Tabnabbing, kullanıcının uzun süre arka planda bıraktığı bir sekmenin içeriğinin sessizce değiştirilmesiyle yürütülen bir kimlik avı türüdür. Kullanıcı başka sekmelerde çalışırken, unuttuğu sekme sahte bir giriş sayfasına dönüşür. Geri döndüğünde oturumunun kapandığını düşünerek kimlik bilgilerini yeniden girer. Sekmenin adresini kontrol etme ihtiyacı duymaz çünkü o sekmeyi kendisi açmıştır. Bu güven, saldırının temel dayanağıdır.

Saldırının klasik biçiminde, kullanıcının açtığı zararlı bir sayfa belirli bir süre bekledikten sonra kendini değiştirir. Modern biçiminde ise yeni sekmede açılan bağlantıların kaynak sayfaya erişebilmesi kötüye kullanılır. Açılan sayfa, kendisini açan sekmenin adresini değiştirebilir. Kullanıcı ilk sekmeye döndüğünde farklı bir sayfa bulur. Bu ikinci biçim, meşru sitelerde bile ortaya çıkabilir.

Tabnabbing Nedir?

Tabnabbing, arka planda bekleyen bir tarayıcı sekmesinin içeriğinin ya da adresinin değiştirilerek kullanıcının sahte bir sayfaya kimlik bilgisi girmesinin sağlandığı saldırı türüdür.

Saldırının etkili olmasının nedeni, kullanıcıların açık sekmelerini güvenli varsaymasıdır. Bir sekmeyi kendimiz açtığımızda, içeriğinin değişmeyeceğini düşünürüz. Bu varsayım, çok sekmeli çalışma alışkanlığıyla birleştiğinde risk oluşturur. Onlarca sekmeyle çalışan bir kullanıcı, hangi sekmenin ne zaman açıldığını hatırlamaz. Saldırgan bu belirsizlikten yararlanır.

Nasıl Önlenir?

Site sahipleri açısından temel önlem, yeni sekmede açılan bağlantıların kaynak sayfaya erişimini kesmektir. Bağlantılara ilgili nitelik eklendiğinde, açılan sayfa kendisini açan sekmeyi değiştiremez. Modern tarayıcılar bu davranışı varsayılan hâle getirmiştir. Yine de eski tarayıcılar ve bazı senaryolar için açıkça belirtilmesi önerilir. Bu tek nitelik, saldırının modern biçimini engeller.

İkinci önlem, kullanıcı tarafındadır. Kimlik bilgisi girmeden önce adres çubuğunun kontrol edilmesi alışkanlık hâline getirilmelidir. Uzun süre açık kalan sekmelerde bu kontrol özellikle önemlidir. Parola kasası kullanımı da dolaylı koruma sağlar. Kayıtlı parola yalnızca doğru alan adında doldurulur.

• Bağlantılara açılan sayfanın kaynak erişimini kesen niteliğin eklenmesi
• Tarayıcıların güncel sürümde tutulması
• Kimlik bilgisi girmeden önce adres kontrolü alışkanlığı
• Kritik hizmetlere yer imlerinden erişim
• Parola yöneticisinin otomatik doldurma davranışına güvenilmesi

Kurumsal Önlemler

Kurumsal ortamda tarayıcı politikalarıyla güvenlik davranışları merkezî olarak yönetilebilir. Güncel sürüm zorunluluğu ve varsayılan güvenlik ayarlarının kilitlenmesi bu kapsamdadır. Ayrıca kimlik avına dayanıklı doğrulama yöntemleri, kullanıcı sahte sayfaya bilgi girse bile oturum açılmasını engeller. Bu koruma, kullanıcı hatasını sonuçsuz bırakır. Bu nedenle kimlik katmanı yatırımı önceliklidir.

Kendi web uygulamalarında ise bağlantı davranışlarının denetlenmesi gerekir. Kullanıcı içeriği barındıran sayfalarda dış bağlantıların otomatik olarak güvenli biçimde işaretlenmesi önerilir. Bu kontrol, uygulama çerçevesi düzeyinde uygulanabilir. Böylece geliştiricinin her bağlantıda ayrı ayrı hatırlaması gerekmez. Merkezî çözümler daha güvenilirdir.

Kimlik Avıyla İlişkisi

Bu teknik, bağımsız bir saldırı ailesi değil kimlik avının bir taşıma biçimidir. Kullanıcı sahte sayfaya bir bağlantıya tıklayarak değil, kendi açtığı sekmeye dönerek ulaşır. Bu fark, klasik “şüpheli bağlantıya tıklama” eğitimini işlevsiz kılar. Kullanıcının dikkat etmesi gereken an, tıklama anı değil geri dönüş anıdır. Eğitim içeriğinin bu farkı vurgulaması gerekir.

Sahte sayfanın gerçeğinden ayırt edilmesi de zordur. Sayfa çoğu zaman gerçek sitenin birebir kopyasıdır ve yalnızca adres farklıdır. Kullanıcı adres çubuğunu kontrol etmediği sürece fark edilmez. Bu nedenle savunma, kullanıcı dikkatine değil kimlik katmanına dayanmalıdır. Alan adına bağlı doğrulama yöntemleri bu senaryoyu yapısal olarak engeller.

Saldırı, hedefli kampanyalarda da kullanılabilir. Kurumun kullandığı bir portalın kopyası hazırlanarak belirli çalışanlar hedeflenebilir. Bu durumda sayfa, kurumun görsel kimliğini de taşır. Hedefli kimlik avı mantığı burada da geçerlidir. İnandırıcılık, hazırlık süresiyle doğru orantılıdır.

Tarayıcı Tarafındaki Gelişmeler

Modern tarayıcılar, yeni sekmede açılan sayfaların kaynak sekmeye erişimini varsayılan olarak kesmiştir. Bu değişiklik, saldırının en yaygın biçimini büyük ölçüde ortadan kaldırmıştır. Ancak eski tarayıcı sürümleri ve bazı gömülü tarayıcı bileşenleri bu davranışı uygulamayabilir. Bu nedenle site tarafında açık tanım yapılması hâlâ önerilir. Varsayılana güvenmek, kapsama boşluğu bırakır.

Tarayıcılar ayrıca uzun süre arka planda kalan sekmelerin kaynak kullanımını kısıtlamaktadır. Bu kısıtlama, zamanlayıcıya dayanan varyasyonları zorlaştırır. Yine de kısıtlamanın kapsamı tarayıcıya göre değişir. Bu nedenle koruma tek bir mekanizmaya dayandırılmamalıdır. Katmanlı yaklaşım burada da geçerlidir.

Kurumsal ortamda tarayıcı güncelliğinin merkezî olarak yönetilmesi önemlidir. Güncel olmayan tarayıcılar, hem bu hem birçok başka saldırıya açık kalır. Güncelleme politikasının zorunlu ve otomatik olması önerilir. Kullanıcı erteleme seçeneğinin sınırlanması gerekir. Süresiz erteleme, koruma seviyesini kullanıcının tercihine bırakır.

Kullanıcı Alışkanlıklarının Rolü

Çok sayıda sekmeyle çalışma alışkanlığı, bu saldırının etkisini artırır. Onlarca açık sekme arasında hangisinin ne zaman açıldığını hatırlamak mümkün değildir. Sekme sayısının makul tutulması, dolaylı bir güvenlik önlemidir. Ancak bu tavsiye tek başına gerçekçi bir çözüm değildir. Asıl çözüm teknik katmanlardadır.

Kritik hizmetlere yer imlerinden erişim alışkanlığı ise doğrudan koruma sağlar. Yer iminden açılan sayfa, her seferinde doğru adresten yüklenir. Bu alışkanlık, tabnabbing dâhil birçok senaryoyu etkisiz kılar. Kurumsal portal üzerinden erişim de aynı işlevi görür. Merkezî erişim noktası hem güvenlik hem kullanılabilirlik sağlar.

Privia Security olarak web uygulamalarındaki bu tür arayüz ve bağlantı davranışı zayıflıklarınıdüzenli zafiyet tarama hizmeti kapsamında değerlendiriyoruz.