Byte
Kayıtlı Üye
Selamlar arkadaşlar,
Geçenlerde bir arkadaşımın çalıştığı şirkete genel müdürün birebir kendi mail adresinden ([email protected] gibi) "acil şu hesaba ödeme geçin" diye sahte bir talimat maili geldi. İşin garibi mail adresi görünüşte harfi harfine doğruydu ama arkasında dolandırıcılar vardı, az kalsın şirketi çarpıyorlardı.
Bunun teknik olarak nasıl bu kadar kolay yapılabildiğini bilmeyenler için kısaca özet geçmek istedim:
1. SMTP Protokolünün Eskiliği:
E-posta trafiğinin temeli olan SMTP protokolü onlarca yıl önce tasarlandığı için varsayılan olarak kimlik doğrulama şartı yok. Yani korumasız bir mail sunucusuna bağlanıp "Ben X kurumuyum" dediğinizde alıcı sunucu sıkı bir filtre uygulamıyorsa bunu direkt kabul edebiliyor.
2. Domain Spoofing Olayı:
Saldırganlar açık sunucular (open relay) veya özel scriptler üzerinden giden posta başlığındaki "From" alanına diledikleri domaini yazabiliyorlar. Bazen de gözün hemen fark edemeyeceği harf oyunları (l yerine 1, farklı harf benzerlikleri) kullanıyorlar.
3. Korunmak İçin Olmazsa Olmaz 3 DNS Kaydı:
Kendi web siteniz veya şirket domaininiz varsa şu 3 kaydın eksiksiz olması şart:
• SPF: Sizin adınıza hangi IP'lerin mail atabileceğini listeler.
• DKIM: Maile kriptografik dijital imza atar, yolda içeriğin bozulmadığını kanıtlar.
• DMARC: Bu testleri geçemeyen maillerin direkt reddedilmesini sağlar.
Genelde çoğu kişi SPF kaydını yapıp bırakıyor ama DMARC politikası düzgün ayarlanmadığında saldırganlar o domain üzerinden rahatça sahte posta çıkarabiliyor. Kendi sitelerinizin DNS ayarlarını bi kontrol ettirin derim.
(Teknik saldırı yöntemlerinin ve yapılandırma detaylarının tamamına şuradan bakmıştım merak eden olursa: https://webfaresi.net/webmaster/bir-domain-adina-sahte-e-posta-gondermek.html)
Sizin de başınıza böyle tanıdık bir adresten veya şirket mailinden sahte posta gelme olayı geldi mi hiç?
Geçenlerde bir arkadaşımın çalıştığı şirkete genel müdürün birebir kendi mail adresinden ([email protected] gibi) "acil şu hesaba ödeme geçin" diye sahte bir talimat maili geldi. İşin garibi mail adresi görünüşte harfi harfine doğruydu ama arkasında dolandırıcılar vardı, az kalsın şirketi çarpıyorlardı.
Bunun teknik olarak nasıl bu kadar kolay yapılabildiğini bilmeyenler için kısaca özet geçmek istedim:
1. SMTP Protokolünün Eskiliği:
E-posta trafiğinin temeli olan SMTP protokolü onlarca yıl önce tasarlandığı için varsayılan olarak kimlik doğrulama şartı yok. Yani korumasız bir mail sunucusuna bağlanıp "Ben X kurumuyum" dediğinizde alıcı sunucu sıkı bir filtre uygulamıyorsa bunu direkt kabul edebiliyor.
2. Domain Spoofing Olayı:
Saldırganlar açık sunucular (open relay) veya özel scriptler üzerinden giden posta başlığındaki "From" alanına diledikleri domaini yazabiliyorlar. Bazen de gözün hemen fark edemeyeceği harf oyunları (l yerine 1, farklı harf benzerlikleri) kullanıyorlar.
3. Korunmak İçin Olmazsa Olmaz 3 DNS Kaydı:
Kendi web siteniz veya şirket domaininiz varsa şu 3 kaydın eksiksiz olması şart:
• SPF: Sizin adınıza hangi IP'lerin mail atabileceğini listeler.
• DKIM: Maile kriptografik dijital imza atar, yolda içeriğin bozulmadığını kanıtlar.
• DMARC: Bu testleri geçemeyen maillerin direkt reddedilmesini sağlar.
Genelde çoğu kişi SPF kaydını yapıp bırakıyor ama DMARC politikası düzgün ayarlanmadığında saldırganlar o domain üzerinden rahatça sahte posta çıkarabiliyor. Kendi sitelerinizin DNS ayarlarını bi kontrol ettirin derim.
(Teknik saldırı yöntemlerinin ve yapılandırma detaylarının tamamına şuradan bakmıştım merak eden olursa: https://webfaresi.net/webmaster/bir-domain-adina-sahte-e-posta-gondermek.html)
Sizin de başınıza böyle tanıdık bir adresten veya şirket mailinden sahte posta gelme olayı geldi mi hiç?