E-posta Hesabım Ele Geçirildi: Acil Müdahale ve Kurtarma

Muhasebe biriminiz bir ödeme yapar. Bir hafta sonra tedarikçi arar, para gelmemiştir. Yazışmaya bakılır: fatura sizin adresinizden gitmiştir, ama IBAN başkasına aittir. Kimse virüs görmemiştir, ekrana uyarı çıkmamıştır. Olan şudur: bir posta hesabı haftalardır başkası tarafından okunmaktadır.

E-posta hesabının ele geçirilmesi, KOBİ’lerde en pahalıya mal olan güvenlik olayıdır; çünkü saldırgan sistemi bozmaz, sessizce okur ve doğru anda araya girer. Fark edildiğinde önemli olan sıralamadır: yanlış sırayla hareket etmek delili yok eder ve saldırganın erişimini korumasına izin verir.

Aşağıdaki sıra, olayın ilk saatinde uygulanmak üzere yazılmıştır.

İlk 30 dakika: müdahale sırası

1. Şifreyi değiştirin. cPanel > E-posta Hesapları > Yönet > Şifre. En az 16 karakter, sözlükte olmayan bir dizi. Aynı şifreyi başka serviste kullanmayın.
2. Tüm oturumları kapatın. Şifre değişimi açık IMAP oturumlarını her zaman düşürmez. Barındırıcınızdan hesabın aktif oturumlarının sonlandırılmasını ve gerekirse posta servisinin kısa süreli yeniden başlatılmasını isteyin.
3. Gizli yönlendirme ve filtreleri kontrol edin. Bu adımı atlamayın; şifre değişse bile yönlendirme çalışmaya devam eder.
4. Gönderilenler ve posta kuyruğunu inceleyin. Dışarı ne gittiğini bilmeden kimi uyaracağınızı bilemezsiniz.
5. Sunucu kuyruğunu temizletin. Bekleyen spam mesajları hâlâ gidiyorsa itibar kaybı sürüyor demektir.
6. Muhasebeyi ve son 30 günde yazıştığınız firmaları uyarın. “Adımıza gelen ödeme talimatlarını telefonla teyit edin” cümlesi yeterlidir.

Gizli yönlendirme ve filtre kuralları

Saldırganın ilk işi kalıcılık kurmaktır. Bunun en sessiz yolu, hesabın postasını kendi adresine kopyalayan bir kural bırakmaktır. Kontrol edilecek dört yer:

• cPanel > E-posta > Yönlendiriciler — tanımadığınız hedef adres var mı?
• cPanel > E-posta > E-posta Filtreleri ve Genel Filtreler — “Yönlendir” ya da “Sil” eylemli kurallar.
• Roundcube > Ayarlar > Filtreler — Sieve kuralları cPanel listesinde görünmez, ayrıca bakılmalıdır.
• Roundcube > Ayarlar > Kimlikler — sahte bir “Kimden” adı eklenmiş olabilir.

Klasik hile şudur: Konu “fatura” veya “IBAN” içeriyorsa Çöp Kutusu’na taşı kuralı. Böylece tedarikçinin “bu IBAN size mi ait” sorusu kullanıcıya hiç görünmez. Bu tür kuralları silmeden önce ekran görüntüsü alın; ileride delil olarak gerekebilir.

Ne gitti, kime gitti

Gönderilenler klasörüne bakmak yetmez; saldırgan çoğu zaman gönderdiği mesajı oradan siler. Daha sağlam kaynaklar:

• cPanel > E-posta > E-posta İzleme (Track Delivery) — son günlerde bu hesaptan çıkan tüm teslimatları, alıcıları ve sonuçları listeler.
• Barındırıcıdan exim_mainlog içinde hesabın kimlik doğrulama satırlarını isteyin. Satırlar A=dovecot_login:hesap@alanadi biçiminde gelir ve bağlanan IP’yi gösterir.
• Yabancı ülkeden gelen ardışık başarılı girişler, olayın ne zaman başladığını tarihlendirir.

Kuyrukta bekleyen spam varsa temizlenmesi gerekir; aksi halde sunucu IP’niz kara listelere düşmeye devam eder.

Kara listeden çıkmak

Hesap üzerinden toplu spam gönderildiyse sunucunun IP’si Spamhaus, Barracuda ya da SORBS gibi listelere girmiş olabilir. Sıra şöyledir:

Kaynağı kapatmadan delisting istemeyin; ikinci kez listeye giren IP’lerde bekleme süresi uzar. Paylaşımlı barındırmada IP ortak olduğu için bu işlemi barındırıcı yürütür. Alan adı itibarınızı korumak için SPF, DKIM ve DMARC kayıtlarınızı da bu vesileyle sıkılaştırın; e-postalarınız spam’e düşüyorsa yazısı sonrasındaki toparlanma sürecini anlatıyor.

Asıl hedef: sahte fatura ve IBAN dolandırıcılığı (BEC)

Bu saldırıların çoğunda amaç spam göndermek değil, para transferini yönlendirmektir. Yöntem şudur: saldırgan yazışmayı haftalarca okur, ödeme döngüsünü öğrenir, faturanın gideceği günü bekler ve aynı konu başlığıyla, benzer üslupla “banka hesabımız değişti” mesajını gönderir. Genelde ornekfirma.com.tr yerine ornekfirrna.com.tr gibi göze çarpmayan bir alan adı kullanılır.

Kalıcı önlem teknik değil, süreçseldir:

• IBAN değişikliği hiçbir koşulda e-postayla teyit edilmez; kayıtlı sabit telefondan aranır.
• Belirli tutarın üzerindeki ödemeler için ikinci kişi onayı zorunlu olsun.
• Tedarikçi IBAN’ları muhasebe sisteminde sabitlensin, mesajdaki numaradan kopyalanmasın.
• Şüpheli mesajda Reply-To alanını kontrol edin; sahte mesajlarda gönderenden farklıdır.

Para çıktıysa gecikmeden bankanızı arayıp iade/blokaj talebinde bulunun ve savcılığa suç duyurusunda bulunun. İlk 24 saat kritik önemdedir. KVKK kapsamında kişisel veri içeren yazışmalar sızdıysa, veri sorumlusu olarak ihlali değerlendirmeniz ve gerekiyorsa Kurul’a bildirmeniz gerekebilir.

Sonrasında alınacak önlemler

• Tüm posta hesaplarının şifresini yenileyin; saldırganlar aynı listeyi tekrar dener.
• Kullanılmayan hesapları silin. Ayrılan çalışanın kutusu en sık ele geçirilen hedeftir.
• Panel girişine iki adımlı doğrulama açın.
• Ortak bilgisayarlarda tarayıcıya kaydedilmiş posta şifrelerini temizleyin.
• Şifreyi ele geçiren şey genelde sunucu değil, kullanıcının bilgisayarındaki bilgi çalan yazılımdır; olay sonrası uç cihazları tarayın.
• Genel sertleştirme adımları için site güvenliği temel önlemleri listesini uygulayın.

Özetle

• Sıra önemlidir: şifre → oturumları kapat → gizli kurallar → kuyruk → uyarı.
• Şifre değişimi tek başına yetmez; yönlendirici ve Sieve filtreleri ayrıca temizlenmelidir.
• Ne gittiğini Gönderilenler değil, Track Delivery ve sunucu logları gösterir.
• Kara listeden çıkmadan önce kaynağı kapatın, yoksa tekrar girersiniz.
• Asıl risk BEC’tir; IBAN değişikliği yalnızca telefonla teyit edilmelidir.