Benzer Alan Adı Saldırısı Nedir? Bir Harf Farkla Gelen Sahte Maillere Karşı Kurumsal Savunma

Benzer alan adı saldırısı, saldırganın sizin ya da iş ortağınızın alan adına bir harf, tire veya uzantı farkıyla benzeyen yeni bir alan adı kaydedip bu adresten mail göndermesidir; firma.com.tr yerine flrma.com.tr gibi. Saldırgan alan adının gerçek sahibi olduğu için mail SPF, DKIM ve DMARC'tan geçebilir; bu yüzden onu kimlik doğrulama değil, alan adı benzerliğini ölçen bir kontrol yakalar.

Kiril harfleriyle yazılmış, göze birebir aynı görünen adresler de bu saldırının bir türüdür. Kurumsal savunma üç parçadan oluşur: kendi alan adınızı korumak, gelen maillerde benzerliği otomatik tespit etmek ve kritik talepleri bağımsız kanaldan teyit etmek.

Neden bu kadar etkili?

Bir çalışan maili açtığında göz, adresi harf harf okumaz; tanıdık bir şekli tanır. ornekholding.com.tr ile ornekho1ding.com.tr arasındaki farkı yoğun bir iş gününde fark etmek zordur. Mobil cihazlarda ise çoğu zaman adres hiç görünmez, yalnızca görünen ad gösterilir.

Saldırganlar bu alan adlarını hedefe özel ve ucuza kaydeder. Genellikle kısa ömürlüdürler: birkaç hafta kullanılır, sonra bırakılır. Böylece kara listelere girmeden işlerini bitirirler. Tipik kullanım senaryoları şunlardır:

• Tedarikçi taklidi: Muhasebeye, gerçek tedarikçinin alan adına benzeyen adresten "yeni banka hesabımız" maili. Navlun ve acente yazışmalarındaki karşılığını lojistik firmalarında e-posta dolandırıcılığı yazımızda anlattık.
• Yönetici taklidi: Sizin alan adınıza benzeyen adresten, finans ekibine "acil ve gizli" ödeme talebi.
• Müşteri taklidi: Satış ekibine, müşterinin alan adını taklit eden adresten sipariş veya teklif yazışması. İhale dönemlerinde hedef teklif dosyasının kendisidir; önlemleri ihale teklif e-posta güvenliği yazımızda topladık.
• Sahte giriş sayfası: Kurumsal portalınıza benzeyen bir alan adında parola toplayan sayfa. Çalınan bir parolanın zararını çok faktörlü doğrulamayla sınırlamayı kurumsal parola güvenliği yazısında anlattık.

Sorunu görmezden gelmenin maliyeti

Benzer alan adları, oltalama ve ödeme yönlendirme dolandırıcılığının altyapısıdır; bu saldırıların ölçeği sorunun ciddiyetini gösterir.

Ulaştırma ve Altyapı Bakanlığı'nın Ocak 2025 açıklamasına göre USOM, yalnızca Ocak 2025'te oltalama saldırısı yapan 991 alan adına erişimi engelledi ve 5.869 oltalama saldırısını önledi.

• APWG Phishing Activity Trends Report, 2026 2. çeyrek verilerine göre 2026'nın ikinci çeyreğinde 1.069.681 oltalama saldırısı kaydedildi; bu, bir önceki çeyreğe göre %10,1 artış demek.
• FBI IC3 2025 Internet Crime Report verilerine göre ABD'de 2025'te iş e-postası ele geçirme (BEC) kaynaklı 24.768 şikâyette toplam 3,05 milyar dolar kayıp bildirildi. Bu saldırıların önemli bir kısmı, tanıdık bir muhatabı taklit eden adreslerle yürütülür.

Kendi alan adınızın korunmasına gelince tablo daha az iç açıcıdır. EasyDMARC'ın 2026 DMARC Adoption Report raporuna göre taranan 1,8 milyon alan adının %52,1'inde DMARC kaydı var, ancak yalnızca 411.935'i (yaklaşık %23) karantina ya da reddetme politikası uyguluyor. Yani birçok kurum, birebir kendi adresinin taklit edilmesine bile kapıyı açık bırakıyor.

Benzer alan adı türleri

Son satır özellikle önemlidir. Uluslararası alan adları (IDN), farklı alfabelerdeki harflerin alan adında kullanılmasına izin verir. Göze aynı görünen ama farklı karakter kodlarına sahip harfler, insan gözüyle ayırt edilemez; bu farkı yalnızca yazılım görebilir.

Benzer alan adı saldırısına karşı 7 adım

1. Kendi alan adınızda DMARC'ı uygulama seviyesine taşıyın. SPF ve DKIM'i doğru kurduktan sonra DMARC'ı p=none ile izleyin, sonra p=quarantine ve p=reject'e geçin. Bu, birebir sizin adresinizin taklit edilmesini engeller. Ayrıntısı SPF, DKIM ve DMARC nedir yazımızda. p=none döneminde gelen raporlarda taklit denemelerini nasıl ayırt edeceğinizi DMARC raporu nasıl okunur rehberinde anlattık.
2. En olası varyasyonları savunma amaçlı kaydedin. Tireli yazım, yaygın uzantılar (.com, .com.tr, .net) ve en bariz harf hataları. Her varyasyonu kaydetmek mümkün değildir; ama en kolay taklitleri kapatmak saldırganın işini zorlaştırır.
3. Önemli muhataplarınızın listesini tutun. Düzenli ödeme yaptığınız tedarikçilerin ve yazıştığınız müşterilerin gerçek alan adları bilinmeli; bu liste, benzerlik kontrolünün referansıdır.
4. Gelen maillerde benzerliği otomatik kontrol edin. Gönderen alan adının, sizin ya da bilinen bir muhatabınızın alan adına benzetilip benzetilmediğini ve uluslararası karakter içerip içermediğini e-posta altyapısı her mesajda sormalıdır. Bu yetenek, kurumsal e-posta seçerken sorgulanması gereken kriterlerden biridir.
5. Dış göndericileri görünür kılın. Kurum dışından gelen maillerin açıkça işaretlenmesi, "Genel Müdür" görünen adıyla gelen dış maili fark etmeyi kolaylaştırır.
6. Kritik talepleri bağımsız kanaldan teyit edin. Banka hesabı değişikliği, acil ödeme ya da parola talebi hiçbir zaman yalnızca mail üzerinden kabul edilmemeli; kayıtlı telefon numarasından aranmalı. Bu senaryoyu IBAN değişikliği maili dolandırıcılığı yazımızda ele aldık.
7. Ekibe örneklerle anlatın. Yukarıdaki tablo, kısa bir farkındalık oturumu için yeterli malzemedir. Genel işaretler için oltalama maili nasıl anlaşılır rehberimize bakabilirsiniz.

Şüpheli bir alan adı fark ettiğinizde

Maili silmeden önce BT ekibinize iletin; aynı alan adından kurumun başka kişilerine de mail gelmiş olabilir. Alan adı bir tedarikçinizi taklit ediyorsa tedarikçiyi de bilgilendirin; aynı saldırı onun diğer müşterilerine de yöneliyor olabilir. Kişisel veri içeren bir yazışma bu adrese gönderildiyse, bunun KVKK kapsamında bir veri ihlali olup olmadığını KVKK uyum danışmanlığı çerçevesinde değerlendirmek gerekir. Bildirim gerekiyorsa süre ve adımlar KVKK veri ihlali 72 saat rehberinde.

Kendi alan adınızın kimlik doğrulama kayıtlarını baştan doğru kurmak için alan adlı e-posta kurulumu rehberindeki sekiz adımı izleyebilirsiniz.

Digital Bridge'de bu işi nasıl yapıyoruz?

Siber güvenlik danışmanlığımızda benzer alan adı riskini somut bir envanterle ele alıyoruz:

• Alan adı envanteri: Kurumunuza ait tüm alan adlarını, SPF/DKIM/DMARC durumlarını ve DMARC politikasının hangi seviyede olduğunu çıkarıyoruz; uygulama seviyesine geçişi aşamalı planlıyoruz.
• Varyasyon analizi: Alan adınızın en kolay taklit edilebilecek varyasyonlarını listeliyor, hangilerinin savunma amaçlı kaydedilmesinin mantıklı olduğunu birlikte değerlendiriyoruz.
• Muhatap listesi ve süreç: Ödeme yaptığınız tedarikçilerin alan adlarını ve hesap değişikliği teyit sürecini yazılı hâle getiriyoruz.
• E-posta altyapısı: Mevcut sisteminiz benzer alan adını tespit etmiyorsa, bunu her mesajda otomatik yapan bir altyapıya geçişi bulut geçiş ve altyapı danışmanlığı kapsamında planlıyoruz.

SmartMail benzer alan adlarını nasıl yakalar?

Kendi geliştirdiğimiz Smart360 ailesinin kurumsal e-posta ürünü SmartMail, gelen her maili 12 sinyalle değerlendirir. Bu sinyallerden ikisi doğrudan bu saldırıyı hedefler: benzer alan adı ve uluslararası karakter kontrolü. Bunlara görünen ad ve marka taklidi, Reply-To ve bağlantı uyuşmazlığı, kendi SPF/DKIM/DMARC ve PTR doğrulaması, riskli ek ve içerik değerlendirmesi eşlik eder.

Somut bir senaryo: satın alma ekibine, çalıştığınız lojistik firmasının alan adında Latin "a" yerine Kiril "а" kullanılmış bir adresten, "ekli proforma faturayı bugün ödemeniz gerekiyor" diye bir mail geliyor. Adres ekranda birebir aynı görünüyor ve DMARC'tan geçiyor. SmartMail bu maili gerekçesi yazılı bir raporla işaretler: alan adı uluslararası karakter içeriyor ve bilinen bir muhatabın alan adına benzetilmiş; içerik ödeme talebi taşıyor. Mesaj, kurumun belirlediği güven eşiğinin altındaysa karantinaya alınır. Varsayılan eşik 70'tir; eşiği değiştirmeden önce bunun kaç mesajı etkileyeceği gösterilir.

Önemli bir ayrıntı: kimlik doğrulama ve alan adı kontrolleri yazılımla yürür; yapay zeka kullanım hakkı dolsa bile çalışmaya devam eder. Yani bu koruma yapay zeka kotasına bağlı değildir.

Saldırının ikinci aşamasına karşı da katman vardır. Saldırgan maili geçirmeyi başarsa bile, kurum adına çıkacak ödeme teyidi gibi yanıtlar SmartMail'in gönderim onayı özelliğiyle bir ya da birden çok kişinin onayına sunulabilir; her adım tarih ve saatiyle kayda geçer. Ortak kutularda ise ekip notları ve "dikkat çekme" ile şüpheli bir mail, ekip arkadaşına işaretlenebilir. Onay akışının nasıl kurulacağını e-posta onay akışı yazımızda anlattık.

Sonraki adım

İlk adım, alan adlarınızın bugünkü durumunu görmektir: DMARC hangi seviyede, hangi varyasyonlar açıkta, gelen mail altyapınız benzerliği ölçüyor mu? Siber güvenlik ekibimizle bu değerlendirmeyi yapabilir, SmartMail'in güvenlik analizini Smart360 sayfasında inceleyebilir ya da iletişim sayfamızdan canlı gösterim talep edebilirsiniz. Alan adı taklidinin yol açtığı diğer dolandırıcılık türleri Kurumsal E-posta ve Belge rehberimizde bir arada.