Siber Güvenlikte İnsan Faktörü: Sosyal Mühendislik Saldırıları ve GoPhish ile Phishing Simülasyonu

Günümüz siber güvenlik mimarilerinde en gelişmiş güvenlik duvarları, veri şifreleme algoritmaları ve saldırı tespit sistemleri kullanılsa dahi, bilgi güvenliği zincirinin dayanıklılığı doğrudan insan unsuruna bağlıdır. Saldırganlar, teknik altyapılardaki karmaşık zafiyetleri aramak yerine, sistemlerin en zayıf halkası olarak değerlendirilen kullanıcıları manipüle etmeyi tercih etmektedir.

Bu yazımda; sosyal mühendisliğin temel dinamiklerini, psikolojik boyutunu ve açık kaynaklı GoPhish framework'ü kullanarak gerçekleştirdiğim uygulamalı bir oltalama (phishing) simülasyonunu (PoC) adım adım ele alacağız.

1. Sosyal Mühendislik Nedir ve Nasıl Çalışır?

Sosyal mühendislik; tekniğe dayalı klasik hacking yöntemlerinin aksine, bireylerin psikolojik boşluklarını ve davranışsal eğilimlerini hedef alan ikna ve aldatma süreçleridir.

Psikolojik Dinamikler ve İşleyiş Prensipleri

Saldırganlar, mantıklı düşünme mekanizmalarını devre dışı bırakmak için temel insani duyguları istismar eder:

Otorite: Resmi kurum temsilcilerine veya üst düzey yöneticilere itaat etme eğilimi.
Aciliyet ve Korku:"Hesabınız kapatılacak", "2 saat içinde doğrulayın" gibi ifadelerle panik oluşturma.
Merak ve Ödül (Yemleme): "Çekiliş kazandınız" veya sahipsiz bir USB bellek ile eyleme zorlama.
Karşılıklılık ve Sempati: Güven veren, yardımsever bir profil çizilerek bilgi sızdırma.

[1. Keşif (OSINT)] ──► [2. Sızma (Güven Kurma)] ──► [3. İstismar (Manipülasyon)] ──► [4. İzleri Silme]

[1. Keşif (OSINT)] ──► [2. Sızma (Güven Kurma)] ──► [3. İstismar (Manipülasyon)] ──► [4. İzleri Silme]

2. Yaygın Sosyal Mühendislik Yöntemleri

Toplu Phishing: Geniş kitlelere rastgele gönderilen, genel içerikli sahte e-postalar.
Spear Phishing: Belirli bir kişi veya kuruma özel olarak hazırlanan hedefli saldırılar.
Whaling (Balina Avcılığı): Şirket CEO'ları ve üst düzey yöneticileri (C-Level) hedef alan senaryolar.
Vishing & Smishing: Sesli aramalar (telefon) ve SMS/mesajlaşma uygulamaları üzerinden yürütülen saldırılar.
Yemleme (Baiting): Ortak alanda bırakılan zararlı yazılım yüklü USB bellekler.

3. "Teachable Moments" (Anında Öğrenme) Yaklaşımı

Geleneksel güvenlik eğitimleri genellikle teorik kalmakta ve akılda kalıcılığı düşük olmaktadır. Phishing simülasyonlarında ise zararsız bir test e-postasına tıklayan çalışana cezalandırıcı bir yaklaşım sergilenmez.

Bunun yerine, tıklama anında karşısına çıkan eğitici bilgilendirme ekranı (Landing Page) aracılığıyla e-postadaki şüpheli göstergeler (sahte adres, aciliyet dili, uyumsuz URL) gösterilir.

4. Uygulamalı PoC Mimarisi: GoPhish ile Simülasyon

Kurumsal farkındalık süreçlerinin işleyişini doğrulamak amacıyla açık kaynaklı GoPhish framework'ü üzerinden bir test senaryosu uygulanmıştır.

1. SMTP (587)
  [GoPhish Server] ───────────────► [Hedef E-posta Kutusu]
   (Dashboard/Core) ◄───────────────   (Test Kullanıcısı)
                2. HTTP/Tracker (URL & Piksel)

1. SMTP (587)
  [GoPhish Server] ───────────────► [Hedef E-posta Kutusu]
   (Dashboard/Core) ◄───────────────   (Test Kullanıcısı)
                2. HTTP/Tracker (URL & Piksel)

Sending Profile: Güvenli SMTP aktarımı (smtp.gmail.com:587) ve özel App Password protokolleri üzerinden e-posta gönderim katmanı yapılandırıldı.
Landing Page: Kullanıcı bağlantıya tıkladığında veri toplamak yerine doğrudan bilgilendirme ekranı sunan sayfa tasarlandı.
Email Template: Aciliyet duygusunu istismar eden "IT Güvenlik Bildirimi" temalı HTML e-posta gövdesi oluşturuldu ({{.URL}} ve {{.Tracker}} eklendi).
Users & Groups: Testin uygulanacağı izinli hedef profilleri sisteme yüklendi.

5. Canlı Test ve Süreç Akışı

Hazırlanan simülasyon başlatıldığında süreç aşağıdaki adımlarla ilerlemiştir:

Adım 1 — E-posta İletimi

Otorite ve aciliyet temalı sahte e-posta hedef adrese başarıyla iletilmiştir. İçerikte kullanıcıyı tıklamaya yönlendiren bir buton ve açılma oranını ölçen takip koda yer verilmiştir.

Adım 2 — Bağlantı Tıklama

Kullanıcı e-postadaki "Hesabınızı Hemen Doğrulayın" bağlantısına tıkladığında, GoPhish sunucusu isteği yakalayarak kullanıcıyı önceden hazırlanan bilgilendirme sayfasına yönlendirmiştir. Bu ekranda herhangi bir form veya veri girişi istenmemiş, doğrudan farkındalık uyarısı sunulmuştur.

Adım 3 — Canlı Analiz

Kullanıcının e-postayı açma ve bağlantıya tıklama eylemleri GoPhish kontrol paneline anlık olarak zaman damgalı (timestamp) şekilde yansımıştır.

Email Sent: E-postanın hedefe ulaştırılma durumu (Başarılı — 1).
Email Opened: Takip pikseli aracılığıyla e-postanın açılma tespiti (Tespit Edildi — 1).
Clicked Link: Kullanıcının sahte bağlantıya tıklama eylemi (Tespit Edildi — 1).
Submitted Data: Form alanlarına veri girişi (Etik gerekçelerle devre dışı bırakılmıştır — 0).

6. Sonuç

Sosyal mühendislik saldırıları, teknoloji ne kadar gelişirse gelişsin insani zaafları hedef almaya devam edecektir. En güçlü teknik güvenlik sistemleri bile bilinçsiz bir kullanıcının tek bir hatalı adımı ile aşılabilir.

Düzenli olarak gerçekleştirilen phishing simülasyonları ve "Teachable Moments" (Anında Öğrenme) yaklaşımları sayesinde çalışanlar, kurumun "en zayıf halkası" olmaktan çıkarılıp siber savunmanın ilk hattını oluşturan bir "İnsan Güvenlik Duvarına" (Human Firewall) dönüştürülebilir.

Kaynakça

Kaspersky Resource Center: What is Social Engineering? Definition and Examples.
Bağcı, H. (2009): Sosyal Mühendislik ve Denetim. DergiPark, T.C. Dışişleri Bakanlığı İç Denetim Makalesi.
T.C. İçişleri Bakanlığı SİBERAY: Sosyal Mühendislik ve Güvenlik Önlemleri Rehberi.

Contents