---
title: "Phishing (Oltalama) Nedir? Türleri ve Korunma Yolları"
description: "Phishing (oltalama), güvendiğiniz biri kılığına girip şifrenizi, kart bilgilerinizi, bir kodu ya da bir tıklamanızı hedefleyen dolandırıcılıktır."
url: https://proxynet.io/tr/blog/what-is-phishing
date: 2026-11-12
author: "Acar Diveroli"
category: "Proxy 101"
lang: tr
---

# Phishing (Oltalama) Nedir? Türleri ve Korunma Yolları

Kargonuzun teslim edilemediğini söyleyen bir SMS geliyor ve küçük bir yeniden gönderim ücreti istiyor. Bağlantı, kargo firmasının renklerini taşıyan ve kart bilgisi soran bir sayfa açıyor; sayfada göze batan hiçbir tuhaflık yok. Tuzak da tam burada: sayfa, kart numaranızı ele geçirmek isteyen birine ait ve öyle bir ücret hiç yok.

Bu yazıda phishing'in, Türkçe adıyla oltalamanın ne olduğunu, bir saldırının nasıl ilerlediğini, başlıca türlerini, bir iletiyi ele veren işaretleri, geçiş anahtarlarının bu saldırıların çoğunu neden durdurduğunu ve bağlantıya tıkladıysanız ne yapmanız gerektiğini anlatıyoruz. Yazıyı hedef alınan kişi için yazdık; saldırganın işine yarayacak bir tarif içermiyor.

> **Not: Kısa cevap**
>
> Phishing (oltalama), güvendiğiniz bir göndericinin, örneğin bir bankanın, kargo firmasının ya da iş arkadaşınızın kılığına girip şifrenizi, kart numaranızı ya da tek kullanımlık kodunuzu ele geçirmeyi veya sizi zararlı bir eki açmaya ya da bir bağlantıya tıklamaya ikna etmeyi amaçlayan dolandırıcılıktır. E-posta, SMS, telefon araması, sosyal medya mesajı ya da QR kod yoluyla gelir. En sık rastlanan işaretler hemen harekete geçmeniz için yapılan baskı, kuruma ait olmayan bir gönderen ya da bağlantı adresi ve kod ya da ödeme istenmesidir. Bir şey yazdıysanız şifreyi gerçek sitede değiştirin, diğer oturumları kapatın, kart bilgisi verdiyseniz bankanızı arayın ve iletiyi bildirin. Geçiş anahtarları (passkey) oltalamaya dayanıklıdır, çünkü yalnız oluşturuldukları sitede çalışır.

## Phishing (oltalama) nedir?

Phishing bir sosyal mühendislik yöntemidir: saldırgan bir sisteme zorla girmez, bir insanı kapıyı açmaya ikna eder. Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi (NCSC), oltalamayı suçluların sahte e-posta, kısa mesaj ya da telefon aramalarıyla kurbanlarını kandırması diye tanımlar; ABD'nin siber güvenlik ajansı CISA da yemin çoğu zaman güvendiğiniz birinden geliyormuş gibi göründüğünü ekler.

Adı, İngilizce "fishing" (balık tutma) sözcüğüne gönderme yapar: olta birçok kişiye birden atılır, gönderen de birinin yemi yutmasını bekler. Türkçede "oltalama" denmesi de bundandır; Gmail ve Outlook'un Türkçe arayüzleri aynı şey için "kimlik avı" der. Gönderen şu dört şeyden birinin peşindedir: giriş bilgileriniz, kart ya da banka bilgileriniz, bir girişi tamamlayan tek kullanımlık kod ya da cihazınıza zararlı yazılım (sizi izlemek veya cihaza zarar vermek için yazılmış bir program) kuran bir tıklama.

## Oltalama saldırısı nasıl işler?

1. **Bahane.** Gönderen o günlere uyan bir hikâye seçer: bir kargo, bir vergi iadesi, kilitlenen bir hesap, ödenmemiş bir fatura, sizinle paylaşılan bir belge.
1. **Yem gönderilir.** E-posta, SMS ya da özel mesaj bir bağlantı, bir ek veya aranacak bir telefon numarası taşır; telefon aramasında yem, arayanın sesidir.
1. **Olta iğnesi.** Bağlantı gerçek bir giriş ya da ödeme sayfasının kopyasını açar, ek sizden "içeriği etkinleştirmenizi" ister ya da arayan kişi telefonunuza az önce gelen kodu okumanızı söyler.
1. **Bilgi ele geçirilir.** Yazdığınız her şey gönderene gider. Bazı oltalama sayfaları yazdıklarınızı bir ters proxy (reverse proxy) üzerinden gerçek siteye aktarır; giriş çalışıyor gibi görünür, ama saldırgan sitenin verdiği oturum çerezini saklar. Bu çerezin neden tek başına hesabı açtığını [Session Hijacking (Oturum Çalma) Nedir?](/tr/blog/what-is-session-hijacking) yazısında anlattık.
1. **Bilgi kullanılır.** Şifre gerçek sitede ve başka sitelerde denenir, karttan çekim yapılır ya da hesabınız aynı yemi rehberinizdeki kişilere gönderir.

## Oltalamanın türleri nelerdir?

| Tür | Size nasıl ulaşır? | Ne ister? |
|---|---|---|
| E-posta oltalaması | Toplu gönderilen bir e-posta | Sahte sayfada giriş, bir ek |
| Spear phishing (hedefli oltalama) | Size özel yazılmış bir ileti | Aynısı, hakkınızdaki gerçek ayrıntılarla |
| Whaling | Bir yöneticiye giden ileti | Bir ödeme, gizli dosyalar |
| Smishing | SMS ya da mesajlaşma uygulaması | Küçük bir ücret, hesabı "düzeltme" bağlantısı |
| Vishing | Telefon araması ya da sesli mesaj | Bir kod, kart bilgileri, bir havale |
| Quishing | Bir QR kod | Sahte ödeme sayfasında kart bilgileri |
| Onay oltalaması (consent phishing) | Tanımadığınız bir uygulama için gerçek giriş ekranı | Posta kutunuza ya da dosyalarınıza erişim |

**Spear phishing ve whaling** hedefli türlerdir. NCSC'ye göre saldırgan, iletiyi ikna edici kılmak için çalışanlarınız ya da şirketiniz hakkındaki bilgileri kullanır; whaling ise NCSC'nin deyişiyle yönetim kurulu üyesi gibi "büyük balığı" hedef alan spear phishing'dir.

**Smishing ve vishing** aynı hileyi telefona taşır; CISA bunları SMS ve sesli arama yoluyla yapılan sosyal mühendislik diye tanımlar. İkisi çoğu zaman birlikte işler: bir SMS şüpheli bir ödemeden söz edip bir numara verir, o numaradaki "dolandırıcılık ekibi" de sizden bir kod ister.

**Quishing** bağlantıyı bir QR kodun içine saklar. ABD Federal Ticaret Komisyonu (FTC), otopark ödeme cihazlarındaki gerçek kodların üzerine yapıştırılan kodlara ve beklenmedik e-posta ya da SMS'lerle gelip kopya bir siteye götüren QR kodlara karşı uyarıyor.

**Onay oltalaması** şifre çalmaz. Microsoft bunu, kullanıcıları kötü amaçlı bir bulut uygulamasına izin vermeye kandırmak diye tanımlar; onay ekranı gerçektir, bu yüzden adres çubuğu doğru görünür. Onu ele veren, isteğin kendisidir: örneğin posta kutunuzu okumak ve sizin adınıza e-posta göndermek isteyen, tanımadığınız bir "belge görüntüleyici". Çözüm, uygulamayı hesabınızın bağlı uygulamalar listesinden kaldırmaktır.

## Oltalama iletisi nasıl anlaşılır?

Oltalama iletisi sizi düşünmeden harekete geçirmeye çalışır; bu yüzden ilk işaret baskı, ikincisi kuruma ait olmayan bir adrestir. NCSC [beş işaret sayıyor](https://www.ncsc.gov.uk/collection/phishing-scams/spot-scams): otorite (resmî bir yerden geldiğini öne süren ileti), aciliyet (kısa bir süre ya da para cezası tehdidi), duygu (panik, korku, umut ya da merak), kıtlık (az bulunan bir şey) ve güncel olaylar (vergi dönemi, büyük bir haber).

Sonra ayrıntılara bakın:

- **Görünen ada değil, gönderen adresine bakın.** Ad "Banka Destek" olabilir; önemli olan @ işaretinden sonraki alan adıdır.
- **Benzer alan adları.** Bir harfi farklı olan ya da gerçek markayı daha uzun bir adresin başına koyan adlar yaygın bir kılıktır; böyle bir adın nasıl okunacağını [Typosquatting Nedir?](/tr/blog/typosquatting) yazısı gösteriyor.
- **Görünen metni başka, gerçek adresi başka olan bağlantı.** Bilgisayarda imleci bağlantının üzerine getirin; telefonda bağlantıya basılı tutarak önizleyin.
- **Beklenmedik ek,** özellikle içeriği etkinleştirmenizi isteyen bir dosya. Windows'taki Office, internetten gelen dosyalardaki makroları, yani dosyaya gömülü küçük programları varsayılan olarak engeller; bu engelin nasıl kaldırılacağını anlatan bir ileti başlı başına uyarıdır.
- **Alışılmışın dışında bir ödeme:** tedarikçinin "yeni" banka hesabı, hediye kartı, ulaşılamayan bir yönetici adına acil havale.
- **Kod istenmesi.** FTC bunu açıkça söylüyor: hesap doğrulama kodunuzu isteyen herkes dolandırıcıdır.
- **Hatasız bir dil hiçbir şey kanıtlamaz.** CISA, yapay zekâ araçlarının artık dil hatası olmayan iletiler yazdığını belirtiyor.

Şüphe duyduğunuzda kuruma zaten bildiğiniz bir yoldan ulaşın, örneğin kurumun uygulamasından ya da kartınızın üzerindeki numaradan. İletideki bağlantıyı ya da numarayı asla kullanmayın.

## Geçiş anahtarları (passkey) oltalamaya neden dayanıklı?

Geçiş anahtarı sahte bir sayfaya yazılamaz: cihazınız onu yalnız oluşturulduğu siteye sunar, bu yüzden giriş sayfasının başka bir alan adındaki kopyası işe yarar hiçbir şey alamaz. Geçiş anahtarı, telefonunuzda, bilgisayarınızda ya da şifre yöneticinizde saklanan bir giriş anahtarıdır; web sitesi yalnız onun açık (public) yarısını tutar. FIDO Alliance, geçiş anahtarının [yalnız kaydedildiği siteye sunulduğunu](https://www.passkeycentral.org/introduction-to-passkeys/how-passkeys-work) açıklıyor.

Tek kullanımlık kodlar ve bildirim onayları yalnız şifreye göre daha güvenlidir, ama oltalama sayfası onları da toplayabilir. CISA'nın [oltalamaya dayanıklı MFA bilgi notu](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf) klasik örneği anlatır: kurbanın kullanıcı adını, şifresini ve doğrulama uygulamasındaki 6 haneli kodu girdiği sahte bir giriş portalı. Aşağıda CISA'nın sıralamasını, karşılaştırma için yalnız şifre satırını ekleyerek veriyoruz:

| Giriş yöntemi | Oltalama sayfası ele geçirebilir mi? | Başka neye açık? |
|---|---|---|
| Yalnız şifre | Evet | Başka sitelerde yeniden kullanım |
| SMS ya da sesli kod | Evet, anında aktarılır | SIM kart değiştirme (SIM swap), telefon ağında dinleme |
| Doğrulama uygulaması kodu | Evet, anında aktarılır | CISA listesinde başka bir şey yok |
| Sayı eşleştirmesiz bildirim onayı | Onaylamaya ikna edilebilirsiniz | Bildirim bombardımanı: siz onaylayana kadar gelen istekler |
| Geçiş anahtarı ya da güvenlik anahtarı (FIDO/WebAuthn) | Hayır | CISA listesinde bir şey yok |

CISA, geçiş anahtarı ve güvenlik anahtarıyla yapılan bu girişi "altın standart" diye niteler; türü ne olursa olsun çok faktörlü kimlik doğrulamanın (MFA), yani şifreye ikinci bir adım eklemenin, hiç olmamasından iyi olduğunu da ekler. Şifre yöneticisi de şifrelere benzer bir denetim getirir: formu yalnız şifrenin kaydedildiği alan adında doldurur.

## Oltalama bağlantısına tıkladıysanız ne yapmalısınız?

Sayfayı yalnız açıp hiçbir şey yazmadıysanız onu kapatın, indirdiği bir dosya varsa silin ve bir güvenlik taraması yapın. Şifre, kod ya da kart numarası yazdıysanız hemen ve şu sırayla harekete geçin:

1. **Şifreyi gerçek sitede değiştirin;** siteye adresi kendiniz yazarak ya da uygulamayı açarak gidin. Aynı şifreyi başka yerlerde kullandıysanız oralarda da değiştirin, çünkü ele geçirilen şifreler başka servislerde de denenir; bu denemelerin nasıl yapıldığını [Credential Stuffing Nedir?](/tr/blog/what-is-credential-stuffing) yazısında anlattık.
1. **Diğer bütün oturumları kapatın.** Bunu hesabın güvenlik ayarlarından yapın; kurtarma bilgilerini, e-posta yönlendirme kurallarını ve bağlı uygulamaları kontrol edin, site destekliyorsa bir geçiş anahtarı ekleyin.
1. **Kart ya da banka bilgisi girdiyseniz bankanızı arayın;** kartınızın üzerindeki numarayı kullanın. NCSC de FTC de bunu öneriyor.
1. **Cihazı tarayın.** Bir ek açtıysanız ya da bir şey kurduysanız güvenlik yazılımınızla tam tarama yapın; iş cihazıysa BT ekibine hemen haber verin.
1. **İletiyi bildirin** (yolları aşağıda). Para kaybettiyseniz durumu dolandırıcılık olarak polise de bildirin.

## Oltalama nasıl bildirilir?

Önce e-posta uygulamanızdaki bildirme düğmesini, sonra ülkenizin bildirim hizmetini kullanın; ikisi de başkalarını koruyan filtreleri ve engel listelerini besler.

- **Bilgisayarda Gmail:** iletiyi açın, **Yanıtla** simgesinin yanındaki **Diğer**'i, ardından **Kimlik avı bildir**'i tıklayın.
- **Outlook.com:** iletiyi seçin, ardından **Raporla** > **Kimlik avını bildir** yolunu izleyin. Bildirmek göndereni engellemez; iletiler sürerse göndereni ayrıca engelleyin.
- **Türkiye:** Siber Güvenlik Başkanlığı'nın [İhbar Formu](https://siberguvenlik.gov.tr/ihbar), kendini banka, kurum ya da firma gibi gösteren sahte siteleri de kapsar; ihbarlar ihbar@siberguvenlik.gov.tr adresine e-postayla da iletilebilir. Daha önce USOM üzerinden yürüyen siber ihbar süreçleri bu siteye taşındı.
- **Birleşik Krallık:** şüpheli e-postaları report@phishing.gov.uk adresine, dolandırıcılık SMS'lerini 7726'ya iletin; NCSC'nin bildirim sayfaları bu yolu anlatıyor.
- **ABD:** [FTC](https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams), oltalama e-postalarının reportphishing@apwg.org adresine, oltalama SMS'lerinin SPAM (7726) numarasına iletilmesini ve dolandırıcılığın ReportFraud.ftc.gov üzerinden bildirilmesini istiyor.
- **Diğer ülkeler:** ulusal siber güvenlik kurumu ya da CERT (bilgisayar olaylarına müdahale ekibi) genellikle bir bildirim formu sunar.
- **İş yerinde:** şirketin bildirme düğmesini kullanın ya da iletiyi iş arkadaşlarınıza değil, güvenlik ekibine iletin.

## Kurumlar oltalamaya karşı nasıl korunur?

Kurumlar birden çok savunma katmanını üst üste kullanır, çünkü hiçbir filtre bütün iletileri yakalayamaz. NCSC bu katmanları dörde ayırır: oltalamanın kullanıcılara ulaşmasını zorlaştırmak (e-posta filtreleme, e-posta kimlik doğrulaması), kullanıcıların şüpheli iletiyi suçlanma korkusu olmadan fark edip bildirmesini sağlamak, bir tıklamanın zararını sınırlamak (MFA, şifre yöneticileri, güncel cihazlar) ve hızlı müdahale etmek.

Güvenlik ekipleri bildirilen bağlantıları engellemeden önce kontrol de eder. Bazı oltalama sayfaları sahte giriş ekranını yalnız hedef kitleye benzeyen ziyaretçilere, örneğin hedeflenen ülkedeki bir ev bağlantısına gösterir, geri kalan herkese boş bir sayfa açar. Bu yüzden analistler bağlantıyı yalıtılmış bir tarayıcıda ve hiçbir gerçek kimlik bilgisi kullanmadan, o ülke ve şehirdeki bir [Residential Proxy](https://proxynet.io/tr/residential-proxy) çıkışı üzerinden açar.

SMS ile gönderilen bir yemde sayfa yalnız mobil ağdan gelen ziyaretçilere görünebilir; [Mobil Proxy](https://proxynet.io/tr/mobile-proxy), analiste bu tek kontrol için gerçek bir operatör adresi verir. İş, bağlantı başına birkaç sayfa yüklemesinden ibarettir; amaç sayfayı belgeleyip bildirmektir, asla formu doldurmak değil.

## Oltalamayla nerelerde karşılaşırsınız?

Kişisel ve iş e-posta kutularında. Kargo, köprü ve otoyol geçiş ücreti, vergi iadesi ya da banka uyarısı konulu SMS'lerde. Kendini "dolandırıcılık ekibi" ya da "teknik destek" diye tanıtan aramalarda. Ödül ya da iş vaat eden sosyal medya mesajlarında. Afişlere ve otopark ödeme cihazlarına yapıştırılmış QR kodlarda. İş yerinde faturalarda, belge paylaşım bildirimlerinde ve patrondan geliyormuş gibi görünen iletilerde.

## Sık yapılan hatalar

- **Logoya ve görünen ada güvenmek.** İkisi de bedavaya kopyalanır; alan adı kopyalanamaz.
- **Kilit simgesine güvenmek.** HTTPS, o alan adına giden bağlantının şifreli olduğunu gösterir; alan adının bankanıza ait olduğunu değil.
- **İletideki numarayı arayarak doğrulamaya çalışmak.** O numara gönderene aittir.
- **Arayan kişiye kod okumak.** Sizin başlatmadığınız bir arama sırasında gelen kod, saldırının ta kendisidir.
- **Bildirmeden silmek.** Sayfanın bir sonraki kişi için engellenmesini sağlayan şey bildirimdir.

## Karar rehberi

| Durumunuz | Önce ne yapmalısınız? |
|---|---|
| Şüpheli bir ileti, hiçbir şeye tıklamadınız | Uygulamanın düğmesiyle bildirin, sonra silin |
| Tıkladınız ama bir şey yazmadınız | Sayfayı kapatın; bir şey indiyse tarama yapın |
| Şifre yazdınız | Gerçek sitede ve aynı şifreyi kullandığınız her yerde değiştirin; diğer oturumları kapatın |
| Kart ya da banka bilgisi verdiniz | Kartınızın üzerindeki numaradan bankanızı arayın |
| Arayan kişiye kod okudunuz | Şifreyi değiştirin, oturumları kapatın, hizmet sağlayıcıya haber verin |
| Tanımadığınız bir uygulamaya izin verdiniz | Hesabınızın bağlı uygulamalarından kaldırın |
| Bir şirket için bildirilen bağlantıları inceliyorsunuz | Yalıtılmış tarayıcı, hedef ülkede residential ya da mobil çıkış, gerçek kimlik bilgisi yok |

## Sıkça sorulan sorular

### Oltalama e-postasını açmak bile hacklenmek için yeterli mi?

Nadiren yeterli olur. Güncel bir e-posta uygulamasında iletiyi okumak genellikle güvenlidir; zarar, bağlantıya tıkladığınızda, eki açtığınızda ya da bilgi vererek yanıtladığınızda başlar. Eski bir e-posta uygulamasındaki bir güvenlik açığı nadiren de olsa yalnız iletiyle tetiklenebilir; bu yüzden uygulamayı güncel tutun.

### Oltalama suç mu?

Evet. Oltalama dolandırıcılığa ve başkalarının hesaplarına yetkisiz erişime yol açar; ikisi de çoğu ülkede suçtur, suçun tam tanımı ise yerel yasaya göre değişir. Bir şirketin kendi çalışanlarına uyguladığı oltalama simülasyonu saldırı değil, eğitimdir.

### Oltalama ile spam arasındaki fark nedir?

Spam istenmeyen toplu iletidir, çoğunlukla reklamdır; can sıkıcıdır ama güvendiğiniz biri gibi davranmaz. Oltalama ise sizden bir şey almak için güvenilir bir göndericinin kılığına girer: bir şifre, bir ödeme ya da bir tıklama.

### İş yerinde yapılan phishing testi nedir?

Phishing testi ya da oltalama simülasyonu, bir şirketin çalışanlarına gerçek oltalamayı fark edip bildirmeyi öğretmek için gönderdiği zararsız, sahte bir oltalama e-postasıdır. Tıklayan kişi genellikle kısa bir eğitim sayfasına yönlendirilir; NCSC de kurumlara tıklayan çalışanları azarlamamalarını öneriyor. İletinin test olup olmadığından emin değilseniz yine de bildirin.

### Oltalamaya dayanıklı MFA nedir?

Sahte bir sitenin ele geçiremediği ya da gerçek siteye aktaramadığı ikinci giriş adımıdır. Uygulamada bu, geçiş anahtarları ya da donanım güvenlik anahtarlarıyla yapılan FIDO/WebAuthn girişi, bazı kurumlarda da akıllı kartla giriş demektir. SMS ve uygulama kodları yalnız şifreden çok daha iyidir, ama oltalama sayfası onları aktarabilir.

### Antivirüs ya da VPN oltalamadan korur mu?

Kısmen. Güvenlik yazılımları ve tarayıcının uyarı listeleri bilinen oltalama sayfalarını engeller, ama bir saat önce kurulan bir sayfa henüz hiçbir listede olmayabilir. VPN ağ yolunu değiştirir; sahte bir giriş sayfasını gerçeğinden ayıramaz. Bu boşluğu, adresi dikkatle okumak ve geçiş anahtarı kullanmak kapatır.

## Özet

Oltalama zorla girmek değil, kılık değiştirmektir: biri şifrenizi, bir kodu, bir ödemeyi ya da bir tıklamayı elde etmek için güvendiğiniz bir göndericiymiş gibi davranır. Bir ileti sizi sıkıştırdığında durun, gönderenin alan adını ve bağlantının gerçek adresini kontrol edin, kimseye kod okumayın. Bir şey yazdıysanız şifreyi gerçek sitede değiştirin, diğer oturumları kapatın ve iletiyi bildirin. Geçiş anahtarları, oltalama sayfalarının çoğunun topladığı şeyi, yani her yerde işe yarayan şifreyi ve kodu ortadan kaldırır. Kendi giriş sayfalarının sahte kopyalarını takip etmek isteyen markalar, nasıl kurulacağını [marka koruma](/tr/brand-protection) sayfamızda bulabilir.