Sahte Wi-Fi Ağı Nasıl Anlaşılır? Kötü İkiz Belirtileri

Sahte Wi-Fi ağı nasıl anlaşılır sorusunun tek bir kesin cevabı yok, ama belirtiler birlikte okunduğunda karar vermek kolaylaşır. Aynı adla iki ağ, mekânın söylediğinden farklı güvenlik türü, hesap parolası ya da kart isteyen giriş sayfası, tanıdık sitede sertifika uyarısı ve profil kurma isteği en güçlü işaretlerdir. Bu yazı sahte ağı bağlanmadan önce ve bağlandıktan sonra tanımayı anlatıyor.

Sahte Wi-Fi ağı (kötü ikiz) nedir, nasıl çalışır?

Kötü ikiz (evil twin), gerçek bir ağın adını taklit eden erişim noktasıdır. Saldırgan kafenin, otelin ya da havalimanının ağıyla aynı ya da çok benzer adla yayın yapar. Bağlanan kişinin trafiği saldırganın cihazından geçer. Saldırgan trafiği gerçek internete ilettiği için kullanıcı çoğu zaman bir şey fark etmez. CISA da bu yöntemi halka açık Wi-Fi'ın başlıca risklerinden biri olarak sayar.

Bu konumdaki biri şunları yapabilir:

• Hangi alan adlarına bağlandığını görebilir.
• Şifresiz giden trafiği okuyabilir.
• Gerçek bir Wi-Fi onay sayfası gibi görünen sahte bir giriş sayfası gösterebilir.
• Seni sahte bir siteye yönlendirmeye ya da bir profil veya sertifika kurmaya ikna etmeye çalışabilir.

HTTPS ile açılan sayfaların içeriğini ise sen bir sertifika uyarısını geçmedikçe ya da cihazına onun verdiği bir profili kurmadıkça okuyamaz. Bu yüzden belirtilerin çoğu, saldırganın seni bir şey yapmaya ikna etmeye çalıştığı anlarda ortaya çıkar. Araya girme tekniğinin ayrıntılarını ve ARP zehirlenmesi gibi türlerini ortadaki adam saldırısı yazısında bulabilirsin.

Sahte erişim noktası kurup başkalarının trafiğini ya da parolasını toplamak suçtur. Bu yazı yalnız fark etme ve korunma açısından yazıldı.

Telefonun neden sahte ağa kendiliğinden bağlanır?

Telefonlar daha önce bağlandıkları ağları kaydeder. Android'in yardım sayfasına göre kayıtlı bir ağ yakındaysa ve Wi-Fi açıksa telefon ona kendiliğinden bağlanır. Sorun şurada başlar: ağ adını herkes yayınlayabilir.

En riskli kayıtlar parolasız ağlardır. Bir kez bağlandığın "Kafe_Misafir" adlı açık ağın adını kim yayınlarsa telefonun ona yönelebilir. Parolalı ağlarda sahte kopyanın çalışması için saldırganın parolayı bilmesi gerekir. Ama kafe ve otel parolası çoğu zaman masada ya da duvarda yazılıdır.

Bu yüzden iki alışkanlık edin:

1. Halka açık bir ağla işin bitince Wi-Fi ayarlarından o ağı unut.
2. Sık gittiğin bir yerin ağını saklamak istiyorsan ağın ayrıntılarından otomatik bağlanmayı kapat.
3. Dışarıdayken Wi-Fi'a ihtiyacın yoksa kapalı tut. Kapalı Wi-Fi hiçbir ağa kendiliğinden bağlanmaz.

Bu alışkanlıklar ailendeki herkes için geçerlidir. Çocukların ve yaşlı yakınların telefonlarında kayıtlı ağ listesi çoğu zaman yıllardır temizlenmemiştir. Listeyi birlikte açıp tanımadığınız ve artık gitmediğiniz yerlerin ağlarını silin.

Bağlanmadan önce sahte Wi-Fi ağı nasıl anlaşılır?

CISA'nın önerisi kısadır: halka açık bir ağı kullanmadan önce adını ve parolasını mutlaka doğrula. Mekân çalışanına iki şey sor: ağın tam adı ne, parolası var mı?

Bu tablo kesin kural değildir. Bazı mekânlar gerçekten birden fazla ağ yayınlar. Belirsizlik varsa karar basittir: kişisel erişim noktası ya da mobil veri.

Listede ağın yanındaki kilit simgesi yalnız bağlanırken parola istendiğini gösterir. Wi-Fi Alliance'ın Enhanced Open sertifikalı ağları ise parola istemeden havadaki trafiği şifreler, ama ağın kime ait olduğunu doğrulamaz. Yani ne kilit ne de şifreleme, ağın o mekâna ait olduğunu kanıtlar. Ağın kimliğini yalnız işletmeye sorarak doğrularsın.

Sahte ağ gerçek hayatta nasıl görünür?

Bir AVM'nin yemek katında olduğunu düşün. Listede iki ağ var: "AVM_Misafir" ve "AVM Misafir Free". İkincisinin sinyali daha güçlü ve parola istemiyor. Bağlanınca açılan sayfa, AVM'nin logosunu taşıyor ve "hızlı giriş için Google hesabınla devam et" diyor.

Bu sahnede üç işaret var. Ad, mekânın kendi adının sonuna eklenmiş bir kelimeyle türetilmiş. Mekânın danışma masası tek ağ olduğunu söylüyor. Giriş sayfası, telefon numarası yerine bir hesap parolası istiyor. Logo ise hiçbir şey kanıtlamaz, çünkü herkes kopyalayabilir. Doğru hamle sayfayı kapatmak, ağı unutmak ve danışmaya sormaktır. Danışmanın söylediği ağa bağlandığında genellikle numaranı isteyen ve SMS ile kod gönderen bir sayfa açılır.

Wi-Fi giriş sayfası sahte mi, nasıl anlaşılır?

Halka açık ağların çoğu bağlandığında bir giriş sayfası açar. Türkiye'de bu sayfalar genellikle telefon numarası ister ve SMS ile kod gönderir. İstanbul Havalimanı'nın resmî sayfası da iki yöntem tarif eder: cep telefonu numarasıyla SMS kodu ya da terminaldeki kiosktan kimlik veya pasaport okutarak alınan erişim kodu. Otel ağları oda numarası, bazı ağlar da yalnız kullanım koşullarını onaylamanı ister.

Şunları isteyen giriş sayfası sahtedir ya da güvenilmezdir:

• E-posta, Google, Instagram ya da başka bir hesabının parolası.
• Banka ya da kart bilgisi, özellikle "doğrulama için" diye.
• Bir uygulama, VPN profili ya da "güvenlik sertifikası" kurman.
• "Tarayıcın eski, devam etmek için güncelle" diyerek dosya indirmen.

Bu sayfalar oltalama sayfasının Wi-Fi kılığına girmiş hâlidir. Oltalama sayfasının genel işaretlerini phishing nedir yazısında, sahte sayfaları ayırt etmeyi de Olta oyununda pratikle öğrenebilirsin.

Bağlandıktan sonra hangi işaretler sahte ağı ele verir?

Bağlandıktan sonra da sahte ağı ele veren işaretler vardır:

• Tanıdık sitede sertifika uyarısı: Her gün girdiğin bir sitede "Bağlantınız gizli değil" ya da benzeri bir uyarı çıkıyorsa durmalısın. Uyarıyı geçmek, araya girene içeriği okuma fırsatı verir. Kilit simgesinin neyi garanti ettiğini HTTPS nedir yazısı anlatıyor.
• Beklenmedik yönlendirme: Bankanın ya da e-postanın adresini yazdın ama farklı bir alan adına gittin.
• Profil ya da sertifika isteği: Telefonun bir yapılandırma profili yüklemek isteyip istemediğini soruyor.
• Tekrar tekrar oturum açma isteği: Açık olan uygulamalar seni yeniden giriş yapmaya zorluyor.
• Uygulamaların bağlanamaması: Banka ya da mesajlaşma uygulaması güvenli bağlantı kuramadığını söylüyor.

Bunlardan biri çıkarsa Wi-Fi'ı kapat ve işine mobil veriyle devam et.

Sahte ağa bağlandığını anlarsan ne yaparsın?

Hızlı davranmak zararı küçültür. Şu sırayı izle:

1. Wi-Fi'ı kapat, mobil veriye geç.
2. Ağı kayıtlı ağlar listesinden kaldır.
3. Giriş sayfasına ya da sahte siteye bir parola yazdıysan, o parolayı mobil veriyle hemen değiştir. Önce e-posta hesabından başla, çünkü diğer hesapların sıfırlama bağlantıları oraya gider.
4. Aynı parolayı başka hesaplarda da kullanıyorsan onları da değiştir. Sızıntı kontrolü için şifrem sızdırıldı mı yazısındaki adımları uygula.
5. Hesaplardaki açık oturumları kapat ve iki adımlı doğrulamayı aç.
6. iPhone'a bir profil kurduysan Ayarlar > Genel > VPN ve Aygıt Yönetimi ekranından kaldır. Android'de güvenlik ayarlarındaki kullanıcı sertifikalarına bak.

Kart bilgisi girdiysen bunu para çıkmış gibi ele al. Para çıktıysa önce bankanı resmî müşteri hizmetleri numarasından ara, kartını ya da hesabını kapattır ve işleme itiraz et. Dolandırıcılığa uğradıysan en yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına şikâyette bulun. Kayıtları ve ekran görüntülerini sakla. Zararlı bağlantıyı ve oltalama sitesini USOM'a bildir. Kayıtlara ağın adını, saati, mekânı ve giriş sayfasının adresini de ekle.

Sahte ağdan korunmanın kalıcı yolu nedir?

Sahte ağı tanımak bir beceri, ondan hiç etkilenmemek ise bir düzendir. Mobil veri ya da kişisel erişim noktası tanımadığın ağ sorununu baştan ortadan kaldırır. Wi-Fi şartsa güvenilir bir VPN, bağlantı kurulduktan sonraki trafiği ağ sahibinden gizler. Hangi VPN'e neden güvenebileceğini VPN nedir, gerçekten güvenli mi yazısında okuyabilirsin.

Halka açık ağda hangi işlerin güvenli olduğunu, bilgisayarda ve telefonda hangi ayarları değiştireceğini halka açık Wi-Fi güvenli mi rehberinde adım adım bulacaksın. Sahte erişim noktasının kurumsal ağlarda nasıl yakalandığını görmek istersen Ağ Güvenliği yolundaki kablosuz ağ modülüne bak.

Kaynaklar

• CISA: Securing Wireless Networks
• Android Yardım: Kablosuz ağlara bağlanma
• İGA İstanbul Havalimanı: Kablosuz internet
• Mevzuat Bilgi Sistemi: 5237 sayılı Türk Ceza Kanunu