Alan Adı Sahteciliği

Alan adı sahteciliği (domain spoofing), bir mesajın ya da web sitesinin güvenilir bir alan adından geliyormuş gibi görünmesini sağlayan saldırılar için kullanılan geniş bir terimdir. E-postada genellikle Kimden (From) adresindeki alan adının birebir taklit edilmesi anlamına gelir. Web'de ise sahte bir sitenin markaya aitmiş gibi görünmesi için bir benzer alan adı, yanıltıcı bir alt alan adı ya da aldatıcı bir bağlantı kullanılmasıdır. İki durumda da saldırı, insanların gördükleri isme güvenmesine dayanır.

Nasıl çalışır

E-postada birebir alan adı taklidi mümkündür, çünkü e-postayı sunucular arasında taşıyan SMTP protokolü gönderen adresini kendi başına doğrulamaz. Alan adı sahibi SPF, DKIM ve yaptırım düzeyinde bir DMARC politikası yayımlamamışsa, alıcı sunucular sahte bir mesajı kabul edebilir. DMARC uygulamaya konduğunda saldırganlar genellikle benzer alan adlarına ya da görünen ad hilelerine geçer: Görünen ad "Örnek Banka Destek" der, ama adresin bankayla hiçbir ilgisi yoktur. Web'de ise sahtecilik benzer alan adlarına, ornekbanka.hesap-dogrulama[.]net gibi alt alan adlarına ya da metni gerçek hedeften farklı olan bağlantılara dayanır.

Örnek

Temsilî bir örnek: Kurgusal bir sigorta şirketinin DMARC politikası yoktur. Saldırganlar, şirketin gerçek alan adını Kimden adresinde kullanan e-postalar gönderir ve bunların birçoğu gelen kutularına ulaşır. Şirket DMARC'ı uygulamaya koyduktan sonra aynı grup orneksigorta-hasar[.]com adresine geçer. Bu durum farklı bir yanıt gerektirir: e-posta kimlik doğrulaması yerine izleme ve kaldırma.

Nasıl anlaşılır

• Mesaj başlıklarında SPF, DKIM ya da DMARC hataları görünür.
• Görünen ad ile gerçek gönderen adresi birbirini tutmaz.
• Bağlantının üzerine geldiğinizde, metinden farklı bir hedef görünür.
• Alan adı, dikkatle okununca resmî adrese yalnızca benzediği anlaşılır.

Markalar ne yapabilir

• Sizin adınıza e-posta gönderen her hizmet için SPF ve DKIM yayımlayın; ardından raporlara bakarak DMARC'ı p=none düzeyinden p=quarantine ve p=reject düzeyine taşıyın.
• Hiç e-posta göndermeyen alan adlarınızı v=spf1 -all ve reddetme (reject) politikalı bir DMARC kaydıyla koruyun.
• E-posta kimlik doğrulamasının kapsamadığı benzer alan adlarını izleyin ve kaldırtın.
• Yaptırım düzeyine ulaştığınızda, kimliği doğrulanmış e-postalarınızda logonuzun görünmesi için BIMI kullanmayı değerlendirin.

Phishvoid, DMARC'ın kapsamadığı kısmı üstlenir: markanızı taklit etmek için kullanılan benzer alan adlarını bulur ve kaldırtır; ekiple iletişime geçebilirsiniz. Kapsamlı bir rehber için SPF, DKIM ve DMARC yazısını okuyabilirsiniz.

Devamını okuyun: SPF, DKIM ve DMARC ile Markanız Adına Sahte E-postayı Önleyin