VBSpam Q3 2026: Kimliği Doğrulanmış E-posta, Güvenli Olduğu Anlamına Gelmiyor

Teknik olarak doğrulanmış bir e-posta, otomatik biçimde güvenli kabul edilmemeli. Virus Bulletin’ın 2026 üçüncü çeyrek VBSpam karşılaştırmalı testine ilişkin haberlerde, saldırganların meşru görünen gönderim altyapılarını çok aşamalı ve tarayıcı farkındalığı olan URL gizleme yöntemleriyle birleştirdiği anlatılıyor. Böylece zararlı davranış, yalnızca gönderen bilgisine veya statik bağlantı denetimine bakıldığında görünmeyebiliyor. AMTSO test planı kapsamında 16 gün süren değerlendirmede, 103.380'i spam olmak üzere 103.969 e-posta incelendi. 13

E-posta doğrulaması zararsız içerik garantisi değildir

SPF, DKIM ve DMARC; bir iletinin gönderim yolu ve alan adı hizalamasına ilişkin belirli unsurları doğrulamaya yardımcı olur. Ancak bunlar, e-postanın içeriğinin zararsız olduğunu, içindeki her bağlantının güvenli olduğunu ya da yönlendirme zincirinin sonunda açılan sayfanın gerçek olduğunu kanıtlamaz.

Test kapsamındaki kampanyalara dair haberlerdeki temel ayrım da bu: Saldırganlar, doğrulanmış veya güvenilir görünen altyapıyı kullanıp zararlı aşamayı web akışının ilerisine taşıyor. Bu akış, ziyaretçinin tarayıcısını, saat dilimini, konumunu veya zamanlamayı inceleyerek hangi hedefe ne gösterileceğine karar verebiliyor. 35

Öne çıkan üç kimlik avı yöntemi

Amazon SES üzerinden gönderilen gecikmiş ödeme tuzağı

Almanca yürütülen bir kampanya, gecikmiş ödeme temasını kullandı ve DKIM hizalaması olan bir alan adından Amazon SES aracılığıyla gönderildi. Haberlere göre ek dosya içermeyen HTML e-postasında dikkat dağıtıcı işaretleme, gizli metin, sıfır boyutlu iframe ve karartılmış JavaScript bulunuyordu. 35

Bağlantı sonrası akış ziyaretçiyi değerlendirecek şekilde tasarlanmıştı: tarayıcı ve saat dilimi bilgileri toplanıyor, gizli bir POST isteği yapılıyor ve uygun görülen ziyaretçiler OpenSea'ye yönlendiriliyordu. Bu dizinin, kripto para veya NFT dolandırıcılığını gizlemek için kullanılan bir yöntemle uyumlu olduğu bildirildi. İlk e-posta ya da ilk URL tek başına incelendiğinde riskin daha az belirgin görünmesinin nedeni de bu. 35

Sahte McAfee ve TotalAV abonelik yenilemeleri

Felemenkçe bir kampanya, McAfee ve TotalAV markalarını taklit ederek alıcıları “631 tehlikeli virüs” uyarısıyla korkuttu ve indirimli yenileme teklifi sundu. Tuzak, klasik zararlı ek yerine yalnızca HTML tabanlı sosyal mühendislik kullandı. 35

Kaçınma tekniğinin kritik tarafı, hedef sayfanın zamana, konuma veya olası kurban profilinin özelliklerine göre değişebilmesiydi. Bu yaklaşım, otomatik taramayı zorlaştırır: Tarayıcıya zararsız bir sayfa, hata mesajı ya da hedeflenen kişiye gösterilenden farklı bir yönlendirme yolu sunulabilir. Bildirilen amaç abonelik dolandırıcılığıydı. 35

BCR S.A. adına PSD2 onayı yenileme taklidi

Rumence bir kimlik avı e-postası BCR S.A.'yı taklit ederek PSD2 onayının yenilenmesi gerektiğini öne sürdü. PSD2, Avrupa Birliği'nde ödeme hizmetlerine ilişkin düzenlemelerden biridir. Kampanyaya ilişkin haberde hedef adresin IPv6 eşlemeli bir adresle gizlendiği; bu yöntemin URL ayrıştırma ve tarayıcı analizini zorlaştırabildiği belirtildi. 3

Zorunlu bankacılık onayı yenileme teması, alıcıyı tanıdık bir finansal işlem süreci içinde hızlı hareket etmeye yöneltebildiği için kimlik bilgisi hırsızlığına elverişli bir baskı yaratır. 3

Neden yalnızca statik tarama artık yeterli değil?

Bu örnekler, kimlik avı mantığının giderek e-postanın kendisinden tarayıcı aşamasına taşındığına işaret ediyor. İlk iletide kimlik doğrulamasını geçen bir gönderici ve ilk bakışta açıkça kötü niyetli görünmeyen bir bağlantı bulunabilir. Asıl belirleyici davranış daha sonra, tarayıcıda ortaya çıkar:

• HTML ve JavaScript, iletinin ilk yapısını gizleyebilir.
• Yönlendirme zincirleri, gönderilen URL ile nihai hedefi birbirinden ayırabilir.
• Tarayıcı, saat dilimi, konum ve zamanlama kontrolleri; olası hedefi otomatik analiz sisteminden ayırabilir.
• Koşullu yanıtlar, en zararlı içeriği basit sandbox veya itibar kontrollerinden uzak tutabilir. 35

Bu, e-posta doğrulamasından vazgeçilmesi gerektiği anlamına gelmiyor. Doğrulama; içerik, gönderen itibarı, bağlantı davranışı ve hedef sayfa riskiyle birlikte değerlendirilmesi gereken sinyallerden yalnızca biri olmalı. 35

Savunmada öncelik verilmesi gerekenler

Daha güçlü bir e-posta güvenliği yaklaşımı, yalnızca ilk işarete değil tüm akışa bakmalı:

1. Karartılmış URL'leri normalleştirin. Olağandışı adres biçimlerini itibar veya politika kontrollerinden önce çözümleyin ve standartlaştırın.
2. Yönlendirme zincirinin tamamını izleyin. Sadece ilk bağlantıyı değil, her sıçramayı ve ulaşılan son hedefi değerlendirin.
3. Tarayıcı tarafı davranışını inceleyin. Koşullu yönlendirmeleri, parmak izi toplamayı, gizli istekleri ve sayfa çalıştırıldıktan sonra ortaya çıkan diğer davranışları tespit edin.
4. Kimlik doğrulamayı bağlam içinde ele alın. SPF, DKIM ve DMARC güven kararını destekler; ancak zararlı içerik veya riskli hedef sinyallerini geçersiz kılmamalıdır.
5. Tespit oranıyla birlikte yanlış pozitifleri de ölçün. Tehditleri engellerken meşru e-postaları aksatan bir ürün, farklı türden operasyonel risk yaratır. 35

Ürün sonuçlarında belirgin fark

Bildirilen bileşik sonuçlar, en güçlü ürünlerde çok yüksek genel tespitin mümkün olduğunu; ancak performansın ürünler arasında eşit olmadığını gösteriyor. Net at Work NoSpamProxy, yanlış pozitif olmadan 99,995 nihai puana ulaştı. Bitdefender GravityZone Premium 99,994, SEPPmail.cloudfilter ise 99,985 puan aldı. Rspamd için bildirilen sonuç %62,5 oldu. 35

Bu rakamlar, belirli bir karşılaştırmalı testin sonuçları olarak okunmalı; her ortam için evrensel performans garantisi sayılmamalı. Yine de fark, pratik dersi açık biçimde ortaya koyuyor: Kimliği doğrulanmış gönderenler, karartılmış URL'ler ve koşullu tarayıcı akışlarıyla başa çıkmak için tek bir denetime değil, katmanlı incelemeye ihtiyaç var. 135

Sonuç

VBSpam Q3 2026'ya ilişkin haberler, saldırganların e-postayı teslim anında kabul edilebilir gösterebildiği, dolandırıcılığı ise alıcının tarayıcısı belirli koşulları sağladıktan sonra açığa çıkardığı bir kimlik avı modelini ortaya koyuyor. Gönderen kimliği doğrulaması gerekli bir güvenlik hijyenidir; ancak güvenlik kararı, yönlendirme zincirinin tamamını ve son web deneyimini kapsamalıdır. 35