Oltalama e-postasını tanımak: adrese bakmak neden yetmiyor

Kurumsal veri sızıntılarının büyük bölümü karmaşık bir açıktan değil, birinin bir e-postadaki bağlantıya tıklamasından başlıyor. Sebep dikkatsizlik değil; oltalama iletileri normal bir iş e-postasına benzemek üzere tasarlanıyor. Tanımanın yolu sezgi değil, kontrol listesi.

Üç psikolojik kaldıraç

Hemen hepsi aynı üç şeyden birini kullanır:

• Aciliyet: hesabınız kapanacak, fatura bugün ödenecek, kargo iade edilecek. Amaç düşünme süresini ortadan kaldırmak.
• Otorite: yöneticiden, bankadan, bir kurumdan gelmiş gibi görünmek.
• Merak ya da korku: “hesabınıza giriş yapıldı”, “belgeniz paylaşıldı”, “ödemeniz reddedildi”.

Bu üçünden biri varsa, iletinin geri kalanını kontrol etmeden hiçbir şeye tıklamamak tek başına koruma sağlar.

Gönderici adresini doğru okumak

Görünen ad tamamen serbest bir metindir; dolandırıcı oraya banka adını yazabilir. Bakılacak yer köşeli parantez içindeki gerçek adres ve özellikle @ işaretinden sonraki kısım.

Burada üç klasik hile var:

1. Alt alan adı yanıltması: guvenlik.ornekbanka.dolandirici.com adresinde asıl alan adı en sağdaki ikilidir; yani dolandirici.com. Soldan okumak yanıltır, sağdan okumak gerekir.
2. Benzer harfler: büyük I ile küçük l, rn ile m, 0 ile O. Farklı alfabelerden benzer görünen harfler de kullanılabiliyor.
3. Gerçek bir hesabın ele geçirilmesi: en zor vaka. Adres doğrudur, çünkü ileti gerçekten o kişinin hesabından gönderilmiştir. Bu durumda tek ipucu içeriğin olağandışılığı olur.

Bağlantı metni hedefi göstermez

Bir bağlantının görünen yazısı ile gittiği adres birbirinden tamamen bağımsızdır. Masaüstünde imleci üzerine getirip hedefi görmek, telefonda basılı tutup önizlemek saniyeler sürüyor.

Ek olarak dikkat edilecekler: kısaltılmış adresler hedefi gizler; QR kodları da bir bağlantıdır ve aynı denetimi hak eder; “belgeyi görüntülemek için giriş yapın” diyen sayfalar oltalamanın en yaygın biçimidir. Giriş yapacağınız adresi her zaman kendiniz yazın ya da yer imlerinizden açın.

Burada en güçlü otomatik koruma parola yöneticisi: kayıtlı parolayı yalnızca doğru alan adında doldurur, sahte sayfada hiçbir şey önermez. Bu sessiz uyarıyı ciddiye almak gerekir, nedenini parola yöneticisi yazısında anlattık.

SPF, DKIM, DMARC: ne yapar, ne yapmaz

E-posta protokolü, göndericiyi doğrulamayan bir dönemde tasarlandı. Bu açığı kapatmak için alan adı kayıtlarına üç ayrı kayıt eklendi — hepsi DNS yazısında anlattığımız TXT kayıtları olarak duruyor:

• SPF: bu alan adı adına hangi sunucuların posta gönderebileceğini listeler.
• DKIM: giden iletiyi kriptografik olarak imzalar; alıcı imzayı alan adının açık anahtarıyla doğrular.
• DMARC: ilk ikisi başarısız olduğunda ne yapılacağını söyler (hiçbir şey, karantina, ya da reddet) ve rapor ister.

Önemli sınır: bu üçü yalnızca alan adının taklit edilmesini engeller. Dolandırıcı kendi alan adını alıp kendi SPF ve DKIM kayıtlarını kurarsa, teknik doğrulamadan geçer. Yani “kimlik doğrulaması başarılı” bir iletinin dürüst olduğu anlamına gelmez; yalnızca gönderenin, yazdığı alan adının sahibi olduğu anlamına gelir. Aynı mantık tarayıcıdaki kilit için de geçerliydi.

Alan adı sahibi tarafında yapılacak iş net: SPF, DKIM ve DMARC kayıtlarını eksiksiz kurmak, DMARC politikasını zamanla reddetmeye çekmek ve raporları izlemek. Bu, sizin adınıza sahte e-posta gönderilmesini zorlaştıran tek önlem.

Başlıkları okumak

Şüpheli bir iletide e-posta istemcisinin “kaynağı göster” veya “başlıkları göster” seçeneği işi bitirir. İki satıra bakmak genelde yeterli: kimlik doğrulama sonuçlarını özetleyen satır (SPF ve DKIM geçti mi) ve iletinin hangi sunucudan geldiğini gösteren teslim zinciri. Yanıt adresinin gönderici adresinden farklı olması da güçlü bir uyarı işareti.

Beş adımlık ayıklama

1. Ben bu iletiyi bekliyor muydum?
2. @ sonrası alan adı, sağdan okunduğunda beklediğim kurum mu?
3. Bağlantının gerçek hedefi ne?
4. Benden ne isteniyor: parola, ödeme, onay, dosya açma?
5. Aynı talebi bilinen bir kanaldan doğrulayabilir miyim?

Beşinci adım en önemlisi. Para ya da yetki içeren hiçbir talebi geldiği kanaldan onaylamamak, hem oltalamayı hem de sahte ses ve video senaryolarını kesen tek alışkanlık — sentetik medya yazısında da aynı kurala varmıştık.

Tıkladıysanız ne yapılır

• Sadece sayfa açıldıysa: genellikle zarar yok, kapatın.
• Parola girdiyseniz: o parolayı hemen değiştirin ve aynı parolayı kullandığınız diğer hesapları da değiştirin. Oturumları topluca kapatın.
• İkinci adım kodunu girdiyseniz: saldırgan büyük olasılıkla o anda içeride. Parola değişimi ve oturum iptali acil. Yöntem karşılaştırmasında anlattığımız gibi, geçiş anahtarı ve donanım anahtarı bu senaryoyu kökten engelliyor.
• Dosya açtıysanız: cihazı ağdan ayırın ve kurumsal bir ortamdaysanız bilgi işlemi hemen haberdar edin.
• Her durumda: olayı bildirin. Bildirmemek, aynı kampanyanın diğer çalışanlarda da başarılı olmasına yol açıyor. Suçlayıcı olmayan bir bildirim kültürü, teknik önlemlerden daha etkili.

Oltalamada hedef yazılımınız değil, aceleniz. Beş saniyelik bir duruş, en pahalı güvenlik ürününden iyi çalışıyor.