaklaşım gerektirir:
Politika ve Prosedürler
- Bilgi Sınıflandırma Politikası: Hangi bilgilerin kimlerle paylaşılabileceğini net biçimde tanımlayın
- Doğrulama Prosedürleri: Hassas talepler için out-of-band (farklı kanal) doğrulama zorunluluğu getirin. CEO e-postayla ödeme istese bile telefon ile teyit alınmalıdır.
- Clean Desk Politikası: Masaüstünde hassas belge, Post-it not veya şifre bırakılmasını yasaklayın
- Sosyal Medya Kullanım Politikası: Çalışanların iş ile ilgili bilgileri sosyal medyada paylaşma kurallarını tanımlayın
Teknik Kontroller
- Çok Faktörlü Kimlik Doğrulama (MFA): Phishing ile ele geçirilen parolalar tek başına yeterli olmasın. FIDO2/WebAuthn tabanlı phishing-resistant MFA tercih edin.
- E-posta Güvenliği: DMARC enforcement, external sender uyarı banner'ı, sandbox ile ek analizi
- DNS Filtering: Bilinen phishing ve zararlı domain'leri DNS seviyesinde engelleyin
- Endpoint Protection: USB cihaz kontrolü, uygulama whitelisting, web tarayıcı izolasyonu
İnsan Faktörü
- Düzenli güvenlik farkındalık eğitimleri (en az çeyreklik)
- Phishing simülasyonları ile gerçekçi test senaryoları
- Güvenlik şampiyonları programı ile bölüm bazlı güvenlik elçileri atama
- Ödüllendirme mekanizması ile şüpheli e-postaları raporlamayı teşvik etme
Güvenlik Farkındalığı Eğitim Programları
Etkili bir güvenlik farkındalığı eğitim programı, tek seferlik sunum formatını aşan sürekli bir süreç olmalıdır:
Program Tasarımı
- Risk Bazlı Segmentasyon: Finans, İK, üst yönetim gibi yüksek riskli gruplar için özelleştirilmiş eğitimler tasarlayın
- Mikro Öğrenme: Kısa (3-5 dk.) video modülleri ve interaktif senaryolar - bilgi tutma oranı yüksek
- Gamification: Puan tabloları, rozetler ve takım yarışmaları ile katılımı artırın
- Çok Kanallı İletişim: E-posta, intranet, poster, ekran koruyucu ve Slack/Teams mesajları ile sürekli hatırlatma
Phishing Simülasyonu
- Aylık veya çeyreklik phishing simülasyonları ile gerçek zamanı ölçüm
- Farklı zorluk seviyelerinde kampanyalar (basit toplu e-postadan sofistike spear phishing'e)
- Tıklama oranı, raporlama oranı ve tepki süresi metrikleri
- Simülasyona düşen çalışanlara anında eğitim (just-in-time training)
Ölçüm ve İyileştirme
- Zaman içinde phishing tıklama oranındaki düşüş (hedef: <%5)
- Raporlama oranındaki artış (hedef: >%60)
- Ortalama raporlama süresi (hedef: <5 dakika)
- Yıllık bilgi düzeyi değerlendirmesi ile bilgi tutma oranı ölçümü
SİTEY ile Sosyal Mühendislik Savunması
SİTEY zafiyet yönetimi platformu, sosyal mühendislik tehditlerine karşı kurumsal savunmanızı güçlendirir:
- Phishing Simülasyon Entegrasyonu: Phishing test sonuçlarını SİTEY dashboard'unda izleyin; departman bazlı risk skorlarını takip edin.
- İnsan Kaynaklı Zafiyet Takibi: Sosyal mühendislik testlerinde tespit edilen insan kaynaklı güvenlik açıklarını zafiyet yaşam döngüsüne dahil edin.
- Farkındalık Metrikleri: Eğitim tamamlama oranları, simülasyon sonuçları ve raporlama istatistiklerini merkezi dashboard'da izleyin.
- Risk Trend Analizi: Zaman içinde sosyal mühendislik direncinin nasıl değiştiğini görselleştirin.
- Uyumluluk Raporlaması: ISO 27001, KVKK ve sektörel düzenlemelerin gerektirdiği güvenlik farkındalığı metriklerini otomatik raporlayın.
- Otomatik Bildirimler: Kritik risk eşiği aşıldığında ilgili ekiplere anlık bildirim gönderin.
Sık Yapılan Hatalar
- Tek Seferlik Eğitim: Yılda bir kez yapılan zorunlu eğitimin yeterli kabul edilmesi. Farkındalık sürekli bir süreçtir; düzenli güncelleme ve tazeleme eğitimleri şarttır.
- Cezalandırıcı Yaklaşım: Phishing simülasyonuna düşen çalışanların cezalandırılması, raporlama kültürünü öldürür. Bunun yerine eğitim ve pozitif pekiştirme yöntemi kullanılmalıdır.
- Yalnızca E-posta Odaklı Savunma: Sosyal mühendisliği yalnızca phishing olarak görmek ve telefon, fiziksel erişim, sosyal medya vektörlerini ihmal etmek.
- Üst Yönetim Muafiyeti: C-level yöneticilerin eğitim ve simülasyonlardan muaf tutulması. Oysa whaling saldırıları en çok üst yönetimi hedef alır.
- Teknolojiye Aşırı Güven: "E-posta gateway'imiz var, phishing sorunumuz yok" düşüncesi. Hiçbir teknik kontrol %100 koruma sağlayamaz.
- Deepfake Tehditini Hafife Almak: AI destekli saldırıları gelecekte yaşanacak bir sorun olarak erteleme. Ses klonlama ve deepfake video saldırıları artık günlük gerçekliktir.
- Fiziksel Güvenliğin İhmal Edilmesi: Yalnızca dijital savunmaya odaklanılması ve tailgating, USB drop, dumpster diving gibi fiziksel vektörlerin göz ardı edilmesi.
Sıkça Sorulan Sorular (SSS)
Sosyal mühendislik saldırılarından %100 korunmak mümkün müdür?
Hayır, sosyal mühendislik saldırılarından %100 korunmak mümkün değildir çünkü insan faktörü her zaman bir risk taşır. Ancak çok katmanlı savunma (eğitim, teknik kontroller, politikalar ve sürekli simülasyon) ile risk önemli ölçüde azaltılabilir. Hedef, saldırı başarı oranını minimize etmek ve tespit süresini kısaltmaktır.
Phishing simülasyonları yasal mıdır?
Evet, çalışanların önceden genel bir güvenlik testi yapılacağından haberdar edilmesi ve yönetim onayının alınması koşuluyla phishing simülasyonları yasaldır. Ancak simülasyon sonuçlarının bireysel performans değerlendirmesinde cezalandırıcı amaçla kullanılmaması ve KVKK/GDPR kapsamında kişisel verilerin korunması önem taşır.
Deepfake saldırıları nasıl tespit edilebilir?
Ses deepfake'lerinde doğal olmayan duraklamalar, arka plan gürültüsü tutarsızlıkları ve ses tonundaki mikro anomaliler ipucu verir. Video deepfake'lerinde ise göz kırpma sıklığı, yüz kenarlarındaki bulanıklık ve ışıklandırma tutarsızlıkları kontrol edilir. En önemli önlem, kritik talepler için bağımsız bir doğrulama kanalı kullanmaktır.
Hangi departmanlar sosyal mühendislik saldırılarına en çok maruz kalır?
Finans ve muhasebe (BEC/ödeme dolandırıcılığı), İnsan Kaynakları (çalışan verisi), IT departmanı (erişim bilgileri), üst yönetim (whaling) ve müşteri hizmetleri (kimlik doğrulama atlatma) en çok hedef alınan departmanlardır. Bu departmanlar için risk bazlı özelleştirilmiş eğitimler uygulanmalıdır.
Güvenlik farkındalık eğitiminin etkinliği nasıl ölçülür?
Phishing simülasyonu tıklama oranı (hedef: <%5), şüpheli e-posta raporlama oranı (hedef: >%60), ortalama raporlama süresi, bilgi düzeyi testi puanları ve zaman içindeki trend analizleri temel ölçüm metrikleridir. Bu metriklerin düzenli olarak yönetim raporlarında yer alması gerekir.