İK olarak güvenlik ekibiyle birlikte bir oltalama tatbikatı yaptık. Kurum içi duyuru gibi görünen bir e-posta hazırlandı, içinde bir bağlantı vardı.
Sonuç: ekibin önemli bir kısmı bağlantıya tıkladı ve bir bölümü sahte giriş ekranına bilgilerini girdi.
Şimdi iki sorum var. Birincisi, bu sonuç normal mi? İkincisi, bundan sonra ne yapmalıyız — kimseyi utandırmadan nasıl ilerlenir?
Sonuç normal. Hatta iyi hazırlanmış, kurum içi duyuruyu taklit eden bir tatbikatta tıklama oranının yüksek çıkması beklenir. Bu bir zekâ testi değil, dikkat ve bağlam testi.
Şüpheci tarafımı da ekleyeyim: tatbikatın zorluğunu bilmeden sonucu yorumlayamazsınız. Yazım hataları olan, tanımadığınız bir adresten gelen bir e-postayla; şirket şablonuna birebir benzeyen, doğru isimleri kullanan bir e-posta aynı şey değildir. Raporunuzda tatbikatın zorluk seviyesi yazmıyorsa oran tek başına bir şey ifade etmiyor.
Bundan sonrası için en önemli tavsiye: kimseyi ifşa etmeyin, isim listesi yayınlamayın. Bunu yapan kurumlarda bir sonraki gerçek olayda kimse bildirim yapmıyor, çünkü utanıyor. Bildirim yapılmayan olay, geç fark edilen olaydır.
Ölçmeniz gereken asıl sayı tıklama oranı değil: bildirim oranı. Kaç kişi bunu şüpheli bulup güvenlik ekibine haber verdi ve ilk bildirim kaç dakikada geldi? Bir sonraki tatbikatta hedefinizi bu olsun.
Bildirim oranı fikri çok işimize yaradı, teşekkürler. Bizde bildirim yapan sadece üç kişi olmuş, bunlardan ikisi de aynı ekipten.
Bir soru daha: bildirimi kolaylaştırmak için ne öneriyorsunuz? Şu an insanların güvenlik ekibine ayrı bir adrese mail atması gerekiyor ve sanırım kimse zahmet etmiyor.
Tam da orada kaybediyorsunuz. Bildirim yolu ne kadar uzunsa bildirim o kadar az gelir.
Teknik çözüm basit: e-posta istemcisine tek tıkla "şüpheli bildir" düğmesi ekleyin. Çoğu kurumsal e-posta sisteminde bu eklenti olarak mevcut. Kullanıcı düğmeye basar, mesaj güvenlik ekibine gider ve kullanıcının gelen kutusundan kalkar.
Süreç tarafı da önemli: bildirim yapan kişiye mutlaka geri dönün. "İncelendi, zararsızmış, yine de bildirdiğiniz için teşekkürler" cümlesi, bir sonraki bildirimi getiren şeydir. Cevapsız kalan bildirim, son bildirimdir.
Bir de yanlış alarmı asla azarlamayın. Yüz yanlış alarm, kaçırılan bir gerçek olaydan ucuzdur.
Kurumsal iletişim tarafından bir husus eklemek isterim, çünkü bu tatbikatların iletişimi yanlış kurulduğunda kuruma güven zarar görebiliyor.
Tatbikat sonucunu duyururken üç ilkeye dikkat edilmesini öneririm. Sonuç kurum geneli olarak paylaşılmalı, birim veya kişi bazında değil. Dil suçlayıcı değil, açıklayıcı olmalı; "şu kadar kişi tıkladı" yerine "bu e-postanın hangi özellikleri inandırıcı kıldı" anlatılmalı. Son olarak, aynı e-postanın gerçek bir saldırgan tarafından gönderilmesi hâlinde ne yapılması gerektiği somut olarak gösterilmelidir.
Bu üçünü uyguladığımız dönemde katılım arttı, savunmacılık azaldı.
Arkadaşlar ben tesisatçıyım, bu konular bana uzak ama bir şey anlatayım belki işinize yarar, geçen ay bana da böyle bir mesaj geldi kargo bekliyordum tam da o gün, linke tıkladım neredeyse.
Beni kurtaran şey şu oldu, kargo firmasının ismi doğruydu ama mesajdaki adres bambaşkaydı, gözüme çarptı, sonra aradım firmayı zaten benim gönderimle ilgisi yokmuş.
Yani demem o ki eğitim falan almadım ama beklediğim bir şey olduğu için az kalsın yakalanıyordum, sizin çalışanlar da öyle olmuştur bence, suç onlarda değil.
Recep Bey'in anlattığı durum, konunun özetini çok iyi veriyor: oltalama, dikkatsizlikten çok beklentiyi kullanıyor.
Farkındalık çalışması planlayanlara pratik bir sıralama bırakalım:
Önce bildirim yolunu kurun. Eğitimden önce, insanlara "şüphelenirsen şuraya bas" diyebileceğiniz tek bir yol olsun.
Sonra kısa ve sık eğitim yapın. Yılda bir kez iki saat yerine, üç ayda bir on beş dakika çok daha iyi sonuç veriyor.
Ardından tatbikatı tekrarlayın ve tıklama oranı yerine bildirim oranını ve ilk bildirim süresini izleyin.
Son olarak teknik önlemleri unutmayın: farkındalık tek başına yeterli değildir. İkinci doğrulama açık olduğunda, çalınan parola tek başına işe yaramaz. İnsan hatasını sıfırlayamazsınız ama sonucunu zararsız hâle getirebilirsiniz.
Detaylı konuşmak isterseniz destek başlığı açabilirsiniz, yardımcı oluruz.
Doki · Güvenlik açığı taraması · 2025
Doki · KVKK uyum danışmanlığı · 2024
Konuyu toparlayayım, çünkü birkaç farklı cevap verildi. Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.
Unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor. Ben olsam bu yoldan giderdim.
Aynı şeyi ben de düşünüyordum. Sormaktan çekinmeyin sormayan hep daha pahalıya ödüyor.
Her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor. valla sorunuz olursa yazın, elimden geldiğince cevaplarım.
Sonucu yazarsanız sevinirim. Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.
Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.
Bir sorum olacak, konudan sapmak istemem ama. Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.
Tecrübeyle sabit.
Doki · SEO danışmanlığı · 2026
Evet, oltalama konusunda durum aynen böyle. Küçük bir deneme ile başlayın, tamamını bir anda bağlamayın.
soracağım şey biraz acemice olcak, kusura bakmayın ama bu arada test edilmemiş bi yedek, ydek değildir.
sonucu buraya yazarsaız başkalarına da faydası olur.