Oltalama simülasyonuyla çalışanların şüpheli e-postaları fark etme ve bildirme davranışını güvenli, anonim ve kuruma özel senaryolarla ölçüyoruz.
Son güncelleme: 13.10.2026
Oltalama, saldırıların en sık başladığı yerdir. Simülasyonda ekibinize gerçeğine benzeyen ama zararsız e-postalar gönderir, kimin bağlantıya tıkladığını ve kimin durumu bildirdiğini ölçeriz.
Amaç kimseyi yakalamak değildir. Sonuçları kişi kişi değil, ekip düzeyinde raporlarız.
Oltalama simülasyonu, çalışanlara kontrollü ve zararsız test e-postaları göndererek kurumun gerçek bir phishing saldırısını fark etme ve bildirme becerisini ölçen güvenlik çalışmasıdır. Gerçek saldırganların kullandığı aciliyet, otorite, merak veya ödül gibi ikna unsurları kuruma uygun senaryolara dönüştürülür. Ancak bağlantılar güvenli bir test ortamına gider, zararlı dosya çalıştırılmaz ve gerçek parola toplanmaz.
Bu çalışmanın amacı çalışanları tuzağa düşürmek ya da isim isim başarısızlık listesi hazırlamak değildir. Amaç, hangi senaryoların kurumunuzda daha inandırıcı olduğunu, şüpheli mesajların ne kadar hızlı bildirildiğini ve hangi ekiplerin ek desteğe ihtiyaç duyduğunu ölçmektir. Sonuçlar cezalandırıcı olmayan bir dille yorumlandığında simülasyon, güvenlik kültürünü güçlendiren uygulanabilir bir geri bildirim aracına dönüşür.
Tek bir tıklama oranı kurumun güvenlik seviyesini tek başına açıklamaz. Senaryonun zorluğu, hedef kitlenin günlük işi, mesajın gönderildiği dönem ve bildirim kanalının kullanılabilirliği sonucu doğrudan etkiler. Bu nedenle oltalama testi sonuçlarını yalnızca “kim tıkladı?” sorusuyla değil, “mesaj neden ikna ediciydi ve savunmayı nasıl kolaylaştırabiliriz?” sorusuyla değerlendiriyoruz.
E-posta filtreleri, zararlı bağlantı analizi ve alan adı kontrolleri önemli koruma katmanlarıdır; fakat her şüpheli mesajı engelleyemez. Saldırganlar bilinen bir tedarikçiyi taklit edebilir, yönetici talebi görünümü verebilir veya çalışanın o gün beklediği bir süreci kullanabilir. Bu noktada çalışanın mesajı tanıması ve doğru kanaldan bildirmesi erken uyarı mekanizmasının parçası olur.
CISA phishing rehberi, şüpheli e-posta, bağlantı veya eklerle karşılaşıldığında bildirimin önemini vurgular. Simülasyon bu davranışı teorik bir eğitimden çıkarıp ölçülebilen bir iş akışına dönüştürür. Kurum, yalnızca farkındalığı değil; bildirim düğmesinin çalışıp çalışmadığını, güvenlik ekibinin uyarıyı ne kadar hızlı aldığını ve olay sürecinin devreye girip girmediğini de görebilir.
Hazır ve herkese aynı şekilde gönderilen şablonlar yerine kurumun sektörü, kullandığı sistemler ve çalışan rolleriyle uyumlu senaryolar tasarlanır. Böylece test ne çok kolay ne de etik sınırları aşacak kadar kişisel olur.
E-posta kotası, parola süresi, çok faktörlü doğrulama veya bulut hesabı bildirimi gibi görünen mesajlar kullanılır. Çalışanın gönderen alan adını, bağlantı hedefini ve beklenmeyen aciliyet dilini kontrol edip etmediği ölçülür. Sahte giriş sayfasına gerçek parola yazılsa bile değer kaydedilmez; yalnızca form etkileşimi sayılır.
Finans ve satın alma ekipleri için fatura, banka hesabı değişikliği, ödeme takibi veya teklif eki temaları değerlendirilebilir. Bu senaryolar yalnızca bağlantıya tıklamayı değil, finansal talebin doğrulanmış ikinci bir kanaldan teyit edilmesi davranışını da gündeme getirir.
Yan hak, izin, bordro, performans değerlendirmesi veya şirket içi etkinlik temaları geniş çalışan grupları için kullanılabilir. Mesajın kurum içi birimden geliyormuş gibi görünmesi, çalışanların yalnızca logoya güvenmek yerine adresi ve talebi doğrulamasını ölçer.
Yönetici adına acil belge, ödeme veya bilgi isteyen hedefli senaryolar özellikle yüksek yetkili rollerde anlamlıdır. Senaryo oluşturulurken gerçek kişilerin özel hayatı, sağlık durumu veya travmatik olaylar kullanılmaz. İnandırıcılık ile çalışan güveni arasındaki etik sınır korunur.
Önce çalışmanın amacı netleştirilir. İlk ölçüm mü yapılacak, önceki eğitimin etkisi mi değerlendirilecek, yoksa belirli bir iş akışı mı test edilecek? Hedef gruplar, gönderim aralığı, hariç tutulacak kişiler, veri saklama süresi ve acil durumda kampanyayı durduracak yetkililer belirlenir. İnsan kaynakları, hukuk, bilgi güvenliği ve üst yönetim sorumlulukları kurum yapısına göre kararlaştırılır.
Gönderici alan adı, e-posta altyapısı, test bağlantıları ve güvenli açılış sayfaları hazırlanır. Mesajların kurumun savunma ürünlerini gereksiz yere bozmayacak, gerçek saldırganların kullanımına açık bir alan adı bırakmayacak ve dışarıdan zararlı içerik yüklemeyecek şekilde yapılandırılması gerekir. Güvenlik operasyon ekibinin simülasyondan haberdar olup olmayacağı, ölçülmek istenen sürece göre önceden belirlenir.
Mesajlar belirlenen zaman aralığında gönderilir. İş sürekliliğini etkilememek için büyük gruplar kademeli ele alınabilir. Gönderim sırasında teslim, açılma, bağlantı etkileşimi, form etkileşimi ve bildirim olayları izlenir. E-posta istemcilerinin otomatik bağlantı taramaları gerçek kullanıcı tıklamalarından ayrıştırılmaya çalışılır; aksi hâlde sonuçlar yanıltıcı olabilir.
Test bağlantısına tıklayan kullanıcıya, bunun kontrollü bir simülasyon olduğunu açıklayan kısa bir eğitim sayfası gösterilir. Sayfa; mesajdaki belirtiyi, doğru davranışı ve kurum içi bildirim kanalını birkaç dakikada anlatır. Geri bildirim olaydan hemen sonra verildiği için çalışan hangi işareti kaçırdığını somut olarak görebilir.
Sonuçlar ekip veya bölüm düzeyinde değerlendirilir. Senaryonun zorluğu, gönderim zamanı ve hedef kitlenin bağlamı hesaba katılır. Öncelikli eğitim konuları, bildirim kanalındaki sürtünmeler ve teknik kontrol fırsatları raporlanır. Gerekirse farklı zorluk seviyesinde takip kampanyası planlanır.
Temel metrikler teslim oranı, mesaj açma, bağlantıya tıklama, form etkileşimi ve şüpheli mesajı bildirme oranıdır. Bildirime kadar geçen süre de önemlidir; erken bildirim güvenlik ekibine aynı kampanyadaki diğer mesajları engelleme fırsatı verir. Ancak metrikler birlikte ve bağlam içinde okunmalıdır.
NIST Phish Scale User Guide, simüle edilmiş bir e-postanın insanlar tarafından fark edilme zorluğunu değerlendirirken mesaj özelliklerinin ve alıcı bağlamının hesaba katılmasını önerir. Bu yaklaşım önemli bir noktayı gösterir: Kolay bir senaryoda düşük tıklama oranı ile role tam uyumlu, zor bir senaryodaki aynı oran eşdeğer değildir. Raporlamada senaryo güçlüğünü ve hedef kitle uyumunu ayrıca açıklamamızın nedeni budur.
Başarı yalnızca tıklamanın azalması değildir. Bildirim oranının ve hızının artması, çalışanların şüpheli talebi alternatif kanaldan doğrulaması ve güvenlik ekibinin raporları doğru işlemesi de olumlu göstergelerdir. Bir çalışan test mesajına tıklasa bile hemen bildirim yapıyorsa bu davranış gelişim açısından görünür olmalıdır.
Simülasyon başlamadan önce hangi verinin gerçekten gerekli olduğu belirlenir. Gerçek parola, e-posta içeriği veya iş dışı kişisel veri toplanmaz. Raporlar varsayılan olarak ekip ve bölüm seviyesinde hazırlanır; bireysel kayıtlar yalnızca teknik işletim için gerekli süre boyunca ve sınırlı erişimle tutulur. Saklama süresi sona erdiğinde veriler kararlaştırılan yönteme göre silinir.
Çalışanların küçük düşürülmesi, sonuçların herkese açık sıralamaya dönüştürülmesi veya performans değerlendirmesinde bağlamdan kopuk kullanılması güvenlik kültürüne zarar verir. İnsanların şüpheli durumları saklamadan bildirebilmesi gerekir. Bu nedenle iletişim dili suçlayıcı değil, öğrenme ve ortak savunma odaklıdır.
Hayır. Sahte giriş ekranı yalnızca bilgi girme davranışını ölçer; yazılan değerleri kaydetmez. Zararlı yazılım, çalıştırılabilir dosya veya gerçek sisteme yetkisiz erişim sağlayacak içerik kullanılmaz. Ekli dosya senaryosu gerekiyorsa güvenli bir belge veya takip mekanizmasıyla sınırlandırılır.
Simülasyon alanları gerçek üretim giriş sayfalarından ayrılır ve kampanya sonunda kontrol altında tutulur. Yanlış yönlendirme, üçüncü taraf erişimi veya gerçek kimlik bilgilerinin sızması gibi istenmeyen durumlar için durdurma ve müdahale adımları önceden tanımlanır.
Tek seferlik test yalnızca o tarihteki durumu gösterir. Kurumun risk profiline göre üç aylık, altı aylık veya kritik değişikliklerden sonra tekrarlanan çalışmalar daha anlamlı bir eğilim oluşturur. Her kampanyada aynı şablonu kullanmak yerine farklı senaryo türleri ve zorluk seviyeleri denenmelidir. Böylece çalışanların belirli bir test kalıbını ezberlemesi yerine gerçek hayatta aktarılabilir davranışlar geliştirmesi hedeflenir.
Yeni işe başlayanlar, görev değişikliği yaşayan yüksek riskli roller ve önceki ölçümde desteğe ihtiyaç duyduğu görülen ekipler için ek çalışmalar planlanabilir. Tekrar sıklığı çalışanları sürekli şüphe altında hissettirecek kadar yüksek olmamalı; eğitim, teknik kontrol ve dinlenme dönemleriyle dengelenmelidir.
Simülasyon nerede desteğe ihtiyaç olduğunu gösterir; eğitim ise doğru davranışın nasıl uygulanacağını öğretir. Genel bir sunumu tüm çalışanlara tekrarlamak yerine, sonuçlara göre kısa ve role uygun içerikler seçilebilir. Finans ekibine ödeme değişikliği doğrulaması, insan kaynaklarına sahte öz geçmiş ekleri, yöneticilere ise hedefli sahte talepler üzerinden örnekler verilebilir.
Bu nedenle kampanya sonrasında güvenlik farkındalık eğitimi ile ölçüm sonuçlarını davranışa dönüştüren bir program kurulabilir. Teknik tarafta sahte giriş sayfalarının ve uygulama zafiyetlerinin oluşturduğu riskleri değerlendirmek için web uygulama sızma testi tamamlayıcı bir kontrol sağlar. İnsan, süreç ve teknoloji birlikte ele alındığında savunma tek bir katmana bağımlı kalmaz.
Rapor; kullanılan senaryoları, hedef grupları, gönderim zamanlarını ve ölçüm yöntemini açıklar. Teslim, tıklama, form etkileşimi, bildirim oranı ve bildirim süresi ekip düzeyinde sunulur. Otomatik tarayıcıların oluşturabileceği hatalı tıklamalar, teslim edilemeyen mesajlar ve örneklem sınırlamaları ayrıca belirtilir.
Bulguların yanında uygulanabilir iyileştirmeler yer alır: e-posta istemcisine kolay bildirim düğmesi eklemek, hassas finansal talepler için ikinci kanal doğrulaması tanımlamak, belirli rollere kısa eğitim vermek veya teknik filtreleri ayarlamak gibi. Bir sonraki kampanyanın zorluk seviyesi ve ölçüm tarihi de önerilir.
İyi tasarlanmış bir oltalama simülasyonu çalışanları sınava sokmaz; gerçek saldırı gelmeden önce güvenli bir prova ortamı sağlar. Kuruma özel senaryo, etik veri kullanımı, anında geri bildirim ve bağlamlı raporlama sayesinde hangi davranışların güçlendirilmesi gerektiği anlaşılır.
BetorBet Güncel Giriş aramasıyla ulaştığınız bu sayfa, BetOrBet Siber Güvenlik’in resmi oltalama simülasyonu hizmetidir. İlk ölçüm veya takip kampanyası için çalışan güvenini koruyan, sonuçları somut iyileştirmelere bağlayan kapsamı birlikte belirleyelim.
Bunu sizinle birlikte kararlaştırırız. Önerimiz, tarih vermeden böyle bir çalışmanın yapılacağını duyurmanızdır.
Hayır. Rapor ekip ve bölüm düzeyindedir; kişileri hedef göstermez.
Hayır. Sahte sayfaya yazılan parolalar kaydedilmez; yalnızca bilgi girilip girilmediği sayılır.
Kapsam, hedef grup ve senaryo sayısına göre değişir. Planlama ve teknik hazırlığın ardından gönderimler genellikle birkaç gün içinde tamamlanabilir; sağlıklı ölçüm için kampanya süresi, çalışanların çalışma düzeni ve raporlama akışı birlikte değerlendirilir.
Teslim, açılma, bağlantıya tıklama, form etkileşimi, şüpheli mesajı bildirme oranı ve bildirime kadar geçen süre ölçülür. Sonuçlar senaryonun zorluğu ve hedef kitlenin iş bağlamıyla birlikte yorumlanır.
Diğer hizmetler
Rol bazlı güvenlik farkındalık eğitimiyle çalışanlara oltalama, parola, veri paylaşımı ve olay bildirimini mini oyunlar ve gerçekçi senaryolarla öğretiyoruz.
Web uygulama sızma testiyle yetkilendirme, oturum, enjeksiyon ve iş mantığı açıklarını gerçek saldırı senaryolarıyla belirliyor, düzeltme yolunu gösteriyoruz.
API güvenlik testiyle REST ve GraphQL uçlarında yetkilendirme, belirteç, veri sızıntısı, iş akışı ve kaynak tüketimi açıklarını gerçekçi senaryolarla belirliyoruz.
Uygulamanızı ve beklentinizi birkaç cümleyle yazın; kapsamı birlikte netleştirelim.