İçindekiler
Domain spoofing, bir alan adının sahibi gibi görünerek e-posta gönderilmesi veya o markaya ait sanılan sahte bir site yayınlanmasıdır. Saldırganın amacı, kurban ile güvendiği marka arasındaki kimlik bağını koparıp kandırmaktır.
Domain Spoofing Tekniğinin Çalışma Mantığı
Domain spoofing, alan adı kimliğinin taklit edilmesine dayanan bir aldatma tekniğidir. Saldırgan ya mevcut alan adını gönderen olarak gösterir ya da göz yanılmasına uygun, ona çok benzeyen yeni bir alan adı kullanır.
Tekniğin işlemesinin temel nedeni, internetin kimlik katmanlarının birbirinden bağımsız çalışmasıdır. E-posta tarafında SMTP protokolü, gönderenin yazdığı başlık bilgilerini kendi başına doğrulamaz; alıcı sunucu ek bir kimlik doğrulama kaydı sorgulamıyorsa, From alanında görünen alan adı istenen değeri taşıyabilir. Web tarafında ise kullanıcı, adres çubuğundaki karakter dizisini okurken benzer harfleri birbirinden ayırmakta zorlanır.
Alan adı sahteciliği genellikle üç katmandan birini hedefler: görünen gönderen kimliği, alan adı yazımının kendisi veya alan adının IP adresine çözümlendiği DNS katmanı. Üçünde de kullanıcıya ulaşan son görüntü meşru görünür; sahtelik, mesajın başlıklarında, alan adının karakter yapısında veya çözümleme zincirinde kalır. Bu nedenle korunma, görsel kontrolden çok teknik doğrulamaya dayanır.
Domain Spoofing Saldırı Türleri
Alan adı sahteciliğinde saldırganın tercih ettiği yöntem, hedefin teknik yapısına ve saldırının amacına göre değişir. Aşağıdaki türler pratikte sık görülür ve çoğu zaman tek bir kampanya içinde birlikte kullanılır.
- E-posta alan adı sahteciliği: Gönderen başlığına kurumun gerçek alan adı yazılır; kimlik doğrulama kayıtları eksikse mesaj meşru görünerek kullanıcıya ulaşabilir.
- Typosquatting: Yazım hatasına dayalı alan adları kaydedilir; sirketadi.com yerine sirkeadi.com gibi tek harf farkıyla trafik yakalanır.
- Homograf (IDN) saldırısı: Latin alfabesindeki harflere benzeyen Kiril veya Yunan karakterleri kullanılarak gözle ayırt edilmesi güç alan adları oluşturulur. Bu adlar DNS tarafında xn-- ile başlayan punycode biçimine dönüşür.
- Combosquatting: Marka adının yanına güven çağrıştıran kelimeler eklenir; marka-guvenli-giris.com gibi adlar teknik olarak farklı bir alan adıdır.
- Alt alan adı yanılgısı: marka.com.odeme-dogrula.net biçimindeki adreslerde gerçek alan adı sondaki ikisidir; baştaki marka adı yalnızca alt alan adıdır.
- TLD değişimi: Aynı marka adının farklı bir uzantıyla kaydedilmesiyle, kurumun kullanmadığı bir gTLD veya ccTLD üzerinden sahte sayfa yayınlanır.
- DNS sahteciliği ve önbellek zehirlenmesi: Alan adı doğru yazılsa bile çözümleme sonucu değiştirilerek kullanıcı saldırganın sunucusuna yönlendirilir.
Bu türler arasındaki ayrım, savunma tarafında doğrudan karşılık bulur. Gönderen kimliğinin taklit edildiği saldırılara karşı e-posta kimlik doğrulama kayıtları; benzer alan adı kayıtlarına karşı izleme ve hukuki süreçler; çözümleme katmanındaki müdahalelere karşı ise DNSSEC ve güvenilir DNS altyapısı devreye girer.
Domain Spoofing Örnekleri ve Zararları
Alan adı sahteciliğinin pratikteki görünümü, çoğunlukla aciliyet duygusu yaratan bir mesaj ve ona eşlik eden taklit bir adrestir. Zarar, tek bir kullanıcının kandırılmasıyla sınırlı kalmayıp markanın gönderim itibarına da yansır.
Sık karşılaşılan senaryolardan biri, muhasebe veya finans birimine kurum içinden geliyormuş gibi görünen ödeme talimatı mesajıdır. Bir diğeri, müşterilere gönderilen ve fatura, kargo ya da hesap doğrulama bahanesiyle taklit bir giriş sayfasına yönlendiren toplu e-postalardır. Üçüncü yaygın örnek, reklam ve tedarik zincirinde kurumun alan adının başka bir tarafça gönderen olarak kullanılmasıdır.
Oluşan zararlar birkaç başlıkta toplanır: kullanıcı kimlik bilgilerinin ve oturum çerezlerinin ele geçirilmesi, hatalı yönlendirilmiş ödemeler nedeniyle doğrudan maddi kayıp, müşteri nezdinde güven aşınması ve marka itibarının zedelenmesi. Teknik tarafta ise taklit gönderimler nedeniyle kurumun alan adı spam şikâyeti alabilir; bu durum meşru pazarlama ve işlemsel e-postaların teslim edilebilirliğini olumsuz etkileyebilir. Kişisel veri içeren bir sızıntı söz konusu olduğunda ayrıca mevzuat kaynaklı bildirim ve inceleme süreçleri gündeme gelir.
SPF, DKIM ve DMARC ile E-posta Sahteciliğini Engelleme
E-posta üzerinden yapılan alan adı sahteciliğine karşı en belirleyici önlem, alan adı adına kimlerin gönderim yapabileceğini DNS üzerinden ilan etmektir. SPF, DKIM ve DMARC birbirini tamamlayan üç ayrı katmandır ve birlikte yapılandırıldığında anlam kazanır.
| Mekanizma | DNS kaydı | Neyi doğrular | Tek başına sınırı |
|---|---|---|---|
| SPF | Alan adı üzerinde TXT kaydı | Gönderimi yapan sunucunun IP adresinin yetkili listede olup olmadığını | Zarf gönderenini esas alır; kullanıcının gördüğü From başlığını denetlemez |
| DKIM | secici._domainkey altında TXT kaydı | Mesajın imzalanan başlık ve gövde bölümlerinin yolda değişmediğini, imzanın alan adına ait anahtarla eşleştiğini | İmzanın hangi alan adına ait olduğu konusunda politika üretmez |
| DMARC | _dmarc altında TXT kaydı | From başlığındaki alan adının SPF veya DKIM sonucuyla hizalı olup olmadığını | Yayınlanan politika p=none kaldığı sürece yalnızca raporlama sağlar |
SPF kaydı yapılandırılırken yetkili gönderim kaynaklarının eksiksiz listelenmesi gerekir; pazarlama aracı, CRM ve fatura sistemi gibi dış servisler unutulduğunda meşru mesajlar da başarısız olur. SPF değerlendirmesinde izin verilen DNS sorgu sayısı standart gereği sınırlıdır, bu nedenle kayda arka arkaya çok sayıda include eklemek doğrulamayı bozabilir.
DKIM tarafında imza anahtarı e-posta sunucusunda tutulur, karşılığı olan açık anahtar seçici adıyla DNS’e yazılır. Alıcı sunucu imzayı bu kayıtla doğrular. Anahtarların belirli aralıklarla yenilenmesi ve farklı gönderim servisleri için ayrı seçici kullanılması, yönetimi sadeleştirir.
DMARC, diğer iki mekanizmanın sonucunu From başlığındaki alan adıyla hizalayarak taklit gönderimlere karşı asıl kararı üretir. Yayına p=none ve rapor adresi tanımıyla başlanıp gelen raporlarla tüm meşru kaynaklar tespit edildikten sonra politikanın p=quarantine ve ardından p=reject seviyesine taşınması, meşru trafiği kesme riskini azaltan bir ilerleme yoludur. Hiç e-posta göndermeyen alan adları ve park edilmiş alan adları için de kısıtlayıcı kayıt yayınlanması, bu adların taklit gönderimde kullanılmasını zorlaştırır.
Alan Adı Sahteciliği Önleme Yöntemleri
E-posta kimlik doğrulaması, alan adı sahteciliğinin yalnızca bir yüzünü kapatır. Alan adı portföyü, DNS yönetimi, sertifika düzeni ve marka hakları birlikte ele alındığında saldırganın elinde kalan seçenek sayısı belirgin biçimde azalır.
- Alan adı kaydını kilitleyin: kayıt kuruluşunda transfer kilidi ve alan adı sahipliği bilgilerinin güncelliğini düzenli olarak kontrol edin, yönetim hesabında çok faktörlü doğrulama kullanın.
- Benzer yazımları ve yaygın uzantıları önden kaydedin: marka adının sık yapılan yazım hatalarını ve ticari olarak önemli TLD karşılıklarını toplu domain sorgulama ile kontrol edip kendi portföyünüzde tutun.
- Markanızı tescil ettirin: tescilli marka, sahte alan adlarına karşı yürütülen alan adı uyuşmazlık başvurularında ve kaldırma taleplerinde dayanak oluşturur.
- DNS katmanını sertleştirin: güvenilir bir DNS servisi kullanın, kayıt değişikliklerini yetkilendirin ve bölgeniz destekliyorsa DNSSEC ile çözümleme yanıtlarını imzalayın.
- Sertifika yetkisini sınırlayın: CAA kaydıyla alan adınız için sertifika üretebilecek sertifika otoritelerini belirleyin ve tüm hizmetlerde HTTPS kullanın.
- Resmî iletişim kanallarını netleştirin: müşterilere hangi alan adlarından ve hangi konularda yazdığınızı duyurun, e-postalarda parola veya ödeme bilgisi istemediğinizi tutarlı biçimde belirtin.
- Ekibi eğitin: özellikle finans ve müşteri destek birimlerinde gönderen alan adını başlıklardan doğrulama ve olağan dışı talimatlar için ikinci kanaldan teyit alışkanlığı oluşturun.
Bu adımlar birbirinin yerine geçmez. Örneğin benzer alan adlarını satın almak, DMARC politikası yayınlanmamış bir alan adının gönderen olarak taklit edilmesini engellemez; aynı şekilde güçlü e-posta kimlik doğrulaması, farklı bir alan adı üzerinde kurulan sahte giriş sayfasını ortadan kaldırmaz. Savunmanın değeri, katmanların birlikte uygulanmasından gelir.
Sahte Alan Adı Tespiti İçin Güvenlik Araçları ve Kontroller
Alan adı sahteciliğine karşı kurulan yapının çalıştığını görmek ve taklit kayıtları erken yakalamak için düzenli izleme gerekir. İzleme hem kendi kayıtlarınızın doğruluğunu hem de dışarıda üretilen benzer alan adlarını kapsamalıdır.
- DMARC rapor analizi: Toplu raporlar, alan adınız adına gönderim yapan tüm kaynakları ve doğrulama sonuçlarını gösterir; yetkisiz kaynakları ayırt etmenin doğrudan yollarından biridir.
- DNS kayıt sorgulama: dig veya nslookup gibi araçlarla SPF, DKIM, DMARC ve CAA kayıtlarının yayınlandığı biçimde çözümlendiğini doğrulayın.
- WHOIS ve alan adı kayıt izleme: Marka adınızı içeren yeni kayıtların bildirilmesini sağlayan izleme servisleri, typosquatting girişimlerini erken aşamada görünür kılar.
- Sertifika şeffaflığı kayıtları: Marka adınızı içeren alan adlarına sertifika alındığında bu kayıtlar üzerinden tespit mümkün olur; HTTPS ile yayın yapan bir sahte site için düzenlenen sertifika da bu kayıtlarda yer alır.
- E-posta başlık incelemesi: Şüpheli bir mesajın kaynak başlıklarında Received, Return-Path ve kimlik doğrulama sonuçları satırlarına bakmak, görünen gönderenle gerçek kaynağı karşılaştırmayı sağlar.
- Punycode kontrolü: Adres çubuğundaki alan adının xn-- ile başlayan karşılığını görüntülemek, homograf saldırılarında karakter değişimini ortaya çıkarır.
Tespit edilen sahte alan adlarına karşı izlenecek yol, kaydın bulunduğu kayıt kuruluşuna ve barındırma sağlayıcısına kötüye kullanım bildirimi yapmak, tescilli marka hakkına dayanıyorsa alan adı uyuşmazlık çözüm sürecini başlatmak ve müşterileri resmî kanallardan bilgilendirmektir. Bildirim dosyasında sahte sayfanın ekran kayıtları, alan adının kayıt bilgileri ve markanın tescil belgesi gibi dayanakların hazır bulunması süreci hızlandırır.
