Mail hesabı ele geçirildiğinde ilk iş, parolayı değiştirip açık oturumların tamamını kapatmak ve saldırganın bıraktığı yönlendirme kurallarını silmektir. Ardından hesaptan gönderilen mailler incelenir, yazıştığınız firmalar sahte ödeme talimatlarına karşı telefonla uyarılır ve kişisel veri etkilendiyse KVKK'nın 72 saatlik bildirim süresi hesaba katılır. Sırayı bozmamak, hasarı büyük ölçüde sınırlar.
Kısaca
- Önce erişimi kesin: parola değişikliği tek başına yetmez, tüm cihazlardaki açık oturumlar kapatılmalıdır.
- Saldırganlar çoğu zaman gizli yönlendirme ve silme kuralı bırakır; parola değiştikten sonra da yazışmalar dışarı akabilir.
- Verizon DBIR 2026'ya göre çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem.
- Hesaptan sahte IBAN bildirimi çıkmış olabilir; muhataplarınızı e-postayla değil, bilinen bir telefon numarasıyla uyarın.
- Kişisel veri etkilendiyse KVKK Kurulu'na bildirim, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılmalıdır.
Mail hesabının ele geçirildiği nasıl anlaşılır?
Ele geçirilmiş bir kurumsal mail hesabı, saldırgan bilerek sessiz kaldığı için çoğu zaman haftalarca fark edilmez. Belirtiler genellikle dışarıdan gelir: bir müşteri "dün gönderdiğiniz yeni IBAN doğru mu?" diye arar ya da bir tedarikçi tanımadığı bir faturayı sorar. İçeriden fark edilen işaretler ise daha küçüktür.
En sık görülen belirtiler şunlardır:
- Gönderilmiş öğelerde sizin yazmadığınız mailler ya da tanımadığınız alıcılara toplu gönderimler.
- Gelen kutusunda okunmuş görünen ama sizin açmadığınız mesajlar, eksik yanıt zincirleri.
- Ayarlarda tanımadığınız bir yönlendirme adresi ya da belirli kelimeleri içeren mailleri silen bir kural.
- Bilmediğiniz bir ülkeden ya da cihazdan giriş bildirimi, kendiliğinden değişmiş parola veya imza.
Hesapların büyük kısmı, sahte bir giriş sayfasına girilen parolayla düşer. Çalışanların bu sayfaları nasıl ayırt edeceği oltalama maili nasıl anlaşılır rehberimizde ayrıntılı olarak anlatılıyor. Başka bir sitede sızmış ve tekrar kullanılmış parolalar da aynı sonucu doğurur; bu yönteme credential stuffing saldırısı denir.
Ele geçirilmiş bir mail hesabı şirkete neye mal olur?
Asıl maliyet, hesabın kendisinden çok, hesap üzerinden yapılan dolandırıcılıktır. Saldırgan yazışmaları okur, vadesi yaklaşan bir ödemeyi bulur ve gerçek zincirin içinden "banka bilgilerimiz değişti" maili gönderir. Bu düzenek iş e-postası ele geçirme (BEC) olarak bilinir.
FBI'ın İnternet Suçları Şikâyet Merkezi'ne (IC3) göre ABD'de 2025'te iş e-postası ele geçirme (BEC) kaynaklı 24.768 şikâyette toplam 3,05 milyar dolar kayıp bildirildi. (FBI IC3 2025 Internet Crime Report)
Kimlik bilgisi hırsızlığı da yaygınlığını koruyor. Verizon 2026 Data Breach Investigations Report verilerinde çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem olarak yerini korudu. Microsoft Dijital Savunma Raporu 2025 ise kimlik saldırılarının %97'sinden fazlasının parola saldırısı olduğunu, oltalamaya dayanıklı çok faktörlü doğrulamanın bu saldırıların %99'undan fazlasını durdurabildiğini belirtiyor.
Doğrudan para kaybının yanında itibar ve mevzuat maliyeti de vardır. Hesaptaki müşteri yazışmaları, kimlik fotokopileri ya da bordro ekleri kişisel veri içerir; bunların üçüncü kişilerin eline geçmesi veri ihlali sayılabilir.
İlk 24 saatte hangi adımlar sırayla atılmalı?
Panik içinde rastgele işlem yapmak, hem delili yok eder hem de saldırgana zaman kazandırır. Aşağıdaki sıra, kurumsal bir mail hesabı için ilk 24 saatin iskeletidir:
- Erişimi kesin. Hesabın parolasını, başka hiçbir yerde kullanılmamış uzun bir parolayla değiştirin ve tüm cihazlardaki açık oturumları kapatın. Telefonlardaki posta uygulamaları ve masaüstü programları da yeniden giriş istemelidir. Olay kayıp bir cihazla başladıysa çalınan telefondaki açık oturumlar rehberindeki sırayı izleyin.
- Kuralları ve yönlendirmeleri temizleyin. Otomatik yönlendirme, gelen kutusu kuralları, imza, yanıt adresi ve tatil yanıtı ayarlarını tek tek kontrol edin; tanımadığınız her şeyi önce ekran görüntüsüyle kaydedip sonra silin.
- Delilleri koruyun. Giriş kayıtlarını, şüpheli gönderilmiş mailleri ve tarih-saat bilgilerini dışa aktarın. Silinmiş öğeler klasörünü boşaltmayın.
- Gönderilenleri inceleyin. Saldırganın hangi alıcılara, hangi konuda mail attığını listeleyin. Ödeme, IBAN ya da fatura geçen her yazışma ayrı işaretlenmelidir.
- Muhatapları uyarın. Etkilenen müşteri ve tedarikçileri, kayıtlı ve bilinen telefon numaralarından arayın; e-postayla gelen yeni banka bilgilerine itibar etmemelerini söyleyin. Para çıktıysa bankanızı hemen arayın. Ele geçirilen hesaptan yönetici adına acil ödeme istenmesi de sık görülür; bu senaryoyu CEO dolandırıcılığı rehberinde anlattık.
- Kapsamı belirleyin. Aynı parolanın başka sistemlerde kullanılıp kullanılmadığını ve hesabın erişebildiği ortak kutuları gözden geçirin.
- Bildirim kararını verin. Kişisel veri etkilendiyse hukuk ve KVKK sorumlusuyla birlikte bildirim değerlendirmesini başlatın.
Bu adımların ilk ikisi ilk saat içinde tamamlanmalıdır. Kalanlar paralel yürüyebilir; önemli olan her adımı kimin, ne zaman yaptığını yazılı tutmaktır.
Saldırgan hesapta neleri değiştirmiş olabilir?
Saldırganlar parolanın değişeceğini bilir; bu yüzden erişimlerini sürdürmek ve izlerini gizlemek için ayarlara dokunurlar. Aşağıdaki tablo, kontrol edilmesi gereken noktaları özetler.
| Kontrol noktası | Neye bakılır | Neden önemli |
|---|---|---|
| Yönlendirme | Dış bir adrese otomatik iletme | Parola değişse de yazışmalar dışarı akar |
| Gelen kutusu kuralları | "Fatura", "ödeme", "IBAN" içeren mailleri silen ya da taşıyan kural | Müşterinin şüpheli yanıtı size ulaşmaz |
| Açık oturumlar | Tanınmayan cihaz, konum, uygulama | Saldırgan parolasız oturumla içeride kalabilir |
| Bağlı uygulamalar | Posta erişimi verilmiş üçüncü taraf uygulamalar | Parolaya ihtiyaç duymadan erişim sağlar |
| İmza ve yanıt adresi | Değişmiş telefon ya da farklı yanıt adresi | Yanıtlar saldırgana gider |
| Ortak kutu erişimi | Hesabın görebildiği muhasebe@, satis@ kutuları | Hasarın kapsamı genişler |
Ortak kutu parolaları birkaç kişi arasında paylaşılıyorsa, tek bir hesabın ele geçirilmesi bütün kutuları riske atar. Kişi bazlı yetki modelini posta kutusu yetkilendirme yazımızda örnekledik.
Müşterilere, bankaya ve KVKK'ya bildirim gerekir mi?
Hesapta kişisel veri bulunuyorsa ve bu veriler yetkisiz kişilerce ele geçirildiyse, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bildirim yükümlülüğü doğabilir. Kurul'un 2019/10 sayılı kararına göre veri sorumlusu ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirimde bulunmalıdır. Saat saat plan için KVKK veri ihlali bildirimi rehberine bakın.
Bildirimin ayrıntıları olaydan olaya değişir; hangi verinin, kaç kişiyi etkilediğini çıkarmadan karar vermeyin ama süreyi de kaçırmayın. Para çıkışı olduysa bankanız ve kolluk birimleri ayrı muhataplardır; havale geri çağırma imkânı ilk saatlerde çok daha yüksektir. Ödeme yönlendirme senaryosunun tamamı IBAN değişikliği maili dolandırıcılığı yazısında ele alınıyor.
Hesap bir daha ele geçirilmesin diye ne yapılmalı?
Olay kapandıktan sonra, aynı açıklığın tekrar kullanılmaması için kalıcı önlemler gerekir. En etkili olanlar teknik olarak basit ama disiplin isteyen önlemlerdir.
- Çok faktörlü doğrulama: MFA açık olan hesapta çalınmış parola tek başına yetmez; seçenekler iki adımlı doğrulama (MFA) rehberinde.
- Tekil parolalar: Her sistem için ayrı ve uzun parola, kurumsal bir parola yöneticisiyle; ayrıntılar kurumsal parola güvenliği yazısında.
- Paylaşılmayan ortak kutular: Ortak adreslere herkes kendi kimliğiyle girmeli, kutu parolası kimseye verilmemelidir.
- Ayrılan çalışan disiplini: İşten çıkan kişinin erişimi aynı gün kapatılmalı; adımlar işten ayrılan çalışanın e-posta erişimi yazısında.
- Alan adı koruması: SPF, DKIM ve DMARC kayıtları, alan adınız adına sahte mail gönderilmesini zorlaştırır; temel kurulum için SPF, DKIM ve DMARC rehberimize bakın.
Çalışanlara olaydan sonra kısa bir farkındalık oturumu düzenlemek de etkilidir; programın nasıl kurulacağı siber güvenlik farkındalık eğitimi yazısında. Diğer konulardaki rehberlere güvenlik ve KVKK sayfasından ulaşabilirsiniz.
SmartMail ile bu iş nasıl kolaylaşır?
Digital Bridge'in geliştirdiği SmartMail kurumsal e-posta hizmeti, yukarıdaki müdahale adımlarının birkaçını tek panelde toplar. Bir senaryo üzerinden düşünelim: muhasebe çalışanı Ayşe Hanım sahte bir giriş sayfasına parolasını girmiş, ertesi gün de bir müşteri onun adresinden gelen "IBAN değişikliği" mailini sormuş.
- Erişimi tek yerden kesmek: SmartMail'de açık oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılır; parola değiştiğinde tüm cihazlardaki oturumlar kendiliğinden kapanır. Oturum, girişin yapıldığı kurum adresine bağlıdır.
- Ortak kutu parolası ifşa olmaz: Ayşe Hanım
muhasebe@kutusuna kendi kimliğiyle girer; kutu parolasını sistem üretir, şifreli saklar ve çalışanlara dağıtmaz. Kutuya erişim tek ekrandan kaldırılabilir, zamanlanmış mailler de gönderim anında yeniden denetlenir. - Ne olduğunu görmek: Denetim kaydı erişim verme, ayar değiştirme ve gönderen kuralı ekleme gibi işlemleri kişi, zaman ve IP adresiyle tutar. Mail başına etkinlik dökümü kimin hangi maili okuduğunu gösterir; bu, KVKK değerlendirmesinde kapsamı çıkarmayı kolaylaştırır.
- Sahte talimatı yakalamak: Gelen her mail SPF, DKIM, DMARC, benzer alan adı ve görünen ad taklidi açısından incelenir; IBAN değişikliği gibi sahte tedarikçi işaretleri gerekçeli uyarıyla çıkar.
Giriş ekranları ayrıca Smart360 Security ile insan doğrulamasından geçer; bu katman otomatik parola deneme saldırılarına karşı korur. SmartMail, oltalamaya karşı insan dikkatinin yerini almaz; ancak olay anında "kim, neyi, ne zaman yaptı" sorusunu tahmine değil kayda dayanarak yanıtlamayı sağlar. Ayrıntılar SmartMail ürün sayfasında yer alıyor.
Digital Bridge nasıl yardımcı olur?
Digital Bridge, ele geçirilmiş hesap olaylarında hem müdahaleye hem de kalıcı yapıya destek verir. Siber güvenlik danışmanlığı kapsamında kayıtların incelenmesi, alan adı kimlik doğrulama kayıtlarının gözden geçirilmesi ve yetki yapısının yeniden kurulması birlikte planlanır.
Kişisel veri boyutu için KVKK uyum danışmanlığı ekibimiz bildirim değerlendirmesine ve müdahale prosedürünün yazılı hâle getirilmesine yardımcı olur. SmartMail'e geçiş planlanıyorsa DNS kayıtlarının hazırlanması ve ilk kurulumda eski maillerin taşınması da bu sürecin parçasıdır.
Sonraki adım nedir?
Henüz bir olay yaşamadıysanız bu rehberdeki yedi adımı kendi sisteminizde deneyin: oturumları uzaktan kapatabiliyor, ortak kutu erişimini tek ekrandan kaldırabiliyor ve kimin neyi yaptığını kayıttan çıkarabiliyor musunuz? Temel önlemlerin tam listesi KOBİ siber güvenlik kontrol listesinde bulunuyor.
Bu soruları tek panelde yanıtlayan bir yapı istiyorsanız SmartMail ürün sayfasını inceleyin ve SmartMail'i satın almak için Smart360 satın alma sayfasını kullanın. Mevcut olayınız için destek gerekiyorsa iletişim sayfamızdan bize ulaşın.