Güvenlik·
4 Haziran 2026
Gelen kutunuzu incelerken "Gönderilenler" klasöründe size ait olmayan iletiler mi fark ettiniz? Ya da müşterileriniz, hiç yazmadığınız e-postalar aldıklarından şikâyet mi etti? Bu durum, e-posta hesabınızın veya alan adınızın kötüye kullanıldığının en belirgin işareti olabilir. Paniğe kapılmadan önce olayın tam olarak ne olduğunu, nasıl tespit edileceğini ve kalıcı olarak nasıl önleneceğini adım adım inceleyelim.
Göndermediğiniz bir e-postanın "gönderilmiş" gibi görünmesi, birbirinden tamamen farklı iki teknik senaryoyu kapsayabilir. Bunları karıştırmak hem teşhisi hem de tedaviyi zorlaştırır.
Senaryo 1 — Hesap ele geçirme (Account Compromise): Saldırgan, kullanıcı adı ve parolanızı ele geçirmiş ve sisteme sizin kimliğinizle giriş yapmıştır. Bu durumda e-postalar gerçekten sizin hesabınızdan, sizin sunucunuz üzerinden iletilir. SMTP oturum günlüklerinde kimlik doğrulaması başarılı görünür; ancak IP adresi yabancıdır.
Senaryo 2 — Alan adı sahteciliği (Domain Spoofing): Saldırgan, hesabınıza hiç girmemiştir. RFC 5321'de tanımlanan SMTP protokolünün doğası gereği, MAIL FROM ve From: başlığı birbirinden bağımsız olarak serbestçe yazılabilir. Kötü niyetli kişi, başka bir altyapıdan e-posta gönderirken From: alanına sizin adresinizi yazar. Alıcı, ileti sanki sizden gelmiş gibi görür.
Bir hesabın gerçekten ele geçirilip geçirilmediğini belirlemek için aşağıdaki kontrol noktalarını sırayla inceleyin:
Google Workspace kullanıyorsanız Admin Konsolu > Raporlar > Denetim > Oturum Açma bölümüne gidin. Microsoft 365 kullanıcıları için Azure Active Directory > Oturum Açma Günlükleri aynı bilgiyi sunar. Yabancı ülke IP'leri, alışılmadık saatler veya başarısız denemelerden sonra başarılı bir giriş, ele geçirmeye işaret eder.
Saldırganlar, hesaba girdikten sonra iz bırakmamak için çoğunlukla otomatik iletme kuralı oluşturur. Tüm gelen iletileri kendi kontrollerindeki bir adrese yönlendirerek sessizce bilgi toplarlar. Ayarlar > Filtreler ve Engellenen Adresler ile Ayarlar > İletme ve POP/IMAP sekmelerini dikkatle gözden geçirin.
Gmail'de "Hesap Etkinliği" bölümünden, Outlook Web'de Güvenlik > Aktif Oturumlar sayfasından tüm açık oturumları tek tıkla kapatabilirsiniz. Bu adım, saldırganın aktif bağlantısını anında keser.
Gönderilenler klasörünüz temizse, yani sizin hesabınızda böyle bir ileti yoksa, büyük olasılıkla domain spoofing söz konusudur. Alıcıdan gelen e-postanın ham başlıklarını (raw headers) isteyin ve şu alanları inceleyin:
MAIL FROM) gösterir. Kendi alan adınızdan farklıysa sahte başlık kullanılmıştır.spf=fail veya dmarc=fail görüyorsanız ileti yetkisiz bir kaynaktan gelmiştir.E-posta kimlik doğrulama standartları, alan adı sahteciliğini önlemek için birbirini tamamlayan üç katmandan oluşur. Bu üç katmanın tamamının eksiksiz yapılandırılması, RFC 7489'da tanımlanan DMARC politikasının işlevsel hâle gelmesi açısından zorunludur.
| Standart | RFC | Ne Yapar? | DNS Kaydı | Eksikse Ne Olur? |
|---|---|---|---|---|
| SPF | RFC 7208 | Alan adınız adına e-posta göndermeye yetkili IP/sunucuları listeler | TXT (v=spf1 … -all) |
Yetkisiz sunucular kolayca sahtekârlık yapabilir |
| DKIM | RFC 6376 | İleti başlıklarına kriptografik imza ekler; içerik bütünlüğünü kanıtlar | TXT (selector._domainkey) |
İletiler yolda değiştirilebilir; bazı filtreler spam skoru artırır |
| DMARC | RFC 7489 | SPF/DKIM başarısız olduğunda alıcı sunucuya ne yapacağını söyler (none/quarantine/reject) | TXT (_dmarc) |
Kimlik doğrulama başarısız olsa bile iletiler teslim edilebilir |
DMARC politikanızı p=none ile başlatmak, raporlama alırken teslimata müdahale etmez. Raporları analiz ettikten sonra p=quarantine ve nihayetinde p=reject'e geçiş, yetkisiz gönderimları tamamen engeller. Google Postmaster Tools ve Microsoft SNDS (Smart Network Data Services) panelleri, alan adınızın itibarını izlemek için kullanabileceğiniz ücretsiz araçlardır.
Hesabın ele geçirildiğinden ya da alan adınızın kötüye kullanıldığından şüpheleniyorsanız aşağıdaki adımları mümkün olan en kısa sürede uygulayın:
dig TXT alanadi.com veya MXToolbox gibi araçlarla DNS kayıtlarınızı kontrol edin.Tek seferlik önlemler yeterli değildir; e-posta güvenliği sürekli izleme gerektirir.
DMARC raporlarını izleyin. DMARC aggregate (RUA) raporları, alan adınız adına hangi IP'lerin e-posta gönderdiğini haftalık ve günlük olarak özetler. Dmarcian, Valimail, EasyDMARC gibi araçlar bu XML raporlarını okunabilir biçimde sunar.
Parola yöneticisi kullanın. 1Password, Bitwarden veya benzeri araçlar, her hesap için benzersiz ve yüksek entropi değerine sahip şifre oluşturur. NIST SP 800-63B kılavuzu, düzenli şifre değiştirme yerine güçlü ve benzersiz şifre kullanımını önermektedir.
Üçüncü taraf uygulamaları düzenli olarak gözden geçirin. Google veya Microsoft hesabınıza OAuth ile bağlı uygulamaların listesi zamanla kabarabilir. Kullanılmayan veya tanımadığınız uygulamaların erişimini iptal edin.
Çalışanları eğitin. Verizon 2024 DBIR raporuna göre veri ihlallerinin büyük çoğunluğu insan hatasından kaynaklanmaktadır. Kimlik avı (phishing) simülasyonları ve düzenli farkındalık eğitimleri bu riski önemli ölçüde azaltır.
Connect365, gönderilen her kampanya için alan adı kimlik doğrulama kontrollerini otomatik olarak uygular. Platforma alan adı eklediğinizde SPF ve DKIM kayıtlarınızın doğru yapılandırılıp yapılandırılmadığı anlık olarak denetlenir; eksik veya hatalı kayıtlar uyarı olarak panoya yansıtılır. Kampanya düzeyindeki gönderim günlükleri, her iletinin hangi sunucudan gönderildiğini ve kimlik doğrulama sonuçlarını kalıcı olarak kaydeder; böylece şüpheli durumlar kolayca takip edilebilir.
Bu, büyük olasılıkla hesap ele geçirme değil, alan adı sahteciliğidir (domain spoofing). Saldırgan, sizin hesabınıza hiç girmeden başka bir sunucudan From: alanına sizin adresinizi yazarak ileti göndermiştir. RFC 5321 gereği SMTP protokolü bu bilgiyi doğrulamaz; dolayısıyla ileti sizin Gönderilenler klasörünüzde yer almaz. SPF ve DMARC kayıtlarınızın -all / p=reject ile yapılandırılması bu saldırıyı önler.
SPF tek başına yeterli değildir. SPF yalnızca MAIL FROM (zarf gönderici) adresini denetler; From: başlığı (kullanıcının gördüğü adres) üzerinde hiçbir kontrolü yoktur. Bu boşluğu kapatmak için DKIM (RFC 6376) ve DMARC (RFC 7489) ile birlikte kullanılması gerekir. Ayrıca SPF kaydınızda ~all (softfail) yerine -all (hardfail) kullanmak daha güçlü bir politika sağlar.
p=reject olarak ayarlasam ne olur?Tüm meşru gönderim kaynaklarınız (CRM sistemi, destek yazılımı, pazarlama platformu vb.) SPF ve DKIM ile doğru şekilde yapılandırılmamışsa bu iletiler alıcılara ulaşmayabilir. Bu nedenle önce p=none ile başlayıp DMARC aggregate raporlarını en az birkaç hafta izledikten sonra p=quarantine'e, ardından p=reject'e geçmek en güvenli yoldur.
En yaygın yöntemler şunlardır: kimlik avı (phishing) e-postası aracılığıyla sahte giriş sayfasına yönlendirme; başka bir platformda sızdırılan şifrenin burada da denenmesi (credential stuffing); güvenli olmayan ağlarda ortadaki adam (MITM) saldırısı; ve kötü amaçlı yazılım (keylogger). Have I Been Pwned gibi araçlarla e-posta adresinizin bilinen veri ihlallerinde yer alıp almadığını kontrol edebilirsiniz.
MFA, yetkisiz erişim riskini dramatik biçimde azaltır; ancak tam güvence sağlamaz. SIM swap (SIM değiştirme) saldırıları SMS tabanlı MFA'yı atlatabilir. TOTP uygulamaları (RFC 6238) veya FIDO2 donanım anahtarları (YubiKey vb.) çok daha dirençlidir. Bununla birlikte kimlik avı saldırıları, kullanıcıyı MFA kodunu da girmesi için kandırabilir; dolayısıyla eğitim şarttır.
Teknik bilgisi olmayan kullanıcılar büyük olasılıkla anlayamaz; ancak ham e-posta başlıklarını inceleyerek Return-Path, Received ve Authentication-Results alanlarına bakabilirler. Alıcının posta sunucusu DMARC politikanızı uyguluyor ve sizin politikanız p=reject ise ileti zaten alıcıya ulaşmaz.
Evet, özellikle saldırgan kişilerinize zararlı bağlantı veya ek içeren ileti gönderdiyse muhatablarınızı bilgilendirmeniz hem etik hem de hukuki açıdan önemlidir. KVKK kapsamında kişisel veri ihlali söz konusuysa 72 saat içinde Kişisel Verileri Koruma Kurumu'na bildirim yükümlülüğünüz olabilir.
Google Postmaster Tools (Gmail teslimata etkisini ölçer), Microsoft SNDS (Outlook/Hotmail itibar verileri), MXToolbox (SPF/DKIM/DMARC doğrulama), Dmarcian veya EasyDMARC (DMARC raporlama), Have I Been Pwned (veri ihlali kontrolü) ve çeşitli SIEM çözümleri log analizi için kullanılabilecek başlıca araçlardır.
Ele geçirme veya sahtekârlık olayı kısa süre içinde fark edilip önlem alınırsa itibar kaybı büyük ölçüde engellenebilir. Ancak yüksek hacimli spam gönderimi, alan adınızın büyük posta sağlayıcılarının kara listelerine girmesine yol açabilir. Bu durumda Google Postmaster Tools aracılığıyla itibar durumunu izleyebilir; Spamhaus, Barracuda gibi kara listelerden kaldırma (delist) talebinde bulunabilirsiniz.
Connect365, her gönderim öncesinde alan adı kimlik doğrulama kayıtlarınızı (SPF, DKIM, DMARC) otomatik olarak denetler ve eksik yapılandırmaları uyarılarla bildirir. Kampanya bazlı ayrıntılı gönderim günlükleri, şüpheli aktivitelerin hızla tespit edilmesini sağlar. Ayrıca gönderim altyapısı, alan adı itibarınızı koruyacak şekilde izole ortamlarda çalışır.
Reklamsız, KVKK uyumlu; kurulum ve geçiş ücretsiz, mailleri biz taşırız.
Kurulum + migrasyon ücretsiz. KVKK uyumlu, Türkiye'de barındırma. 7/24 Türkçe destek.
Kampanya 30 Haziran'a kadar geçerlidir.