Sisteminizde açık bulmak saatler sürebilir; sizin için bir çalışan açtırmak dakikalar. Sosyal mühendislik, teknolojiyi değil insanı hedef alır ve tarihin en yıkıcı ihlallerinin birçoğunda ilk adım olmuştur. Bu yüzden "en zayıf halka insan" lafı, bir alay konusundan çok bir mimari gerçeğe dönüşmüş durumda. İyi haber şu: insan açığı, kod açıklarının aksine, farkındalıkla kapatabildiği kadarıyla kapanır — ama yalnızca suçlayarak değil, süreçle. Kod yamaları sürümle gelir; insan yamaları alışkanlıkla gelir ve daha zahmetlidir.

Bu yazıda saldırının nasıl göründüğünü, neden işe yaradığını ve ekibin bu görüntüye karşı nasıl konumlanacağını konuşacağız. Amaç korku dağıtmak değil; saldırı senaryosunu bilen ekibin, senaryoyu sahnede çökertmesi.

Klasik senaryolar

En bilineni kimlik avı: resmi görünen bir e-posta, acil bir şifre sıfırlama sayfası, yürüyen bir sahte alan adı. Sonra balina avcılığı gelir; saldırgan, CEO'nun adına muhasebeciye "bu ödemeyi bugün yap" diye yazar. Yeni nesil ise daha sabırlıdır: saldırgan, şirketinizin destek kanalına girer, birkaç gün soru çözer, güven kurar, sonra yetkili görünerek yönetici panelini ister. Hepsinin ortak noktası acildir; aciliyet, düşünmeyi geciktirmenin en ucuz yoludur.

[Gün 1] Destek formu: "Siparişim düşmedi"  → sorun çözülür, güven kurulur
[Gün 3] Aynı kişi: "Şirket hesabımın yetkisi eksik" → ekran görüntüsü eklenir
[Gün 4] "Yöneticim toplantıda, hemen lazım" → panel yetkisi isteniyor
İyi cevap: süreç acele etmez, kimlik doğrulaması kanaldan bağımsızdır

Teknik olmayan savunmalar

Bu saldırıların çözümü teknolojide değil, prosedürdedir. Mali transferler için "ikinci kişi onayı" kuralı, yönetici paneli erişimi için "talep + doğrulama" akışı, destek kanalından gelen ayrıcalık istekleri için "geri arama" disiplini. Geri arama, her senaryonun zayıf noktasıdır: kullanıcı e-posta ile mi yazdı? O zaman onu kayıtlı numarasından arayın. Saldırgan acil baskı yaptıysa, bu sizin acele etmeniz için bir neden değil, daha yavaş olmanız için bir işarettir. Şüphede kalan çalışanlara güvenli bir çıkış yolu sunun: yanlışsa bile rahatça sorma kültürü, sessizce zarar verme kültüründen iyidir.

Ayrıca bu akışları yazılı hale getirin: "şüpheli bir talep gelirse şuna yap" adımları, hiçbir zaman "arkadaşına sor" olmamalıdır. İnsan belleği stres altında kısa devre yapar; yazılı akış, belleğe değil kâğıda güvenilir. Yeni katılanların ilk haftasında bu akışlar okunur; üç ayda bir, beş dakikalık hatırlatmalar yapılır. Savunmanın pahalı kısmı teknoloji değil, tekrardır; tekrar da en ucuz içeriği insanın kendi hikâyesidir.

Ekibi güçlendirmek

Güçlü ekip, saldırının hedefi değil savunucusudur. Onboarding sürecinde güvenlik anlatılır; ilk günkü "şüphede kal, sor" kültürü, üç yıldır şirket içindeki kişinin de tavrını belirler. Herkesin, en stajyerin bile, "bu tuhaf" diyerek bir kanaldan mesaj atabilmesi gerekir. Ve şunu unutmayın: saldırgan, sizin en zayıf bağlantınızı değil, en meşgul anınızı seçer. Meşgul anlarda bile doğru davranışı mümkün kılan şey, çalıştırılan prosedürdür; iyi niyet ve hız değildir. Ekip üyesi hata yaptığında da süreç gözden geçirilir, kişi suçlanmaz; suçlayan kültürde bir sonraki hata saklanır ve saklanan hata her zaman daha pahalıdır.

Sosyal mühendisliğe karşı savunma, bir yazılım sürümü değildir; her gün yapılan küçük bir pratiktir. Ekip güçlüyse, saldırganın planı bir e-postada biter.