İhale Teklif E-posta Güvenliği: Fiyat Sızıntısı ve Sahte Zeyilnameye Karşı 7 Önlem

İhale teklif e-posta güvenliği, teklif fiyatınızın, teknik dosyanızın ve teklif mektubunuzun yalnızca yetkili kişilerce hazırlanıp doğru alıcıya, doğru sürümle ve onaylı gönderilmesini sağlayan kontroller bütünüdür. En sık üç risk; fiyat sızıntısı, şartname kılığında oltalama ve onaysız gönderimdir. Gönderim onayı, kişi bazlı yetki, sürüm kontrolü ve benzer alan adı denetimi bunların çoğunu önler.

Kısaca

• İhale teklifinde üç temel e-posta riski vardır: teklif fiyatının sızması, şartname ya da zeyilname kılığında oltalama ve onaysız teklif gönderimi.
• Verizon DBIR 2026'ya göre oltalama ihlallerin %16'sında ilk erişim yoluydu; sahte güven kurgusuna dayanan "pretexting" %6'ya ulaştı.
• Kamu ihalesinde teklif EKAP'tan verilse bile şartname incelemesi, alt yüklenici fiyatları ve iç yazışmalar büyük ölçüde e-postayla yürür.
• Fiyat dosyasını mail eki yerine sürümlü ve kişi bazlı yetkili bir klasörde tutmak, hem yanlış sürüm hem sızıntı riskini azaltır.
• Teklif mektubu gönderim onayına bağlanmalı, teslim saatinden önce onay için iç zaman tamponu bırakılmalıdır.

İhale sürecinde e-posta neden en zayıf halka?

İhaleye giren bir firmada e-posta, sürecin baştan sona omurgasıdır. İhale duyurusu ve şartname gelir, soru-cevap yazışmaları yapılır, alt yüklenicilerden ve tedarikçilerden fiyat toplanır, teknik ekip ile teklif ekibi dosyaları gidip getirir, sonunda teklif mektubu ve ekleri hazırlanır. Kamu ihalelerinde teklifler, Kamu İhale Kurumunun yönettiği EKAP (Elektronik Kamu Alımları Platformu) üzerinden elektronik olarak verilebilse de hazırlık aşamasındaki yazışmaların, özel sektör ihalelerinin ve yurt dışı ihalelerin önemli bir kısmı 2026 itibarıyla hâlâ e-postayla yürür.

E-postanın ihale sürecindeki bu yoğun kullanımı, üç tipik zafiyet üretir:

• Sızan fiyat. Birim fiyat tablosu, dağıtım listesindeki yanlış bir adrese, işten ayrılmış bir çalışanın hâlâ açık olan kutusuna ya da kişisel bir adrese iletilir. Rekabetçi bir ihalede tek bir sızıntı, teklifin tüm değerini ortadan kaldırabilir.
• Sahte muhatap. "Şartname revizyonu ektedir", "zeyilname yayımlandı, bağlantıdan indiriniz" gibi mailler, idareyi ya da ana yükleniciyi taklit eden benzer alan adlarından gelir. Amaç parola toplamak, zararlı yazılım yerleştirmek ya da yazışma zincirine sızmaktır. Bu tekniği benzer alan adı saldırıları yazımızda ayrıntılı anlattık.
• Kontrolsüz gönderim. Son saatte hazırlanan teklif mektubu, yanlış sürümdeki fiyat dosyasıyla ve yöneticinin görmediği bir metinle, tek bir çalışanın kutusundan çıkar.

İhale e-postasındaki zafiyetlerin çoğu kötü niyetten değil, alışkanlıktan doğar. Evden çalışmak için fiyat tablosunu kişisel adresine ileten mühendis, "herkes görsün" diye tüm ekibi CC'ye ekleyen proje müdürü ya da eski bir teklifi kopyalayıp üzerine yazan uzman, sürecin boşluklarını iyi niyetle doldurur. Bu yüzden çözüm, insanları suçlamak değil, doğru davranışı kolay ve yanlış davranışı zor hâle getiren bir yapı kurmaktır. Teklifin hazırlanmasından sonucuna kadar izlenmesini ise teklif takip programı rehberinde ele aldık.

İhale e-postası güvenliği ihmal edilirse maliyeti ne olur?

İhaleye özgü kamuya açık bir kayıp istatistiği yok; ancak ihale ekiplerini hedef alan saldırı türleri iyi belgelenmiş durumda. Verizon 2026 Data Breach Investigations Report verisine göre oltalama tüm ihlallerin %16'sında ilk erişim yolu olarak kaldı; güven ilişkisi kurgulanarak yapılan "pretexting" ise %6'ya ulaştı. "İdareden gelen zeyilname" tam da böyle bir kurgudur; bu tür maillerin genel işaretlerini oltalama maili nasıl anlaşılır rehberinde topladık.

Sahte ihale maillerini gözle ayırt etmek de giderek zorlaşıyor:

ENISA'nın aktardığına göre Eylül 2024 – Şubat 2025 arasında tespit edilen oltalama e-postalarının %80'inden fazlasında bir ölçüde yapay zeka kullanılmıştı. (ENISA Threat Landscape 2025)

Yazım hatasından, bozuk Türkçeden şüphelenmek artık yeterli değil; bir ihale davetinin resmî dili de kolayca taklit edilebiliyor. Saldırganın asıl hedefi ise çoğu zaman veridir: Microsoft Digital Defense Report 2025 verisine göre Microsoft ekiplerinin incelediği siber olayların %80'inde saldırganlar veri çalmaya çalıştı. Teklif fiyatları, maliyet analizleri ve referans projeler, rakip ya da aracı için tam olarak bu değerde veridir.

İşin kurumsal maliyeti de küçük değil: IBM Cost of a Data Breach Report 2026 verisine göre bir veri ihlalinin küresel ortalama maliyeti, önceki yıla göre %12 artışla rekor düzey olan 4,99 milyon dolara ulaştı. İhalede buna kaybedilen iş, ihaleden yasaklanma riski ve bozulan müşteri güveni eklenir.

İhale sürecinin hangi aşamasında hangi e-posta riski var?

İhale risk haritasını okurken dikkat edilecek nokta şu: risklerin yarısı gelen mailde, diğer yarısı içeride dolaşan dosyada ve dışarı çıkan mailde. Yalnızca gelen maili filtreleyen bir çözüm fiyat sızıntısını ve onaysız gönderimi durdurmaz; yalnızca iç yetkileri düzenlemek de sahte zeyilnameyi yakalamaz. Bu nedenle gelen ve giden taraf birlikte ele alınmalıdır. Alıcı yurt dışındaysa net yazılmış bir teklif maili yanlış anlamayı da önler; İngilizce iş maili yazma rehberimiz bu dilin kalıplarını içerir.

E-posta altyapısı seçerken iki tarafı birlikte değerlendirmek için kurumsal e-posta seçim rehberimize göz atabilirsiniz. Şartnameyi hazırlayan taraftaysanız dosyaların güvenli iletimini teknik şartname hazırlama sürecinin bir adımı yapın.

İhale teklif e-posta güvenliği nasıl sağlanır? 7 adım

1. Teklif mektubunu ve fiyat içeren her dış maili onaya bağlayın. Mesajı yazan kişi onayı başlatsın; onaylayan, revizyon isteyen ya da reddeden her adım tarih ve saatle kayda geçsin.
2. İhale için ayrı bir ortak kutu açın ve yetkiyi kişiye göre bölün. Görüntüleme, gönderme ve silme yetkileri herkese aynı anda verilmemeli; kurulum ve izin düzeni için ortak posta kutusu yönetimi rehberine bakın.
3. Fiyat dosyalarını mail eki olarak dolaştırmayın. Yetkili bir proje klasöründe tutun, sürüm geçmişi açık olsun; dışarıya gönderilecek son sürüm tek yerden alınsın. Bunun neden önemli olduğunu dosya sürüm kontrolü yazımızda anlattık.
4. Gelen ihale maillerinde gönderen alan adını doğrulayın. Zeyilname ya da şartname revizyonu bildiren maildeki bağlantıya tıklamak yerine idarenin resmî kanalından kontrol edin.
5. Kendi alan adınızda SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) ve DMARC (Domain-based Message Authentication, Reporting and Conformance) kayıtlarını tamamlayın. Sizin adınıza sahte teklif ya da yazışma gönderilmesini zorlaştırır. Kurulum sırası için SPF, DKIM ve DMARC rehberimize bakabilirsiniz.
6. İhale ekibinden ayrılanın erişimini aynı gün kapatın. Kutular, klasörler ve mobil oturumlar birlikte kapanmalı; kutunun kime devredileceği için işten ayrılan çalışanın e-posta erişimi rehberindeki adımları izleyin.
7. Teslim saatine tampon koyun. Son dakika gönderimleri kontrolsüz gönderimin baş nedenidir; onay için zaman bırakan bir iç takvim belirleyin.

Yedi adımı tek seferde değil, bir sonraki ihaleyi pilot seçerek devreye almak en sağlıklısıdır. İhale bittiğinde ekiple kısa bir değerlendirme yapın: onay kaç saat sürdü, hangi dosya hangi kutudan geçti, hangi uyarı gereksizdi? Bu geri bildirimle yetkileri ve takvimi ayarlamak, kuralların kâğıtta kalmasını önler.

Onay akışının nasıl tasarlanacağını e-posta onay akışı rehberimizde, klasör yetkilerini ise dosya paylaşım yetkilendirme yazımızda ayrıntılı anlattık.

Digital Bridge'de bu işi nasıl yapıyoruz?

Digital Bridge olarak ihale ekiplerinde işe araçtan değil, süreçten başlıyoruz:

• Süreci haritalıyoruz. Danışmanlık çalışmamızda duyurudan teslime kadar hangi dosyanın kimde, hangi kanaldan dolaştığını çıkarıyor, bu yazıdaki ihale risk haritasını kendi ihale takviminize uyarlıyoruz.
• Altyapıyı sıkılaştırıyoruz. Siber güvenlik danışmanlığı kapsamında alan adı kimlik doğrulama kayıtlarınızı, ortak kutuların ve paylaşılan klasörlerin yetkilerini gözden geçiriyoruz.
• Belge akışını düzenliyoruz. Teklif dosyalarının sürümlü ve yetkili bir alanda tutulması için klasör yapısını kuruyor, gerekiyorsa mevcut belge yönetim sisteminizle birlikte çalışacak şekilde tasarlıyoruz.
• Sektörü tanıyoruz. İnşaat ve taahhüt firmalarına yönelik çalışmalarımızda alt yüklenici yazışmalarının ve saha-merkez dosya trafiğinin yoğunluğunu hesaba katıyoruz. İhale kazanıldıktan sonraki belge akışı için inşaat hakediş takibi yazımıza bakabilirsiniz.

Smart360 ile bir ihale dosyası nasıl yürür?

Digital Bridge'in geliştirdiği Smart360 ailesi, kurumsal uygulamalarını tek panel ve tek kimlikle (SmartID) birleştirir; ihaleye giren firmalar ailenin tasarlandığı sektörler arasındadır. İhale dosyasında iki ürün birlikte çalışır: yazışma için SmartMail kurumsal e-posta, şartname ve fiyat dosyaları için SmartFiles kurumsal dosya yönetimi. Somut bir senaryo:

Şartname gelir. İdareden gelen mail SmartMail'de kimlik, yapı ve içerik ölçümlerinden geçer: SPF/DKIM/DMARC ve PTR doğrulaması, benzer alan adı ve uluslararası karakter, görünen ad taklidi, Reply-To ve bağlantı uyuşmazlığı, metnin yapay zeka ile değerlendirilmesi. Şüpheli bir "zeyilname" gerekçesi yazılı bir raporla karantinaya düşer. Güvenilir mail otomatik olarak teklif/ihale sınıfına ayrılır; ek tek tıkla SmartFiles'taki ihale klasörüne kaydedilir.

Şartname incelenir. SmartFiles, yüklenen belgeyi kimse istemeden analiz eder ve dört bölümlü bir rapor çıkarır: Özet, Ana Noktalar, Yapı, Dikkat Çeken Detaylar. Teknik ekip "teslim süresi ve ceza şartları ne?" gibi soruları doğrudan belgeye ya da klasörün tamamına sorabilir. Yabancı dildeki şartname yazışmaları SmartMail'de 30 dile çevrilebilir.

Fiyat dosyası hazırlanır. Klasörde sekiz bağımsız yetki (okuma, yazma, düzenleme, silme, klasör oluşturma, yapay zeka, geçmiş, not) kişiye ya da departmana verilir; satın alma fiyatları görür, saha ekibi görmez. Aynı adla yüklenen her dosya yeni sürüm olur, eskisi kaybolmaz; indirme ve önizleme bağlantıları dakikalar içinde geçersizleşir.

Teklif gönderilir. Teklif mektubu, SmartMail'in gönderim onayıyla bir veya birden çok yöneticiye sunulur; onaylayan gönderen adresini, alıcıları, eklerin adını ve gövdeyi görür, onayladığı anda mail gider. Onay akışı zamanlanmış gönderimle birlikte kullanılmaz; onay, revizyon ya da ret tarih ve saatiyle kaydedilir. İhale@ gibi bir ortak kutuda dokuz ayrı izin (görüntüleme, yazma-gönderme, silme ve diğerleri) kişi kişi verildiği için teklifi kimin gönderebileceği de önceden bellidir.

İhale biter, ekip değişir. Ayrılan çalışanın tüm ürünlerdeki erişimi tek işlemle kapanır; departman değişikliği erişimi tüm ürünlerde otomatik günceller.

Sonraki adım: son teklifinizi geriye doğru izleyin

Bir sonraki ihalenizden önce son teklifinizi geriye doğru izleyin: fiyat dosyası kaç kişinin kutusundan geçti, teklif mektubunu kim onayladı, bunun kaydı var mı? Cevaplar net değilse iletişim sayfamızdan bize ulaşın; sürecinizi birlikte haritalayıp Smart360'ı kendi ihale akışınız üzerinde gösterelim. Ürünleri doğrudan satın almak için SmartMail satın alma ve SmartFiles satın alma sayfalarını kullanabilirsiniz. E-posta ve belge güvenliğinin diğer başlıkları Kurumsal E-posta ve Belge rehberimizde bir arada.