Oltalama siteleri neden Cloudflare kullanır, şikâyet süreci neyi sağlar ve barındırma, kayıt firması ve engel listelerine paralel bildirim nasıl yapılır?
Markanızı taklit eden bir oltalama (phishing) sitesinin IP adresini sorguluyorsunuz ve cevap hep aynı: Cloudflare. IP’nin WHOIS kaydı Cloudflare’i gösteriyor, asıl barındırma firması görünmüyor ve bu bir çıkmaz sokak gibi hissettirebiliyor. Oysa değil. Siteyi kaldırtmanın anahtarı, Cloudflare’in o site için tam olarak ne yaptığını anlamaktır.
Oltalama sitelerinin çoğu neden Cloudflare arkasında?
Cloudflare, çok sayıda meşru web sitesinin kullandığı bir ters proxy ve içerik dağıtım ağıdır (CDN). Bir alan adı bu hizmete bağlandığında ziyaretçiler Cloudflare sunucularına bağlanır; Cloudflare de içeriği origin (kaynak) adı verilen gerçek sunucudan çeker. Kaynak sunucunun IP adresi dışarıdan görünmez.
Bu durum dolandırıcılar için üç nedenle caziptir: sitenin gerçekte nerede barındırıldığını gizler, ücretsiz sertifika ve iyi performans sağlar, mağdur marka ile barındırma firması arasına fazladan bir adım koyar. Ancak çoğu durumda Cloudflare barındırma firması değildir. Oltalama dosyaları başka bir yerdeki sunucuda durur.
Cloudflare’in şikâyet süreci ne işe yarar?
Cloudflare, oltalama için ayrı bir kategorisi bulunan herkese açık bir kötüye kullanım (abuse) bildirim formu sunar. Şirketin yayımladığı yaklaşıma göre bir bildirim genellikle şu adımların bir bileşimiyle sonuçlanır:
- Şikâyetin iletilmesi: bildirim kaynak sunucuyu barındıran firmaya ve çoğu durumda site sahibine aktarılır.
- Barındırma firmasının bildirene açıklanması: böylece o firmayla doğrudan iletişime geçebilirsiniz.
- Uyarı sayfası gösterilmesi: Cloudflare kötüye kullanımı kendisi doğruladığında sitenin önüne bir oltalama uyarısı koyabilir.
Önemli bir istisna var: Site Cloudflare’in Pages veya Workers gibi platformlarında barındırılıyorsa barındırma firması Cloudflare’in kendisidir ve içeriği doğrudan kaldırabilir. İki durumu ayırt etmek için alan adına ve sunucu yanıtının ayrıntılarına bakın.
Sonuç alan bir bildirim nasıl yazılır?
İnceleme ekipleri çok sayıda şikâyetle uğraşır; bu yüzden bildiriminizi doğrulaması kolay hâle getirin:
- Zararlı tüm adresleri listeleyin, yalnızca ana sayfayı değil. Kitler çoğu zaman kök sayfayı boş bırakıp sahte giriş ekranını daha derin bir dizinde sunar.
- Taklidi bir iki cümleyle açıklayın: hangi marka, hangi meşru sayfa kopyalanmış, hangi veriler isteniyor.
- Kanıt ekleyin: zaman damgalı ekran görüntüleri ve mümkünse gerçek sayfanızla yan yana bir karşılaştırma.
- Gizleme (cloaking) varsa belirtin. Pek çok oltalama sayfası içeriği yalnızca mobil tarayıcılara, tek bir ülkeden gelen ziyaretçilere ya da belirli bir parametre taşıyan bağlantılara gösterir. Gördüğünüzü nasıl tekrar üretebileceklerini anlatın; aksi hâlde site incelemeciye zararsız görünebilir.
- Yetkinizi gösterin. Markayı temsil ettiğinizi belirtin. Üçüncü taraf bir hizmet sağlayıcı, yetki belgesi sunmaya hazır olmalıdır.
Beklemeyin: paralel ilerleyin
Cloudflare bildirimi planın tamamı değil, yalnızca bir koludur. Aynı anda şunları yapın:
- Alan adını kayıt firmasına bildirin. Alan adının askıya alınması, arkasında hangi CDN ya da barındırma firması olursa olsun siteyi erişilemez hâle getirir. Kayıt firması, alan adının WHOIS veya RDAP kaydında yazar.
- Adresleri tarayıcı engel listelerine gönderin: Google Safe Browsing, Microsoft SmartScreen, Netcraft, APWG, PhishTank ve Türkiye için USOM. Uyarılar, site kaldırılmadan çok önce görünmeye başlayabilir.
- Kaynak sunucunun barındırma firmasına kim olduğunu öğrenir öğrenmez aynı kanıt paketiyle başvurun.
Sınırı aşmadan kaynak sunucuyu bulmak
Kaynak sunucu bazen pasif ve herkese açık bilgilerle tespit edilebilir: alan adı Cloudflare’e taşınmadan önceki geçmiş DNS kayıtları, sertifika şeffaflığı (Certificate Transparency) kayıtları, e-posta sunucusu kayıtları ya da aynı kampanyada proxy kullanmayan diğer alan adları. Pasif araştırmanın dışına çıkmayın. Kontrolünüzde olmayan bir sunucuyu yoklamak ya da ona saldırmak, sunucu kötü amaçlı olsa bile meşru bir kaldırma çalışmasının parçası değildir.
Süreci yavaşlatan yaygın hatalar
- Oltalama sayfası bir alt dizindeyken yalnızca ana alan adını bildirmek.
- Kanıt eklemeden “bu site dolandırıcı” gibi belirsiz şikâyetler göndermek.
- İlk otomatik yanıtı sürecin sonu sanıp takip etmemek.
- Aynı kitin muhtemelen başka alan adlarında, bazıları yine Cloudflare arkasında çalıştığını unutmak.
Tespitten yeniden ortaya çıkma takibine kadar tüm akış için oltalama sitesi bildirildikten sonra neler olur yazımızı okuyabilirsiniz.
İşi uzmanına bırakın
Phishvoid; Cloudflare bildirimlerini, kayıt firması ve barındırma firması başvurularını ve engel listesi gönderimlerini imzalı yetki belgeniz çerçevesinde paralel olarak yürütür. Tek abonelikte sınırsız kaldırma talebi dahildir. Elinizde şüpheli bir site mi var? Hemen oltalama sitesi bildirin. Markanızı hedef alan başka neler olduğunu merak ediyorsanız ücretsiz tarama isteyin.
Markanızı taklit eden biri mi var?
Benzer domainleri ve kopya sayfaları bulup kaldırtıyoruz. Ücretsiz maruziyet taramasıyla başlayın.