-
Sadrazamv4
ig:sadrazam_v4 tg: Sadrazam.spy
================================================================================
🛡️ SOSYAL MÜHENDİSLİK VE İNSAN HACKLEME DERSLERİ: BÖLÜM 3
Senaryo Oluşturma (Pretexting), Phishing Türleri ve E-Posta Sahteciliği
================================================================================
GİRİŞ 📌
--------------------------------------------------------------------------------
İkinci bölümde Açık Kaynak İstihbaratını (OSINT), Google Dorks ile hassas veri
avcılığını ve LinkedIn/sosyal medya üzerinden hedef profilleme tekniklerini
incelemiştik.
Bu bölümde toplanan istihbaratı kullanarak kusursuz bir senaryo kurgulama sanatı
olan **Pretexting** kavramını, farklı **Phishing (Kimlik Avı)** türlerini, üst düzey
yöneticileri hedef alan **Whaling** saldırılarını ve teknik boyutta **E-Posta Sahteciliği
(Mail Spoofing / SPF, DKIM, DMARC)** mekanizmalarını ele alacağız.
1. PRETEXTING (SENARYO OLUŞTURMA VE ROL YAPMA SANATI)
--------------------------------------------------------------------------------
Pretexting; kurbanı istenen eyleme zorlamak veya bilgi sızdırmak amacıyla önceden
tasarlanmış, inandırıcı, sahte bir durum/kimlik (pretext) kurgulama sürecidir.
* Başarılı Bir Pretexting Senaryosunun 4 Temel Kuralı:
1. **Gerçekçilik ve Sadelik:** Karmaşık, uzun hikâyeler şüphe uyandırır. Senaryo
hedefin günlük iş akışına tam uyum sağlamalıdır.
2. **Doğrulanabilir Detaylar İçermesi:** OSINT aşamasında öğrenilen gerçek isimler,
iç departman kısaltmaları veya kullanılan yazılım sürümleri cümle içinde kullanılır.
3. **Tetikleyici Duygu Barındırması:** Korku, merak, aciliyet veya yardım etme
duygularından biri hikâyenin merkezinde yer alır.
4. **Sorulabilecek Sorulara Hazırlıklı Olma:** Saldırgan (Red Teamer), kurbanın
çapraz sorular sorma ihtimaline karşı bir "Backstory" (Arka Plan Hikâyesi) hazırlar.
2. KIMLİK AVI (PHISHING) TÜRLERİ VE TAKTİKLERİ
--------------------------------------------------------------------------------
Oluşturulan senaryonun iletim kanalına ve hedefin niteliğine göre oltalama türleri
değişiklik gösterir:
* Mass Phishing (Genel Oltalama):
- Hedef gözetmeksizin binlerce kişiye aynı anda gönderilen kitlesel e-postalardır.
- *Örnek:* "Kargo paketiniz teslim edilemedi, tıklayın."
* Spear Phishing (Hedefli Oltalama):
- Belirli bir kişi, departman veya kurum özelinde OSINT verileriyle kişiselleştirilmiş
oltalamadır. Başarı oranı kitlesel oltalamaya göre katbekat yüksektir.
* Whaling (Balina Avcılığı):
- Kurumun en üst düzey yöneticilerini (CEO, CFO, CISO) hedef alan yüksek yetkili
ve finansal kazanç odaklı gelişmiş oltalamadır.
* Vishing (Voice Phishing - Sesli Oltalama):
- Telefon görüşmeleri veya yapay zeka destekli Ses Klonlama (Deepfake Voice)
yöntemleriyle yürütülen doğrudan iletişim saldırılarıdır.
* Smishing (SMS Phishing):
- Mobil cihazlara gelen SMS ve mesajlaşma uygulamaları üzerinden yürütülen
sahte bağlantı saldırılarıdır.
3. E-POSTA SAHTECİLİĞİ VE GÜVENLİK PROTOKOLLERİ (TECHNICAL SPOOFING)
--------------------------------------------------------------------------------
Bir saldırgan kurbanın güvenini kazanmak için e-postayı kurumun kendi domain'inden
(örneğin `[email protected]`) geliyormuş gibi gösterebilir (Mail Spoofing).
* E-Posta Doğrulama Mekanizmaları ve Zafiyetler:
+-----------------------+---------------------------------------------------+
| Protokol / Mekanizma | Çalışma Mantığı ve Güvenlik İşlevi |
+-----------------------+---------------------------------------------------+
| SPF (Sender Policy | Domain adına e-posta göndermeye yetkili IP |
| Framework) | adreslerinin DNS TXT kaydında listelenmesidir. |
+-----------------------+---------------------------------------------------+
| DKIM (DomainKeys | E-postanın yolda değiştirilmediğini (bütünlüğünü) |
| Identified Mail) | kriptografik dijital imza ile doğrulayan sistemdir. |
+-----------------------+---------------------------------------------------+
| DMARC (Domain-based | SPF ve DKIM başarısız olduğunda alıcı sunucunun |
| Message Authentication) ne yapacağını (none/quarantine/reject) belirler. |
+-----------------------+---------------------------------------------------+
* Typosquatting ve Look-alike Domains:
- Eğer kurumun DMARC politikası sert yapılandırılmışsa (`p=reject`), saldırgan
görsel olarak orijinaline çok benzeyen sahte alan adları (Typosquatting) kaydeder.
- *Örnek:* `google.com` yerine `g00gle.com` veya `paypaI.com` (I harfi ile).
4. BÖLÜM ÖZETİ VE GELECEK BÖLÜM
--------------------------------------------------------------------------------
Pretexting ve Phishing, sosyal mühendislerin dijital dünyadaki en etkili silahıdır.
E-posta güvenlik protokollerinin (SPF/DKIM/DMARC) eksik yapılandırılması veya görsel
benzerliğe sahip domain'ler kullanılarak kurbanlar sahte panellere yönlendirilir.
Gelecek Bölüm (Bölüm 4):
- Fiziksel Sosyal Mühendislik ve Kurum İçi Sızma
- Tailgating (Arka Arkaya Geçiş) ve Piggybacking
- Dumpster Diving (Çöp Karıştırma) ve Hassas Doküman Avcılığı
- Sahte Yaka Kartı / Üniforma Hazırlama ve USB Drop (Zararlı Medya) Saldırıları
================================================================================
Bölüm 3 Sonu.
=======================================
=========================================
🛡️ SOSYAL MÜHENDİSLİK VE İNSAN HACKLEME DERSLERİ: BÖLÜM 3
Senaryo Oluşturma (Pretexting), Phishing Türleri ve E-Posta Sahteciliği
================================================================================
GİRİŞ 📌
--------------------------------------------------------------------------------
İkinci bölümde Açık Kaynak İstihbaratını (OSINT), Google Dorks ile hassas veri
avcılığını ve LinkedIn/sosyal medya üzerinden hedef profilleme tekniklerini
incelemiştik.
Bu bölümde toplanan istihbaratı kullanarak kusursuz bir senaryo kurgulama sanatı
olan **Pretexting** kavramını, farklı **Phishing (Kimlik Avı)** türlerini, üst düzey
yöneticileri hedef alan **Whaling** saldırılarını ve teknik boyutta **E-Posta Sahteciliği
(Mail Spoofing / SPF, DKIM, DMARC)** mekanizmalarını ele alacağız.
1. PRETEXTING (SENARYO OLUŞTURMA VE ROL YAPMA SANATI)
--------------------------------------------------------------------------------
Pretexting; kurbanı istenen eyleme zorlamak veya bilgi sızdırmak amacıyla önceden
tasarlanmış, inandırıcı, sahte bir durum/kimlik (pretext) kurgulama sürecidir.
* Başarılı Bir Pretexting Senaryosunun 4 Temel Kuralı:
1. **Gerçekçilik ve Sadelik:** Karmaşık, uzun hikâyeler şüphe uyandırır. Senaryo
hedefin günlük iş akışına tam uyum sağlamalıdır.
2. **Doğrulanabilir Detaylar İçermesi:** OSINT aşamasında öğrenilen gerçek isimler,
iç departman kısaltmaları veya kullanılan yazılım sürümleri cümle içinde kullanılır.
3. **Tetikleyici Duygu Barındırması:** Korku, merak, aciliyet veya yardım etme
duygularından biri hikâyenin merkezinde yer alır.
4. **Sorulabilecek Sorulara Hazırlıklı Olma:** Saldırgan (Red Teamer), kurbanın
çapraz sorular sorma ihtimaline karşı bir "Backstory" (Arka Plan Hikâyesi) hazırlar.
2. KIMLİK AVI (PHISHING) TÜRLERİ VE TAKTİKLERİ
--------------------------------------------------------------------------------
Oluşturulan senaryonun iletim kanalına ve hedefin niteliğine göre oltalama türleri
değişiklik gösterir:
* Mass Phishing (Genel Oltalama):
- Hedef gözetmeksizin binlerce kişiye aynı anda gönderilen kitlesel e-postalardır.
- *Örnek:* "Kargo paketiniz teslim edilemedi, tıklayın."
* Spear Phishing (Hedefli Oltalama):
- Belirli bir kişi, departman veya kurum özelinde OSINT verileriyle kişiselleştirilmiş
oltalamadır. Başarı oranı kitlesel oltalamaya göre katbekat yüksektir.
* Whaling (Balina Avcılığı):
- Kurumun en üst düzey yöneticilerini (CEO, CFO, CISO) hedef alan yüksek yetkili
ve finansal kazanç odaklı gelişmiş oltalamadır.
* Vishing (Voice Phishing - Sesli Oltalama):
- Telefon görüşmeleri veya yapay zeka destekli Ses Klonlama (Deepfake Voice)
yöntemleriyle yürütülen doğrudan iletişim saldırılarıdır.
* Smishing (SMS Phishing):
- Mobil cihazlara gelen SMS ve mesajlaşma uygulamaları üzerinden yürütülen
sahte bağlantı saldırılarıdır.
3. E-POSTA SAHTECİLİĞİ VE GÜVENLİK PROTOKOLLERİ (TECHNICAL SPOOFING)
--------------------------------------------------------------------------------
Bir saldırgan kurbanın güvenini kazanmak için e-postayı kurumun kendi domain'inden
(örneğin `[email protected]`) geliyormuş gibi gösterebilir (Mail Spoofing).
* E-Posta Doğrulama Mekanizmaları ve Zafiyetler:
+-----------------------+---------------------------------------------------+
| Protokol / Mekanizma | Çalışma Mantığı ve Güvenlik İşlevi |
+-----------------------+---------------------------------------------------+
| SPF (Sender Policy | Domain adına e-posta göndermeye yetkili IP |
| Framework) | adreslerinin DNS TXT kaydında listelenmesidir. |
+-----------------------+---------------------------------------------------+
| DKIM (DomainKeys | E-postanın yolda değiştirilmediğini (bütünlüğünü) |
| Identified Mail) | kriptografik dijital imza ile doğrulayan sistemdir. |
+-----------------------+---------------------------------------------------+
| DMARC (Domain-based | SPF ve DKIM başarısız olduğunda alıcı sunucunun |
| Message Authentication) ne yapacağını (none/quarantine/reject) belirler. |
+-----------------------+---------------------------------------------------+
* Typosquatting ve Look-alike Domains:
- Eğer kurumun DMARC politikası sert yapılandırılmışsa (`p=reject`), saldırgan
görsel olarak orijinaline çok benzeyen sahte alan adları (Typosquatting) kaydeder.
- *Örnek:* `google.com` yerine `g00gle.com` veya `paypaI.com` (I harfi ile).
4. BÖLÜM ÖZETİ VE GELECEK BÖLÜM
--------------------------------------------------------------------------------
Pretexting ve Phishing, sosyal mühendislerin dijital dünyadaki en etkili silahıdır.
E-posta güvenlik protokollerinin (SPF/DKIM/DMARC) eksik yapılandırılması veya görsel
benzerliğe sahip domain'ler kullanılarak kurbanlar sahte panellere yönlendirilir.
Gelecek Bölüm (Bölüm 4):
- Fiziksel Sosyal Mühendislik ve Kurum İçi Sızma
- Tailgating (Arka Arkaya Geçiş) ve Piggybacking
- Dumpster Diving (Çöp Karıştırma) ve Hassas Doküman Avcılığı
- Sahte Yaka Kartı / Üniforma Hazırlama ve USB Drop (Zararlı Medya) Saldırıları
================================================================================
Bölüm 3 Sonu.
=======================================
=========================================
