Email Spoofing Nedir, Nasıl Önlenir? E-posta Sahteciliği

Email spoofing (e-posta sahteciliği), saldırganın bir iletinin gönderici bilgisini başka bir kişi veya kurumdan geliyormuş gibi taklit etmesidir. Alan adınızın birebir taklit edilmesi SPF, DKIM ve yaptırımlı bir DMARC politikasıyla büyük ölçüde önlenebilir; görünen ad sahteciliği ve benzer alan adlarıyla yapılan taklitler ise gelen postada ağ geçidi kontrolleri ve kullanıcı farkındalığı gerektirir. Etkili koruma, bu katmanların birlikte çalışmasıyla sağlanır.

E-posta sahteciliği neden bu kadar kolay?

E-postanın temel protokolleri, göndericinin kimliğini doğrulayacak bir mekanizmayla tasarlanmadı. RFC 5321 iletinin sunucular arasında nasıl taşındığını, RFC 5322 ise iletinin biçimini tanımlar. Bu iki katmanda üç farklı "gönderici" bilgisi bulunur:

• Zarf göndericisi (MAIL FROM): Sunucular arasında kullanılır ve geri dönen iletiler bu adrese gider.
• From başlığı: Kullanıcının posta programında gördüğü adres ve görünen ad.
• Reply-To başlığı: Yanıtın gideceği adres; From ile aynı olmak zorunda değildir.

Bu alanların hiçbiri varsayılan olarak doğrulanmaz. Sahtecilik, kullanıcının çoğu zaman yalnızca From alanına bakmasından yararlanır.

Email spoofing türleri nelerdir?

Birebir alan adı sahteciliği

Saldırgan From alanına doğrudan sizin alan adınızı yazar. Alan adınızda yaptırımlı bir DMARC politikası yoksa birçok alıcı bu iletiyi kabul edebilir. Tedarikçilerinize veya müşterilerinize sizin adınızla sahte fatura e-postası göndermek bu yöntemle mümkün hale gelir.

Görünen ad sahteciliği

From alanının görünen ad kısmına tanıdık bir isim yazılır, adres ise saldırganın kontrolündeki herhangi bir hesaptır. Mobil posta uygulamaları çoğu zaman yalnızca görünen adı öne çıkardığı için bu yöntem özellikle etkilidir ve CEO dolandırıcılığı vakalarının sık görülen başlangıç noktasıdır.

Benzer alan adı (lookalike) sahteciliği

Saldırgan, sizin alan adınıza çok benzeyen bir alan adı kaydeder: m yerine rn yazmak, l yerine 1 kullanmak, araya tire eklemek ya da farklı bir uzantı seçmek gibi. Bu alan adının SPF, DKIM ve DMARC kayıtları kusursuz olabilir, çünkü alan adı gerçekten saldırgana aittir. Ayrıntılar için typosquatting yazımıza bakabilirsiniz.

SPF, DKIM ve DMARC birebir sahteciliği nasıl durdurur?

1. SPF, alan adınız adına gönderim yapabilecek sunucuları listeler; saldırganın sunucusu bu listede yoktur.
2. DKIM, meşru iletilerinize alan adınızla kriptografik imza ekler; saldırgan özel anahtarınıza sahip olmadığı için geçerli imza üretemez.
3. DMARC, bu iki sonuçtan en az birinin From alan adınızla hizalı geçmesini şart koşar ve geçemeyen iletiler için alıcıdan quarantine veya reject uygulamasını ister.

Bu zincir, ancak DMARC politikanız yaptırımlıysa ve alıcı sunucu DMARC'ı uyguluyorsa tam koruma sağlar. p=none politikası raporlama yapar ama sahte iletiyi durdurmaz.

Kimlik doğrulama neleri durduramaz?

• Görünen adı taklit edilen, ancak başka bir alan adından gelen iletileri.
• Saldırgana ait ve kimlik doğrulaması eksiksiz yapılandırılmış benzer alan adlarını.
• Ele geçirilmiş gerçek hesaplardan gönderilen iletileri; bu iletiler tüm denetimlerden geçer. Belirtileri için ele geçirilmiş e-posta hesabı yazımıza göz atabilirsiniz.
• DMARC uygulamayan alıcı sunuculara gönderilen sahte iletileri.

Bu boşluklar, BEC dolandırıcılığı gibi finansal kayıpla sonuçlanabilen saldırıların neden hâlâ işe yaradığını açıklar.

Sahte bir ileti başlıklardan nasıl anlaşılır?

Şüpheli bir iletiyi incelerken posta programınızın "özgün iletiyi göster" veya "başlıkları görüntüle" seçeneğini kullanın ve şu noktalara bakın:

• Authentication-Results satırında spf, dkim ve dmarc sonuçlarının pass olup olmadığı.
• From adresindeki alan adı ile Return-Path adresindeki alan adının birbiriyle ilişkili olup olmadığı.
• Reply-To başlığının bambaşka bir alan adına, özellikle ücretsiz bir posta hizmetine yönlendirip yönlendirmediği.
• En alttaki Received satırlarında (iletinin ilk geçtiği sunucular) iddia edilen göndericiyle ilgisi olmayan bir sunucu bulunup bulunmadığı.

Bu bulguların hiçbiri tek başına kesin hüküm vermez; ancak birkaçı bir aradaysa iletiyi yanıtlamadan BT ekibinize iletin.

Gelen postada hangi ağ geçidi kontrolleri gerekir?

Kendi alan adınızı korumak işin yarısıdır; diğer yarısı, size gelen sahte iletileri yakalamaktır. Bir e-posta güvenlik ağ geçidinde şu denetimler önemlidir:

• Gelen iletilerde SPF, DKIM ve DMARC sonuçlarının değerlendirilmesi ve göndericinin politikasına uyulması.
• Dışarıdan gelip From alanında kendi alan adınızı taşıyan, ancak kimlik doğrulamadan geçemeyen iletilerin engellenmesi.
• Yönetici veya çalışan adlarını görünen adda kullanan dış iletilerin işaretlenmesi.
• Kurumunuzun veya iş ortaklarınızın alan adlarına benzeyen alan adlarının tespit edilmesi.
• Reply-To adresinin From alanından farklı bir alan adına yönlendirdiği iletilerin şüpheli sayılması.

MXZilla'in gelen posta filtresi her iletide SPF, DKIM ve DMARC denetimi yapar, benzer alan adlarını tespit eder ve Türkçe oltalama kalıplarına yönelik kurallar uygular. Şüpheli iletiler karantinaya alınır ve kullanıcılar günlük karantina özeti e-postasından durumu takip edebilir.

Kullanıcı farkındalığı ve süreç önlemleri

Teknik önlemler her saldırıyı yakalayamaz. Özellikle ödeme ve hesap bilgisi değişikliklerinde şu alışkanlıklar kritik önem taşır:

• Banka hesabı değişikliği veya acil ödeme talebini, e-postadaki numarayı değil önceden bildiğiniz bir telefon numarasını arayarak doğrulayın.
• Görünen adın yanında gerçek adresi ve alan adını kontrol edin; mobil cihazda gönderici adına dokunarak tam adresi görün.
• Aciliyet, gizlilik ve otorite vurgusu bir arada geliyorsa durun ve ikinci bir kanaldan teyit alın.
• Şüpheli iletileri silmek yerine BT ekibine bildirin.

Çalışanlarınıza bu alışkanlıkları kazandırmak için e-posta güvenliği eğitimi rehberimizden yararlanabilirsiniz.

Uyarı: Ödeme talimatı içeren bir iletide alan adı tek harfle bile farklıysa, iletideki bağlantılara tıklamadan ve yanıtlamadan önce mutlaka telefonla teyit alın.

Adım adım spoofing önleme planı

1. Alan adınızın SPF, DKIM, DMARC ve MX kayıtlarını ücretsiz güvenlik kontrolü ile denetleyin.
2. Tüm meşru gönderim kaynaklarını SPF kaydına ekleyin ve DKIM imzalamayı etkinleştirin.
3. DMARC'ı p=none ile başlatın, raporları inceleyin ve kademeli olarak reject politikasına geçin.
4. E-posta göndermeyen alan adlarınıza v=spf1 -all SPF kaydı ve p=reject politikalı DMARC kaydı ekleyin.
5. Gelen postada DMARC, benzer alan adı ve görünen ad kontrolleri yapan bir ağ geçidi kullanın.
6. Çalışanları ödeme doğrulama süreçleri konusunda düzenli olarak bilgilendirin.

Bu adımların gelen posta tarafını tek bir panelden yönetmek isterseniz paketlerimizi inceleyebilirsiniz.

Sık sorulan sorular

Email spoofing ile phishing aynı şey mi?

Aynı şey değildir, ancak çoğu zaman birlikte görülür. Spoofing gönderici kimliğinin taklit edilmesidir; phishing ise kullanıcıyı kandırarak bilgi veya para elde etmeye yönelik saldırının kendisidir. Oltalama saldırıları inandırıcı görünmek için sıklıkla spoofing tekniklerinden yararlanır.

DMARC reject politikası tüm sahte e-postaları engeller mi?

Engellemez. DMARC yalnızca From alanında birebir sizin alan adınızın kullanıldığı ve kimlik doğrulamadan geçemeyen iletileri durdurur. Görünen ad sahteciliği, benzer alan adları ve ele geçirilmiş hesaplardan gönderilen iletiler için ek önlemler gerekir.

Kendi adresimden bana sahte e-posta gelmesi nasıl mümkün olur?

Alan adınızda yaptırımlı bir DMARC politikası yoksa veya gelen posta sunucunuz DMARC sonucunu uygulamıyorsa, saldırgan From alanına sizin adresinizi yazarak size posta gönderebilir. Bu tür iletiler sıklıkla "hesabınız ele geçirildi" iddiasıyla şantaj içerir. DMARC politikanızı sıkılaştırmak ve gelen postada kimlik doğrulama sonuçlarını uygulamak bu iletileri engeller.

Benzer alan adlarına karşı ne yapabilirim?

Markanıza en çok benzeyen alan adı varyasyonlarını savunma amaçlı kaydedebilir, yeni kayıtları izleyebilir ve gelen postada benzer alan adı tespiti yapan bir filtre kullanabilirsiniz. Çalışanlarınızın özellikle ödeme talimatı içeren iletilerde alan adını harf harf kontrol etmesi de önemlidir.

Görünen ad sahteciliğini nasıl fark ederim?

Görünen adın yanında yer alan gerçek e-posta adresini kontrol edin. Tanıdık bir isim ilgisiz bir alan adından veya ücretsiz bir posta hizmetinden geliyorsa iletiye şüpheyle yaklaşın. Mobil uygulamalarda tam adresi görmek için gönderici adının üzerine dokunmanız gerekebilir.