For years the advice was simple: phishing messages are full of typos and strange grammar. That advice is out of date. Attackers now write with AI tools, copy real company emails pixel for pixel, and send texts that sound exactly like your bank or a delivery company.
The good news is that a fake message still has to do one thing a real one rarely does: push you to act right now, somewhere the attacker controls. Learn to see that push and you'll catch most of them.
The five signs that still work
- Urgency or fear. "Your account will be closed in 24 hours." "A payment of €1,249 was approved, call us if this wasn't you." Pressure is there to stop you thinking.
- A link or attachment you didn't expect. A shipping notice for a parcel you never ordered, an invoice from a company you don't use, a shared document from a colleague who never shares documents.
- The sender's real address doesn't match. The display name says "PayPal", but the address is
[email protected]. On a phone, tap the name to see the address.
- The link goes somewhere else. Hover over it on a computer, or long-press on a phone, and read the domain. The part right before
.com, .net or your country code is what counts: apple.com.account-check.net belongs to account-check.net, not Apple.
- It asks for something a real company wouldn't. Your password, a one-time code, card details, a gift card, or a "test payment".
Text messages and chat apps
Phishing by SMS ("smishing") and through WhatsApp or Telegram is now as common as email. Typical stories:
- "Your parcel is held at customs, pay a small fee here."
- "Hi Mum, this is my new number, my phone broke. Can you send money?"
- Toll road, traffic fine or tax refund messages with a short link.
Short links hide the destination, and on a phone you can't hover. Treat any link in an unexpected text as untrusted.
The habit that beats a perfect fake
Don't use the link in the message. Open the app or type the address yourself.
If your bank says there's a problem, open the bank's app. If a delivery company says a parcel is waiting, go to its website from a search or a bookmark and enter the tracking number. If "your son" texts from a new number, call his old one. A real problem will still be there; a fake one disappears.
The same goes for phone calls. Banks and support teams will never ask you to read out a one-time code. If a caller does, hang up and call the number on the back of your card.
Passkeys and password managers help
A password manager only fills in your password on the real site, so if it suddenly offers nothing, that's a warning sign in itself. Passkeys go further: they are tied to the real website and simply won't work on a copy. Our post on passkeys explains how to start using them.
If you already clicked
- You only opened the page: close it. Simply visiting is rarely enough to infect an up-to-date device.
- You typed a password: change it now on the real site, and anywhere else you used it. Turn on two-factor authentication.
- You gave card details: call your bank and block the card.
- You downloaded and opened a file, or ran a command: assume the computer may be infected. Scan it, and change important passwords from another device.
Report itMost email apps have a "Report phishing" button. Using it helps filters catch the same message for everyone else.
Where Agamemnon fits
Agamemnon can't read your inbox, but it covers the dangerous step after a click. Downloads are checked the moment they finish, including against URLhaus's list of known malware links, and its encrypted DNS can use filters that block known malicious sites. If a phishing page tries the paste-a-command trick, the paste-command guard warns you first.
Yıllarca tavsiye basitti: oltalama (phishing) mesajları yazım hataları ve tuhaf cümlelerle doludur. Bu tavsiye artık geçerliliğini yitirdi. Saldırganlar artık yapay zekâ araçlarıyla yazıyor, gerçek şirket e-postalarını birebir kopyalıyor ve tam olarak bankanız ya da bir kargo şirketi gibi konuşan SMS'ler gönderiyor.
İyi haber şu: sahte bir mesaj, gerçek bir mesajın nadiren yaptığı bir şeyi yapmak zorunda: sizi hemen, saldırganın kontrol ettiği bir yerde harekete geçmeye zorlamak. Bu baskıyı görmeyi öğrenirseniz çoğunu yakalarsınız.
Hâlâ işe yarayan beş işaret
- Aciliyet ya da korku. "Hesabınız 24 saat içinde kapatılacak." "1.249 € tutarında bir ödeme onaylandı, siz yapmadıysanız bizi arayın." Baskı, düşünmenizi engellemek için oradadır.
- Beklemediğiniz bir bağlantı ya da ek. Hiç sipariş etmediğiniz bir paket için kargo bildirimi, kullanmadığınız bir şirketten fatura, hiç belge paylaşmayan bir iş arkadaşınızdan paylaşılmış bir belge.
- Gönderenin gerçek adresi tutmuyor. Görünen ad "PayPal" diyor ama adres
[email protected]. Telefonda adresi görmek için isme dokunun.
- Bağlantı başka bir yere gidiyor. Bilgisayarda fareyle üzerine gelin, telefonda uzun basın ve alan adını okuyun. Önemli olan
.com, .net ya da ülke uzantısından hemen önceki kısımdır: apple.com.account-check.net Apple'a değil, account-check.net'e aittir.
- Gerçek bir şirketin istemeyeceği bir şey istiyor. Parolanız, tek kullanımlık kod, kart bilgileri, hediye kartı ya da bir "deneme ödemesi".
SMS ve mesajlaşma uygulamaları
SMS ile oltalama ("smishing") ve WhatsApp ya da Telegram üzerinden oltalama artık e-posta kadar yaygın. Tipik senaryolar:
- "Paketiniz gümrükte bekliyor, küçük bir ücreti buradan ödeyin."
- "Anne, bu benim yeni numaram, telefonum bozuldu. Para gönderebilir misin?"
- Kısa bağlantı içeren köprü-otoyol, trafik cezası ya da vergi iadesi mesajları.
Kısa bağlantılar gidilecek yeri gizler ve telefonda fareyle üzerine gelemezsiniz. Beklenmedik bir mesajdaki her bağlantıyı güvenilmez kabul edin.
Kusursuz bir sahteyi yenen alışkanlık
Mesajdaki bağlantıyı kullanmayın. Uygulamayı açın ya da adresi kendiniz yazın.
Bankanız bir sorun olduğunu söylüyorsa bankanın uygulamasını açın. Bir kargo şirketi paketinizin beklediğini söylüyorsa web sitesine aramadan ya da yer imlerinden gidin ve takip numarasını girin. "Oğlunuz" yeni bir numaradan yazıyorsa eski numarasını arayın. Gerçek bir sorun yerinde durur; sahte olan ortadan kaybolur.
Telefon aramaları için de aynısı geçerli. Bankalar ve destek ekipleri sizden asla tek kullanımlık bir kodu okumanızı istemez. Arayan kişi isterse telefonu kapatın ve kartınızın arkasındaki numarayı arayın.
Geçiş anahtarları ve parola yöneticileri yardımcı olur
Parola yöneticisi parolanızı yalnızca gerçek sitede doldurur; birden hiçbir şey önermiyorsa bu başlı başına bir uyarı işaretidir. Geçiş anahtarları (passkey) daha da ileri gider: gerçek web sitesine bağlıdırlar ve bir kopyada hiç çalışmazlar. Geçiş anahtarları yazımız bunları kullanmaya nasıl başlayacağınızı anlatıyor.
Zaten tıkladıysanız
- Yalnızca sayfayı açtıysanız: kapatın. Güncel bir cihaza bulaşmak için yalnızca ziyaret etmek nadiren yeterlidir.
- Parola yazdıysanız: hemen gerçek sitede ve aynı parolayı kullandığınız her yerde değiştirin. İki adımlı doğrulamayı açın.
- Kart bilgisi verdiyseniz: bankanızı arayın ve kartı kapattırın.
- Bir dosya indirip açtıysanız ya da bir komut çalıştırdıysanız: bilgisayara bulaşmış olabileceğini varsayın. Tarayın ve önemli parolaları başka bir cihazdan değiştirin.
BildirinÇoğu e-posta uygulamasında "Oltalama olarak bildir" düğmesi bulunur. Bunu kullanmak, filtrelerin aynı mesajı herkes için yakalamasına yardımcı olur.
Agamemnon'un rolü
Agamemnon gelen kutunuzu okuyamaz ama tıklamadan sonraki tehlikeli adımı kapsar. İndirmeler, bittikleri anda denetlenir; buna URLhaus'un bilinen zararlı bağlantı listesiyle karşılaştırma da dahildir. Şifreli DNS'i de bilinen zararlı siteleri engelleyen filtreleri kullanabilir. Bir oltalama sayfası komut yapıştırma hilesini denerse komut yapıştırma koruması sizi önceden uyarır.
