Nasıl Çalışıyoruz: Doğrulama ve Kaldırma Yöntemimiz

İlkelerimiz

• Kararı bir insan verir. Otomatik araçlar siteleri bulmamıza yardım eder; ama her site, bildirim gönderilmeden önce ekibimizden bir kişi tarafından doğrulanır.
• Önce delil. Yaptığımız her bildirim, karşı tarafın kendisinin de kontrol edebileceği delillere dayanır.
• Önce yetki, sonra işlem. Bir marka adına yalnızca marka sahibi bizi yazılı olarak yetkilendirdiğinde bildirim yaparız.
• Sayıdan önce doğruluk. Yalnızca gösterebildiğimizi bildiririz, fazlasını değil. Hatalı bir bildirim gerçek bir site sahibine zarar verir ve kötüye kullanım bildirimlerini inceleyen ekiplerin zamanını boşa harcar.
• Açıklık. Nasıl çalıştığımızı bu sayfada anlatıyoruz. Hata yaptığımızı düşünen herkes itiraz edebilir.

Bir site bize nasıl ulaşır

Şüpheli siteler bize üç yoldan gelir:

• Müşteri izlemesi. Her müşterimiz için markasını taklit eden yeni siteleri ve alan adlarını takip ederiz.
• Müşteri bildirimleri. Müşterilerimiz kendi buldukları ya da kendi müşterilerinden gelen siteleri bize iletir.
• Kamuya açık bildirimler. Taklit edilen marka müşterimiz olsun ya da olmasın, herkes sitemiz üzerinden site bildirebilir.

Kaynağı ne olursa olsun her site, Yeni durumunda bir vaka olarak açılır.

Elle doğrulama ve delil toplama

Ekibimizden bir kişi her siteyi elle inceler ve gerçekten oltalama olup olmadığına karar verir: Site bir markayı taklit ediyor mu; kullanıcı adı ve şifre, kart veya banka bilgisi, tek kullanımlık kod ya da başka kişisel veriler topluyor mu; insanları ödeme yapmaya veya bir şey yüklemeye mi kandırıyor? Bir markadan yalnızca söz eden, onu eleştiren ya da ürünlerini meşru şekilde satan siteler oltalama değildir.

Doğrulanan her vaka için şunları kayda alırız:

• tam URL ve varsa yönlendirme zinciri;
• sayfaların ekran görüntüleri;
• güvenli şekilde alınabildiği durumlarda sayfa kaynağı;
• siteyi gözlemlediğimiz anların zaman damgaları;
• DNS kayıtları ve IP adresleri;
• barındırma ağı;
• RDAP üzerinden sorgulanan alan adı kayıt firması;
• sitenin Cloudflare arkasında olup olmadığı.

Bu deliller yaptığımız her bildirime eklenir; böylece bildirimi alan kurum sorunu kendisi yeniden üretmek zorunda kalmadan teyit edebilir. Oltalama olmayan ya da kapsamımız dışında kalan siteleri Geçersiz olarak işaretler, bunlara karşı hiçbir işlem yapmayız. Bir sitenin oltalama olduğunu henüz gösteremiyorsak o siteyi bildirmeyiz.

Yetkilendirme

Bir marka adına herhangi bir bildirim yapmadan önce, örneğin bir barındırma firmasına kaldırma talebi ya da telif hakkı bildirimi göndermeden önce, marka sahibi bir yetki belgesi (LoA) imzalar. Bu belge, onun adına hareket edebileceğimizi ve bunun hangi marka ve işaretleri kapsadığını teyit eder.

Biri, çalışmadığımız bir markayı taklit eden bir site bildirdiğinde o marka adına konuştuğumuzu iddia etmeyiz. Siteyi yalnızca herkese açık engel listelerine ve CERT’lere iletiriz; bu kurumlar siteyi bağımsız olarak değerlendirir ve kararı kendileri verir.

Kullandığımız kanallar ve sıralama

Doğrulanmış bir müşteri vakasında ilgili tüm kanallara şu sırayla bildirim yaparız:

1. Tarayıcı ve güvenlik engel listeleri: Google Safe Browsing, Microsoft SmartScreen, Netcraft, APWG (reportphishing@apwg.org) ve PhishTank.
2. Altyapı: Site Cloudflare arkasındaysa Cloudflare’in kötüye kullanım birimi, barındırma firmasının abuse ekibi ve alan adı kayıt firmasının abuse iletişim adresi.
3. Telif hakkı bildirimleri: Site markanın içeriğini kopyalıyorsa barındırma firmalarına ve CDN’lere, sayfanın arama sonuçlarından kaldırılması için de Google Arama’ya DMCA bildirimleri.
4. Ulusal CERT’ler: .tr alan adları ve Türkiye’deki kullanıcıları hedefleyen siteler için USOM (Siber Güvenlik Başkanlığı).
5. Platformlar: Dolandırıcılık bir platform üzerinde yürütülüyor ya da orada tanıtılıyorsa sosyal medya ve uygulama mağazası bildirim formları.

Neden önce engel listeleri? Bir siteyi kaynağında kaldırmak, barındırma veya kayıt firmasının bildirimi incelemesine bağlıdır ve bu daha uzun sürebilir. Engel listeleri ise genellikle birkaç saat içinde harekete geçer; site listeye girdiği anda yaygın tarayıcılar ve güvenlik araçları, sayfa açılmadan önce kullanıcıyı uyarır. Böylece barındırma ve kayıt firmaları üzerine düşeni yaparken kullanıcılar korunmuş olur. Uygulamada ilgili tüm kanallara aynı gün bildirim yaparız; sıralama yalnızca insanları en hızlı neyin koruduğunu yansıtır.

Takip ve yeniden kontrol

Bildirim yapmak vakanın sonu değildir. Her siteyi yeniden kontrol eder, harekete geçmeyen kurumları takip eder ve kurumun sunduğu bir üst kademe varsa konuyu oraya taşırız; bunu site kapanana kadar sürdürürüz. Sonrasında da izlemeye devam ederiz: Sahte siteler sık sık aynı alan adında, farklı bir yolda ya da yeni bir sunucuda geri döner. Geri dönerse vakayı yeniden açar ve yeni delillerle tekrar bildiririz. Her yeniden kontrolün sonucu vaka kaydına eklenir; böylece bir sitenin ne zaman kapandığını ve geri dönüp dönmediğini gösterebiliriz.

Vaka durumları

Yeni

Site bize ulaştı ve elle incelenmeyi bekliyor.

Doğrulandı

Ekipten bir kişi sitenin oltalama olduğunu teyit etti ve delilleri kayda aldı.

Bildirildi

İlgili kanallara bildirim yapıldı, takip sürüyor.

Kaldırıldı

Site kapandı veya artık sahte içerik sunmuyor. Geri dönüp dönmediğini izlemeye devam ediyoruz.

Geçersiz

Site oltalama değil ya da kapsamımız dışında. Herhangi bir işlem yapılmaz.

Asla yapmadıklarımız

• Hiçbir siteye DDoS ya da başka türde saldırı yapmayız.
• Karşı saldırıya geçmez, sahte sitenin arkasındaki altyapıya sızmaya çalışmayız.
• Yanlış veya abartılı bildirim yapmayız.
• İçerik kaldırılsın diye kimseye para ödemeyiz.
• Bir marka adına, o markanın yetkisi olmadan bildirimde bulunmayız.

Hatalar ve itirazlar

Dikkatli çalışıyoruz, ama hiçbir süreç kusursuz değildir. Bir sitenin sahibiyseniz ve sitenizin yanlışlıkla bildirildiğini düşünüyorsanız itiraz formunu kullanabilir ya da abuse@phishvoid.com adresine yazabilirsiniz. Her itirazı bir kişi inceler. Hata yaptıysak bildirimlerimizi geri çeker, başvurduğumuz her kuruma ve engel listesine bildirimin hatalı olduğunu bildirip işlemi geri almalarını ister ve vakaya ait herkese açık kayıtları kaldırırız.

Müşterilere raporlama

Her müşterimize, tüm vakaları içeren aylık bir marka raporu göndeririz: ne bulduğumuz, deliller, hangi kanallara ne zaman bildirim yaptığımız ve her sitenin ne zaman kapandığı. Böylece müşterilerimiz kendi adlarına tam olarak ne yapıldığını ve her adımın ne kadar sürdüğünü görür.