Typosquatting Nedir? Benzer Alan Adlarına Karşı Koruma

Typosquatting, saldırganın bir kurumun alan adına çok benzeyen bir alan adını (tek harfi değiştirilmiş, araya tire eklenmiş ya da farklı uzantılı) kaydedip bunu sahte e-posta ve web siteleri için kullandığı yöntemdir. Bu alan adları saldırgana ait olduğu için SPF, DKIM ve DMARC kontrollerinden sorunsuz geçebilir. Bu yüzden korunma; alıcı tarafta benzerlik tespitine, savunma amaçlı kayıtlara ve yeni alan adlarının izlenmesine dayanır.

Benzer alan adı saldırısı neden işe yarar?

İnsan gözü kelimeleri harf harf değil, bütün olarak okur. Yoğun bir iş gününde ornekholding.com.tr ile omekholding.com.tr adreslerini birbirinden ayırt etmek zordur; mobil e-posta uygulamalarında adres çoğu zaman hiç görünmez bile. Saldırgan kendi kaydettiği alan adı için SPF, DKIM ve DMARC kayıtlarını eksiksiz yayımlayabilir. Sonuç, teknik olarak "temiz" görünen ama tamamen sahte bir gönderendir.

Bu yöntem özellikle, finans ekibine yöneticinin adıyla yazılan CEO dolandırıcılığı e-postalarında, tedarikçi taklidiyle yapılan sahte fatura dolandırıcılığında ve kurumsal giriş sayfalarının kopyalandığı oltalama kampanyalarında kullanılır.

Typosquatting teknikleri

Aşağıdaki örneklerde kurgusal Örnek Holding'in gerçek alan adı ornekholding.com.tr olarak kabul edilmiştir.

Homoglif saldırılarında farklı alfabelerden görsel olarak aynı karakterler kullanılır: Latin "o" ile Kiril "о" ekranda aynı görünür, ama bilgisayar için tamamen farklı karakterlerdir. Bu tür uluslararası karakterli alan adları (IDN), DNS'te xn-- ile başlayan punycode biçiminde saklanır. Türkçe karakterler de aynı kapsamdadır: ı ile i, ö ile o, ş ile s arasındaki fark özellikle küçük ekranlarda kolayca gözden kaçar.

Örnek senaryo

Kurgusal örnek. Örnek Holding'in iştiraklerinden birinin finans müdürüne, holdingin mali işler direktörü adına bir e-posta gelir. Gönderen adres mali.isler@ornekholdıng.com biçimindedir: hem uzantı farklıdır hem de "holding" kelimesindeki noktalı "i" yerine noktasız "ı" kullanılmıştır. İleti, holdingin gerçek imzasını, logosunu ve hitap biçimini kopyalamıştır; alan adı saldırgana ait olduğu için SPF ve DKIM kontrollerinden de geçer. Holdingin e-posta ağ geçidi, gönderen alan adının korunan alan adına görsel olarak benzediğini tespit edip iletiyi karantinaya aldığı için talep finans ekibine hiç ulaşmaz.

Typosquatting yalnızca e-postayı mı etkiler?

Hayır. Aynı alan adları; müşterilerinizi hedef alan sahte giriş sayfaları, markanızı taklit eden sahte web mağazaları ve adresinizi yanlış yazan ziyaretçileri karşılayan zararlı siteler için de kullanılabilir. Bu durumda zarar gören taraf yalnızca çalışanlarınız değil, müşterileriniz ve marka itibarınız olur. Bu yüzden benzer alan adı izlemesi, e-posta güvenliği kadar müşteri iletişimi ve marka koruması açısından da ele alınmalıdır. Müşterilerinize resmî alan adlarınızı ve iletişim kanallarınızı açıkça duyurmak da bu riski azaltır.

Alıcı tarafta tespit nasıl yapılır?

Benzer alan adlarını yakalamak için gelen her iletinin gönderen alan adı, korunan alan adlarıyla karşılaştırılmalıdır:

• Düzenleme mesafesi: İki alan adı arasında kaç harf değişikliği olduğu ölçülür. Kısa adlarda bir harf farkı tesadüf olabileceği için eşik, ad uzunluğuna göre belirlenir.
• Görsel iskelet karşılaştırması: Homoglifler ve birbirine karışan karakterler (rn ve m, l ve 1, ı ve i) ortak bir biçime indirgenerek karşılaştırılır.
• Punycode çözümleme: xn-- ile başlayan alan adları Unicode biçimine çevrilip yeniden değerlendirilir.
• Uzantı ve gömme kontrolü: Aynı ad farklı bir uzantıyla ya da başka bir alan adının içinde etiket olarak geçiyorsa işaretlenir.
• Yalnızca From değil: Sender ve Reply-To adresleri de aynı denetimden geçirilir.

MXZilla'in benzer alan adı tespiti bu yöntemleri birlikte kullanır: From, Sender ve Reply-To adreslerindeki alan adlarını korunan alan adlarınızla karşılaştırır; homoglif ve punycode, uzantı değişimi, gömme, tire ve birkaç harf farkını ayrı ayrı sınıflandırır. İleti, taklit edilen alan adının sahibi olan kuruma gönderilmişse risk puanı ayrıca yükselir, çünkü bu durum yönetici ve fatura dolandırıcılığının tipik işaretidir.

Kendi alan adınızın birebir taklit edilmesini engellemek ise ayrı bir konudur ve DMARC ile çözülür. Typosquatting'de saldırgan sizin alan adınızı değil, kendi alan adını kullandığı için DMARC tek başına yetmez; iki önlem birbirini tamamlar. Aradaki farkı e-posta sahteciliği (spoofing) yazımızda ayrıntılı anlattık.

Savunma amaçlı alan adı kaydı

En riskli varyasyonları saldırganlardan önce kaydetmek saldırı yüzeyini daraltır. Her olasılığı kaydetmek mümkün olmadığı için öncelik şu gruplara verilmelidir:

1. Markanızın yaygın uzantıları (.com, .com.tr, .net gibi).
2. Türkçe karakterli ve karaktersiz yazımlar (ı ve i, ö ve o, ş ve s).
3. Tireli ve tiresiz biçimler.
4. En olası tek harf hataları ve yer değiştirmeler.

Kaydettiğiniz ama kullanmadığınız alan adlarının e-posta için kötüye kullanılmasını önlemek için şu DNS kayıtlarını yayımlayın:

ornekholding.net.          IN  MX   0 .
ornekholding.net.          IN  TXT  "v=spf1 -all"
_dmarc.ornekholding.net.   IN  TXT  "v=DMARC1; p=reject"

Boş MX kaydı (null MX) alan adının e-posta kabul etmediğini, v=spf1 -all hiçbir sunucunun bu alan adı adına gönderim yapamayacağını, p=reject ise bu kurallara uymayan iletilerin reddedilmesi gerektiğini bildirir.

İzleme: yeni kaydedilen alan adlarını takip edin

Savunma kaydı her varyasyonu kapsayamayacağı için sürekli izleme gerekir:

• Sertifika şeffaflığı kayıtları: Herkesçe güvenilen sertifika otoritelerinin verdiği TLS sertifikaları, Certificate Transparency adı verilen herkese açık kayıtlarda yayımlanır; markanızı içeren yeni sertifikalar erken uyarı sağlar.
• Yeni alan adı kayıtları: Markanıza benzeyen yeni kayıtları düzenli olarak tarayan hizmetler veya araçlar kullanılabilir.
• DMARC raporları: Kendi alan adınız adına yapılan izinsiz gönderim girişimlerini gösterir; benzer alan adlarını göstermese de bir saldırı hazırlığının işareti olabilir. Rapordaki kaynak IP adreslerini ve doğrulama sonuçlarını nasıl yorumlayacağınızı DMARC raporu nasıl okunur yazımızda anlattık.
• Çalışan bildirimleri: Şüpheli bir adresi fark eden çalışanın bunu kolayca bildirebilmesi, izlemenin en ucuz kaynağıdır.

Benzer bir alan adı tespit ettiğinizde alan adının kayıt kuruluşuna ve barındırma sağlayıcısına kötüye kullanım bildirimi yapabilirsiniz; sahte bir site varsa bunu Siber Güvenlik Başkanlığı'nın (USOM hizmetleri artık buradan sunuluyor) ihbar formu aracılığıyla iletebilirsiniz. Marka hakları ve alan adı uyuşmazlıkları için hukuki yollar da vardır; bu konuda bir hukuk danışmanından destek alın.

Alan adınızın DMARC, SPF ve DKIM kayıtlarının taklide karşı ne kadar hazır olduğunu ücretsiz güvenlik kontrolü ile hemen görebilirsiniz.

Sık sorulan sorular

Typosquatting ile spoofing arasındaki fark nedir?

Spoofing'de saldırgan doğrudan sizin alan adınızı gönderen olarak yazar; bu, DMARC ile büyük ölçüde engellenebilir. Typosquatting'de ise saldırgan size benzeyen ama kendine ait bir alan adı kullanır. Bu alan adı tüm doğrulama kontrollerinden geçebileceği için ayrıca benzerlik tespiti gerekir.

Benzer alan adlarının hepsini kaydetmem gerekir mi?

Hayır, bu mümkün de değildir. Yaygın uzantıları, Türkçe karakter varyasyonlarını ve en olası yazım hatalarını kaydetmek, geri kalanı için alıcı taraftaki tespite ve izlemeye güvenmek dengeli bir yaklaşımdır.

Punycode nedir?

Punycode, Türkçe karakterler veya farklı alfabeler içeren uluslararası alan adlarının DNS'te saklanabilmesi için ASCII karakterlere çevrilmiş biçimidir ve xn-- ön ekiyle başlar. Örneğin örnekholding.com alan adı DNS'te xn--rnekholding-qfb.com olarak yer alır. Bir e-postada veya bağlantıda xn-- gördüğünüzde alan adını dikkatle inceleyin.

Benzer alan adından gelen e-posta SPF ve DKIM'den neden geçer?

Çünkü saldırgan bu alan adının gerçek sahibidir ve DNS kayıtlarını istediği gibi yayımlayabilir. SPF ve DKIM, iletinin o alan adı adına yetkili olarak gönderildiğini kanıtlar; alan adının güvenilir olduğunu değil.

Benzer bir alan adı tespit edersem ne yapmalıyım?

Önce o alan adından gelen iletileri engelleyin ve çalışanları uyarın. Ardından kayıt kuruluşuna ve barındırma sağlayıcısına kötüye kullanım bildirimi yapın, sahte site varsa ihbar formuyla bildirin. Marka hakkı ihlali söz konusuysa hukuki süreç için danışmanınızla görüşün.