E-posta Sahteciliği

E-posta sahteciliği (email spoofing), gönderen bilgisi taklit edilmiş e-postalar oluşturarak alıcının mesajın güvendiği bir kişi ya da kurumdan geldiğine inanmasını sağlamaktır. Bu mümkündür, çünkü temel e-posta protokolleri gönderen doğrulaması olmadan tasarlanmıştır. Sahtecilik; oltalama, iş e-postası dolandırıcılığı ve zararlı yazılım için bir ulaştırma yöntemidir.

Nasıl çalışır

Bir e-postada iki gönderen adresi bulunur. Zarf göndereni (MAIL FROM ya da Return-Path) sunucular tarafından kullanılır; başlıktaki Kimden (From) adresi ise okuyucunun gördüğü adrestir. İkisi farklı olabilir ve mesajı gönderen kişi ikisini de istediği gibi ayarlayabilir. Sahteciliğin üç ana biçimi vardır:

• Birebir alan adı taklidi: Gerçek alan adı Kimden adresinde taklit edilir.
• Görünen ad taklidi: Güvenilen bir isim gösterilir, ama arkasındaki adresin onunla ilgisi yoktur.
• Benzer alan adı kullanımı: Adres, gerçeğine benzeyen başka bir alan adındadır.

SPF, DKIM ve DMARC, alıcı sunucuların bir alan adını kullanan mesajın o alan adının sahibi tarafından yetkilendirilip yetkilendirilmediğini kontrol etmesini sağlar. Bu kontrolleri görünen Kimden adresine bağlayan DMARC'tır; birebir taklide karşı temel savunmanın DMARC olmasının nedeni budur.

Örnek

Temsilî bir örnek: Bir çalışana, Kimden adresi şirketin kendi alan adında olan "BT Destek Masası" imzalı bir mesaj gelir. Mesajı gönderen sunucu ilgisiz bir sağlayıcıya aittir ve mesaj hem SPF hem de DKIM kontrolünden geçemez. Şirketin DMARC politikası hâlâ p=none olduğu için mesaj yine de teslim edilir ve çalışandan şifresini onaylamasını ister.

Nasıl anlaşılır

• Görünen ad adresle uyuşmaz ya da yanıtlar farklı bir adrese gider.
• Mesaj başlıklarında spf=fail, dkim=fail veya dmarc=fail görünür.
• E-posta istemcisi, gönderenin doğrulanamadığına dair bir uyarı gösterir.
• Adres doğru görünse bile talep alışılmadıktır.

Markalar ne yapabilir

• Alan adlarınız adına e-posta gönderen tüm hizmetlerin envanterini çıkarın.
• Her biri için SPF ve DKIM yayımlayın, ardından DMARC'ı yaptırım düzeyine taşıyın.
• Hiç e-posta göndermeyen alan adlarınıza reddetme (reject) politikası verin.
• Kötüye kullanımı ve unutulmuş gönderenleri görmek için DMARC toplu raporlarını düzenli okuyun.

Birebir taklit engellendiğinde saldırganlar benzer alan adlarına geçer. Phishvoid bu alan adlarını bulur ve kaldırtır; ekiple iletişime geçebilirsiniz. Adım adım anlatım için SPF, DKIM ve DMARC yazısına bakabilirsiniz.

Devamını okuyun: SPF, DKIM ve DMARC ile Markanız Adına Sahte E-postayı Önleyin