Güvenlik teknolojileri ne kadar gelişirse gelişsin, saldırganların en çok kullandığı kapı değişmiyor: e-posta. Fidye yazılımı vakalarının, veri sızıntılarının ve finansal dolandırıcılıkların büyük bölümü tek bir zararlı iletiyle, tek bir tıklamayla başlıyor. Üstelik saldırılar artık bozuk Türkçeli, kolay ayırt edilen iletiler değil; yapay zekâ ile yazılmış kusursuz metinler, gerçek yazışma zincirlerine sızan yanıtlar ve QR kodlu oltalama sayfaları kullanılıyor. Bu tabloda tek bir filtreye güvenmek yeterli değil; e-posta güvenliği ancak katmanlı bir savunma ile sağlanabilir.
Tehdit Manzarası: Phishing'den BEC'e
E-posta tabanlı tehditler birkaç ana grupta toplanır. Kitlesel phishing, geniş listelere gönderilen sahte oturum açma sayfalarıyla kimlik bilgisi toplar. Hedefli (spear) phishing, belirli bir kişi için hazırlanır; kurbanın rolü, projeleri ve iletişim ağı önceden araştırılır. BEC (Business Email Compromise) ise en maliyetli türdür: saldırgan, yönetici veya tedarikçi kimliğine bürünerek — çoğu zaman ele geçirilmiş gerçek bir hesap üzerinden — ödeme talimatını değiştirtir veya sahte fatura onaylatır. BEC iletilerinde çoğu zaman zararlı ek veya link yoktur; saldırı tamamen ikna üzerine kuruludur ve bu yüzden klasik filtrelere yakalanmaz.
Temel Katman: Kimlik Doğrulama Protokolleri
Savunmanın temeli, alan adınız üzerinden sahte ileti gönderilmesini zorlaştırmaktır. SPF, alan adınız adına e-posta göndermeye yetkili sunucuları tanımlar. DKIM, iletilerin yolda değiştirilmediğini kriptografik imzayla kanıtlar. DMARC ise bu iki kontrolü politikaya bağlar: doğrulamayı geçemeyen iletinin reddedilmesini veya karantinaya alınmasını sağlar ve raporlama ile alan adınızın kimler tarafından taklit edilmeye çalışıldığını gösterir. DMARC'ı "p=none" ile izleme modunda başlatıp, kaynaklar doğrulandıkça "quarantine" ve "reject" seviyesine geçirmek en sağlıklı yoldur. Bu üçlü, hem markanızı taklit saldırılarına karşı korur hem de iletilerinizin alıcıya ulaşabilirliğini artırır.
Gelişmiş Koruma: Analiz ve Karantina
Protokoller sahte göndericiyi engeller ama zararlı içeriği tek başına durduramaz. Modern e-posta güvenlik ağ geçitleri; ekleri izole bir ortamda çalıştırarak davranışını gözlemler (sandbox), linkleri tıklama anında yeniden analiz eder (time-of-click koruması), gönderici alan adının benzerlerini (typosquatting) tespit eder ve iletideki dil örüntülerini yapay zekâ ile inceleyerek BEC şüphesini işaretler. Ele geçirilmiş hesapların tespiti için oturum anomalileri — olağan dışı ülkeden giriş, kural eklenerek gelen kutusunun boşaltılması gibi — sürekli izlenmelidir.
İnsan Katmanı: Farkındalık ve Simülasyon
Teknoloji ne kadar iyi olursa olsun, bir ileti her zaman kullanıcıya ulaşabilir. Bu yüzden düzenli farkındalık eğitimi ve phishing simülasyonları programın vazgeçilmez parçasıdır. Simülasyonlar cezalandırma aracı değil, ölçüm aracıdır: hangi departmanın hangi senaryoya açık olduğunu gösterir ve eğitimin hedeflenmesini sağlar. Kullanıcılara şüpheli iletiyi tek tıkla bildirebilecekleri bir mekanizma sunmak, güvenlik ekibine erken uyarı ağı kazandırır; bildirilen iletiler otomatik analizle tüm kutulardan geri çekilebilir.
Süreç Katmanı: BEC'e Karşı Doğrulama Disiplini
BEC saldırıları teknik kontrollerden çok süreç disipliniyle durdurulur. Ödeme talimatı değişiklikleri ve yeni tedarikçi IBAN bildirimleri, e-posta dışındaki bir kanaldan — bilinen telefon numarasından aranarak — teyit edilmelidir. Belirli tutarın üzerindeki transferlerde çift onay zorunlu olmalı; finans ekibi "aciliyet ve gizlilik" vurgusu taşıyan taleplere karşı özel olarak eğitilmelidir. Yönetici hesaplarında MFA ve koşullu erişim politikaları, hesap ele geçirmenin BEC'e dönüşmesini büyük ölçüde engeller.
Olay Anı: Hızlı Müdahale
Her şeye rağmen bir olay yaşandığında hız belirleyicidir. Zararlı iletinin tüm kutulardan geri çekilmesi, etkilenen hesapların oturumlarının sonlandırılıp parolalarının sıfırlanması, gelen kutusu kurallarının denetlenmesi ve olayın kapsamının loglardan çıkarılması ilk saatlerin işidir. Bu adımların önceden yazılmış bir playbook'a bağlanması, panik anında doğru sıranın izlenmesini güvence altına alır. E-posta güvenliği telemetrisinin SOC süreçlerine ve XDR platformuna beslenmesi, saldırının uç nokta ve kimlik katmanındaki izleriyle birleştirilmesini sağlar.
Bulut E-postada Paylaşılan Sorumluluk
Microsoft 365 veya Google Workspace kullanmak, e-posta güvenliğinin "hazır geldiği" anlamına gelmez. Bulut sağlayıcı platformun ayakta kalmasından ve temel filtrelemeden sorumludur; hedefli saldırılara karşı yapılandırma, koşullu erişim, veri koruması ve yedekleme kurumun sorumluluğundadır. Varsayılan ayarlarla açılmış bir kiracıda eski kimlik doğrulama protokollerinin açık kalması, dış yönlendirme kurallarının serbest olması ve karantina politikalarının gevşek olması en sık rastlanan boşluklardır. Ayrıca bulut e-postanın da yedeklenmesi gerekir; yanlışlıkla veya kasıtla silinen veriler için platformun geri dönüşüm süreleri çoğu zaman kurumsal saklama gereksinimlerini karşılamaz.
Ölçüm ve Sürekli İyileştirme
E-posta güvenliği bir proje değil, işletilen bir süreçtir ve işleyen her süreç gibi ölçülmelidir. İzlenmesi gereken temel göstergeler şunlardır: simülasyonlarda tıklama ve bildirim oranları (tıklama düşerken bildirim artıyorsa program çalışıyor demektir), DMARC raporlarında doğrulamadan geçemeyen kaynakların eğilimi, karantinaya düşen ileti hacmindeki anormal artışlar, kullanıcı bildiriminden iletinin tüm kutulardan çekilmesine kadar geçen süre ve ele geçirilen hesap vakalarının tespit süresi. Bu metriklerin üç aylık dönemler halinde yönetime raporlanması, güvenlik yatırımının görünür olmasını sağlar ve eğitim ile teknolojinin nereye odaklanacağını gösterir.
Sektörel Görünüm
Tehdidin ağırlığı sektöre göre değişir. Finans ve lojistikte sahte fatura ve ödeme yönlendirme dolandırıcılığı öndedir; imalat şirketlerinde tedarikçi zinciri üzerinden gelen hesap ele geçirme vakaları yoğundur. Kamu ve sağlıkta ise kimlik bilgisi toplamaya dönük kitlesel phishing baskındır. Yönetici asistanları, finans ekipleri ve satın alma birimleri her sektörde en çok hedeflenen gruplardır; koruma önceliklendirmesi ve eğitim planı bu gerçeğe göre yapılmalıdır. Kurumunuzun tehdit profilini bilmek, sınırlı güvenlik bütçesinin en yüksek riskli noktaya yönlendirilmesini sağlar ve savunmanın etkisini katlar.
Nereden Başlamalı? Kısa Kontrol Listesi
E-posta güvenliği programınızı değerlendirmek için şu sorularla başlayabilirsiniz:
- SPF, DKIM ve DMARC kayıtlarınız tam mı; DMARC politikanız hangi seviyede (none/quarantine/reject) çalışıyor?
- Eski kimlik doğrulama protokolleri kiracınızda kapalı mı; dış yönlendirme kuralları denetleniyor mu?
- Kullanıcılar şüpheli iletiyi tek tıkla bildirebiliyor mu; bildirilen ileti tüm kutulardan geri çekilebiliyor mu?
- Ödeme talimatı değişikliklerinde e-posta dışı teyit zorunluluğu yazılı bir prosedüre bağlı mı?
- Son bir yılda phishing simülasyonu yapıldı mı; tıklama ve bildirim oranlarınız ölçülüyor mu?
Bu soruların birden fazlasına "hayır" veya "emin değilim" yanıtı veriyorsanız, saldırganların en sık kullandığı kapı için görünür bir iyileştirme alanınız var demektir.
Datnes Bilişim olarak Siber Güvenlik Çözümleri kapsamında e-posta güvenlik mimarinizi tasarlıyor; Yönetilen Hizmetler ile DMARC uygulamasından farkındalık programına ve olay müdahalesine uzanan süreci sürekli işletiyoruz.
