Typosquatting ve Homoglyph Alan Adları: Nasıl Çalışır?

Saldırganların examp1e.com ve exarnple.com gibi benzer alan adlarını neden ve nasıl kaydettiğini, markaların bunları nasıl tespit edip kaldırttığını öğrenin.

Bir markayı hedef alan oltalama (phishing) kampanyalarının neredeyse hepsi, hızlı bir bakışta gerçeğinden ayırt edilemeyecek bir alan adına ihtiyaç duyar. Bu iş için iki hile ailesi öne çıkar: yazım ve okuma hatalarına dayanan typosquatting ile birbirine benzeyen karakterlerden yararlanan homoglyph saldırıları. Bu rehberde nasıl çalıştıklarını, örnek amaçlı ayrılmış example.com adı üzerinden gösteriyoruz.

Typosquatting: küçük hatalara oynanan kumar

Typosquatting alan adları, insanların bir adresi yazarken ya da göz gezdirirken yaptığı hataları taklit eder. En yaygın kalıplar şunlardır:

• Harf eksiltme: exmple.com gibi bir harfin atlanması.
• Harf ekleme ya da tekrarlama: exammple.com gibi fazladan bir harf.
• Yer değiştirme: exapmle.com gibi iki harfin yer değiştirmesi.
• Klavye komşuları: doğru tuşun yanındaki harf, örneğin exanple.com.
• Farklı uzantı: aynı adın example.co ya da example.net gibi başka bir uzantıda kaydedilmesi.
• Tire ve nokta oyunları: ex-ample.com ya da wwwexample.com.

Yakın bir akrabası da combosquatting’dir: gerçek marka adı güven veren bir kelimeyle birleştirilir, örneğin example-giris.com, example-destek.com ya da guvenli-example.com. Bu adreslerde hiçbir yazım hatası yoktur; insanları kandırmalarının nedeni de tam olarak budur.

Homoglyph: aynı görünen karakterler

Homoglyph saldırıları, farklı karakterlerin özellikle bazı yazı tiplerinde ya da küçük telefon ekranlarında neredeyse aynı görünmesinden yararlanır.

• Harf yerine rakam: examp1e.com adresinde küçük L harfi yerine 1 rakamı kullanılır; içinde O harfi geçen adlarda aynı rolü sıfır üstlenebilir.
• Harf kombinasyonları: exarnple.com adresinde yan yana yazılan “r” ve “n”, “m” harfini taklit eder. Aynı şekilde “vv” de “w” gibi görünebilir.
• Büyük ve küçük harf: pek çok yazı tipinde büyük I ile küçük l neredeyse ayırt edilemez; bu durum özellikle e-postalardaki görünen metinlerde önem taşır.
• Unicode benzerleri: uluslararasılaştırılmış alan adları (IDN), farklı alfabelerdeki harflerin kullanılmasına izin verir. Kiril alfabesindeki “а” ya da “е”, Latin karşılığıyla aynı görünür ama bambaşka bir alan adı oluşturur. Bu adlar arka planda xn-- ile başlayan ve Punycode olarak bilinen bir biçimde saklanır.

Güncel tarayıcılar, şüpheli karışık alfabeli adları Punycode biçiminde göstererek riski azaltır ama tamamen ortadan kaldırmaz. E-posta istemcileri, mesajlaşma uygulamaları ve SMS önizlemeleri her zaman aynı korumayı sunmaz.

Türkçe karakter içeren markalar için bir not

Marka adınızda ç, ğ, ı, ö, ş ya da ü varsa korumanız gereken iki yazım vardır: ASCII biçimi ve Türkçe karakterli biçim. Örneğin “Örnek” adlı bir marka hem ornek.com hem de uluslararasılaştırılmış örnek.com adresini, ayrıca her ikisinin olağan varyasyonlarını izlemelidir. Noktasız ı ile noktalı i, karıştırılması özellikle kolay bir çifttir.

Bu alan adları neden bu kadar etkili?

İnsanlar bir adresi nadiren baştan sona okur; tanıdık bir şekli, logoyu ve renkleri tanır. Telefonda adres çubuğu alan adının yalnızca bir kısmını gösterebilir, SMS ve sohbet uygulamalarındaki bağlantılar da çoğu zaman kısaltılmıştır. Saldırganlar benzer alan adlarını e-posta göndermek için de kullanır; bu yüzden e-posta kimlik doğrulaması tek başına sorunu çözmez. Neyi kapsayıp neyi kapsamadığını SPF, DKIM ve DMARC yazımızda anlattık.

Benzer alan adları nasıl tespit edilir?

• Varyasyon üretin: marka ve önemli ürün adlarınızın permütasyonlarını çıkarın, hangilerinin kayıtlı olduğunu kontrol edin. Bu iş için açık kaynaklı araçlar mevcuttur.
• Yeni kayıtları izleyin: yeni alan adı kayıtlarını ve sertifika şeffaflığı (Certificate Transparency) kayıtlarını takip edin. Yeni verilen sertifikalar, bir oltalama alan adını henüz kullanılmadan ortaya çıkarabilir.
• DNS sinyallerine bakın: e-posta sunucusu (MX) kaydı olan bir benzer alan adı e-posta dolandırıcılığına hazırlanıyor olabilir; canlı web içeriğine yönlenen bir alan adı ise daha yakından incelenmelidir.
• Sayfa içeriğini karşılaştırın: kopyalanmış logo, başlık ve formları yakalamak için içeriği kendi sitelerinizle kıyaslayın.

Bu alan adlarıyla ne yapmalı?

Her benzer alan adı kötü amaçlı değildir. Bazıları park edilmiştir, bazıları ilgisiz işletmelere, bazıları da hayranlara ya da bayilere aittir. Önceliği davranışa göre belirleyin: aktif oltalama sayfaları ve e-posta gönderebilen alan adları ilk sıradadır ve genellikle barındırma firmaları, kayıt firmaları ve engel listeleri üzerinden ele alınabilir. Markanızı ihlal eden park edilmiş alan adları için UDRP alan adı uyuşmazlık süreci gibi hukuki yollar daha uygun olabilir. En belirgin varyasyonları savunma amaçlı kaydetmek faydalıdır, ancak hiçbir marka olası tüm kombinasyonları kaydedemez; sürekli izlemenin önemi de buradan gelir.

Phishvoid, markanız için benzer ve homoglyph alan adlarını izler, biri yayına girdiği anda harekete geçer. Hangi varyasyonların şimdiden kayıtlı olduğunu görmek için ücretsiz tarama isteyin. Şüpheli bir adresle karşılaştıysanız oltalama sitesi bildirin.