Kimlik avı (phishing) maili nasıl anlaşılır?
Kimlik avı maili çoğu zaman tanıdık bir gönderen gibi görünür. Gönderenin gerçekten o alan adından yazıp yazmadığına, alan adındaki küçük harf oyunlarına, bağlantının gerçekte nereye gittiğine ve maildeki ödeme ya da banka bilgisi talebine bakarak anlaşılır.
Kimlik avı maili, alıcıyı bir bağlantıya tıklatmak, bir parola yazdırmak ya da bir ödeme yaptırmak için güvenilir bir gönderen kılığına girer. Kurumlarda en pahalı türü, tanıdık bir tedarikçi ya da yönetici adına gelen ve banka bilgisinin değiştiğini söyleyen mailidir. İyi haber şu: bu maillerin neredeyse hepsi aynı birkaç izi taşır ve bu izler sistematik olarak kontrol edilebilir.
Gönderen gerçekten o alan adından mı yazıyor?
Mail programlarının gösterdiği "Kimden" satırını herkes istediği gibi yazabilir. Gerçek kanıt, alıcı sunucunun maili teslim alırken yaptığı üç denetimdir: SPF maili gönderen sunucunun o alan adı adına göndermeye yetkili olup olmadığını, DKIM mailin yolda değiştirilmeden imzalı geldiğini, DMARC ise bu iki sonucun görünen gönderenle uyuşup uyuşmadığını söyler. Üçü de başarısızsa ya da DMARC sonucu "fail" ise, görünen ad ne derse desin mail o kurumdan gelmemiş olabilir.
Alan adında küçük bir harf oyunu var mı?
Saldırganlar çoğu zaman gerçek alan adına çok benzeyen bir adres alır: tedarikci-firma yerine tedarikci-flrma, bir harfin yerine benzer görünen başka bir karakter ya da sona eklenmiş bir kelime. Göz bu farkı hızlı okumada kaçırır. Daha önce yazıştığınız bir firmanın adresine bir harf farkıyla benzeyen yeni bir gönderen, kimlik avının en güçlü işaretlerinden biridir.
Yanıt nereye gidecek, bağlantı nereye götürüyor?
Bazı sahte maillerde "Kimden" doğru görünür ama Yanıtla'ya basıldığında cevap başka bir adrese gider (Reply-To uyuşmazlığı). Bağlantılarda da benzer bir oyun vardır: görünen metin bir bankanın adresidir, tıklanınca açılan adres başkadır. Bağlantının üzerine gelip gerçek adresi okumak, tıklamadan önce yapılacak en ucuz kontroldür.
Kontrol listesi
- Gönderen kimliği doğrulanmış mı (SPF, DKIM, DMARC)?
- Alan adı, yazıştığınız firmanınkine bir iki harf farkla mı benziyor?
- Yanıt adresi görünen gönderenden farklı mı?
- Bağlantının görünen metni ile gittiği adres aynı mı?
- Mail yeni bir IBAN, değişen banka bilgisi ya da acil ödeme istiyor mu?
- Daha önce hiç yazışmadığınız biri mi, yoksa aynı kurum adına yeni bir muhatap mı?
- Dil sizi acele ettiriyor ya da gizlilik istiyor mu?
SmartMail bunu nasıl çözer
- Her mail açılmadan denetlenir: SPF, DKIM ve DMARC sonuçları, benzer alan adı, yanıt adresi uyuşmazlığı ve yanıltıcı bağlantı kontrol edilir; sonuç gönderen adının yanında bir rozetle görünür.
- Kararın gerekçesi yazılıdır: rozete tıklayınca risk puanı ve bulgular madde madde açılır.
- Dolandırıcılık bandı: ilk kez yazan biri ile değişen banka bilgisi ya da tanıdık bir firmaya benzeyen alan adı ile ödeme talebi bir araya gelince okuma ekranının üstünde uyarı çıkar.
- Karantina: güven eşiğinin altında kalan mail gelen kutusuna düşmez; gerekçesiyle karantinada incelenir.
E-posta güvenliğiGüvenlik raporunu okumakDolandırıcılık uyarısı