VBSpam Q3 2026: Kimlik Avı Artık E-posta Ağ Geçidinde Bitmiyor

Kimlik avı e-postasının tehlikeli olması için artık zararlı ek dosya taşıması ya da bariz biçimde şüpheli bir göndericiden gelmesi gerekmiyor. Virus Bulletin’ın 2026 üçüncü çeyrek (Q3) VBSpam karşılaştırmalı testi, makul görünen gönderim altyapısından yararlanan ve zararsız görünümlü HTML iletiler kullanan kampanyalara dikkat çekti. Asıl dolandırıcılık adımı ise yönlendirme zincirlerine ve tarayıcı tarafında çalışan koda taşınıyor. En başarılı kurumsal ürünler güçlü sonuçlar vermeyi sürdürse de test, e-posta ağ geçidinin tek başına yeterli bir kimlik avı kontrolü olmadığını gösteriyor. 2021

Ana mesaj: E-posta yalnızca ilk aşama

16 gün süren herkese açık testte, 103.380’i spam olmak üzere 103.969 iletiye karşı kamuya açık olarak test edilen 11 e-posta güvenliği ürünü değerlendirildi. Teste dair haberlerde, önde gelen kurumsal e-posta ağ geçitlerinin kimlik avı tespit oranlarının %100’e yaklaştığı belirtildi. Net at Work NoSpamProxy, 99,995 nihai puan, %100 kötü amaçlı yazılım tespiti, %99,990 kimlik avı tespiti ve sıfır yanlış pozitif ile en yüksek skoru alan ürün olarak bildirildi. 2021

Bu sonuç, kurumsal filtrelemenin işe yaramaz hâle geldiği anlamına gelmiyor. Tam tersine, saldırganların dağıtım yöntemlerini değiştirdiğine işaret ediyor. En açık biçimde zararlı içeriği doğrudan e-postaya yerleştirmek yerine; eklentisiz bir ileti, meşru görünümlü bir gönderim yolu ve ancak alıcı tıkladıktan sonra farklı davranan bir URL kullanabiliyorlar.

VBSpam, spam, kimlik avı ve kötü amaçlı yazılımlara karşı korumayı yanlış pozitifleri de hesaba katarak ölçen, işletme odaklı bir karşılaştırma programı. Testler, eski örneklerden oluşan sabit bir arşiv yerine güncel ve canlı e-posta tehditlerini değerlendirmek üzere tasarlanıyor. 61213

Dönüşümü gösteren üç kampanya

Amazon SES üzerinden giden Almanca gecikmiş ödeme tuzağı

Almanca “Mahnschreiben” yani gecikmiş ödeme bildirimi temalı bir kampanyanın, Amazon SES üzerinden ve DKIM uyumlu moolaah[.]com alan adıyla gönderildiği bildirildi. İletide ek dosya yoktu. Bağlantı, otomatik inceleme araçlarına daha az şüpheli görünmek üzere hazırlanmış ilk sayfaya yönlendiriyordu: yanıltıcı işaretleme, gizli metin, sıfır boyutlu iframe ve gizlenmiş JavaScript kullanılmıştı.

Bildirilen incelemeye göre sayfa, gizli bir POST isteğiyle ziyaretçiyi opensea[.]io adresine yönlendirmeden önce tarayıcı ve saat dilimi sinyallerini topluyordu. Değerlendirme, doğrulanmış bir kötü amaçlı yazılım dağıtımı değil; gizlenmiş bir kripto para veya NFT dolandırıcılığı rotası yönündeydi. Bu ayrım önemli: Dolandırıcılık mantığı, ziyaretçinin gerçek ve hedefe uygun bir kişi olduğu anlaşılana kadar kasıtlı olarak saklanabiliyor. 20

Hedef adresi değişebilen Hollandaca antivirüs yenileme dolandırıcılığı

McAfee ve TotalAV markalarını taklit eden Hollandaca e-posta, yalnızca HTML kullanan bir yenileme teklifi içeriyordu. Alıcının cihazında “631 tehlikeli virüs” bulunduğunu öne sürüyor, hesap kapatma tehdidinde bulunuyor ve %90 indirim sunuyordu.

Kampanya, tek ve sabit bir oltalama sayfasına dayanmak yerine yönlendirme altyapısı üzerinden ayrı takip, abonelikten çıkma ve harekete geçirici mesaj yolları kullandı. Bu yolların hedefi zamanla veya konuma göre değişebilir, süresi dolabilir ya da farklı içerik gösterebilir. Dolayısıyla e-posta ağ geçidinde yapılan tek seferlik URL kontrolü, kullanıcının bağlantıya tıkladığı anda yapılan analiz kadar güvenilir olmayabilir. Kampanyanın değerlendirilen amacı, doğrulanmış kötü amaçlı yazılım indirmesi değil; yenileme/iş ortaklığı dolandırıcılığı ve muhtemel ödeme verisi hırsızlığıydı. 20

Romanya’da BCR adıyla PSD2 onayı bahanesi

Başka bir kampanya, BCR S.A. kimliğine büründü ve aciliyet yaratmak için PSD2 onayı temasını kullandı. PSD2, Avrupa Birliği’nin ödeme hizmetleri düzenlemesidir; saldırganlar bu tür bankacılık onayı taleplerini güvenilir göstermek için kullanabiliyor. Kampanyanın hedef adresini IPv6 eşlemeli adres gösterimiyle kodladığı bildirildi. Bu, basit URL ayrıştırma veya itibar kontrollerini atlatabilen bir gizleme tekniği.

Kampanya muhtemel kimlik bilgisi hırsızlığı olarak değerlendirildi. Ancak sağlanan raporlama, doğrulanmış nihai açılış sayfasını veya daha ayrıntılı bir fail atfını ortaya koymuyor. 20

Tespit oranları ne söylüyor, ne söylemiyor?

Q3 raporlaması, en başarılı kurumsal ağ geçitleri ile kamuya açık olarak test edilen açık kaynaklı Rspamd kurulumu arasında dikkate değer bir fark olduğuna işaret ediyor. Bir haberde Rspamd’in kimlik avı yakalama oranı %62,550 olarak verildi; bu oran önde gelen kurumsal ürünlerin gerisinde kaldı. 21

Bu oranı her Rspamd kurulumu için ya da genel olarak tüm açık kaynak araçlar için geçerli kabul etmemek gerekir. Yapılandırma, tehdit istihbaratı akışları, ayarlama ve çevredeki güvenlik katmanları gerçek hayattaki performansı etkiler. Ancak sonuç, hızla değişen yönlendirme altyapısını ve tarayıcı farkındalığı olan oltalama akışlarını yalnızca varsayılan ya da dar kapsamlı yapılandırılmış bir e-posta katmanının sınıflandırmakta zorlanabileceğini gösteriyor.

Bağlam için, Virus Bulletin’ın ayrı Q2 2026 incelemesinde Rspamd için %54,810 kimlik avı yakalama oranı bildirilmişti; o testte de kimlik avı tespitinin lider ürünlerin gerisinde olduğu ifade edildi. Bunlar farklı test dönemleridir; dolayısıyla yüzdeler tek ve değişmez bir kıyas ölçütü gibi ele alınmamalı. 5

E-posta ağ geçidinin ötesindeki savunma öncelikleri

Testten çıkarılabilecek en yararlı operasyonel ders, analizi teslim anından tıklama anına uzatmaktır.

• Kimlik doğrulamayı güvenlik hükmü değil, kimlik sinyali olarak görün. SPF veya DKIM uyumu ve saygın bir teslimat hizmeti, iletinin nasıl gönderildiğine dair bilgi verir; ticari iddianın ya da bağlantı hedefinin meşru olduğunu kanıtlamaz.
• Yönlendirme zincirini her halkasıyla inceleyin. Her geçişi takip edin; hedefler ve itibar bilgileri ilk teslimattan sonra değişebileceği için kullanıcı tıklarken URL’leri yeniden değerlendirin.
• Tarayıcı çalıştırabilen analiz ortamları kullanın. Etkili inceleme, yalnızca e-posta gövdesini ya da görünür URL’yi taramakla kalmamalı; JavaScript’i çalıştırabilmeli, gizli formları, iframe etkinliğini, parmak izi toplamayı ve koşullu yönlendirmeleri saptayabilmelidir.
• Alışılmadık URL biçimlerini normalleştirin. Güvenlik kontrolleri, itibar ve engelleme kurallarını uygulamadan önce kodlanmış adresleri ve IPv6 eşlemeli gösterimleri güvenli biçimde ayrıştırmalıdır.
• Altyapıdaki değişimleri izleyin. DNS değişikliklerini, yeni alan adlarını, HTTP yönlendirmelerini ve hedef itibarının zaman içindeki değişimini takip edin.
• Başarılı bir tıklamanın etkisini sınırlayın. Oltalamaya dayanıklı kimlik doğrulama yöntemleri ve uç nokta korumaları, kimlik bilgisi toplama sayfası kullanıcıya ulaşsa bile hesap ele geçirme riskini azaltabilir.

Kullanıcılar da son savunma katmanlarından biri olmayı sürdürüyor. Ödeme talepleri, bankacılık onayı istekleri ve abonelik yenileme uyarıları; e-postadaki bağlantı üzerinden değil, kurumun bilinen resmî sitesi, uygulaması veya destek kanalı kullanılarak doğrulanmalı.

Sonuç

VBSpam Q3 2026, geleneksel e-posta güvenliğinin genel olarak çöktüğünü göstermedi. En iyi kurumsal ürünler son derece güçlü test sonuçları vermeyi sürdürdü. 2021 Testin daha özgül mesajı şu: Kimlik avı operatörleri, en aldatıcı davranışlarını teslim anında klasik bir ağ geçidinin tümüyle göremeyebileceği, kişiye göre uyarlanmış ve tarayıcı üzerinden işleyen aşamalara taşıyor.

Kalıcı yanıt katmanlı savunmadır: Güçlü e-posta filtrelemesini; yönlendirme analizi, tarayıcı farkındalığı olan inceleme ve çalınan parolaların değerini azaltan hesap korumalarıyla birleştirmek.