Sosyal mühendislik (kimlik avı ve aldatıcı siteler)

Sosyal mühendislik, ziyaretçileri gizli bilgileri açıklamak ve yazılım indirmek gibi tehlikeli bir şey yapmaları için kandıran içeriktir. Google, web sitenizin sosyal mühendislik içeriği barındırdığını algılarsa ziyaretçiler sitenizi görüntülediklerinde Chrome tarayıcısı tarafından "Yanıltıcı bir siteye girmek üzeresiniz" uyarısı gösterilebilir. Sitenizde sosyal mühendislik saldırıları içerdiğinden şüphelenilen sayfaların olup olmadığını kontrol etmek için Search Console'daki Güvenlik Sorunları raporunu inceleyebilirsiniz.

Güvenlik Sorunları Raporu'nu açın

Sosyal mühendislik nedir?

Sosyal mühendislik saldırısı, bir web kullanıcısının web üzerinde tehlikeli bir şey yapması için kandırıldığı durumdur.

Farklı türlerde sosyal mühendislik saldırıları vardır:

• Kimlik avı: Site, kullanıcıları kişisel bilgilerini (örneğin, şifrelerini, telefon numaralarını veya vatandaşlık numaralarını) vermeleri için kandırır. Bu durumda içerik, güvenilen bir varlığa (örneğin, tarayıcı, işletim sistemi, banka veya devlet kurumu) benzer şekilde hareket eder veya görünür.
• Aldatıcı içerik: İçerik, normal şartlarda yalnızca güvendiğiniz bir kaynak veya tarafla yapacağınız bir işlemi (şifre paylaşmak, teknik desteği aramak, yazılım indirmek gibi) yapmanız yönünde sizi kandırmaya çalışır veya cihaz yazılımının eski olduğunu iddia ederek kullanıcıları kandıran bir reklamla kullanıcılardan istenmeyen yazılımları yüklemeye zorlar.
• Yeterince etiketlenmemiş üçüncü taraf hizmetleri: Üçüncü taraf hizmeti, başka bir tüzel kişilik adına bir siteyi veya hizmeti işletenlere verilen addır. Siz (üçüncü taraf) bir siteyi, ilişkinizi açıkça belirtmeden başka bir (birinci) taraf adına işletiyorsanız bu durum sosyal mühendislik olarak işaretlenebilir. Örneğin, siz (birinci taraf), siteniz için bağış toplama işlemlerini yürütmek üzere bir bağış yönetimi web sitesi (üçüncü taraf) kullanan bir hayır kurumu web sitesine sahip olabilirsiniz. Bağış sitesinin, söz konusu hayır kurumu sitesi adına hareket eden bir üçüncü taraf platformu olduğunu açıkça belirtmesi gerekir; aksi halde, durumu sosyal mühendislik olarak değerlendirilebilir.

Google Güvenli Tarama, sürekli olarak sosyal mühendislik eylemlerinde bulunan sayfaları ziyaret etmeden önce web kullanıcılarını uyararak korur.

Web sayfaları aşağıdaki durumlarda sosyal mühendislik sayfası olarak değerlendirilir:

• Kendi cihazınız veya tarayıcınız ya da web sitesinin kendisi gibi güvenilen bir varlığa benzer şekilde hareket etmesi veya görünmesi ya da
• Şifre paylaşma, teknik destek numarasını arama ya da yazılım indirme gibi sadece güvenilir bir varlıkta yapacağınız işlemler gerçekleştirmeniz için sizi kandırmaya çalışması.

Yerleşik içeriklerde sosyal mühendislik

Sosyal mühendislik ayrıca normalde yararlı olan web sitelerinde yerleşik olan içeriklerde, genellikle reklamlarda da karşınıza çıkabilir. Yerleşik sosyal mühendislik içeriği ana makine sayfası için bir politika ihlalidir.

Örneklerde de gösterildiği gibi kullanıcılar yerleşik sosyal mühendislik içeriklerini kimi zaman ana makine sayfasında da görebilir. Diğer durumlarda ana makine sitesinde görünür reklam bulunmaz. Ancak site kullanıcıları pop-up'lar, arkada açılan sayfalar ya da diğer tür yönlendirmeler aracılığı ile sosyal mühendislik sayfalarına yönlendirir. Her iki durumda da bu tür yerleşik sosyal mühendislik içerikleri ana makine sayfası açısından bir politika ihlaline neden olur.

Ama benim sosyal mühendislikle bir ilgim yok!

Aldatıcı sosyal mühendisliğe yönelik içerik, sayfaya yerleştirilen resimler, diğer üçüncü taraf bileşenleri veya reklamlar gibi kaynaklar aracılığıyla eklenmiş olabilir. Bu tür aldatıcı içerik, site ziyaretçilerini istenmeyen yazılım indirme gibi şeyler için kandırabilir.

Buna ek olarak, bilgisayar korsanları masum sitelerin kontrolünü ele geçirebilir ve bunları, sosyal mühendislik içeriğini barındırmak veya dağıtmak için kullanabilir. Bilgisayar korsanı, genellikle ziyaretçileri kredi kartı numaraları gibi kişisel bilgilerini paylaşmaları için kandırma amacıyla sitenin içeriğini değiştirebilir veya siteye ilave sayfalar ekleyebilir. Sitenizin sosyal mühendislik içeriği barındıran veya dağıtan bir site olarak tanımlanıp tanımlanmadığını öğrenmek için Search Console'daki Güvenlik Sorunları raporuna bakabilirsiniz.

Sitenizin saldırıya uğradığına inanıyorsanız Saldırıya Uğramış Siteler için Yardımımıza bakın.

Sosyal mühendislik ihlali örnekleri

Aldatıcı içerik örnekleri

Aşağıda sosyal mühendislik uygulamalarına dahil olan sayfalara bazı örnekler verilmiştir:

Aldatıcı reklam örnekleri

Aşağıda yerleşik reklamların içindeki aldatıcı içeriklere ilişkin bazı örnekler verilmiştir. Bu reklamlar, reklamdan ziyade sayfa arayüzünün bir parçası olarak görünür.

Sorunu çözme

Siteniz sosyal mühendislik (aldatıcı içerik) bulunduğu için işaretlendiyse sayfanızda açıklanan uygulamalardan hiçbirinin bulunmadığından emin olduktan sonra aşağıdaki adımları uygulayın:

1. Search Console'da kontrol edin.
   • Search Console'da sitenin sahibinin siz olduğunuzu ve yeni, şüphe uyandıran sahiplerin eklenmediğini doğrulayın.

   • Sitenizin aldatıcı içerik (sosyal mühendislik için bildirilen terim) barındırıyor olarak listelenip listelenmediğini öğrenmek için Güvenlik Sorunları raporunu kontrol edin. Raporda, örnek olarak verilmiş işaretli URL'ler varsa bu URL'lerden bazılarını ziyaret edin. Ancak bunu yaparken, web sitenizin sunulduğu ağın içinde yer almayan bir bilgisayar kullanın (akıllı bilgisayar korsanları, web sitesinin sahibinin ziyaret ettiğini düşünürlerse saldırılarını devre dışı bırakabilirler).

     Raporda, örnek olarak verilmiş URL'ler yoksa ve sitenizin sosyal mühendislik (aldatıcı içerik) içermediğinden eminseniz Güvenlik Sorunları raporunda bir güvenlik incelemesi isteyebilirsiniz.

2. Aldatıcı içeriği kaldırın. Sitenizin hiçbir sayfasında aldatıcı içerik bulunmadığından emin olun. Güvenli Tarama'nın bir web sayfasını hatalı sınıflandırdığını düşünüyorsanız bu durumu bildirin.
3. Sitenizde yer alan üçüncü taraf kaynaklarını kontrol edin. Sitenizdeki sayfalarda bulunan reklamların, resimlerin veya diğer yerleşik üçüncü taraf kaynaklarının aldatıcı olmadığından emin olun.
   • Reklam ağlarının sitenizin sayfalarında gösterilen reklamları dönüşümlü yayınlayabileceğini unutmayın. Bu nedenle, sosyal mühendislik reklamlarını görebilmek için bir sayfayı birkaç kez yenilemeniz gerekebilir.
   • Bazı reklamlar mobil cihazlarda ve masaüstü bilgisayarlarda farklı görünebilir. Sitenizi hem mobil hem de masaüstü görünümlerinde incelemek için URL Denetleme aracını kullanabilirsiniz.
   • Sitenizde kullandığınız ödeme hizmetleri gibi üçüncü taraf hizmetleri için aşağıda açıklanan üçüncü taraf hizmeti yönergelerine uyun.
4. İnceleme isteğinde bulunun. Sitenizdeki tüm sosyal mühendislik içeriğini kaldırdıktan sonra, Güvenlik Sorunları raporunda bir güvenlik incelemesi isteyebilirsiniz. İncelemenin tamamlanması birkaç gün sürebilir.

Üçüncü taraf hizmeti yönergeleri

Sitenize bir üçüncü taraf hizmeti eklerseniz sosyal mühendislik olarak etiketlenmemek için aşağıdaki koşulları sağlamanızı öneririz:

• Her sayfada, üçüncü taraf sitesi, kullanıcıların siteyi kimin işlettiğini anlamasını sağlayacak şekilde üçüncü taraf markasını açıkça içermelidir. Örneğin, üçüncü taraf markasını sayfanın üst kısmına eklenebilir.
• Birinci taraf markasını içeren her sayfada, birinci ve üçüncü taraf arasındaki ilişkiyi açık bir şekilde belirtin ve daha fazla bilgi için bağlantı sağlayın. Örneğin, şöyle bir ifade:

  Bu hizmet, Example.charities.com adına Example.com tarafından barındırılmaktadır. Daha fazla bilgi edinin.

İzole halde sayfayı görüntüleyen bir kullanıcının hangi sitede olduğunu ve birinci ve üçüncü taraflar arasındaki ilişkiyi her zaman anlayabilmesi bir iyi kullanılabilirlik kuralıdır.