Bir plaj fotoğrafı paylaştınız ve "Nihayet yıllık tatilim!" yazısıyla. Birkaç saat sonra bir mesaj geldi. "Merhaba, tatilinizi böldüğüm için özür dilerim. Müdür, önümüzdeki hafta pazartesi toplantısına kadar acilen bir belgeyi incelemenizi rica etti. Bu linke tıklayabilir misiniz?"

İlk bakışta şüpheye yer yok. Mesaj, bir meslektaşının göndermiş gibi görünüyor. Müdürü zikrediyor, tatilde olduğunuzu biliyor ve tam da ofis dışında olduğunuz anda geliyor. Tek sorun, mesajı hiç göndermeyen bir meslektaşınızın olması.

Filmdeki hackerlar sistemleri kırar gibi değil, günümüzün saldırganları genellikle insanlara saldıran kişilerdir.

Hackerların kullandıkları bilgiler çoğu zaman herkese açık olan bilgilerdir. Sosyal medya platformlarında birkaç dakika arama yeterli olabilir. LinkedIn'de nerede çalıştığınızı, hangi pozisyonda olduğunuzu ve kimin yöneticiniz olduğunu görebilirler. Instagram'da tatilde olduğunuzun farkına varabilirler. Facebook'ta ise aile veya arkadaşlarınız hakkında bilgi edinebilirler. Bu bilgiler bir araya geldiğinde, saldırganlar hedef için oldukça ikna edici bir profil oluşturabilirler.

Saldırganlar sonra tamamen geçerli görünen bir mesaj gönderebilir:

"Tatilde olduğunuz için lütfen hesabınıza erişim onaylayın ve bloke edilmeyi önleyin."

Mesajınızdaki yaşamınızla ilgili ne kadar çok doğru detay varsa, o kadar olasıdır ki ona inanırsınız.

Kamuya açık bilgiler ve yapay zeka tabanlı araçlar kullanılarak, saldırganlar meslektaşlarınızdan, yöneticilerinizden veya iş ortaklarınızdan gelen bir mesaj gibi görünen bir mesaj yazabilirler.

Bu tür saldırılara "spear phishing" veya hedefli sosyal mühendislik denir. Bu saldırılar binlerce kişiye değil, belirli bir kişi veya organizasyona yöneliktir.

Sorun sadece kişisel güvenliğe indirgenemez. Çalışanlar farkında olmadan, şirket yapısının nasıl çalıştığına dair bilgiler, sorumlu kişiler veya şirketin en savunmasız olduğu zamanları anlamak için saldırganlara yardımcı olabilecek bilgiler paylaşabilirler.

İş seyahati bildirimi, konferans fotoğrafı veya müdürün tatilde olduğunu belirten bir bilgi, şirketlere yönelik daha geniş bir dolandırıcılık girişiminin parçası olabilir.

2025 yılında Marks & Spencer gibi ünlü bir İngiliz perakende zincirinde yaşanan etkileyici bir örnek bu tür saldırılara işaret ediyor. Saldırganlar önce güvenlik sistemlerini kırmaya çalışmadılar, aksine kamuya açık bilgiler ve sosyal mühendisliği kullanarak kendilerini çalışan olarak tanıtarak IT destek ekibini kandırdılar. Saldırgan kendini şirketin 50.000 çalışanı arasında olduğunu söyleyerek üçüncü taraf (IT servis) ile iletişime geçti ve bir çalışanın şifresini sıfırlamasını sağladı.

İç sistemlere erişim elde ettikten sonra, şirket ciddi iş aksaklıkları yaşadı; internet satışları durduruldu ve yüzlerce milyon euro değerinde finansal hasar meydana geldi. Bu olay, gelişmiş güvenlik sistemlerine sahip büyük şirketlerin bile insan güvenine dayalı saldırılara karşı savunmasız olabileceğini gösterdi.

Bu durum, en zayıf halkasının teknolojinin değil, insan güvenliğinin olduğunu gösteriyor.

Sosyal medyadan tamamen çekilmek gerçekçi veya gerekli değildir. Önemli olan, ne paylaştığımız ve bu bilgiler bir araya geldiğinde nasıl görüneceği konusunda farkındalıklı olmaktır.

PULSEC gibi bölgesel siber güvenlik lideri şirketlerinden uzmanlar, sosyal mühendisliğe karşı koruma, çalışan eğitimi ve güvenlik kültürünün geliştirilmesiyle başlar. Teknolojik önlemler önemlidir ancak hiçbir sistem kullanıcının gönüllü olarak verilerini paylaşması veya dikkatlice tasarlanmış bir dolandırıcılığa inanması karşısında engel olamaz.

Yani, seyahat fotoğrafı paylaşmadan önce, konumu işaretleyip veya iş bilgileri paylaşmadan önce, kendinize şu basit soruyu sorun:

Psikolojik saldırılara dayalı siber saldırılar giderek daha yaygın hale geldikçe, bu farkındalık savunma hattımızın en önemli unsurlarından biri haline geliyor.