Oltalama bağlantıları, şöyle bir göz atıldığında fark edilmeyecek şekilde hazırlanır. Marka adı oradadır, asma kilit simgesi oradadır, sayfa da doğru görünür. Bir URL’yi tarayıcının okuduğu gibi okumayı öğrenmek birkaç dakikanızı alır ve aşağıdaki hilelerin çoğunu yakalar.
Bu yazıdaki örneklerde kendi alan adımız angelforce.eu ve örnekler için ayrılmış alan adları kullanılmıştır. Benzer alan adlarını denemek için ziyaret etmeyin.
Önemli olan kısmı bulun: asıl alan adı
Bir web adresi birkaç parçadan oluşur. Siteyi kimin kontrol ettiğini bunlardan yalnızca biri söyler.
https://login.angelforce.eu.account-check.example/session/verify?ref=angelforce.eu| Parça | Değer | Kimin kontrolünde |
|---|---|---|
| Şema | https | Sitenin sahibi hakkında hiçbir şey söylemez |
| Alt alan adları | login.angelforce.eu | Asıl alan adının sahibi |
| Asıl alan adı (registrable domain) | account-check.example | Alan adının sahibi; site budur |
| Yol ve sorgu | /session/verify?ref=angelforce.eu | Alan adının sahibi; buraya istediğini yazabilir |
Ana bilgisayar adını sağdan sola okuyun. Sondan, .example kısmından başlayın ve sola doğru bir etiket daha alın. Bu ikili asıl alan adıdır ve onu kaydettiren kişi solundaki her şeyi kontrol eder. Yukarıdaki bağlantıda adımız iki kez geçiyor ve ikisinin de hiçbir anlamı yok.
Bazı uzantılar iki ya da daha fazla etiketten oluşur. co.uk bir genel sonektir (public suffix); bu yüzden shop.example.co.uk içinde asıl alan adı example.co.uk olur. Tarayıcılar bunun için topluluk tarafından sürdürülen Public Suffix List’e dayanır; örneğin adres çubuğunda bir alan adının en önemli kısmını vurgulamak için.
Asma kilit simgesi ve https yalnızca bağlantının şifreli olduğu anlamına gelir. Kontrol ettiği bir alan adı için herkes sertifika alabilir; saldırganlar da.
Benzer alan adları
En basit hile, ilk bakışta sizin alan adınız gibi okunan bir alan adıdır:
- yer değiştirmiş bir harf:
angeIforce.eu; burada küçük l yerine büyük I var ve bu iki harf birçok yazı tipinde birbirine benzer - fazladan bir kelime:
angelforce-security.euya daangelforce-eu.com - farklı bir uzantı:
angelforce.euyerineangelforce.co
Bunların hiçbiri bize ait değil. Her birini herkes kaydettirebilir.
Homograflar ve punycode
Alan adları başka alfabelerden harfler içerebilir. Bu adlar DNS’te, Punycode adlı bir algoritmayla üretilen ve xn-- ile başlayan bir ASCII biçiminde saklanır. Kiril alfabesindeki “а” harfi çoğu yazı tipinde Latin “a” harfiyle aynı görünür; bu yüzden:
аngelforce.eu (first letter is Cyrillic)
xn--ngelforce-zyh.eu (what DNS actually sees)Yukarıdaki ilk satırın ilk harfi Kiril alfabesindendir; ikinci satır ise DNS’in gerçekte gördüğü biçimdir. Chrome, bir etiket alfabeleri riskli biçimde, örneğin Latin ile Kiril harflerini karıştırdığında, etiketi xn-- biçiminde gösterir. Tamamen benzer harflerle yazılmış adları da yakalar; örneğin аррӏе.com adresini xn--80ak6aa92e.com olarak gösterir. Popüler alan adlarının benzerlerini de yakalar.
Yalnızca buna güvenmeyin. Bu kontroller en iyi, tanınmış alan adlarını korur; ayrıca bir e-postadaki bağlantı metnine uygulanmaz ve bağlantı metni her şeyi söyleyebilir. Beklemediğiniz bir bağlantıda xn-- görürseniz şüpheyle yaklaşın.
@ hilesi
https:// sonrasındaki ilk / işaretinden önce bir @ işareti varsa, ondan önceki her şey ana bilgisayar değil, “kullanıcı bilgisidir”. RFC 3986, bu kısmın güvenilir bir alan adı gibi görünecek şekilde hazırlanabileceği konusunda uyarır.
https://www.angelforce.eu@203.0.113.50/loginBu bağlantı 203.0.113.50 adresindeki sunucuya gider. www.angelforce.eu kısmı hedef olarak değil, kullanıcı adı olarak değerlendirilir. Meşru bir servisin size ana bilgisayar adından önce @ içeren bir bağlantı göndermesi için neredeyse hiçbir neden yoktur.
Kısaltıcılar ve QR kodları
Kısa bağlantılar ve QR kodları, hedefi siz tıklayana ya da taratana kadar gizler. Amaçları budur; saldırganların onları kullanmasının nedeni de budur. NCSC, e-postalardaki QR kodlarını taratırken dikkatli olunmasını önerir. Kısa bir bağlantıyı açmadan önce bir bağlantı kontrol aracıyla açın ya da bunun yerine doğrudan servise gidin.
Açık yönlendirmeler
Bazı meşru sitelerde, ziyaretçiyi bir parametrede verilen herhangi bir adrese gönderen bir yönlendirme özelliği bulunur. OWASP’ın doğrulanmamış yönlendirmeler hakkındaki kısa rehberi (cheat sheet) şuna benzer bir kalıp gösterir:
https://example.com/example.php?url=https://malicious.example.comBağlantı gerçek ve güvenilir bir alan adıyla başlar; hilenin amacı da budur. İçinde ikinci bir tam adres bulunan url=, next=, redirect= ya da return= gibi parametrelere bakın. Büyük olasılıkla varacağınız yer bu ikinci adrestir.
Yanıltıcı yollar ve alt alan adları
Marka adlarını yola ya da alt alan adlarına yazmak saldırgana hiçbir şeye mal olmaz:
https://secure-login.example/angelforce.eu/microsoft365/signin
https://angelforce.eu.secure-login.example/İki bağlantı da secure-login.example alan adına aittir. Marka adları içeren uzun yollar, “secure”, “verify” ya da “account” gibi kelimeler ve çok sayıda rastgele karakter oltalamanın kanıtı değildir, ama daha yakından bakmak için bir nedendir.
Tanıdık olmayan üst düzey alan adları
Bazı üst düzey alan adları başka bir şeye benzer. .zip 2014’ten beri tahsis edilmiş bir üst düzey alan adıdır; bu yüzden invoice.zip bir dosya değil, bir web sitesi olabilir. Bir dosya adıyla biten bağlantı hiç de dosya olmayabilir.
Pratik alışkanlıklar
- Tıklamadan önce imleci bağlantının üzerine getirin ya da bağlantıya uzun basın ve bağlantı metnini değil, gerçek hedefi okuyun.
- Önemli sitelere kendiniz gidin. Bankanız, bordro sisteminiz ve Microsoft 365 ya da Google oturum açma sayfanız için yer imlerini kullanın ya da adresi kendiniz yazın.
- Göndericiyle bildiğiniz bir kanal üzerinden teyitleşin. NCSC, mesajdaki bilgilerle değil, kurumun resmî web sitesindeki bilgilerle doğrudan kuruma ulaşılmasını önerir.
- Bir parola yöneticisi kullanın. Parola yöneticisi parolaları yalnızca kaydettiğiniz sitede doldurur; bu yüzden benzer bir alan adında parolanızı önermez. Geçiş anahtarları (passkey) daha da ileri gider, çünkü her biri gerçek siteye bağlıdır.
- Baskıya dikkat edin. NCSC; otoriteyi, aciliyeti, duyguları, kıtlığı ve güncel olayları dolandırıcılık mesajlarında sık kullanılan yemler olarak sayar.
- Bildirin. Bildirdiğiniz şüpheli bir mesaj, siz tıklamamış olsanız bile meslektaşlarınızı korumaya yardım eder.
Nereden başlamalı
Şüpheli bir bağlantının açmadan gerçekte nereye gittiğini görmek için onu bağlantı kontrol aracımıza yapıştırın. E-postanın kendisi tuhaf görünüyorsa e-posta başlık analizi aracımız, iletiyi hangi sunucuların işlediğini ve SPF, DKIM ve DMARC kontrollerinin başarılı olup olmadığını gösterir.
Ekibinizin bağlantıları bu şekilde okumayı öğrenmesini isterseniz danışmanlık ve eğitim hizmetimiz yardımcı olabilir.
