Kurumsal e-posta güvenliğini nasıl kuruyoruz

Bir harfi değişmiş alan adı

Geçit, iletinin From, Reply-To ve zarf gönderen alan adlarını iki listeyle karşılaştırır: bilinen markalar ve korunan müşteri alan adları. Görünüşte aynı duran harflere (m yerine rn, l yerine 1), punycode ile yazılmış Unicode adlara, marka adına ek yapıştırılmış alanlara (bankaadi-destek gibi) ve yazım yakınlığına bakar. Benzerlik postayı tek başına durdurmaz, puana eklenir. Toplam puan eşiği aşarsa ileti gerekçesiyle karantinaya ya da Önemsiz klasörüne düşer. 10 Ekim’deki canlı denemede bir banka adının 1 harfiyle yazılmış taklidi marka taklidi olarak işaretlendi ve puanına 6 eklendi.

“Hesabımız değişti” e-postası

Bu kontrol AkıllıPosta posta kutularına gelen iletilerde çalışır. Üç işarete, bir de gönderen alan adının yaşına bakar:

• İleti metninde geçerli bir IBAN, yanında da “hesabımız değişti”, “yeni IBAN” gibi bir ifade var. Geçerlilik IBAN’ın ülke uzunluğu ve kontrol hanesiyle sınanır. IBAN değişikliği hiç yazışmadığınız bir adresten geldiyse işaret güçlenir.
• Yanıt adresi (Reply-To), yazıştığınız firmaya değil başka bir yere gidiyor.
• Dışarıdan gelen ileti, kuruluşunuzdaki bir kullanıcının görünen adını taşıyor; genel müdürünüzün adıyla gelen bir ileti gibi. Unvan değil, kayıtlı kullanıcıların adı eşleştirilir.
• Taklit şüphesi olan iletide gönderen alan adının yaşına da bakılır: son 30 günde kaydedildiyse ya da AkıllıPosta kutularına ilk kez yazıyorsa puan artar (.tr uzantısında kayıt tarihi sorgulanmaz, yalnız ilk görülme sayılır). Yaş tek başına işaret sayılmaz.

Kiminle yazıştığınızı geçit, kuruluşunuzun gönderdiği postalardan öğrenir. Son 180 günde yazıştığınız firmaların alan adları tutulur. Adreslerin ve kuruluşunuzdaki kişilerin görünen adlarının kendisi değil, takma ad niteliğinde bir özeti saklanır. Bu özet anonim veri değildir; ayrıntısı veri işleme sözleşmesinin 18. bölümünde. Para isteği (yeni IBAN ya da ödeme talimatı); yazıştığınız bir firmanın alan adını yukarıdaki yollarla taklit eden bir alan adı, kuruluş içi ad taklidi ya da Reply-To sapmasıyla aynı iletide buluşursa ileti karantinaya alınır. Tek bir işaret karantinaya götürmez, iletinin puanını artırır; toplam puan eşiği aşarsa ileti Önemsiz klasörüne düşer.

Çoğu zaman işe yarar, ama kör noktaları var. Yazışma kaydı giden postanız geçitten geçtikçe büyür, ilk haftalarda zayıftır. Gerçek tedarikçinizin kutusu ele geçirilmişse ileti doğru adresten gelir ve yakalanmaz. PDF ekinin içindeki IBAN okunmaz; yalnız ileti metni taranır.

Sahte IBAN e-postasının nasıl tanındığını ayrı bir yazıda adım adım anlattık. Muhasebe ve finans bürolarının durumu kendi sayfasında.