Markanızı Taklit Eden Bir Site mi Buldunuz? İlk 24 Saat

Marka ve güvenlik ekipleri için ilk gün planı: kanıtları kaydedin, etkiyi değerlendirin, engel listelerine ekletin, kaldırma talep edin, müşteriyi koruyun.

Ekibinizden biri ya da daha kötüsü bir müşteriniz, sitenizin tıpatıp aynısı gibi görünen bir bağlantı gönderdi. Bu bir kopya giriş sayfası, sahte bir ödeme ekranı ya da kart bilgisi isteyen bir “destek” portalı olabilir. Sonraki 24 saatte atacağınız adımlar, sitenin kaç kişiye ulaşacağını büyük ölçüde belirler. Bu rehber, net bir iş sırasına ihtiyaç duyan marka, güvenlik ve pazarlama yöneticileri için hazırlandı.

İlk saat: her şey değişmeden kanıtları kaydedin

Oltalama siteleri kısa ömürlüdür ve bildirildikten sonra çoğu zaman değişir ya da ortadan kaybolur. Tek bir şikâyet göndermeden önce gördüğünüz her şeyi kayıt altına alın.

• Tam adresler: giriş sayfası, kullanıcı adı ve parola formu, kart formu ve “işlem başarılı” sayfası dahil akıştaki her sayfanın yolu ve parametreleriyle birlikte URL’si.
• Zaman damgalı ekran görüntüleri: mümkünse hem mobil hem masaüstü tarayıcıdan. Pek çok kit içeriği yalnızca telefonlara ya da belirli bir ülkeden gelen ziyaretçilere gösterir.
• Yem mesajı: siteye yönlendiren SMS, e-posta (tüm başlık bilgileriyle), reklam ya da sosyal medya gönderisi.
• Teknik veriler: alan adının WHOIS veya RDAP kaydı, çözümlendiği IP adresi, bu IP’nin ait olduğu ağ (ASN) ve önünde bir CDN olup olmadığı.

İzole bir tarayıcı profili ya da sanal makine kullanın ve formlara asla gerçek bilgiler girmeyin. Sonraki adımı görmeniz gerekiyorsa açıkça sahte olan test verileri kullanın.

1. ile 3. saat arası: neyle karşı karşıya olduğunuzu anlayın

Hızlı bir değerlendirme hem önceliklendirmeyi kolaylaştırır hem de bildirimlerinizi daha ikna edici kılar.

• Hangi verileri topluyor? Parola, kart numarası, tek kullanımlık kod ve kimlik numarası farklı risk seviyeleri taşır ve şirket içinde farklı müdahaleler gerektirir.
• Nasıl yayılıyor? Bir SMS kampanyası, ücretli bir arama reklamı ve tek bir forum gönderisi çok farklı erişim tahminleri demektir.
• Bir kümenin parçası mı? Aynı kitle kurulan siteler çoğu zaman aynı IP adresini, kayıt firmasını, sayfa başlığını ya da dosya adlarını paylaşır. Kardeş siteleri şimdi bulmak ileride zaman kazandırır.

2. ile 6. saat arası: engel listelerine ekletin

Kaldırma işlemi zaman alabilir, ancak tarayıcı uyarıları insanları çok daha erken koruyabilir. Adresleri Google Safe Browsing, Microsoft SmartScreen, Netcraft, APWG ve PhishTank’e bildirin. Bir adres listeye girdiğinde yaygın tarayıcılar ve pek çok güvenlik ürünü sahte site yerine tam sayfa bir uyarı gösterir. Türkiye’de ayrıca USOM’a bildirimde bulunun; USOM’un zararlı bağlantılar listesi ağ seviyesinde engelleme için kullanılır.

Kendi altyapınızı da unutmayın: alan adını e-posta ağ geçidinize, web proxy’nize ve DNS filtrelemenize ekleyerek çalışanlarınızı da koruma altına alın.

3. ile 12. saat arası: kaldırma talebinde bulunun

Şimdi siteyi gerçekten kaldırabilecek taraflarla iletişime geçme zamanı:

1. Barındırma (hosting) firması: içeriğin kaldırılması için kötüye kullanım (abuse) adresi üzerinden.
2. Alan adı kayıt firması: alan adının askıya alınması için. Bu, o alan adından gönderilen e-postaları da durdurur. Bazı ülke kodlu alan adlarında kayıt otoritesinin (registry) kendi şikâyet süreci de vardır.
3. CDN ya da proxy hizmeti: site böyle bir hizmetin arkasına saklanıyorsa. Ayrıntılar için Cloudflare arkasındaki oltalama sitesini kaldırma yazımıza göz atın.

Her bildirimi kısa ve olgulara dayalı tutun: site neyi taklit ediyor, hangi adresler, hangi verileri topluyor ve kanıtlarınız neler. Bildirimi sizin adınıza bir hizmet sağlayıcı yapıyorsa, firmalar markayı temsil yetkisinin kanıtını, genellikle imzalı bir yetki belgesini isteyebilir.

Eş zamanlı olarak: müşterilerinizi ve işinizi koruyun

• Çağrı merkezinizi ve sosyal medya ekibinizi bilgilendirin; ilgili şikâyetleri tanısınlar ve tutarlı yanıtlar versinler.
• Dolandırıcılık ve kimlik ekiplerini uyarın; kampanyayla bağlantılı şüpheli oturum açma, parola sıfırlama ya da kart işlemlerini izlesinler, bilgileri ele geçirildiği bilinen hesaplarda parola yenilemeyi zorunlu kılsınlar.
• İletişim kararını verin. Sitenizde ya da sosyal medya hesaplarınızda kısa bir uyarı faydalı olabilir, ancak aktif oltalama adresini asla tıklanabilir şekilde yayımlamayın.
• Hukuk ve kişisel veri sorumlularını erkenden dahil edin; müşteri verisi ele geçirilmiş olabilirse KVKK, GDPR ya da sektörel düzenlemeler kapsamında bildirim yükümlülükleri doğabilir.

12. ile 24. saat arası: takip edin ve bir sonrakine hazırlanın

Bildirimlerin çoğu ilk etapta yalnızca otomatik yanıt alır. Sitenin farklı konum ve cihazlardan hâlâ erişilebilir olup olmadığını kontrol edin, gerekirse yeni kanıtlarla takip yazısı gönderin ve engel listesi uyarılarının görünüp görünmediğini doğrulayın. Ardından izlemeye başlayın: oltalama kitleri genellikle birkaç gün içinde yeni alan adlarında yeniden kurulur, bu yüzden tek bir kaldırma işlemi kampanyayı nadiren bitirir. Bu konuyu adım adım kaldırma süreci yazımızda daha ayrıntılı ele aldık.

Bir sonraki 24 saati kolaylaştırın

En iyi müdahale eden ekipler; süreci kimin yöneteceğine, kanıtların nerede saklanacağına ve müşteri mesajlarını kimin onaylayacağına önceden karar vermiş ekiplerdir. Bunu bir kez yazıya dökün; bir sonraki olay telaşlı bir koşturmaca değil, sıradan bir rutin olsun.

Phishvoid, imzalı yetki belgeniz çerçevesinde bu sürecin tamamını sizin yerinize yürütebilir; tek abonelikte sınırsız kaldırma talebi dahildir. Elinizde şüpheli bir adres varsa hemen oltalama sitesi bildirin ya da markanızı hedef alan diğer siteleri görmek için ücretsiz tarama isteyin.