Vishing ve Yardım Masası Taklidi: Telefonla Gelen Sosyal Mühendislik Saldırıları

Vishing (sesli oltalama), saldırganın telefonla arayarak kendini güvenilir bir kişi veya kurum gibi tanıttığı ve kurbanı bilgi vermeye ya da bir işlem yapmaya ikna ettiği sosyal mühendislik saldırısıdır. En yaygın senaryolardan biri yardım masası (help desk) taklididir: "IT departmanından arıyoruz, sisteminizde bir sorun var." Çalışanlar e-postadaki bağlantılara karşı daha dikkatli hale gelirken, saldırganlar telefona, SMS'e ve canlı sohbete kayıyor. Bu yazıda bu saldırıların nasıl işlediğini ve kurumların nasıl hazırlanabileceğini anlatıyoruz.

"IT departmanından arıyoruz"

Bu cümleyi duyan çalışanların önemli bir kısmı bilgilerini paylaşıyor. Çünkü arayan gerçekten IT gibi konuşuyor, doğru iç terimleri kullanıyor, acelesi var ve ikna edici.

CrowdStrike'ın Nisan 2026 sonunda yayımladığı rapora göre Cordial Spider ve Snarky Spider adlı iki siber suç grubu tam olarak bunu yapıyor. Telefonda IT desteği gibi davranarak çalışanları şirketin tek oturum açma (SSO) sayfasını taklit eden sahte sayfalara yönlendiriyor, oturum bilgilerini ele geçiriyor ve kendi MFA cihazlarını tanımlıyorlar. Raporda gruplardan birinin veri sızdırmaya bir saatten kısa sürede başladığı belirtiliyor.

Telefon, e-postadan daha başarılı

Verizon'un 2026 Veri İhlali Araştırmaları Raporu'na göre telefon ve SMS üzerinden yapılan sosyal mühendislik saldırılarının başarı oranı, e-posta yoluyla yapılan oltalamadan yüzde 40 daha yüksek.

Raporda tekrar eden bir örüntü var:

1. Önce çalışanın e-posta kutusu spam ile doldurulur.
2. Böylece gerçekçi bir "IT acil durumu" yaratılır.
3. Ardından telefon veya Teams üzerinden yardım masası taklidi yapılır ve "sorunu çözmek için" masaüstü erişimi istenir.

Zararlı kod yok, şüpheli bağlantı yok. Teknik sistemlerin tespit edeceği hiçbir şey yok.

Kişisel telefonlar ve passkey bahanesi

Google'ın tehdit istihbaratı ekibinin 2026 yazında yayımladığı bulgulara göre bir saldırgan grup, çalışanları kurumsal hatlar yerine kişisel telefonlarından arıyor. Bazı vakalarda gerçek yardım masasının numarasını bile taklit edebilmişler.

Senaryo genellikle aynı: "Acil bir güvenlik güncellemesi için passkey kurulumu yapmanız gerekiyor." Çalışan yönlendirildiği sayfaya bilgilerini girdiğinde hem şifresi hem oturum bilgisi anında çalınıyor. Grup son dönemde finans ve hukuk sektörüne, özellikle birleşme veya satın alma sürecindeki şirketlere odaklanmış durumda.

Canlı sohbet: güven veren yeni tuzak

Cofense araştırmacılarının tespit ettiği bir kampanyada saldırganlar e-posta yerine canlı sohbeti kullandı:

1. PayPal'dan geliyormuş gibi görünen bir e-posta: "200 dolar iade hakkınız var."
2. Kullanıcı butona tıkladığında gerçek bir müşteri destek ekranına benzeyen bir sohbet penceresi açılıyor.
3. "Destek temsilcisi" iade için hesap bilgilerini istiyor.
4. Kullanıcının telefonuna MFA kodu geliyor, temsilci kodu da istiyor.
5. Ardından fatura bilgileri, doğum tarihi ve kart numarası "doğrulama için" isteniyor.

Canlı sohbet gerçek zamanlı ve kişisel olduğu için insanı rahatlatıyor. MFA bu saldırıyı durduramadı, çünkü kodu kullanıcı kendisi verdi.

Teknik önlemler neden yetmiyor?

Siber güvenlik firması Outpost24'ün üst düzey yöneticilerine Mart 2026'da yönelik başarısız bir saldırı girişimi, katmanlı savunmanın bile kullanıcıya ulaşan bir saldırıyı durduramayabileceğini gösteriyor. Saldırıda geçerli DKIM imzalı bir e-posta, güvenilir altyapılar üzerinden yönlendirme, temiz geçmişli yeniden tescil edilmiş bir alan adı ve otomatik tarayıcıları engelleyen bir sayfa kullanılmıştı. Son adımda hedeften Microsoft hesap bilgilerini girmesi isteniyordu.

En az bu kadar önlem almış bir kurumda bile saldırı kullanıcıya ulaşıyorsa, son savunma hattı kullanıcının farkındalığıdır.

Kurumlar nasıl hazırlanmalı?

1. Altın kuralı herkese öğretin: Gerçek IT departmanları kullanıcıyı arayıp şifre veya MFA kodu istemez. Bu kural istisnasız olmalı.
2. Geri arama prosedürü: IT'den geldiğini söyleyen bir arama şüpheliyse, çalışan telefonu kapatıp bilinen yardım masası numarasını aramalı.
3. Yardım masasını da koruyun: Saldırganlar yardım masasını arayıp çalışan gibi davranarak MFA sıfırlama talep edebilir. Kimlik doğrulama prosedürleri iki yönlü olmalı.
4. Simülasyonu e-postayla sınırlamayın: Farkındalık programı hâlâ sadece e-posta üzerine kuruluysa, çalışanlar en hızlı büyüyen saldırı kanalına karşı hazırlıksız kalır. Sesli ve SMS senaryoları da programa dahil edilmeli.
5. Kişisel telefonları kapsama alın: Çalışanların kişisel numaralarına gelen "iş" aramalarına karşı da dikkatli olması gerektiğini anlatın.

Sık sorulan sorular

---
InfoLore'un hedefli simülasyonları e-postanın yanında telefon ve SMS senaryolarını da kapsar. Yardım masası taklidine karşı hazırlığınızı ölçmek için bize ulaşabilirsiniz.