E-posta Güvenliği Nedir? E-posta Nasıl Çalışır, Tehdit Türleri ve Temel Korunma Yöntemleri?

Bu konuda e-postanın arka planda nasıl çalıştığını, spam, phishing, zararlı ek ve BEC gibi tehdit türlerini, e-posta kimlik doğrulama sistemlerinin (SPF, DKIM, DMARC) temel mantığını, hesap güvenliğini ve şüpheli e-posta ile karşılaşıldığında yapılması gerekenleri ele alacağız. Bu konu Mail Güvenliği serisinin ilk konusudur, sonraki konularda her başlığı ayrı ayrı detaylandıracağız. Hem e-postasını güvende tutmak isteyen kullanıcılar hem de siber güvenliğe yeni başlayanlar için hazırlamaya çalıştım umarım beğenirsiniz.

E-posta Güvenliği Nedir?​

E-posta güvenliği, e-posta hesaplarını, e-posta içeriğini ve e-posta altyapısını spam, kimlik avı, zararlı yazılım, hesap ele geçirme ve veri sızıntısı gibi tehditlere karşı korumak için alınan teknik ve davranışsal önlemlerin tamamıdır. E-posta hala da saldırganların en çok kullandığı methodlardan biridir. Çünkü herkesin bir e-posta adresi vardır, bu adres genelde herkese açıktır ve e-posta ile hesap kurtarma, parola sıfırlama, banka bildirimi gibi kritik işlemler yapılır. Bir e-posta hesabını ele geçiren kişi o hesaba bağlı diğer tüm hesapların parolasını sıfırlayabilir. FBI IC3'ün 2025 yıllık raporuna göre en çok bildirilen suç türü 191.561 şikayetle phishing ve spoofing oldu. Business Email Compromise (BEC) ise 24.768 şikayet ve yaklaşık 3,05 milyar dolar zararla en maliyetli suç türlerinden biri olarak kayda geçti. Bu veriler ABD'de bildirilen şikayetlere dayanıyor ve kullanıcıların bildirdiği vakalarla sınırlı, gerçek rakamlar bunun üzerinde olabilir.

E-posta Nasıl Çalışır?​

Saldırıların nasıl çalıştığını anlamak için önce e-postanın yolculuğunu bilmek gerekir. Bir e-posta gönderildiğinde şu maddeler geçer:

MUA (Mail User Agent)
Kullandığınız e-posta istemcisi. Outlook, (Thunderbird, Gmail web arayüzü, telefon uygulaması gibi.)

MSA (Mail Submission Agent)
İstemciden gelen e-postayı kabul eden, gönderen kullanıcıyı doğrulayan servis.

MTA (Mail Transfer Agent)
Sunucular arası e-posta taşıyan yazılım. (Postfix, Exim ve Microsoft Exchange buna örnektir.)

MDA (Mail Delivery Agent)
E-postayı alıcının posta kutusuna yerleştiren bileşen.

MX kaydı
Bir alan adına gelen e-postayı hangi sunucunun kabul edeceğini belirten DNS kaydı.


Bir alan adının MX kaydını DNS sorgusuyla görebilirsiniz:

E-posta Protokolleri ve Portları​

+ SMTP 25: Sunucular arası e-posta aktarımı.
+ SMTP 587: İstemciden e-posta gönderimi, STARTTLS ile şifrelenir.
+ SMTP 465: İstemciden gönderim, baştan TLS ile (implicit TLS).
+ IMAP 143 / 993: E-postaları sunucuda tutarak okuma. 993 TLS'li sürümdür.
+ POP3 110 / 995: E-postaları cihaza indirme. 995 TLS'li sürümdür.

E-postanın Temel Güvenlik Sorunu​

SMTP protokolü 1980'lerde çıktı ve gönderen adresin doğruluğunu kontrol eden bir mekanizması yoktu. Bir e-postada iki ayrı gönderen bilgisi bulunur:

+ Envelope Sender (MAIL FROM / Return-Path): Sunucuların kendi aralarında kullandığı, hata bildirimlerinin gittiği adres. (Kullanıcı görmez.)
+ Header From: E-posta istemcisinde "Kimden" olarak gördüğünüz adres.

Bu iki alan birbirinden bağımsız olduğu için saldırgan Header From alanına istediği adresi yazabilir. E-posta sahteciliğinin yani spoofing temelinde bu vardır. SPF, DKIM ve DMARC bu açığı kapatmak için sonradan geliştirilmiş sistemlerdir.

E-posta Başlığı (Header) Nedir?​

Her e-postanın görünmeyen bir başlık bölümü vardır. E-postanın hangi sunuculardan geçtiğini, hangi IP adresinden geldiğini ve kimlik doğrulama sonuçlarını bu bölümden görebilirsiniz. Şüpheli bir e-postayı incelemenin ilk adımı başlığa bakmaktır.

+ Gmail: E-postayı açın, sağ üstteki üç nokta menüsünden "Orijinali göster" seçeneğini seçin.
+ Outlook (masaüstü): E-postayı çift tıklayıp açın, Dosya 》 Özellikler 》 "İnternet başlıkları" bölümüne bakın.
+ Thunderbird: E-postayı açıp Ctrl + U ile kaynağı görüntüleyin.

Aşağıdaysa sahte bir e-postanın başlığından örnek bir bölüm yer verdim. (Alan adları ve IP adresleri örnek amaçlıdır bilginize.)


Burda dikkat edilecek noktalar:
- SPF başarısız, DKIM yok, DMARC başarısız. E-posta gönderdiğini iddia ettiği alan adı adına gönderilmeye yetkili bir sunucudan gelmemiş.
- Return-Path ile From alanı farklı alan adlarına ait.
- Reply-To farklı bir alan adına ait. Cevapladığınızda e-posta saldırganın adresine gider.

Header analizini serinin ikinci konusunda ele alacağım merak etmeyin.

E-posta Tehdit Türleri Nelerdir?​

Spam (İstenmeyen E-posta)​

Toplu olarak gönderilen, istenmeyen e-postalardır. Reklam amaçlı olanlar zararsız sayılabilir ama spam aynı zamanda phishing ve zararlı yazılım dağıtımının ana taşıyıcısıdır. Spam gönderenler e-posta adreslerini veri sızıntılarından, web sitelerinden ve rastgele adres üretme yöntemlerinden toplar.

Phishing (Kimlik Avı)​

Uygun bir kurumu taklit ederek hedefin parola, kart bilgisi ya da başka hassas verilerini sahte bir sayfaya girmesini sağlama yöntemidir. Alt türleri:

+ Toplu phishing: Binlerce kişiye aynı içerik gönderilir. Banka, kargo, e-devlet ve sosyal medya adlarına yaptıkları bilinir.
+ Spear phishing: Belirli bir kişiye özel hazırlanır, kişinin adı, görevi ve iş ilişkileri içerikte kullanılır.
+ Whaling: Üst düzey yöneticileri hedef alan spear phishing türüdür.
+ Clone phishing: Daha önce alınmış gerçek bir e-postanın kopyalanıp içindeki link ya da ekin zararlı olanla değiştirilmesidir. E-posta tanıdık göründüğü için güven uyandırır.
+ Quishing: E-postaya ya da ekteki PDF'e QR kod konularak hedefin telefonuyla zararlı bir siteye gitmesi sağlanır. Telefon e-posta filtrelerinin dışında kaldığı için etkili bir yöntemdir.

Sosyal mühendislik teknikleri ve psikolojik manipülasyon yöntemleri için forumdaki Sosyal Mühendislik konusuna göz atabilirsiniz.

Spoofing (Sahtecilik)​

Gönderen bilgisinin taklit edilmesidir. Üç yaygın yöntemi vardır:

+ Görünen ad sahteciliği (display name spoofing): "Ahmet Yılmaz (Genel Müdür)" gibi bir ad yazılır ama arkadaki e-posta adresi başkasına aittir. Telefonlarda yalnızca ad görüntülendiği için fark edilmesi zordur.
+ Alan adı sahteciliği (domain spoofing): Gerçek alan adı doğrudan taklit edilir. SPF, DKIM ve DMARC ile engellenir.
+ Benzer alan adı (lookalike domain): Gerçeğine çok benzeyen yeni bir alan adı kaydedilir. Bu alan adı saldırganın kendi sahip olduğu bir alan adı olduğu için SPF ve DMARC kontrollerini geçer, bu yüzden en tehlikeli yöntemlerden biridir.

BEC (Business Email Compromise)​

Saldıran kişi bir yöneticiyi, tedarikçiyi ya da iş ortağını taklit ederek ödeme yaptırma, IBAN değiştirtme ya da hassas belge isteme saldırısıdır. Çoğunda ne link ne de ek bulunur, yalnızca metin vardır, bu yüzden güvenlik yazılımları tarafından yakalanması zordur. Yaygın senaryoları:

+ Yönetici adına finans çalışanından acil havale istemek
+ Tedarikçi adına "banka hesabımız değişti" e-postası göndermek
+ İK ya da muhasebe çalışanından maaş bordrosu ve kimlik bilgisi istemek
+ Ele geçirilmiş gerçek bir hesaptan mevcut yazışma zincirine girip IBAN değiştirmek (thread hijacking)

Zararlı Ekler​

E-posta ekleri zararlı yazılım dağıtımının en eski ve hala en yaygın saldırılardan biridir. Dikkat edilmesi gereken dosya türleri:

+ Çalıştırılabilir dosyalar: .exe, .scr, .msi, .jar, .bat
+ Script dosyaları: .js, .vbs, .hta, .ps1
+ Kısayol ve disk görüntüleri: .lnk, .iso, .img
+ Makro içerebilen Office dosyaları: .docm, .xlsm, .pptm. Ayrıca makro içermeyen görünen .doc ve .xls dosyaları da makro barındırabilir.
+ HTML ekleri: .html ve .htm ekleri açıldığında sahte giriş sayfası gösterebilir. İnternet bağlantısı gerektirmeden çalıştığı için filtreleri atlatabilir.
+ Parolalı arşivler: Parolası e-posta metninde verilen ZIP ya da RAR dosyaları güvenlik tarayıcıları tarafından içerik olarak incelenemez.
+ Çift uzantı: "fatura.pdf.exe" gibi. Windows uzantıları gizliyorsa dosya PDF gibi görünür.

Hesap Ele Geçirme​

Saldırgan phishing ya da sızdırılmış parolalarla e-posta hesabına girdikten sonra genellikle şu şu maddelere bakar:

- Gelen kutusuna otomatik yönlendirme ya da silme kuralı ekler. Böylece güvenlik uyarılarını ve cevapları görmenizi engeller.
- Eski yazışmaları okuyup finansal bilgileri ve iş ilişkilerini inceler.
- Kişi listesindeki herkese hesabınızdan phishing e-postası gönderir.
- Üçüncü taraf bir uygulamaya hesabınıza kalıcı erişim izni verdirir (OAuth). Parolayı değiştirseniz bile uygulama erişimi devam eder.
- Hesabın bağlı olduğu diğer servislerde parola sıfırlama yapar.

Takip Pikselleri (Tracking Pixel)​

Pazarlama e-postalarına ve bazen kötü niyetli e-postalara 1x1 boyutunda görünmez bir resim eklenir. E-posta açıldığında bu resim sunucudan yüklenir ve gönderen, e-postanın ne zaman açıldığını, hangi cihaz ve yaklaşık hangi konumdan açıldığını öğrenir. Saldıran kişiler bu bilgiyi e-posta adresinizin aktif olduğunu doğrulamak için kullanır. Önlem olarak e-posta istemcinizde harici resimlerin otomatik yüklenmesini kapatın.

Diğer Tehditler​

+ E-posta bombardımanı (mail bombing): Hedefin adresi yüzlerce bülten ve forma kaydedilerek gelen kutusu doldurulur. Çoğu zaman gerçek bir güvenlik bildirimini ya da dolandırıcılık işlemi uyarısını gizlemek için kullanılır.
+ Yanlış alıcıya gönderim: Otomatik tamamlama yüzünden hassas bir e-postanın yanlış kişiye gitmesi. Kurumlarda veri sızıntısının yaygın nedenlerinden biridir.
+ Fidye yazılımı dağıtımı: Fidye yazılımı saldırılarının çoğu bir phishing e-postasıyla başlar.

E-posta Kimlik Doğrulama: SPF, DKIM ve DMARC Nedir?​

Üç sistem birlikte çalışarak e-postanın gerçekten iddia ettiği alan adından geldiğini doğrular. Detaylı kurulum serinin üçüncü konusunda olacak, burda temel mantığı özetliyorum.

+ SPF (Sender Policy Framework): Alan adının DNS kaydında hangi sunucuların o alan adı adına e-posta gönderebileceği listelenir. Alıcı sunucu gelen e-postanın IP adresini bu listeyle karşılaştırır. Envelope Sender alanını kontrol eder.

+ DKIM (DomainKeys Identified Mail): Gönderen sunucu e-postayı özel anahtarla dijital olarak imzalar, alıcı sunucu DNS'teki açık anahtarla imzayı doğrular. E-postanın yolda değiştirilmediğini ve alan adına ait bir sunucudan geldiğini kanıtlar.

+ DMARC (Domain-based Message Authentication, Reporting and Conformance): SPF ve DKIM sonuçlarının kullanıcının gördüğü From alanıyla uyumlu olmasını şart koyar ve doğrulama başarısız olursa alıcı sunucunun ne yapacağını belirler: hiçbir şey yapma , spam klasörüne at ya da reddet.