İnsan Faktörünüzü Gerçekçi Senaryolarla Ölçün
Sosyal Mühendislik Testi & Farkındalık Analizi
Güvenlik zincirinin en zayıf halkası çoğu zaman teknolojiden değil insandan gelir. Gerçek saldırganların kullanacağı yöntemlere benzeyen sosyal mühendislik senaryolarıyla çalışanlarınızın farkındalık seviyesini ölçüyor, riskli davranışları tespit ediyor ve iyileştirme adımlarını somut verilerle ortaya koyuyoruz.
Sosyal Mühendislik Testi Yaklaşımımız
Tek seferlik bir “phishing e-postası” göndermek yerine; kurumunuza, süreçlerinize ve çalışan profilinize özel senaryolar kurguluyor, çok kanallı sosyal mühendislik testleriyle gerçekçi ve ölçülebilir sonuçlar elde ediyoruz.
İhtiyaç Analizi & Senaryo Tasarımı
Kurum kültürü, sektörünüz ve geçmiş olaylarınızı dikkate alarak tamamen size özel sosyal mühendislik senaryoları tasarlarız.
E-posta Phishing Simülasyonları
Çalışanlarınıza, saldırganların gerçekten kullanabileceği formatlarda sahte phishing e-postaları gönderir, tıklama ve bilgi girme davranışlarını ölçeriz.
SMS, WhatsApp & Telefon (Smishing / Vishing)
Sadece e-posta değil, SMS, WhatsApp ve telefon aramaları üzerinden de kimlik avı ve bilgi toplama senaryoları uygularız.
Fiziksel Sosyal Mühendislik (Opsiyonel)
Güvenlik turnikeleri, resepsiyon süreçleri ve misafir yönetimi gibi fiziksel kontrollerinizi test eden senaryolar da kurgulayabiliriz.
Farkındalık & Eğitim Çıktıları
Yalnızca “kim tıkladı?”ya bakmakla kalmaz, sonuçları farkındalık eğitimleriyle destekleyerek kalıcı davranış değişikliği hedefleriz.
Raporlama & Yönetici Özeti
Sonuçları hem teknik ekipler hem de yönetim için anlaşılır şekilde; metrikler, grafikler ve aksiyon planı ile raporlarız.
Sosyal mühendislik testi nedir?
Sosyal mühendislik testi; çalışanların oltalama e-postası, sahte telefon araması veya izinsiz fiziksel giriş gibi insanı hedef alan saldırılara karşı nasıl davrandığını, kontrollü ve yetkili senaryolarla ölçen güvenlik değerlendirmesidir. Klasik penetrasyon (sızma) testi ağ ve uygulamaları sınar; sosyal mühendislik testi ise insan davranışını ve süreçleri sınar. Bu nedenle iki test birbirinin alternatifi değil, tamamlayıcısıdır.
Testin çıktısı yalnızca bir tıklama oranı değildir: hangi departmanın hangi senaryoda zorlandığı, kimlik doğrulama ve ziyaretçi kabul gibi süreçlerin nerede aksadığı ve hangi ekiplerin ek eğitime ihtiyaç duyduğu görünür hâle gelir.
Sosyal mühendislik testi türleri
| Test türü | Nasıl uygulanır? | Neyi ölçer? |
|---|---|---|
| Phishing / spear-phishing | Kuruma özel hazırlanmış sahte e-postalar: yönetici onay talebi, IT destek bildirimi, kargo veya fatura uyarısı | Bağlantıya tıklama, kimlik bilgisi girme ve şüpheli e-postayı bildirme davranışı |
| Vishing (sesli arama) | IT desteği, yönetici veya tedarikçi kimliğiyle yapılan telefon aramaları | Telefonda kimlik doğrulama alışkanlığı, parola ve doğrulama kodu paylaşımı |
| Smishing (SMS / mesajlaşma) | SMS veya mesajlaşma uygulamaları üzerinden gönderilen sahte bağlantılar | Mobil cihazlarda bağlantı ve ek açma davranışı |
| Fiziksel giriş testi | Kurye, bakım teknisyeni veya ziyaretçi kimliğiyle binaya giriş denemesi | Ziyaretçi kabul, kartlı geçiş ve refakat süreçlerinin işleyişi |
| USB / medya bırakma | Ortak alanlara bırakılan, zararsız içerikli test bellekleri | Bilinmeyen medyanın kurum bilgisayarına takılıp takılmadığı |
Sosyal mühendislik testi nasıl yapılır?
- Kapsam ve yazılı yetki: Hedef departmanlar, senaryo türleri ve kanallar belirlenir; gizlilik sözleşmesi ve test yetki belgesi imzalanır.
- Açık kaynak keşfi (OSINT): Kurumun web sitesi ve sosyal medya gibi açık kaynaklardan, bir saldırganın ulaşabileceği bilgiler derlenir.
- Senaryo tasarımı: Toplanan bilgilerle kuruma özel e-posta şablonları, arama metinleri ve gerekiyorsa fiziksel senaryolar hazırlanır.
- Uygulama: Senaryolar kararlaştırılan tarih aralığında yürütülür; tıklama, veri girişi ve bildirim gibi etkileşimler kayıt altına alınır.
- Analiz ve raporlama: Departman bazlı risk görünümü, davranışsal bulgular ve önceliklendirilmiş aksiyon önerileri raporlanır; sonuçlar farkındalık eğitimiyle pekiştirilir.
Yasal ve etik çerçeve
Sosyal mühendislik testi doğası gereği yanıltma içerir; bu nedenle yalnızca kurum yönetiminin yazılı yetkisiyle ve kapsamı önceden tanımlanmış şekilde yürütülür. Yetkisiz yapılan benzer denemeler, Türk Ceza Kanunu'nun bilişim suçlarına ilişkin hükümleri (md. 243 ve devamı) kapsamında suç oluşturabilir. İnsan kaynakları ve hukuk birimlerinin sürece baştan dahil edilmesini öneririz.
Test sırasında işlenen ad, e-posta adresi ve unvan gibi bilgiler kişisel veridir; yalnızca test amacıyla kullanılır ve proje sonunda sözleşmede belirlenen şekilde imha edilir. Sonuçlar bireysel performans değerlendirmesi için değil, eğitim ihtiyacını belirlemek için kullanılır. Kişisel veri boyutunu KVKK uyum danışmanlığı ekibimizle birlikte ele alıyoruz.
Sosyal Mühendislik Testi Hakkında Merak Edilenler
Çalışan motivasyonu, KVKK uyumu, cezalandırma yaklaşımı ve testlerin kapsamı gibi sosyal mühendislik projelerinde en sık duyduğumuz soruları sizin için yanıtladık.
İlgili Rehberler
Bu hizmetle ilgili sık sorulan konuları uzman rehberlerimizde detaylıca anlattık.
Saldırganlar Çalışanlarınızı Test Etmeden Önce Siz Test Edin
Sosyal mühendislik saldırıları, çoğu zaman tek bir tıklama ile kritik sistemlere erişim sağlayabiliyor. Gerçek saldırganların kullanacağı taktikleri kontrollü bir ortamda simüle ederek; çalışanlarınızın davranışlarını ölçün, güçlü ve zayıf yönlerinizi görün, kurumunuza özel bir farkındalık ve eğitim yol haritası oluşturun.