Dolandırıcıların doğrudan arama sonuçlarınızın en üstüne çıkarabileceği sahte web sitelerinden nasıl kaçınacağınızı biliyor musunuz?
En son ne zaman Google, Bing veya başka bir ‘internetin sonsuz genişliğine açılan kapı’ kullanarak bir şey aradınız? Ne kadar aptalca bir soru, değil mi? Belki de birkaç dakika önceydi ve hatta belki de bu blog yazısına bu şekilde ulaştınız.
Ancak internette arama yapan herkes her zaman doğru sonuçlarla karşılaşmayabilir. Yani, en iyi arama sonuçlarına körü körüne güvenme ve tıklama alışkanlığımız o kadar öngörülebilir hâle geldi ki bu alışkanlık alt üst edilebilir ve aleyhimize kullanılabilir.
Oyuna hile karıştırmak
Dikkat çekici örneklere rastlamak zor değil ve bahsetmeden geçemeyeceğimiz ilginç bir örnekten bahsedelim: Yakın zamanda Bengal kedilerinin ülkedeki yasallığı gibi zararsız bir şeyi arayan bazı Avustralyalılar, evcil hayvan yönetmelikleri hakkında bilgi almak yerine en iyi arama motoru sonuçlarından birine tıklayarak başlayan bir olaylar zincirinin ardından farkında olmadan verilerinin çalınması riskiyle karşı karşıya kaldılar.
Burada konu kedilere merakınızın olması da değil, basit bir aramanın bile nasıl problem olabileceği ile ilgili. Bazı siber suçlular yıllardır meşru görünmek için kötü amaçlı web sitelerinin insanların arama sonuçlarının en üstüne çıkarabilen teknikler kullanıyorlar; bunun için genellikle SEO zehirlenmesi (siyah şapka SEO olarak da bilinir) veya daha yaygın olarak kötü niyetli arama reklamlarından yararlanıyorlar.
‘Hizmet olarak SEO dolandırıcılığının’ sofistike bir örneği, 2021 yılında ESET araştırmacıları tarafından, ele geçirdiği web sitelerinin itibarını ele geçirerek arama motoru sonuçlarını manipüle eden daha önce belgelenmemiş bir sunucu tarafı truva atı bulduktan sonra ortaya çıkarıldı. Benzer kampanyalar birkaç hafta önce tekrar tespit edildi.
Bir başka örnekte ise ESET araştırmacıları, Google arama sonuçlarına reklamlar yerleştirerek kurbanları Firefox, WhatsApp veya Telegram gibi popüler yazılımlarınkiyle aynı görünen sahte web sitelerine yönlendiren bir kampanya tespit etti. Nihai hedef, ele geçirilen cihazların kontrolünü tamamen ele geçirmekti.
Elbette bu riskler Google için de geçerli. En son Reklam Güvenliği Raporu’na göre, şirket 2023 yılında “bir önceki yıla göre biraz artışla 5,5 milyardan fazla reklamı engelledi veya kaldırdı ve bir önceki yıla göre neredeyse iki kat artışla 12,7 milyon reklam veren hesabını askıya aldı.”
Ancak bazı tehditler yine de gözden kaçabiliyor. Bu nedenle hem organik hem de ücretli arama sonuçlarının içerdiği riskleri ve sapla samanı nasıl ayıracağınızı bilmenizde fayda var.
Göz önünde saklı
Yapay zekâ araçlarının son zamanlardaki hızlı yükselişi, dolandırıcılar için yeni av alanları yarattı ve dolandırıcıların sahte ChatGPT siteleri için reklam satın alarak insanları kredi kartı bilgilerini toplayan web sitelerine yönlendirdiği planları tetikledi. Aşağıdaki sitede gerçek OpenAI ortaklarının logoları yer alıyordu ve muhtemelen teknoloji konusunda bilgili pek çok kurbanı bile kandırıyordu. Aynı şey, en son DeepSeek’in sahneye çıkması da dahil olmak üzere diğer yapay zekâ araçlarında da yaşandı.
Diğer örneklerde, Latin Amerika’daki ESET araştırmacıları, La Veloz del Norte otobüs şirketi kampanyalarını taklit eden ve uzun mesafe otobüs bileti arayan Arjantinlileri hedef alan sofistike bir kampanya tespit etti. Sahte siteye bilgilerini giren yolcular farkında olmadan hem oturum açma bilgilerini hem de banka bilgilerini siber suçlulara teslim etti.
Finansal hizmetler özellikle yüksek değerli hedefleri temsil ediyor. 2022 yılında Latin Amerika’daki ESET araştırmacıları, insanları reklamlar aracılığıyla Mastercard’ı taklit eden dolandırıcılıklara karşı uyardı.
Güvende kalmak
Hepsinden önemlisi, arama sonuçlarında öne çıkmanın otomatik olarak meşruiyet anlamına gelmediğini unutmayın. Ayrıca birçok insanın organik sonuçlar ile reklamlar arasında her zaman ayrım yapmama ihtimali yüksektir ve suçlular, özellikle örneğin yazılım arayan kişileri hedefleyen kötü amaçlı reklam kampanyaları yoluyla bundan yararlanır.
Bazı durumlarda, telegraem[.]org örneğinde olduğu gibi, dolandırıcılar kurbanı kandırmak için yazılım yayıncısına ait typosquatting veya benzer görünümlü bir üst düzey alan adı kaydedebilir. Bu nedenle arama sayfanızın en üstünde görünen her şeye körü körüne tıklamaktan kaçınmalısınız. Bunun yerine, URL’leri titizlikle inceleyin ve bir şeylerin yanlış olduğuna dair herhangi bir işaret olup olmadığına dikkat edin. Dolandırıcılar yöntemlerini sürekli geliştirdiğinden ve dolandırıcılık ve kötü amaçlı yazılımları teşvik eden web sitelerini tanıtmanın yeni yollarını bulduklarından Google’ın AI arama özelliklerini kullanıyorsanız aynı inceleme düzeyini uygulayın.
Dijital hesaplarınızı güçlü ve benzersiz parolalar veya parolaların yanı sıra iki faktörlü kimlik doğrulama ile koruyun. Kötü niyetli etki alanlarına bağlantıları tespit edip engelleyebilen ve böylece aldatıcı arama sonuçlarına karşı ek bir koruma katmanı sağlayan saygın bir güvenlik yazılımı kullanın.
Ayrıca Google, sponsorlu listelerin yanındaki üç noktaya tıklayarak ayrıntılara erişmek gibi sonuçları incelemek için araçlar sunar; bu da iddialar ile gerçek kimlik arasındaki tutarsızlıkları ortaya çıkarabilir. Tehlikeli bir web sitesiyle karşılaştığınızdan şüpheleniyorsanız bunu Google’a bildirebilirsiniz.
Sonuç
Hepimiz bunu milyonlarca kez yaptık: bir sorgu yazdık, sonuçları taradık, bunlardan birine tıkladık ve yolumuza devam ettik. Klasik arama motorları ChatGPT ve yapay zekâ tarafından oluşturulan arama özetleri ile giderek daha fazla rekabet etse de klasik arama ve tıklama rutininin yakın zamanda bir yere gitmesi pek olası değil. Eski alışkanlıklar zor ölür ve riskler de hiçbir yere gitmiyor. Dikkatli arama yapın.
Arkadaşınız hacklendi: Siber güvenlik ihmale gelmez
