KOBİ'ler İçin Siber Güvenlik: Oltalama E-postaları ve Hesap Güvenliği Kontrol Listesi

1) KOBİ'ler neden hedef: en zayıf halka insan

Muhasebeye "güncel faturanız ektedir" başlıklı bir e-posta düşüyor, depo sorumlusunun telefonuna "kargonuz adres eksikliği nedeniyle bekliyor" SMS'i geliyor. İkisi de sıradan bir iş gününün parçası gibi görünüyor ve tam da bu yüzden işe yarıyor. KOBİ siber güvenlik sorunlarının önemli bir kısmı eksik bir yazılımdan değil, dikkatin dağıldığı bir anda tıklanan bağlantıdan ya da sorgulanmadan yapılan bir ödemeden başlar.

Küçük ve orta ölçekli şirketleri çekici kılan birkaç ortak özellik vardır:

• Aynı kişi hem ödeme hazırlar hem onaylar; kontrol tek kişide toplanır.
• "Herkes birbirini tanıyor" rahatlığıyla yazılı onay kuralları çoğu zaman yoktur.
• Şifreler ortak kullanılır, işten ayrılanların hesapları aylarca açık kalır.
• Güvenlik "bilgisayardan anlayan" tek bir kişiye bırakılır.

Sunucu ve SSL gibi altyapı konularını web sitesinde hız, güvenlik ve SEO yazımızda ele aldık. Buradaki odak çalışan davranışı ve hesap düzeni. Kasım'daki indirim dönemlerinde sipariş ve kargo trafiği yoğunlaştığı için sahte kargo ve ödeme mesajları da daha inandırıcı hale gelir; hazırlık için iyi bir zaman.

2) Oltalama e-postası ve SMS'i nasıl anlaşılır?

Oltalama (phishing), güvenilir bir kurum ya da kişi gibi görünüp sizi bağlantıya tıklatmayı, dosya açtırmayı veya bilgi ya da para göndertmeyi amaçlayan mesajdır. Görünüşe değil, mesajın sizden ne istediğine bakın.

Üç yaygın kalıp

• Sahte fatura e-postası: "Ödenmemiş faturanız ektedir", "itiraz süreniz doluyor". Ek çoğu zaman sıkıştırılmış bir dosya, içerik etkinleştirmenizi isteyen bir Office belgesi ya da "faturayı görüntüle" butonudur. Beklemediğiniz bir firmadan veya tanıdığınız firmanın alışılmadık bir adresinden geliyorsa durun.
• Kargo mesajı: "Teslimat başarısız, adresinizi doğrulayın", "ek ücret ödenmesi gerekiyor". Küçük bir tutar isteyip kart bilgisi toplamak klasik yöntemdir.
• Banka ve kurum mesajı: "Hesabınız kısıtlandı", "bilgilerinizi güncelleyin". Bankanız şifrenizi veya SMS doğrulama kodunuzu bir bağlantı ya da telefon görüşmesi üzerinden paylaşmanızı istemez; böyle bir talep başlı başına alarm işaretidir.

Tıklamadan önce kontrol listesi

• Gönderen adresinin tamamını okuyun: görünen ad "Muhasebe" olabilir ama alan adında tek harf farkı olabilir.
• Bağlantının üzerine gelin (telefonda basılı tutun) ve gerçek adresi görün; kısaltılmış ya da konuyla ilgisiz alan adları kırmızı bayraktır.
• "24 saat içinde", "hesabınız kapatılacak" gibi aciliyet veya tehdit dili var mı?
• Mesaj kod, şifre, kart bilgisi ya da ödeme istiyor mu?
• Beklediğiniz bir işlem mi? Sipariş vermediyseniz kargo bildirimi anlamsızdır.
• Yazım hatası olmaması güven kanıtı değildir; bugün hatasız metin üretmek çok kolay.

Bağlantıya tıklandıysa ilk adımlar

3) Sahte fatura ve IBAN değişikliği tuzağına karşı onay kuralı

En çok para kaybettiren senaryo çoğu zaman bir bağlantı değil, sade bir e-postadır: "Banka hesabımız değişti, bundan sonraki ödemeleri aşağıdaki IBAN'a yapınız." Mesaj, tedarikçinin ele geçirilmiş gerçek hesabından ya da ona çok benzeyen bir adresten gelebilir ve önceki yazışmalarınızın doğal devamı gibi görünür.

Örnek senaryo (varsayımsal): Beylikdüzü'nde üretim yapan bir firmanın muhasebe sorumlusu, uzun süredir çalıştığı hammadde tedarikçisinden, aynı yazışma zinciri içinde bir IBAN değişikliği bildirimi alıyor. Fatura tutarı ve sipariş numarası doğru. Ödeme yapılıyor; birkaç hafta sonra tedarikçi "ödemeniz gelmedi" diye arıyor. Bu noktada paranın geri alınması zor ve belirsiz bir sürece dönüşür.

Aşağıdaki kuralı yazılı hale getirip ödeme yapan herkese onaylatın:

Aynı kural içeriden gelen taleplere de uygulanır. Yöneticinin adını taşıyan "toplantıdayım, şu hesaba hemen havale yap" mesajı da telefonla teyit edilir. Kimin hangi tutara kadar ödeme onaylayabileceğini idari yönetim danışmanlığı kapsamında görev ve yetki matrisiyle netleştirmek, çalışanın "kural bu, aramadan ödeyemem" demesini kolaylaştırır.

4) İki adımlı doğrulama ve parola yöneticisi

İki adımlı doğrulama, şifreye ek olarak ikinci bir kanıt ister: telefona gelen kod, doğrulama uygulamasındaki kod veya fiziksel bir güvenlik anahtarı. Şifre kaptırılsa bile hesaba girilmesini ciddi biçimde zorlaştırır. Önce şu hesaplarda açın:

• Kurumsal e-posta hesapları, özellikle yönetici, muhasebe ve satın alma
• Alan adı ve hosting paneli
• Muhasebe programı ve bulut dosya paylaşım hesapları (destekliyorsa)
• Google İşletme Profili, reklam hesapları ve sosyal medya yönetici hesapları

Mümkünse SMS yerine doğrulama uygulamasını tercih edin. Ekibe tek bir kuralı ezberletin: doğrulama kodu kimseyle paylaşılmaz, kendini banka görevlisi ya da BT destek olarak tanıtan kişiyle bile. Yedek kodları güvenli bir yerde saklayın; telefonunu kaybeden çalışan hesaba erişimini de kaybetmesin.

Parola yöneticisi, her hesap için uzun ve benzersiz şifreler üretip şifreli bir kasada saklayan uygulamadır; çalışan yalnızca tek bir ana şifre hatırlar. Kurumsal sürümlerin çoğu, ortak kullanılması gereken bir erişimi kişi bazında paylaşmaya ve gerektiğinde geri almaya imkân tanır. Sık yapılan hatalar:

• Tüm hesaplarda aynı şifrenin küçük varyasyonlarını kullanmak (Firma2025!, Firma2026!).
• Şifreleri ekrana yapıştırılmış notta ya da ortak klasördeki "sifreler" adlı tabloda tutmak.
• İki adımlı doğrulamayı yalnızca patronun telefonuna bağlamak; o kişi izindeyken iş durur.

5) Ortak şifre yerine kişisel hesap ve rol bazlı yetki

"info@" kutusuna beş kişinin aynı şifreyle girmesi pratik görünür. Ama bir sorun çıktığında kimin ne yaptığını bilemezsiniz, biri ayrıldığında da şifreyi değiştirip herkese yeniden dağıtmanız gerekir. Ortak şifre, izlenebilirliği sıfırlar.

• Kişisel hesap: Herkes kendi kullanıcı adıyla girer. Ortak kutular, kişisel hesaplara yetki verilerek veya yönlendirmeyle paylaşılır; şifre paylaşılmaz.
• Rol bazlı yetki: Erişim kişiye değil göreve göre tanımlanır. Satış rolü müşteri klasörünü görür, bordro klasörünü görmez. Görev değişince eski rolün yetkileri kaldırılır.
• Yönetici yetkisi: Tam yetkili (admin) hesap sayısını küçük tutun ama tek kişiye de bağlı kalmayın; iki kişi genellikle makul bir dengedir.
• Dış hizmet sağlayıcılar: Ajans veya serbest çalışanlara kendi şifrenizi vermeyin; platformun kullanıcı ekleme özelliğiyle ayrı ve kaldırılabilir erişim tanımlayın.

Uygulamada bir sayfalık yetki tablosu yeterlidir: satırlarda sistemler (e-posta, muhasebe programı, ortak klasörler, banka, reklam hesapları, web sitesi paneli), sütunlarda roller. Her hücreye "yok", "görüntüler", "düzenler" veya "yönetir" yazın ve üç ayda bir fiili durumla karşılaştırın; çoğu zaman unutulmuş bir eski çalışan ya da işi bitmiş bir ajans hesabı çıkar. Klasör yapısı ve yetkilendirme düzeni veri yönetimi ve depolama çalışmasının temel parçalarındandır.

6) İşe giriş ve işten ayrılışta hesap kontrol listesi

Hesap güvenliğindeki en yaygın açık, işe girişte gelişigüzel açılan ve ayrılışta kapatılmayan erişimlerdir. İK ile hesapları yöneten kişi arasında ortak bir form bu açığı kapatır. Departman değiştiren çalışanı da bir çıkış ve bir giriş gibi ele alın.

İşe girişte

• Kişisel kurumsal e-posta hesabı açıldı, iki adımlı doğrulama ilk gün kuruldu.
• Sistem erişimleri yetki tablosundaki role göre verildi; "şimdilik her şeye erişsin" denmedi.
• Parola yöneticisi hesabı açıldı, gerekli paylaşımlar tanımlandı.
• IBAN teyidi, kod paylaşmama ve şüpheli mesaj bildirimi kuralları yazılı olarak teslim edilip onaylatıldı.
• Verilen dizüstü bilgisayar, telefon veya güvenlik anahtarı zimmet listesine işlendi.

İşten ayrılışta

7) Ekip için 20 dakikalık farkındalık toplantısı planı

Uzun eğitimler çabuk unutulur; kısa ve düzenli toplantılar alışkanlık yaratır. Kasım indirim dönemi başlamadan bu planı uygulayıp üç ayda bir tekrarlayın.

Toplantının ana mesajı şu olmalı: Yanlışlıkla tıklamak affedilir, saklamak ise zararı büyütür. Erken bildirim yapan çalışanı takdir etmek, bir sonraki olayda zaman kazandırır.

Bu hafta için başlangıç: IBAN teyit kuralını yazılı olarak iletin, yönetici ve muhasebe e-postalarında iki adımlı doğrulamayı açın, son bir yılda ayrılanların hesaplarının kapalı olduğunu kontrol edin.

Sık sorulan sorular

Küçük bir şirketiz, gerçekten hedef olur muyuz?

Evet. Oltalama mesajlarının çoğu toplu gönderilir ve şirket büyüklüğüne bakmaz; ödeme yetkisine yakın muhasebe, satın alma ve yönetici hesapları ise özellikle ilgi çeker.

Tedarikçi e-postayla IBAN'ının değiştiğini bildirirse ne yapmalıyız?

Ödemeyi bekletin ve tedarikçiyi e-postadaki numaradan değil, sisteminizde daha önce kayıtlı telefon numarasından arayarak teyit edin. Teyidi kimin yaptığını not alın ve yeni IBAN'a ilk ödemeyi ikinci bir kişinin onayı olmadan yapmayın.

İki adımlı doğrulama için SMS kodu yeterli mi?

SMS kodu hiç doğrulama olmamasından çok daha iyidir. Hesap destekliyorsa doğrulama uygulaması veya fiziksel güvenlik anahtarı gibi daha güçlü yöntemleri tercih edin ve yedek kodları güvenli bir yerde saklayın.

Oltalama bağlantısına tıklayan çalışana yaptırım uygulanmalı mı?

Tıklamayı cezalandırmak, bir sonraki olayın saklanmasına yol açabilir. Hızlı bildirimi takdir eden bir kültür zararı sınırlamada daha etkilidir; kuralların bilerek ve tekrar tekrar çiğnendiği durumlar ise ayrıca İK süreciyle değerlendirilmelidir.

İşten ayrılan çalışanın e-posta kutusunu hemen silmeli miyiz?

Genellikle önce erişim kapatılır, gelen yazışmalar sorumlu kişiye yönlendirilir ve kutu hemen silinmez. Saklama süresi ve içindeki kişisel verilerin durumu için KVKK açısından hukuk danışmanınızla bir şirket kuralı belirleyin.