Oltalama Sitesi Kaldırma Süreci: Adım Adım Ne Olur?

Bir oltalama sitesi bildirildikten sonra neler olur? Tespit, doğrulama, engel listeleri, barındırma, kayıt firması ve CDN bildirimleri, takip ve yeniden izleme.

Pek çok kurum için bir oltalama (phishing) sitesi hakkında düşünmek “bildirdik” cümlesiyle sona erer. Oysa uygulamada bildirim; birden fazla aşaması olan, farklı kurumları içeren ve gecikmeye bolca açık bir sürecin yalnızca başlangıcıdır. Profesyonel bir kaldırma sürecinin adım adım nasıl işlediğini ve her aşamada neler bekleyebileceğinizi aşağıda bulabilirsiniz.

1. Adım: Tespit

Bulamadığınız bir siteyi kaldıramazsınız. Oltalama siteleri farklı kaynakların bir arada kullanılmasıyla tespit edilir:

• Alan adı ve sertifika izleme: yeni kaydedilen benzer alan adları ve sertifika şeffaflığı (Certificate Transparency) kayıtlarında görünen yeni sertifikalar.
• İçerik sinyalleri: logonuzu, sayfa başlıklarınızı, betiklerinizi ya da görsellerinizi kopyalayan sayfalar.
• Yayılma kanalları: şüpheli reklamlar, sosyal medya hesapları, SMS kampanyaları ve uygulama mağazası kayıtları.
• İnsan kaynaklı bildirimler: bağlantıları kötüye kullanım (abuse) adresine ya da bildirim formuna ileten müşteriler, çalışanlar ve iş ortakları.

Bir site ne kadar erken bulunursa o kadar az kişiye ulaşır. Bazı oltalama alan adları yayına girmeden günler önce kaydedilir; bu da yeni kayıtları izlemeyi özellikle değerli kılar.

2. Adım: Doğrulama ve belgeleme

Kimse harekete geçmeden önce sitenin meşru bir bayi, bir hayran sayfası ya da zararsız, park edilmiş bir alan adı değil, gerçekten kötü amaçlı olduğu doğrulanmalıdır. Doğrulama, sonraki tüm adımların dayandığı kanıt paketini ortaya çıkarır:

• Tam adresler, zaman damgalı ekran görüntüleri ve sayfa kaynak kodunun bir kopyası.
• Sayfanın topladığı veriler: giriş bilgileri, kart verileri, tek kullanımlık kodlar, kişisel veriler.
• Altyapı bilgileri: IP adresi, ağ operatörü, barındırma firması, kayıt firması (WHOIS veya RDAP üzerinden) ve sitenin önündeki CDN.
• Gizleme (cloaking) notları: örneğin içeriğin yalnızca mobil cihazlara ya da belirli bir ülkeden gelen ziyaretçilere gösterilmesi. Böylece inceleme ekipleri durumu tekrar üretebilir.

Yetki konusu da tam bu noktada önem kazanır. Bir kaldırma hizmeti sağlayıcısı yalnızca kendisini yetkilendiren markalar adına, genellikle imzalı bir yetki belgesiyle hareket etmelidir. Barındırma firmaları, kayıt firmaları ve platformlar bu belgeyi görmek isteyebilir.

3. Adım: Engel listeleri

Engel listeleri, kaldırma işlemi sürerken insanları korur. Adresler Google Safe Browsing, Microsoft SmartScreen, Netcraft, APWG ve PhishTank gibi tarayıcı ve güvenlik engel listelerine, ayrıca Türkiye’de USOM gibi ulusal siber olaylara müdahale merkezlerine bildirilir. Listeye girdikten sonra yaygın tarayıcılar tam sayfa bir uyarı gösterir; pek çok e-posta ve ağ güvenliği ürünü de bağlantıyı engeller. Engel listesine eklenmek siteyi silmez, ancak mağdur sayısını ciddi ölçüde azaltabilir.

4. Adım: Barındırma firması, kayıt firması ve CDN bildirimleri

Her taraf farklı bir katmanı kontrol ettiği için bildirimler paralel olarak gönderilir:

• Barındırma firması: oltalama içeriğini kaldırır ya da hesabı askıya alır. Ücretsiz barındırma hizmetleri, site oluşturucular ve dosya paylaşım servisleri de bu gruba girer.
• Alan adı kayıt firması: alan adını askıya alır; bu, alan adındaki tüm sayfaları kapatır ve o alan adından e-posta gönderilmesini durdurur. Bazı ülke kodlu alan adlarında kayıt otoritesinin (registry) kendi şikâyet süreci de bulunur.
• CDN ya da proxy: şikâyeti iletir, gerçek barındırma firmasını açıklayabilir ve uyarı sayfası gösterebilir. Ayrıntıları Cloudflare arkasına saklanan siteler yazımızda anlattık.
• Diğer hizmetler: bağlantı kısaltıcılar, çalınan verileri toplamak için kullanılan form altyapıları ve mesajlaşma botları; gerektiğinde sosyal medya, reklam ve uygulama mağazası platformları.

İçerik kopyalanmışsa tamamlayıcı bir yol olarak telif hakkı bildirimi de eklenebilir.

5. Adım: Takip ve doğrulama

İlk yanıtlar çoğu zaman otomatiktir. Takip; siteyi farklı konum ve cihazlardan kontrol etmeyi, site değiştiğinde yeni kanıtlarla yeniden başvurmayı, yanıt vermeyen sağlayıcılar için alternatif irtibat noktalarına ya da üst ağ sağlayıcılarına başvurmayı ve her kaydı izlemeyi kapsar. Kaldırma, bir sağlayıcı şikâyeti “ilettiğini” söylediğinde değil, içerik gerçekten ortadan kalktığında ya da alan adı artık çözümlenmediğinde tamamlanmış sayılır. Kısmi sonuçlar da sık görülür; örneğin bir dizin kaldırılırken alan adı aktif kalabilir.

6. Adım: Yeniden ortaya çıkmayı izleme

Oltalama operatörleri tek bir kaldırma işleminden sonra nadiren vazgeçer. Aynı kit çoğu zaman yeni bir alan adında ve farklı bir barındırma firmasında, bazen birkaç saat içinde yeniden kurulur. Etkili bir izleme; dosya adları, sayfa yapısı ve takip kodları gibi kitin parmak izlerini, ortak altyapıyı ve kayıt kalıplarını arar. Bulunan her yeni örnek 1. adıma geri beslenir; olaylar arasındaki kalıplar da bir sonrakinin nerede ortaya çıkacağını tahmin etmeye yardımcı olur.

Ekibiniz için anlamı

Kaldırma işlemi tek bir e-posta değil, pek çok kurumu kapsayan koordineli bir iş akışıdır. Bunu şirket içinde yürütmek zaman, kanıt disiplini ve sabır gerektirir. Phishvoid, bu altı adımın tamamını sınırsız kaldırma talebi içeren tek ve her şey dahil bir abonelikle, yalnızca imzalı yetki belgenizle hareket ederek sizin yerinize yürütür. Hemen oltalama sitesi bildirin ya da ücretsiz tarama isteyin.