E-posta Sahtekarlığı Nedir? Tanımı ve Nasıl Çalışır?

Bankanızdan hesabınızın bilgilerini acilen doğrulamanız gerektiğini söyleyen bir e-posta alıyorsunuz. Gönderenin adı doğru görünüyor. E-posta adresi tanıdık geliyor. Bağlantıya tıklıyorsunuz, şifrenizi giriyorsunuz ve ancak daha sonra sayfanın bankanızın web sitesi olmadığını fark ediyorsunuz.

E-posta sahtekarlığı bunu mümkün kılıyor. Kimlik avı saldırılarının, dolandırıcılığın ve kötü amaçlı yazılım dağıtımının ardındaki en yaygın tekniklerden biridir ve insanların tanıdık kaynaklardan geliyormuş gibi görünen e-postalara içgüdüsel olarak güvenmeleri nedeniyle işe yarar. E-posta sahtekarlığını özellikle tehlikeli kılan şey, saldırganların kimsenin gerçek hesabına sızmalarına gerek olmamasıdır. Gönderen bilgilerinin gelen kutunuzda nasıl görüneceğini kontrol eden teknik alanları manipüle ederek, mesajın temsil ettiğini iddia ettiği gerçek sisteme asla erişmeden mesajın meşru görünmesini sağlarlar.

E-posta sahtekarlığının nasıl çalıştığını anlamak, tehlike işaretlerini erken tespit etmeyi ve kişisel ve iş e-postalarının kötüye kullanılmasını önlemek için pratik adımlar atmayı kolaylaştırır.

E-posta Sahtekarlığı Nedir?

E-posta sahtekarlığı, bir mesajın aslında gelmediği bir kişi veya yerden gelmiş gibi görünmesini sağlamak için e-posta gönderen bilgilerinin kasıtlı olarak tahrif edilmesidir. "Gönderen" adresi, gönderen adı veya yanıt adresi alanı, bir meslektaş, banka, devlet kurumu veya tanınmış bir marka gibi güvenilir bir kimliği gösterecek şekilde değiştirilirken, gerçek gönderen kaynak tamamen farklıdır.

Sahte e-postalar normal e-postalardan nasıl farklıdır?

Geçerli bir e-postanın teknik gönderim bilgileri ve görüntülenen gönderen bilgileri eşleşir. Meslektaşınız size bir e-posta gönderdiğinde, gelen kutunuzda gösterilen adres, mesajı posta sunucuları aracılığıyla gerçekten ileten adresle eşleşir.

Sahte bir e-postada bunlar eşleşmez. Görüntülenen "Gönderen" adı veya adresi uydurulurken, gerçek iletim genellikle saldırgan tarafından kontrol edilen farklı, çoğu zaman ilgisiz bir sunucudan gerçekleşir. Alıcılar yalnızca görüntülenen bilgileri görür, e-posta başlıklarında gizlenmiş teknik yönlendirme ayrıntılarını görmezler.

Saldırganlar neden e-postaları taklit ediyor?

Sahte sinyal gönderme, saldırının türüne bağlı olarak çeşitli amaçlara hizmet eder:

• Kimlik hırsızlığı: Kullanıcıları, kullanıcı adlarını ve şifrelerini ele geçiren sahte giriş sayfalarına yönlendirmek.
• Finansal dolandırıcılık: Sahte ödemeleri onaylamak için yöneticilerin veya tedarikçilerin kimliğine bürünmek
• Kötü amaçlı yazılım dağıtımı: Alıcıların kötü amaçlı yazılım yükleyen ekleri açmalarını veya bağlantılara tıklamalarını sağlamak.
• Marka hasarı: Meşru bir kuruluşun kimliğini kullanarak spam veya zararlı içerik göndermek.

Veriler gösteriyor ki Kimlik avı, bildirilen sosyal mühendislik olaylarının %90'ından fazlasını oluşturmaya devam ediyor ve e-posta sahtekarlığı, bu saldırıların çoğunu mümkün kılan temel bir tekniktir.

E-posta Sahtekarlığı Nasıl Çalışır?

E-posta sahtekarlığı, e-posta göndermekten sorumlu teknoloji olan Basit Posta Transfer Protokolü'ndeki (SMTP) bir zayıflıktan yararlanır. SMTP ilk tasarlandığında, gönderenin kimliğini doğrulamak için yerleşik gereksinimler içermiyordu.

Her e-posta başlıklar içerir: gönderen sunucu, zaman damgaları ve gönderen bilgileri gibi iletim ayrıntılarını kaydeden teknik meta veri alanları. Saldırganların hedef aldığı temel başlıklar şunlardır:

• Tarih aralığı: Alıcılara gelen kutularında görüntülenen adres.
• Yanıtla: Alıcılar yanıt verdiğinde yanıtların yönlendirildiği yer.
• Geri Dönüş Yolu: Geri dönen bildirimlerin nereye gittiği (genellikle gerçek gönderen adresini ortaya çıkarır)

SMTP, göndericilerin bu alanları istedikleri herhangi bir değere ayarlamalarına olanak tanır. Bir e-posta istemcisi bir mesajı görüntülediğinde, altta yatan iletim ayrıntılarını değil, "Gönderen" alanının değerini gösterir. Kullanıcıların gördüğü ile gerçekte iletilen arasındaki bu kopukluk, kimlik avı saldırılarının istismar ettiği güvenlik açığıdır.

Saldırganlar, manipüle edilmiş başlıklar içeren mesajlar göndermek için SMTP sunucularını (kendi sunucuları, ele geçirilmiş sunucular veya açık röleler) kullanırlar. "Gönderen" alanını güvenilir bir adrese (bankanız, CEO'nuz, bilinen bir tedarikçi) ayarlarlar, ancak gerçek gönderen sunucunun bu kuruluşla hiçbir ilişkisi yoktur. Alıcıların çoğu, görüntülenen ad ve adresin ötesine asla bakmaz; bu da görüntüleme düzeyinde sahteciliği son derece etkili hale getirir.

Kimlik doğrulama açıklarının rolü

Düzgün yapılandırılmış kimlik doğrulama protokolleri (SPF, DKIM, DMARC), gönderen sunucuların iddia edilen alan adları adına gönderme yetkisine sahip olduğunu doğrulayarak sahtekarlığı yakalamak üzere tasarlanmıştır. Ancak, Microsoft Research 2025 yılında yapılan bir araştırma, paylaşımlı e-posta altyapılarının kimlik sahtekarlığı güvenlik açıklarını önemli ölçüde artırdığını ve SMTP kaçakçılığı tekniklerinin, saldırganların belirli yapılandırmalarda SPF ve DMARC korumalarını atlamasına olanak tanıdığını ortaya koyarak, yalnızca kimlik doğrulamanın neden tam bir çözüm olmadığını vurgulamıştır.

MKS dönüş yolu e-postası Bu alan genellikle gerçek gönderen adresini ortaya çıkarır, ancak çoğu alıcı ve hatta birçok güvenlik aracı, ilk teslimat değerlendirmesi sırasında bu adresi yeterince yakından incelemez.

Yaygın E-posta Sahtekarlığı Saldırı Türleri

Kimlik avı çeşitli biçimlerde gerçekleşir ve her biri e-posta gönderici bilgilerinin nasıl görüntülendiği ve işlendiğinin farklı yönlerini istismar eder.

Görüntülenen ad sahtekarlığı

Görüntülenen ad sahtekarlığı, yalnızca görünen gönderen adını değiştirirken, tamamen farklı, genellikle açıkça ilgisiz bir e-posta adresi kullanır. Gelen kutunuzda "Sarah Chen, CEO" görünür, ancak gerçek gönderen adresi şöyle bir şey olabilir: [e-posta korumalı] veya açıkça ilgisiz bir alan.

Bu teknik işe yarıyor çünkü birçok e-posta istemcisi gönderenin adını belirgin bir şekilde gösterirken, adresi daha küçük yazı tipiyle gösteriyor veya mobil cihazlarda tamamen gizliyor. Saldırganlar, alıcıların tam adresi incelemek yerine isme odaklanmasına güveniyor. Yaygın hedefler arasında, alıcıların tanıdığı ve güvendiği isimlere sahip yöneticiler, BT destek personeli ve finans kurumları yer alıyor.

Alan sahtekarlığı

Alan adı sahtekarlığı, gönderen adreslerin ilk bakışta meşru görünmesini sağlamak için sahte veya benzer alan adları kullanır. Saldırganlar, company.com yerine company-inc.com, cornpany.com veya c0mpany.com gibi adresler kaydederek, genellikle yüzeysel bir görsel incelemeyle bunu fark edebilirler.

Bu yaklaşım, özellikle işletmeler için son derece zararlıdır çünkü saldırganlar sadece bireyleri değil, tüm kuruluşları taklit edebilirler. Sahte bir alan adından e-posta alan müşteriler, meşru bir şirketle etkileşimde bulunduklarını düşünerek ödeme yapabilir, hesap bilgilerini ifşa edebilir veya kötü amaçlı yazılım indirebilirler.

İzleme birden fazla SPF kaydı Kimlik doğrulamanın doğru şekilde yapılandırıldığından emin olmak, kendi alan adınızın müşterileriniz ve iş ortaklarınız aleyhine bu şekilde kullanılmasını önler.

Doğrudan adres sahtekarlığı

Doğrudan adres sahtekarlığı, gerçek "Gönderen" alanını değiştirerek saldırganın kontrolünde olmayan gerçek, meşru bir e-posta adresi gösterir. Bu, teknik olarak en ikna edici yöntemdir çünkü alıcılar gelen kutularında gerçek, tanınabilir bir adres (benzeri değil) görürler.

Bu durum, sahte alan adında katı DMARC uygulamasının olmamasına dayanmaktadır. Kuruluşlar, doğrulanmamış mesajları reddetmek veya karantinaya almak için DMARC'yi yapılandırmadığında, saldırganlar "Gönderen" alanında gerçek adreslerini kullanarak mesajların alıcılara ulaşacağından makul bir şekilde emin olabilirler. Doğrudan adres sahtekarlığı, iş e-postası güvenliğinin ihlalinde ve yönetici kimliğine bürünme saldırılarında yaygın olarak kullanılmaktadır.

Sahte E-postanın İşaretleri

Sahte mesajlar meşru görünmek üzere tasarlanmıştır, ancak dikkatli bir inceleme tutarsızlıkları ortaya çıkarır.

Gönderen adresiyle ilgili sorunlar:

• Görüntülenen ad ve gerçek e-posta adresi eşleşmiyor.
• Alan adında ufak tefek yazım hataları var (paypa1.com, arnazon.com, company-support.com).
• Bu adres, kurumsal iletişim için kullanılması gereken bir e-posta için ücretsiz bir sağlayıcı (Gmail, Yahoo) kullanıyor.
• Yanıt adresi, Gönderen adresinden farklıdır ve yanıtları saldırganın kontrolündeki hesaplara yönlendirir.

Beklenmedik aciliyet ve sıra dışı talepler:

• “Acil müdahale gerekiyor” veya “Gün sonuna kadar yanıt verin” gibi baskı taktikleri
• Para transferi, ödeme bilgilerinin değiştirilmesi veya kimlik bilgilerinin paylaşılmasına yönelik beklenmedik talepler
• Normal prosedürleri atlama talimatı (“Olağan onay sürecinden geçmeyin”)
• Hediye kartı talepleri, yeni hesaplara havale talepleri veya gizli bilgiler

Dil ve biçimlendirme tutarsızlıkları:

• Gönderenin normal iletişim tarzıyla uyuşmayan üslup veya yazı stili.
• Gerçek adınız yerine genel selamlama ifadeleri ("Sayın Müşteri," "Sayın Kullanıcı") kullanın.
• Profesyonel bir kuruluşun standartlarına uymayan dilbilgisi veya yazım hataları
• Daha önce aldığınız geçerli mesajlardan biraz farklı biçimlendirilmiş mesajlar.

Bağlantı ve ekleme riskleri:

• Bağlantılara tıklamadan önce fareyi üzerlerine getirin; görüntülenen URL metni bir alan adını gösterirken, gerçek hedef URL'si başka bir alan adını gösterir.
• Beklemediğiniz ekler, özellikle çalıştırılabilir dosyalar veya makroları etkinleştirmeyi isteyen Office belgeleri.
• HTTP (HTTPS değil) sayfalarına veya şüpheli uzantılara sahip alan adlarına yönlendiren bağlantılar

E-postaları temizleme Acil talepler üzerinde işlem yapmadan önce duraksamak ve ayrı kanallar aracılığıyla doğrulama yapmak gibi alışkanlıklar, iyi hazırlanmış sahte mesajlara kanma riskini azaltır.

E-posta Sahtekarlığı ve Kimlik Avı Arasındaki Fark

E-posta sahtekarlığı ve kimlik avı, yakından ilişkili ancak birbirinden farklı ve sıklıkla karıştırılan kavramlardır. Phishing Kimlik avı, alıcıları hassas bilgileri ifşa etmeye, zararlı bağlantılara tıklamaya veya kötü amaçlı yazılım indirmeye kandırmayı amaçlayan bir saldırı stratejisidir. Kimlik avı, hedeftir, dolandırıcılığın kendisidir.

E-posta sahtekarlığıÖte yandan, kimlik avı saldırılarını daha inandırıcı hale getirmek için kullanılan bir tekniktir. Kimlik avı, mesajın güvenilir bir kaynaktan geliyormuş gibi görünmesini sağlayarak, alıcıların kimlik avı içeriğine güvenme ve buna göre hareket etme olasılığını artırır.

Her kimlik avı saldırısı sahtekarlık yöntemiyle yapılmaz: bazı kimlik avı e-postaları gerçek, saldırgan tarafından kontrol edilen adreslerden gelir. Ve her sahtekarlık da kimlik avı değildir: bazı sahtekarlıklar, gerçek göndericiyi gizlerken spam göndermek için kullanılır. Ancak sahtekarlık ve kimlik avının birleşimi özellikle etkilidir ve e-posta tabanlı dolandırıcılığın büyük çoğunluğunu oluşturur.

Bu iki kavramı anlamak, savunma mekanizmalarının neden iki düzeyde çalışması gerektiğini açıklığa kavuşturmaya yardımcı olur: sahte mesajları iletilmeden önce yakalayan teknik kontroller ve yanıltıcı içeriğin geçmesini engelleyen kullanıcı farkındalığı.

E-posta Sahtekarlığından Kendinizi Nasıl Koruyabilirsiniz?

Etkin koruma, bireysel düzeyde farklı alışkanlıklar ve kurumsal düzeyde daha güçlü teknik kontroller gerektirir.

Bireyler için

Güvende kalmak çoğu zaman yavaşlamaya ve beklenmedik mesajlara yanıt vermeden önce doğrulamaya bağlıdır. Aşağıdaki adımlar, sahte bir e-postaya göre hareket etme riskini azaltır.

• Harekete geçmeden önce doğrulayın: Kimlik bilgileri, ödemeler veya hassas veriler içeren beklenmedik herhangi bir istek, ayrı bir kanal aracılığıyla doğrulanmayı gerektirir. Mesajda verilen numarayı değil, bağımsız olarak bulduğunuz bir numarayı kullanarak sözde göndericiyi arayın.
• Gönderen adreslerini dikkatlice inceleyin: Yalnızca görüntülenen isme güvenmeyin. Gönderen adının üzerine tıklayın veya fareyi üzerine getirin ve tam e-posta adresini görüntüleyin; ayrıca alan adının, mesajın temsil ettiğini iddia ettiği kuruluşla eşleştiğinden emin olun.
• Çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin: Saldırganlar kimlik bilgilerini sahtekarlık veya kimlik avı girişimiyle ele geçirseler bile, çok faktörlü kimlik doğrulama (MFA), ikinci doğrulama faktörüne sahip olmadıkları sürece erişimi engeller.
• Şüpheli mesajları bildirin: E-posta istemcinizin "Kimlik Avı Bildir" veya "Spam Bildir" işlevini kullanın. Bildirme, kendi gelen kutunuz için filtrelemeyi iyileştirir ve diğer kullanıcılar için algılama sistemlerini güçlendirir.
• Yazılımı güncel tutun: E-posta istemcilerindeki ve işletim sistemlerindeki güvenlik yamaları, saldırganların istismar ettiği güvenlik açıklarını kapatır; bunlar arasında sahte e-postalar aracılığıyla iletilen kötü amaçlı içeriklerle ilgili olanlar da bulunur.

İşletmeler için

Organizasyonlar, hem teknik hem de insan kaynaklı riskleri azaltmak için kimlik doğrulama, izleme ve çalışan farkındalığını bir araya getirmelidir.

• E-posta kimlik doğrulama protokollerini yapılandırın: Kurmak SPF, DKIM ve DMARC Alt alan adları ve üçüncü taraf hizmetleri de dahil olmak üzere tüm gönderen alan adları için kayıtlar tutulur. p=reject veya p=quarantine gibi bir DMARC uygulama politikası, alan adınızdan geldiğini iddia eden kimliği doğrulanmamış mesajların alıcılara ulaşmasını engeller. Yanlış yapılandırma, kimlik sahtekarlığının başarılı olmaya devam etmesinin ana nedenlerinden biridir.
• Alan adı kötüye kullanımını izleyin: DMARC raporlaması aracılığıyla alan adınızın sahtekarlık kampanyalarında kullanılıp kullanılmadığını takip edin. Bu raporlama, yetkisiz girişimler de dahil olmak üzere alan adınızdan kaynaklanıyormuş gibi görünen tüm e-postaları gösterir.
• Çalışanları düzenli olarak eğitin: Güvenlik bilinci eğitimleri, kimlik sahtekarlığına özgü senaryoları içermelidir. Çalışanlar, görünen ad sahtekarlığını, benzer alan adlarını, olağandışı ödeme taleplerini ve süreç atlama girişimlerini tanımalıdır.
• E-posta listelerini doğrulayın ve güncel tutun: Temiz ve doğrulanmış e-posta verilerine sahip kuruluşlar, keşif faaliyetleri için daha az saldırı yüzeyi sunar. Saldırganlar, hedefli ve inandırıcı sahtekarlık kampanyaları oluşturmak için ele geçirilmiş veya kötü yönetilen veritabanlarından iletişim bilgilerini toplarlar. E-posta pazarlaması için yapay zeka Doğrulanmış listelerin tutulması, saldırganların araştırma yapabileceği veri miktarını azaltır.
• Ek teknik kontroller uygulayın: E-posta güvenlik platformlarındaki sahtekarlık önleme özellikleri, marka koruma izleme hizmetleri ve DMARC raporlama araçları, alan adınıza yönelik sahtekarlık girişimlerinin müşterilerinize ve iş ortaklarınıza ulaşmadan önce tespit edilmesini sağlar.

Yukarı tamamlayan

E-posta sahtekarlığı, kötü amaçlı mesajların güvenilir görünmesini sağlamak için gönderici bilgilerini tahrif eder ve e-postanın gösterdiği ile teknik olarak altta yatanlar arasındaki temel boşluğu istismar eder. Saldırganlar, alıcıları kimlik bilgilerini ifşa etmeye, ödemeleri onaylamaya veya kötü amaçlı yazılım indirmeye kandırmak için görünen ad sahtekarlığı, benzer alan adları ve doğrudan adres sahtekarlığı kullanırlar.

Hiçbir tek önlem kimlik avını tamamen ortadan kaldırmaz, ancak teknik kontrolleri farkındalık ve doğrulama prosedürleriyle birleştiren kuruluşlar ve bireyler, başarılı kimlik avı saldırılarına karşı risklerini önemli ölçüde azaltırlar.

Kuruluşunuzun alan adında DMARC'nin yapılandırılıp yapılandırılmadığını ve hangi uygulama düzeyinde olduğunu kontrol edin. DMARC'niz yoksa veya p=none (yalnızca izleme) olarak ayarlanmışsa, p=quarantine veya p=reject'e geçmek, saldırganların müşterilerinizi ve iş ortaklarınızı hedef alan kimlik avı saldırılarında alan adınızı taklit etmelerini engellemek için atabileceğiniz en etkili adımdır.

Temiz ve doğrulanmış e-posta listeleri tutmak, sorumlu e-posta güvenliğinin bir parçasıdır. DeBounce, iletişim veritabanınızdan geçersiz, tek kullanımlık ve riskli adresleri kaldırarak e-posta altyapınızın sağlıklı kalmasını, gönderici itibarınızın güçlü kalmasını ve kurumsal verilerinizin bir sonraki kimlik avı kampanyasını hazırlayan saldırganlar için ham madde haline gelmemesini sağlar.

Listelerinizi doğrulamaya bugün başlayın. Tüm e-posta iletişimlerinizde hem teslim edilebilirlik hem de güvenlik riskini azaltmak için.