E-posta sahteciliği, bir mesajın gönderen bilgisinin taklit edilerek başka bir kişiden ya da kurumdan geliyormuş gibi gösterilmesidir. Alıcı, tanıdığı bir adresi gördüğü için mesaja güvenir.

Protokolün özgün tasarımında gönderen kimliğinin doğrulanması öngörülmemiştir. Bu boşluk, sonradan eklenen doğrulama mekanizmalarıyla kapatılmaya çalışılmıştır.

Bugün bile bu mekanizmaların doğru yapılandırılmadığı alan adları, kolayca taklit edilebilir durumdadır. Kurumun kendi adına gönderilen sahte mesajlar bu yolla üretilir.

E-posta Sahteciliği Nedir?

E-posta sahteciliği, mesaj başlıklarındaki gönderen bilgilerinin değiştirilerek mesajın meşru bir kaynaktan geliyormuş gibi görünmesini sağlayan tekniktir.

Sahtecilik iki farklı alanda yapılabilir. Zarf gönderen adresi teslimat sırasında kullanılırken, başlık gönderen adresi kullanıcının gördüğü adrestir.

Doğrulama mekanizmalarının bir kısmı yalnızca zarf adresini denetler. Bu nedenle tek başına uygulandıklarında kullanıcının gördüğü adresin taklidini engellemezler.

Hangi Yöntemlerle Yapılır?

Birinci yöntem, doğrudan başlık alanlarının değiştirilmesidir. Kimlik doğrulama kaydı bulunmayan alan adları için bu yeterlidir.

İkinci yöntem, görünen ad taklididir. Gerçek adres farklı olsa da, görünen ad tanıdık bir kişinin adı olarak yazılır.

Mobil istemcilerde çoğu zaman yalnızca görünen ad gösterildiği için bu yöntem oldukça etkilidir. Kullanıcı gerçek adresi görmeden karar verir.

Üçüncü yöntem, benzer alan adı kullanımıdır. Kurumun alan adına çok benzeyen bir adres kaydedilerek mesaj oradan gönderilir.

Bu yöntem teknik olarak sahtecilik sayılmaz; çünkü gönderim gerçekten o alan adından yapılır. Tipo squatting bu tekniğin adıdır.

• Kimlik doğrulama kaydı olmayan alan adlarının doğrudan taklidi
• Görünen ad alanına tanıdık bir isim yazılması
• Benzer ya da yanıltıcı alan adları kaydedilmesi
• Yanıt adresinin gönderen adresinden farklı ayarlanması
• Ele geçirilmiş meşru bir hesaptan gönderim yapılması

SPF Nasıl Korur?

SPF kaydı, bir alan adı adına hangi sunucuların e-posta gönderebileceğini listeler. Alıcı sunucu, gelen mesajın izinli bir sunucudan gelip gelmediğini kontrol eder.

Kayıt, alan adı yönetim panelinde bir metin kaydı olarak tanımlanır. Kurumun kullandığı tüm gönderim kaynaklarının bu kayda eklenmesi gerekir.

Eksik kalan kaynaklar meşru mesajların reddedilmesine yol açar. Bu nedenle kayıt hazırlanmadan önce gönderim envanteri çıkarılmalıdır.

SPF yalnızca zarf gönderen adresini denetler. Bu nedenle tek başına kullanıcının gördüğü adresin taklidini engellemez.

DKIM Nasıl Korur?

DKIM imzası, gönderilen mesajın belirli bölümlerinin kriptografik olarak imzalanmasıdır. Alıcı, imzayı alan adının yayımladığı açık anahtarla doğrular.

Bu doğrulama, mesajın yolda değiştirilmediğini ve gerçekten ilgili alan adı tarafından imzalandığını gösterir. İmza, iletim sırasında korunur.

İmzalama anahtarlarının düzenli olarak yenilenmesi önerilir. Uzun süre değişmeyen anahtarlar, ele geçirilmeleri hâlinde uzun vadeli risk oluşturur.

DKIM de tek başına yeterli değildir; imzanın hangi alan adına ait olduğu ile görünen adres arasındaki ilişki ayrıca denetlenmelidir.

DMARC Neden Gereklidir?

DMARC politikası, önceki iki mekanizmayı birbirine ve kullanıcının gördüğü adrese bağlar. Doğrulama başarısız olduğunda ne yapılacağını da tanımlar.

Politika üç düzeyde ayarlanabilir: yalnızca izleme, karantina ve reddetme. Geçiş, izleme modunda başlayıp raporlar incelendikten sonra sıkılaştırılarak yapılır.

Raporlama özelliği, alan adı adına gönderim yapan tüm kaynakları görünür kılar. Bu görünürlük, meşru kaynakların eksiksiz listelenmesini sağlar.

Politikanın reddetme düzeyine çıkarılmadığı sürece koruma büyük ölçüde sınırlı kalır. Birçok kurum izleme modunda kalarak asıl faydayı elde edemez.

Ek Mekanizmalar

Aktarım güvenliğini zorunlu kılan mekanizmalar da bulunur. MTA-STS ve TLS raporlama, posta trafiğinin şifreli taşınmasını güvence altına alır.

Marka göstergesi kayıtları ise doğrulanmış alan adlarının kullanıcı arayüzünde ayırt edilmesini sağlar. Bu, kullanıcının görsel doğrulama yapmasına yardımcı olur.

Bu mekanizmalar temel korumanın yerine geçmez; üzerine eklenir. Öncelik her zaman doğru yapılandırılmış kimlik doğrulama kayıtlarındadır.

Kurumsal Yapılandırma Adımları

İlk adım, alan adı adına gönderim yapan tüm sistemlerin envanterinin çıkarılmasıdır. Pazarlama araçları, destek sistemleri ve uygulama bildirimleri bu listede yer alır.

İkinci adım, kayıtların oluşturulması ve izleme modunda yayımlanmasıdır. Bu aşamada gelen raporlar, unutulan kaynakları ortaya çıkarır.

Üçüncü adım, politikanın kademeli olarak sıkılaştırılmasıdır. Karantina ve ardından reddetme düzeyine geçiş, birkaç haftalık gözlem sonrasında yapılır.

Dördüncü adım, kullanılmayan alan adları için de kayıt tanımlanmasıdır. Hiç e-posta göndermeyen bir alan adının bunu açıkça belirtmesi, taklidini engeller.

Alıcı Tarafında Neler Yapılabilir?

Kurumlar yalnızca kendi alan adını korumakla kalmaz, gelen mesajları da denetler. Gelen mesajlarda kimlik doğrulama sonuçlarının değerlendirilmesi, sahte mesajların büyük bölümünü eler. Doğrulaması başarısız olan mesajların karantinaya alınması ya da işaretlenmesi gerekir. Bu politika, e-posta ağ geçidinde tanımlanır. Varsayılan ayarların çoğu ortamda gevşek olduğu unutulmamalıdır.

İkinci bir denetim, görünen ad ile gerçek adres arasındaki uyumun kontrol edilmesidir. Kurum içindeki bir yöneticinin adını taşıyan ama dış adresten gelen mesajlar işaretlenir. Bu kural, görünen ad taklidini büyük ölçüde etkisiz kılar. Kuralın yönetici listesiyle beslenmesi gerekir. Liste güncel tutulmadığında koruma zayıflar.

Üçüncü denetim, dış kaynaklı mesajların görsel olarak etiketlenmesidir. Alıcı, mesajın kurum dışından geldiğini gördüğünde daha dikkatli davranır. Etiketin fark edilir ama rahatsız edici olmaması gerekir. Aşırı kullanılan etiketler bir süre sonra görünmez hâle gelir. Bu nedenle yalnızca gerçekten dış kaynaklı mesajlarda kullanılmalıdır.

Yanıt Adresi ve Konuşma Kaçırma

Sahte mesajlarda yanıt adresi genellikle gönderen adresinden farklı ayarlanır. Kullanıcı yanıt verdiğinde mesaj saldırgana gider ve konuşma saldırganla sürer. Bu ayrım çoğu istemcide görünür değildir. Bu nedenle yanıt adresi farklı olan mesajların işaretlenmesi faydalı bir kuraldır. Kural, meşru pazarlama gönderimleri için istisna gerektirebilir.

Daha gelişmiş bir yöntem, mevcut bir yazışmaya dahil olmaktır. Saldırgan ele geçirdiği bir hesaptan gerçek bir konuşmayı devralarak yanıt yazar. Bu senaryoda mesaj gerçekten meşru bir adresten gelir ve tüm doğrulamaları geçer. Teknik denetimler bu durumda etkisiz kalır. Savunma, süreç doğrulamasına ve kullanıcı dikkatine kayar.

Bu tür olaylarda tek güvenilir kontrol, ikinci kanaldan doğrulamadır. Ödeme bilgisi değişikliği ya da hassas belge talebi gibi durumlarda telefonla teyit zorunlu tutulur. İş e-postası ele geçirme olaylarının önlenmesi büyük ölçüde bu kurala bağlıdır. Kuralın istisnasız uygulanması gerekir.

Raporların Değerlendirilmesi

Politika raporları, alan adı adına gönderim yapan tüm kaynakları listeler. İlk raporlarda genellikle bilinmeyen kaynaklar görülür ve bunların bir kısmı meşru çıkar. Pazarlama araçları, fatura sistemleri ve iş ortağı gönderimleri bu kategoridedir. Her kaynağın doğrulanması ve kayda alınması gerekir. Bu çalışma, politikanın sıkılaştırılabilmesinin ön koşuludur.

Raporlar ham hâlde okunması zor bir biçimde gelir. Bu nedenle raporların işlenip görselleştirildiği araçlar kullanılır. Araç seçimi, kurumun gönderim hacmine göre yapılır. Küçük hacimlerde basit araçlar yeterlidir. Önemli olan raporların düzenli olarak incelenmesidir.

Raporlarda görülen yetkisiz gönderim girişimleri de değerlendirilir. Bu girişimler, kurumun taklit edildiğini gösteren doğrudan kanıtlardır. Girişimlerin sayısı ve kaynağı, marka istismarının boyutunu ortaya koyar. Bu bilgi, farkındalık çalışmalarında da kullanılır. Somut veriler, konunun ciddiyetini anlatmayı kolaylaştırır.

Sık Yapılan Yapılandırma Hataları

En yaygın hata, kayıtların çok geniş tanımlanmasıdır. Tüm gönderime izin veren bir kayıt, hiç kayıt olmamasıyla neredeyse aynı sonucu verir. Kayıtların dar ve kesin tanımlanması gerekir. Geniş tanım, meşru gönderimlerin engellenmemesi kaygısından doğar. Doğru çözüm, envanteri tamamlamaktır.

İkinci hata, birden fazla kayıt tanımlanmasıdır. Aynı türden iki kayıt bulunması doğrulamanın başarısız olmasına yol açar. Kayıtlar tek bir satırda birleştirilmelidir. Bu hata, farklı ekiplerin bağımsız kayıt eklemesiyle oluşur. Merkezî yönetim bu karışıklığı önler.

Üçüncü hata, politikayı izleme modunda bırakmaktır. İzleme modu geçiş için tasarlanmıştır, kalıcı bir durum değildir. Reddetme moduna geçilmediği sürece taklit gönderimler engellenmez. Geçiş için gereken hazırlık tamamlanmalı ve tarih belirlenmelidir. Belirsiz bırakılan geçişler yıllarca ertelenir.

Privia Security olarak kurumların e-posta kimlik doğrulama yapılandırmasınıaltyapı ve mimari gözden geçirme kapsamında inceliyor, kademeli geçiş planı hazırlıyoruz.