Sahte IBAN e-postası: BEC nasıl anlaşılır

Sahte “IBAN değişti” e-postasını üç yerden anlarsınız: gönderenin alan adı gerçeğinden bir-iki karakter farklıdır, talep tek başına ödemeye odaklanır ve gerekçe doğrulanamayacak bir şeydir (“bankayla sorun yaşadık”). Kesin ayrımı yapan tek adım teknik değildir: yeni IBAN’ı e-postayla değil, kendi kayıtlarınızdaki telefon numarasından teyit edersiniz. Aşağıda gerçekçi bir örneği satır satır açıyoruz, sonra süreç ve teknik tarafta ne kurabileceğinize bakıyoruz.

BEC nedir, neden spam filtresine takılmaz

BEC, “Business Email Compromise” kısaltması; Türkçede genellikle iş e-postası dolandırıcılığı deniyor. Ödeme talimatı dolandırıcılığı da bu ailenin en pahalı üyesi.

Bu postaların içinde virüs yoktur. Ek yoktur. Tıklatmaya çalıştığı bir bağlantı da çoğu zaman yoktur. Sadece düzgün Türkçeyle yazılmış birkaç cümle vardır. Yani klasik spam sinyallerinin hiçbirini taşımaz; yalnızca içerik taramasına bakan bir filtre için o posta sıradan bir iş yazışmasıdır.

Saldırı teknik değil, zamanlama işidir. Doğru kişiye, ödeme gününe yakın, tanıdık bir isimle gelir.

Bir “IBAN değişti” e-postasının anatomisi

Aşağıdaki örnek uydurmadır, ama deseni gerçek vakalardan tanıdıktır. Diyelim tedarikçinizin adresi muhasebe@yilmazmetal.com.tr. Muhasebe sorumlunuzun kutusuna şu düşer:

• Kimden: Yılmaz Metal Muhasebe <muhasebe@yilmaz-metal.com.tr>
• Konu: Re: Ağustos ödemesi hk.

Merhaba, bankamızla yaşadığımız bir sorun nedeniyle hesap değişikliğine gittik. Ağustos ödemesini aşağıdaki yeni IBAN’a yapmanızı rica ederiz, eski hesap kapatılmıştır. Bilgilerinizi güncellemenizi rica eder, iyi çalışmalar dileriz.

Dört ayrı işaret var ve dördü de küçük:

• Alan adına bir tire eklenmiş. yilmazmetal.com.tr değil, yilmaz-metal.com.tr. Gönderen adının yanında görünen kısım (“Yılmaz Metal Muhasebe”) gerçek adres değildir; adresi açıp okumadan bir şey anlaşılmaz. Tire eklemenin akrabası, büyük “I” ile küçük “l” harflerini değiştirmektir: birçok yazı tipinde ikisi birbirinin aynıdır.
• Konu “Re:” ile başlıyor ama ortada bir yanıt yok. Yanıt zinciri elle yazılmış. Kutunuzda arayınca o zincirin ilk mesajını bulamazsınız.
• Tek bir talep var: para. Ek yok, bağlantı yok. Taranacak bir şey bırakmamak bilinçli bir tercih.
• Gerekçe sorgulanamıyor. “Bankayla sorun” cümlesini teyit etmenin yolu yok, üstelik sormak biraz ayıp gibi durur. Dolandırıcılığın çalıştığı yer tam olarak bu utanma payı.

Üç saldırı biçimi, üç farklı iz

• Benzer alan adı. En yaygını. Saldırgan yeni bir alan adı alır, tedarikçinizin adını taklit eder. Yanıtladığınızda posta ona gider. Reply-To alanı çoğu zaman gönderenden farklıdır; bu tek başına güçlü bir işarettir.
• Sizin alan adınızın taklidi. Gönderen adresi doğrudan sizin şirketinizmiş gibi yazılır, tipik olarak “genel müdürden muhasebeye” senaryosuyla. Teknik olarak durdurulması en kolay biçim budur: SPF, DKIM ve DMARC kayıtları doğru kurulduğunda bu postalar alıcı tarafta doğrulamayı geçemez.
• Ele geçirilmiş gerçek kutu. En zoru. Posta gerçekten tedarikçinin adresinden, gerçek bir yazışmanın içinden gelir. Alan adında hata yoktur, imza doğrudur, üslup tanıdıktır. Burada teknik iz aramak boşunadır; işlemi yalnızca ödeme süreciniz durdurur.

Sahte fatura eki: aynı saldırının ikinci hâli

IBAN’ı e-postanın gövdesine yazmak yerine ekteki faturaya gömen bir varyant var. PDF gerçek görünür: logo yerinde, kalemler tutarlı, tek fark alttaki hesap numarası. Muhasebe ekibi gövdeyi okumaz, eki açar ve oradaki IBAN’a öder.

İkinci varyantta ek bir fatura bile değildir. “Fatura görüntüle” diyen bir HTML dosyası açılır, tarayıcıda kendi posta sağlayıcınızın giriş ekranına benzeyen bir sayfa çıkar ve parolayı toplar. Bu ikinci tür teknik olarak yakalanabilir bir şeydir: AkıllıPosta’da gelen ve giden tüm ekler imza ve sezgisel motorlarla taranır, sıkıştırılmış ve iç içe dosyalar açılarak kontrol edilir. Birinci tür, yani temiz bir PDF’in içindeki yanlış IBAN, yine süreç işidir — ekteki hesap numarası da e-postadaki kadar teyide muhtaçtır.

Ödemeyi durduran kural, filtre değil süreçtir

Muhasebe ekibi için tek cümlelik kural: hesap numarası değişikliği e-posta üzerinden işlenmez. Bunun pratikte nasıl yürüdüğü:

1. Yeni IBAN geldiğinde ödeme bekletilir; cevap yazılmaz.
2. Teyit araması, gelen e-postadaki numaradan değil, kendi cari kartınızdaki numaradan yapılır. Sahte postadaki telefon da saldırgana aittir.
3. Arayan kişi, ödemeyi yapacak kişi olmasın. İki kişi kuralı bu saldırının maliyetini ciddi biçimde artırır.
4. Teyit kaydı yazışmanın yanına düşülür: kim aradı, ne zaman, hangi numarayı.
5. Yeni hesaba ilk ödemede küçük bir test transferi yapılır ve karşı taraftan sözlü onay alınır.

Beş maddenin hiçbiri yazılım gerektirmiyor. Yazılı olması gerekiyor — çünkü bu postalar tam da yerine bakan kişinin yerine bakmadığı gün geliyor.

Alan adınızın taklit edilmesini zorlaştırın

Üç DNS kaydı, sizin adınıza posta atılmasını ciddi biçimde zorlaştırır:

• SPF, sizin adınıza hangi sunucuların gönderim yapabileceğini yazar.
• DKIM, giden postayı imzalar; imza yolda değişen mesajı ele verir.
• DMARC, ikisi de başarısız olduğunda alıcının ne yapacağını söyler ve size rapor gönderir.

Kritik ayrıntı DMARC politikasında: p=none yalnızca rapor toplar, sahte postayı durdurmaz. p=quarantine alıcının spam klasörüne düşürür, p=reject reddettirir. Kaydınız p=none’da unutulduğu sürece adınıza atılan sahte posta karşı tarafın gelen kutusuna girmeye devam eder.

Kendi alan adınızın üç kaydını ücretsiz DNS kontrol aracımızla sorgulayabilirsiniz; DMARC bölümü kaydınızın hangi aşamada olduğunu ve nasıl okunduğunu anlatıyor. Kayıtların ne işe yaradığını ve nasıl kurulduğunu SPF, DKIM, DMARC rehberimizde ayrıntısıyla yazdık.

Gelen tarafta ne yakalanır

AkıllıPosta’da gelen her posta, gönderen itibarına ve içerik davranışına bakan modellerden geçer. Eşiği aşan mesaj teslim edilmez, karantinaya düşer ve karar gerekçesiyle birlikte görünür. Alan adınızı taklit eden postalar da bu katmanda yakalanır.

Ele geçirilmiş kutu tarafında sinyal davranıştan gelir: iki giriş arasındaki mesafe uçuş hızının üstünde bir hız gerektiriyorsa, kutunun daha önce hiç giriş yapmadığı bir ülkeden oturum açıldıysa, gönderim hızı aniden sıçradıysa ya da postayı dışarıya kopyalayan yeni bir yönlendirme kuralı belirdiyse hesap ele geçirme uyarısı üretilir.

Bunlar saldırının bir bölümünü eler. Geri kalanı için yukarıdaki teyit kuralı duruyor.

Ödeme çıktıysa: ilk saat

Yanlış hesaba ödeme yapıldığını fark ettiğinizde hız her şeydir; para hesaplar arasında dağıtılmadan önceki pencere dar.

1. Kendi bankanızı arayıp durumu bildirin ve iade/geri çağırma talebini açın.
2. Karşı tarafı kendi kayıtlarınızdaki numaradan arayın; çoğu vakada onların da haberi yoktur.
3. Kolluğa/savcılığa suç duyurusunda bulunun; banka süreci genellikle bunu ister.
4. Kendi kutularınızda ele geçirme izi arayın, özellikle tanımadığınız yönlendirme kurallarını. Şirket e-postası ele geçirildi yazımızda ilk saatte atılacak adımları sıraladık.
5. Kişisel veri sızmışsa KVKK bildirim yükümlülüğünüzü değerlendirin.

Bu saldırının hedefinde en çok ödeme talimatı taşıyan kutular var: muhasebe, mali müşavirlik, satın alma. Ofis düzeyinde ne kurulabileceğini finans ve muhasebe ekipleri için kurumsal e-posta sayfasında topladık.