Phishing and Vishing (e-dolandırıcılık ve telefonla kişisel bilgilerin ele geçirilmesi)

Ağırlıklı olarak kendileri hakkında yazan blogger’lar gizlilik, kimlik hırsızlığı ve hesap bakiyeleri ile ilgili ekstra güvenlik risklerini göz önünde bulundurmalılardır.

Pek çok blogger sıklıkla favori müzikleri ya da film artistleri, aşk, hobiler ve kişisel ilgileriyle ilgili görünürde riski olmayan konularda yazarlar. Bu konularda yazmak, farklı deneyimleri okuyucularla paylaşmak kolay olsa da, blogger’lar aslında kötü niyetli kişilerce phishing ya da vishing (phishing’in telefon versiyonu) gibi saldırılar için yeterli veriyi açıklamış olurlar.

Bu riskleri daha iyi açıklamak için, şöyle bir senaryo düşünelim:

Blogger kendisine yeni bir akıllı telefon alır; telefon PDF’leri açabiliyor, Wi-Fi bağlantısı var (en azından bloguna GPRS üzerinden bağlanabiliyor, örneğin seyahat sırasında blog girişleri yapmak için). Edindikleri yeni eşyalarla ilgili kişisel ve tanımlayıcı biçimde övünmek blogger’lar arasında çok yaygındır. Bununla ilgili aşağıda anlatılan olay bir “gerçek-hayat” blog post’undan alınmış olup yapılan değişiklik yazarını koruma amaçlıdır.

“Karşılaştığım en yeni şeyleri uçuş sırasında da paylaşmak için yeni bir telefon aldım. Yeni (telefon markası) PDA’yı (personal digital assistant) dün (mobil şirket)’ten aldım. Ne kadar harika bir şey olduğuna inanamazsınız. ”

Blogger’lar genellikle kendilerine ait bir domain name (alan adı) sahibi olurlar ve kayıt veritabanında telefon numaraları, adres, ad-soyad, kişisel eposta adresi gibi bilgiler bulunur.

Şimdi yukarıdaki post’un yanlış insanlarca okunduğunu düşünün; blogger’ı arayarak, kendini alışveriş yapılan mobil şirketin çalışanıymış gibi gösteren bir kişi…

“Merhaba efendim’ Ben (isim), sizi (mobil şirketinin ismi)’den arıyorum ve size dün (mağaza ismi)’den aldığınız (marka ismi) ile ilgili bir kaç soru sormak istiyorum. Ancak öncelikle kimliğinizi doğrulamamız gerekiyor. Lütfen kimlik numaranızı, doğum tarihinizi ve adresinizi söyler misiniz?”

Bu örnek, kimlik avcılığı saldırılarına verilebilecek örneklerden sadece bir tanesi. Kural olarak, kendinizle ilgili ne kadar çok bilgi paylaşırsanız saldırganların diğer detayları tahmin etmesi o kadar kolaylaşır. Favori yemeklerden, aktörlerden, ve günlük aktivitelerden söz etmek saldırganların şifre tahmininde bulunmaları ya da birinin eposta hesabının sözde kayıp şifresi için form doldururken gerekli girişleri yapmaları için iyi bir başlangıçtır.

Zararı Azaltma

Kendi adınıza kayıtlı bir alan adınız varsa, tanımadığınız, bilinmeyen kimselerle etkileşimlerinizde maksimum dikkat gösterin. Her hangi bir kurum adına sizden kimlik bilgilerinizi isteyen kişilerin meşruluğuna dair tereddütünüz varsa, isteklerini reddedin ve sözü edilen kurum ile iletişime geçin.

Alternatif olarak, alan adını kayıtlayan kurumdan hesabınızın WHOIS gizlilik korumasını etkinleştirmesini isteyebilirsiniz. Böylelikle bilgileriniz kanun uygulayıcı kurumlar dışındaki üçüncü kişilerle paylaşılmayacaktır.