E-posta Hesabı Ele Geçirildi mi? 9 Belirti ve İlk Adımlar

E-posta hesabı ele geçirildiğinde ilk belirtiler çoğu zaman sessizdir: tanımadığınız bir yönlendirme kuralı, göndermediğiniz iletiler, yabancı bir ülkeden yapılmış bir oturum açma kaydı ya da müşterilerinizden gelen "bu e-postayı siz mi gönderdiniz?" soruları. Bu belirtilerden birini gördüğünüzde parolayı temiz bir cihazdan değiştirmek, tüm oturumları kapatmak, kuralları temizlemek ve iki adımlı doğrulamayı açmak, hasarı sınırlamanın ilk adımlarıdır.

Ele geçirilmiş bir posta kutusu neden bu kadar tehlikeli?

Saldırgan için ele geçirilmiş bir kurumsal posta kutusu çok değerlidir. Bu hesaptan gönderilen e-postalar gerçek adresten gelir, SPF, DKIM ve DMARC kontrollerinden geçer ve alıcılar tarafından güvenilir kabul edilir. Saldırganlar bu güveni üç amaçla kullanır: müşterilere ve tedarikçilere sahte ödeme talimatı göndermek (BEC saldırısı), kişi listesine oltalama e-postası yaymak ve posta kutusundaki hassas bilgileri toplamak. Üstelik çoğu zaman haftalarca fark edilmeden içeride kalmaya çalışırlar.

Hesaplar genellikle nasıl ele geçirilir?

• Oltalama sayfaları: Sahte bir oturum açma sayfasına girilen parola anında saldırganın eline geçer; bazı gelişmiş sayfalar oturum bilgisini de çalar.
• Tekrar kullanılan parolalar: Başka bir sitede sızdırılan parola, aynı e-posta adresiyle kurumsal hesapta da denenir.
• Parola deneme saldırıları: Çok sayıda hesapta yaygın parolalar denenir; iki adımlı doğrulaması olmayan hesaplar en kolay hedeftir.
• Bilgi çalan zararlı yazılımlar: Tarayıcıda kayıtlı parolaları ve oturum çerezlerini toplayıp saldırgana gönderir.
• Uygulama izni tuzağı: Kullanıcı, meşru görünen bir uygulamaya posta kutusuna erişim izni verir; saldırgan parola olmadan da e-postaları okuyabilir.

E-posta hesabınızın ele geçirildiğini gösteren 9 belirti

1. Tanımadığınız yönlendirme veya gelen kutusu kuralları

En sık karşılaşılan ve en sinsi belirtilerden biridir. Saldırganlar tüm postaları dış bir adrese yönlendiren ya da "fatura", "ödeme", "IBAN" gibi kelimeler içeren iletileri RSS Akışları, Arşiv veya Gereksiz E-posta klasörüne taşıyan kurallar oluşturur. Böylece gerçek yazışmaları sizden gizleyip kendileri yanıtlar.

2. Göndermediğiniz iletiler

Gönderilmiş Öğeler klasöründe yazmadığınız e-postalar görmek açık bir işarettir. Saldırganlar izlerini silmek için gönderdiklerini silebilir; bu yüzden Silinmiş Öğeler klasörünü de kontrol edin.

3. Toplu geri dönen e-postalar

Göndermediğiniz iletiler için çok sayıda "teslim edilemedi" bildirimi alıyorsanız hesabınız toplu gönderim için kullanılıyor olabilir. Aynı belirti, adresinizin başkası tarafından taklit edilmesiyle de oluşabilir; ayrımı gönderilmiş öğeler ve sunucu kayıtları yapar.

4. Tanımadığınız konum veya cihazdan oturum açma

Posta servisinizin oturum geçmişinde bulunmadığınız bir ülke, tanımadığınız bir cihaz ya da aynı anda farklı şehirlerden açılmış oturumlar görüyorsanız hesabınıza başka biri erişiyor olabilir.

5. Beklenmedik doğrulama istekleri

Siz giriş yapmaya çalışmıyorken telefonunuza onay bildirimi veya doğrulama kodu geliyorsa parolanız zaten saldırganın elinde olabilir. Art arda gelen onay isteklerine "kurtulmak için" onay vermek (MFA yorgunluğu saldırısı), hesabı doğrudan teslim etmek anlamına gelir.

6. Kişilerinizin sizden spam veya oltalama alması

Müşterileriniz, tedarikçileriniz veya iş arkadaşlarınız sizden garip bağlantılı e-postalar aldıklarını söylüyorsa hesabınız içeriden kullanılıyor olabilir.

7. Değişen ayarlar ve yeni uygulama izinleri

İmzanız, görünen adınız, yanıt adresiniz, otomatik yanıtınız veya kurtarma telefon numaranız değiştiyse ya da hesabınıza erişim izni verilmiş tanımadığınız bir uygulama varsa, bunlar saldırganın kalıcılık sağlama girişimleri olabilir. Uygulama izinleri, parola değişse bile erişimin sürmesine yol açabilir.

8. Kaybolan veya okunmuş görünen e-postalar

Henüz açmadığınız iletilerin okunmuş görünmesi ya da beklediğiniz yanıtların hiç gelmemesi, birinin posta kutunuzu sizden önce okuduğuna işaret edebilir.

9. Gönderim engeli veya kara liste uyarıları

E-posta servisiniz hesabınızın gönderimini durdurduysa ya da şirketinizin IP adresi bir kara listeye girdiyse, hesaptan toplu spam gönderilmiş olabilir. Bu durumda yalnızca hesabı değil, IP itibarınızı da onarmanız gerekir; süreci kara listeden çıkma yazımızda anlattık.

Microsoft'un ele geçirilmiş e-posta hesabına müdahale rehberi de benzer belirtileri sayar: dış adreslere yönlendirme, iletileri Notlar, Gereksiz E-posta veya RSS klasörlerine taşıyan kurallar, şüpheli gönderilmiş öğeler ve sık parola değişiklikleri.

Hemen yapmanız gerekenler

1. Parolayı temiz bir cihazdan değiştirin: Bulaşma şüphesi olan bilgisayardan değil, güvendiğiniz başka bir cihazdan yapın. Yeni parola benzersiz olmalı ve başka hiçbir hesapta kullanılmamalıdır.
2. Tüm oturumları sonlandırın: Parola değişikliği açık oturumları her zaman kapatmaz; yönetim panelinden veya hesap ayarlarından tüm oturumları kapatın.
3. Kuralları ve yönlendirmeleri temizleyin: Gelen kutusu kurallarını, otomatik yönlendirmeyi ve yanıt adresini tek tek kontrol edin.
4. Uygulama izinlerini gözden geçirin: Tanımadığınız uygulamaların erişimini kaldırın, eski uygulama parolalarını silin.
5. İki adımlı doğrulamayı açın: Mümkünse SMS yerine doğrulayıcı uygulama veya donanım anahtarı gibi daha güçlü yöntemler kullanın, tanımadığınız doğrulama yöntemlerini silin. Ayrıntılar için iki adımlı doğrulama yazımıza bakın.
6. Cihazı tarayın: Parola bir zararlı yazılımla çalındıysa, cihaz temizlenmeden yapılan değişiklikler de çalınabilir.
7. Etkilenenleri uyarın: Ödeme bekleyen müşterilere ve tedarikçilere, hesabınızdan gelmiş olabilecek banka bilgisi değişikliklerine itibar etmemelerini telefonla bildirin.
8. Kayıtları saklayın ve inceleyin: Oturum açma kayıtlarını, gönderilen iletileri ve kural değişikliklerini silmeden saklayın; kişisel verilere erişildiyse KVKK yükümlülüklerini değerlendirin.

Saldırgan posta kutunuzu hâlâ okuyor olabilir. Yeni parolayı veya olayla ilgili ayrıntıları aynı e-posta hesabı üzerinden paylaşmayın; telefonu veya yüz yüze iletişimi tercih edin.

BT yöneticileri için ek kontroller

• Tüm posta kutularında dış adreslere otomatik yönlendirmeyi varsayılan olarak kapatın, gereken istisnaları tek tek tanımlayın.
• Yeni oluşturulan gelen kutusu kuralları ve olağan dışı oturum açmalar için uyarı tanımlayın.
• Etkilenen hesabın gönderdiği iletileri ileti izleme (message trace) kayıtlarıyla inceleyin ve kimlere ulaştığını belirleyin.
• Aynı oltalama kampanyasının diğer çalışanlara da ulaşıp ulaşmadığını kontrol edin; tek bir ele geçirilmiş hesap daha geniş bir saldırının parçası olabilir.

Giden trafikte anormallik tespiti neden önemli?

Ele geçirilmiş bir hesap toplu gönderim için kullanıldığında, fark edilmeden önce kısa sürede çok sayıda e-posta gönderebilir. Bu gönderim hem alıcılara zarar verir hem de şirketinizin IP adresini ve alan adını kara listelere sokarak meşru e-postalarınızın da teslim edilememesine yol açar. Bu yüzden giden trafiği izlemek, hesap güvenliğinin ayrılmaz bir parçasıdır; ayrıntıları giden spam engelleme yazımızda ele aldık.

MXZilla, smarthost olarak bağlanan posta sunucularının giden trafiğinde ani hacim artışını ve alıcı çeşitliliğindeki olağan dışı değişimi izler. Eşik aşıldığında olay kaydı açılıp bildirim gönderilir; otomatik askıya alma açıksa sunucunun yeni iletileri reddedilmek yerine yönetici kararına kadar bekletilir ve yönetici bu iletileri serbest bırakmaya ya da silmeye karar verir.

Hesap güvenliğinin bir parçası da alan adınızın doğru yapılandırılmasıdır. Alan adınızın SPF, DKIM, DMARC ve MX durumunu ücretsiz güvenlik kontrolü sayfasında birkaç saniyede görebilirsiniz.

Sık sorulan sorular

Parolamı değiştirdim, saldırgan hâlâ erişebilir mi?

Evet, mümkündür. Açık oturumlar, uygulama izinleri, uygulama parolaları ve yönlendirme kuralları parola değişikliğinden etkilenmeyebilir. Bu yüzden parola değişikliğinin ardından tüm oturumları kapatmak, kuralları ve izinleri tek tek kontrol etmek gerekir.

Hesabımın ele geçirildiğini nereden kesin olarak anlarım?

Oturum açma kayıtları, gönderilmiş öğeler ve kural değişiklikleri en güvenilir kanıtlardır. Kurumsal hesaplarda BT yöneticiniz, Microsoft 365 veya Google Workspace yönetim panellerindeki denetim kayıtlarından hangi IP adresinden ve ne zaman giriş yapıldığını görebilir.

Hesabımdan spam gönderildiyse müşterilerime ne söylemeliyim?

Kısa ve net bir bilgilendirme yapın: belirli bir tarih aralığında hesabınızdan gelmiş olabilecek bağlantılı veya ekli iletileri açmamalarını, özellikle banka bilgisi değişikliklerini dikkate almamalarını isteyin. Ödeme ilişkiniz olan iş ortaklarını mümkünse telefonla ayrıca arayın.

İki adımlı doğrulama açıkken hesap ele geçirilebilir mi?

Daha zordur ama mümkündür. Gerçek zamanlı çalışan oltalama sayfaları oturum bilgisini çalabilir; art arda gönderilen onay istekleri de kullanıcıyı yanlışlıkla onay vermeye itebilir. Geçiş anahtarı veya donanım anahtarı gibi oltalamaya dayanıklı yöntemler ve beklenmedik onay isteklerinin bildirilmesi bu riski azaltır.

Ele geçirilmiş bir hesap IP adresimizi kara listeye sokar mı?

Toplu spam veya oltalama gönderimi, gönderen IP adresinin ve alan adının kara listelere girmesine yol açabilir. Bu durumda önce gönderimi durdurmak, ardından ilgili listelerin kaldırma süreçlerini izlemek gerekir. Giden trafikteki anormallikleri erken yakalamak, bu noktaya gelmeden önlem almayı sağlar.