Sosyal Mühendislik Oyunu: Kandırılmayı Oynayarak Öğren

Oltalama e-postasının belirtilerini saymak kolaydır. Zor olan, telefonda "Bölge müdürüyüm, acil" diyen bir sese hayır demektir. Bu yazıda kandırılmayı güvenli bir oyunda yaşamanın neden işe yaradığını anlatıyoruz. AltaySec Akademi'nin iki oyununun, Zayıf Halka ile Olta'nın nasıl çalıştığını oyunların kodundan doğruladık. Sonunda bunu ofiste 45 dakikalık bir ekip etkinliğine nasıl çevireceğini de bulacaksın.

Sosyal mühendislik oyunu neden işe yarar?

Sosyal mühendislik oyunu işe yarar, çünkü oyuncuyu karar vermeye zorlar ve hatanın nedenini hemen gösterir. Okunup geçilen bir eğitim metni bunu yapmaz. Araştırmalar bu farkı birkaç yönden destekliyor.

Carnegie Mellon'ın 2007'de yayımladığı Anti-Phishing Phil çalışmasında katılımcılar 15 dakika boyunca ya bir oyun oynadı ya da metin okudu. Oyunu oynayanlar sahte siteleri hazır eğitim metnini okuyanlardan daha iyi ayırt etti. Gerçek siteleri sahte sanma oranları da yaklaşık yarıya indi.

Sailer ile Homner'ın 2020 tarihli meta analizi daha genel bir tablo çiziyor. Oyunlaştırma öğrenmeyi küçük ama anlamlı ölçüde artırıyor. Davranış değişikliğinde en etkili öğeler bir hikâye kurgusu ve rekabetle iş birliğinin birlikte kullanılması.

Madalyonun öbür yüzü de var. UC San Diego'dan Grant Ho ve ekibi, 2025'te IEEE Security and Privacy konferansında 19.500 hastane çalışanıyla yapılan sekiz aylık bir çalışma sundu. Yıllık zorunlu eğitimi yeni tamamlamış olmakla oltaya düşmek arasında anlamlı bir ilişki bulamadılar. Tıklamanın ardından gösterilen eğitim, tıklama oranını yalnız yüzde 2 civarında düşürdü. Kullanıcıların yüzde 75'i eğitim sayfasına bir dakika ya da daha az baktı.

Bu sonuçları birlikte okuyunca ders net. Pasif içerik işe yaramıyor. Oyunun farkı, oyuncuyu ekranda tutması ve her kararın sonucunu yaşatması. Yine de oyun tek başına sihirli değnek değil, düzenli tekrarla anlam kazanır.

İnsan unsuru saldırılarda ne kadar büyük bir pay tutuyor?

Verizon'un 2026 Veri İhlali Araştırmaları Raporu'na (DBIR) göre ihlallerin yüzde 62'sinde insan unsuru var. Bir önceki yıl bu oran yüzde 60'tı. Rapor 145 ülkeden 31 binin üzerinde olayı ve 22 binin üzerinde doğrulanmış ihlali inceliyor.

Aynı raporun öne çıkan diğer bulguları şöyle:

• Sosyal mühendislik, ihlal örüntüleri arasında üçüncü sırada ve tüm ihlallerin yüzde 16'sını oluşturuyor.
• Oltalama, ilk erişim yolu olarak yüzde 16'da kaldı.
• Sahte senaryo kurarak güven kazanma, yani pretexting, ihlallerin yüzde 6'sına ulaştı. Rapor bunun çoğu zaman telefonla yapıldığını söylüyor.
• Oltalama tatbikatlarında sesli arama ve SMS gibi mobil kanallarda tıklama oranı, e-postaya göre yüzde 40 daha yüksek.

Türkiye'de bu tablo sahte kargo ve banka SMS'lerinde, "numaramı değiştirdim" mesajlarında ve sahte icra tebligatlarında karşımıza çıkıyor. Bu türleri sahte kargo ve banka SMS'leri yazısında ayrıca anlattık.

Zayıf Halka nasıl oynanır?

Zayıf Halka, saldırganın gözünden oynanan 15 bölümlük bir sosyal mühendislik hikâyesidir. Amaç saldırı öğretmek değil, tuzağın nasıl kurulduğunu içeriden görüp tanımaktır. Oyun tarayıcıda açılır, kayıt istemez ve ilerlemeni tarayıcında saklar.

Kahramanın Ege adında bir hacker. Her bölüm şu sırayla akar:

1. Bölümden önce Ege'nin özel hayatından bir mesaj gelir. Annesi ya da sevgilisi yazar. Senin cevabın Ege'nin stresini ve ne kadar yozlaştığını etkiler.
2. Hedef dosyası açılır. Hedefin adını, rolünü, şirketini, son paylaşımını ve sızmış bir e-postasını görürsün. Dosyada hedefin kişilik özelliği ve zayıf noktası da yazar.
3. Konuşma başlar. Her adımda birkaç cevaptan birini seçersin. Seçimlerin Şüphe, Uyum ve Stres göstergelerini oynatır.
4. Konuşmanın ortasında hayat araya girer. Ege'nin annesi arayabilir; panikle mi, sakin mi cevap vereceğini seçersin.
5. Tuzak bir cevap seçersen hedef işkillenir, güvenliğe haber verir ve bağlantı kesilir. Görevi tamamlarsan bir sonraki bölümün kilidi açılır.
6. Sonuç ekranı hamle sayını, son şüphe düzeyini ve kısa bir değerlendirme gösterir.

Hedefler gerçek iş hayatından tanıdık tipler: işinin ilk günündeki kaygılı bir stajyer, resepsiyondaki bir çalışan, bir İK asistanı, bir influencer, şüpheci bir başhekim, bir şirket CEO'su. Görevler de gerçek saldırı türlerine dayanıyor. Makrolu bir Excel dosyası açtırmak, SMS doğrulama kodunu ele geçirmek ya da telefonla para transferi onayı almak bunlardan birkaçı.

Oyunun en öğretici tasarım kararı şu. Bağıran, tehdit eden seçenekler hedefin stresini ve şüphesini artırır. Güven veren, yardım eder gibi yapan seçenekler ise uyumu en çok yükseltir. Gerçek dünyada da saldırgan çoğu zaman bağırmaz, yardımsever görünür. Sohbette seçtiğin satırın yanında çoğu zaman "Manipülasyon", "Teknik ikna" ya da "Gözdağı" gibi bir taktik etiketi belirir.

Oyunun hikâyesini ve bölümlerini daha önce Zayıf Halka tanıtım yazısında anlatmıştık. Bu oyunda öğrendiğin taktikleri gerçek kişilere denemek suçtur. Türk Ceza Kanunu'nun 243-245. maddeleri bilişim sistemlerine izinsiz erişimi cezalandırır; aldatma yoluyla para almak da ayrıca dolandırıcılık sayılır.

Olta nasıl oynanır?

Olta, savunanın gözünden oynanan hızlı bir karar oyunudur: önüne gelen mesajın oltalama mı, güvenli mi olduğuna karar verirsin. Zayıf Halka saldırganın aklını gösterir, Olta ise o aklın ürettiği mesajı yakalamayı çalıştırır.

Örnekler dokuz biçimde gelir: e-posta, SMS, sohbet mesajı, sosyal medya gönderisi, giriş ya da ödeme sayfası, QR afişi, telefon görüşmesi dökümü, bildirim ve belge. Konular Türkiye'den tanıdık: kargo, banka, icra tebligatı, e-imza, tedarikçinin IBAN değişikliği, yöneticinin acil talebi, yakınının numarası değişti mesajı ve MFA onay yorgunluğu bunlardan birkaçı.

Oynanış basit. Telefonda kartı sola atarsan "olta", sağa atarsan "güvenli" dersin; masaüstünde ok tuşlarını kullanırsın. Bağlantının üstüne geldiğinde gerçek adres görünür. Örneklerdeki bütün adresler kurgu uzantılarla biter, yani fark uzantıda değil adın geri kalanındadır.

Her karardan sonra kırmızı bayrakları gösteren bir kart açılır. Başlıca bayrak türleri şunlar: benzetilmiş alan adı, sahte gönderen, aciliyet, ödeme isteği, kimlik bilgisi isteği, şüpheli ek, harf taklidi (homoglif) ve bağlama uymayan istek. Örneklerin hepsi oltalama değil. Şüpheli görünen ama gerçek mesajlar da var, çünkü her şeyi engelleyen bir çalışan da şirkete zarar verir.

Oyunun üç modu var. Günlük 10 herkese aynı on örneği kolaydan zora sunar. Bu modda olta dediğin mesajdaki şüpheli alanları işaretleyip ek puan da toplayabilirsin. Sonsuz modda üç canın var ve her beş kartta süre kısalır. Blitz'te 60 saniyede olabildiğince çok mesaja karar verirsin.

Cialdini'nin ikna ilkeleri oyunda nerede karşına çıkar?

Robert Cialdini'nin ikna ilkeleri, insanların neden "evet" dediğini açıklayan yedi kısayoldur ve sosyal mühendisliğin neredeyse her hamlesi bunlardan birine dayanır. Cialdini ilk altı ilkeyi 1984'te Influence kitabında tanımladı. Yedinci ilke olan birliği 2016'da Pre-Suasion kitabında ekledi.

Aşağıdaki eşleştirme bizim yorumumuz. Oyunlar bu ilkeleri adıyla etiketlemez, ama örnekleri tanımak için iyi bir harita sunar.

Tabloyu okurken şunu fark edeceksin: Tek bir mesaj çoğu zaman iki üç ilkeyi birden kullanır. "Genel müdür adına acil ödeme" hem otorite hem aciliyettir. Bu yüzden tek bir bayrak gördüğünde bile durup ikincisini aramak iyi bir alışkanlık.

Ofiste ekip etkinliği olarak nasıl kullanılır?

Bu iki oyun, 45 dakikalık bir "öğle arası eğitimi" için yeterli malzeme verir ve kimseyi teşhir etmeden konuşturur. Aşağıdaki plan 5 ile 30 kişilik bir ekip için uygundur.

1. Açılış, 5 dakika. Amacı söyle: kimse puanlanmıyor, kaçırılan bayrağı konuşacağız. Gerçek kişilere tatbikat yapılmayacağını da baştan belirt.
2. Isınma, 10 dakika. Herkes telefonundan Olta'nın Günlük 10'unu oynasın. Sonra skorları değil, en çok kaçırılan bayrağı konuşun.
3. Ana bölüm, 15 dakika. Zayıf Halka'nın ilk bölümünü projeksiyonda aç. Her seçimde salon oylasın. Bölüm bitince hedefin hangi cümlede durması gerektiğini birlikte bulun.
4. Yarışma, 10 dakika. Bilgi Yarışı'nda bir oda kur ve konu olarak yalnız sosyal mühendisliği seç. Odayı yönetirsen sen oynamazsın, sorular büyük ekrana yansır. Odalar ücretsiz hesapla oynanır, bu yüzden katılımcılardan önceden hesap açmalarını iste.
5. Kapanış, 5 dakika. Konuşulanları şirketin kendi kurallarına bağla. IBAN değişikliğinde kayıtlı numaradan geri arama, şüpheli e-postayı bildirme kanalı ve beklenmeyen MFA isteğini reddetme gibi.

Habersiz oltalama tatbikatı yapmayı düşünüyorsan önce yazılı bir politika ve yönetim onayı al. Tatbikatın sonuçlarını kişileri teşhir etmek için değil, süreçleri düzeltmek için kullan. Çalışan verisi işlediğin için KVKK'yı da göz önünde tut.

Oyundan sonra gerçek hayatta neyi değiştirmelisin?

Oyunun kalıcı etkisi, birkaç basit refleksi gündelik hayata taşıdığında ortaya çıkar. Şu beş kural çoğu tuzağı boşa çıkarır:

• Aciliyet hissettiğinde dur. Saldırgan senin düşünmeni istemez.
• Telefondaki ya da mesajdaki talebi kendi bildiğin kanaldan doğrula. Mesajdaki numarayı değil, kayıtlı numarayı ara.
• Bağlantıya tıklamak yerine adresi kendin yaz ya da uygulamayı aç.
• Sen başlatmadığın bir MFA onayını asla kabul etme.
• Şüpheli bir mesajı kurumuna bildir. USOM'un ihbar süreçleri artık Siber Güvenlik Başkanlığı'nın sitesinden yürüyor.

Sosyal mühendisliğin psikolojisine daha derin bakmak istersen insanları hacklemek yazısını oku. Oltalama belirtilerinin tam listesi için phishing rehberine geç. Saldırganın hedef hakkında nasıl bilgi topladığını görmek için OSINT yolundaki çalışan listesi ve sosyal ağlar dersi iyi bir sonraki adım. Bugün başlamak için en kısa yol ise belli: Olta'nın Günlük 10'unu aç ve on mesajda kaç bayrak yakaladığına bak.

Kaynaklar

• Verizon 2026 DBIR Yönetici Özeti.
• Sheng ve diğerleri (2007), Anti-Phishing Phil, SOUPS.
• Sailer ve Homner (2020), The Gamification of Learning: a Meta-analysis.
• UC San Diego, oltalama eğitiminin etkisi üzerine Ho ve diğerleri (2025).
• Influence at Work, Cialdini'nin ikna ilkeleri.
• USOM duyurusu: hizmetlerin Siber Güvenlik Başkanlığı'na geçişi.