Klasik phishing'de bir şey "yanlış" görünür: tuhaf bir alan adı, bozuk bir Türkçe, tanıdık olmayan bir gönderen. Account Takeover'da (hesap ele geçirme) ise hiçbir şey yanlış görünmez — çünkü mail gerçekten tanıdığınız kişinin gerçek hesabından, gerçek imzasıyla, gerçek yazışma geçmişinin içinden gelir. SPF, DKIM, DMARC: hepsi PASS verir. Alan adı doğrudur. Gönderen gerçektir. Ve tam da bu yüzden ATO, kurumsal e-posta güvenliğinin en tehlikeli senaryosudur.
Bu yazı Tematik Serimizin bir parçası; sektör yazılarımızda tekrar tekrar "ele geçirilmiş hesap" dediğimiz senaryonun mekaniğini, yaşam döngüsünü ve savunmasını tek yerde topluyor. Amaç yine aynı: hiç teknik olmayan bir yöneticinin bile "bizde bu nasıl olur, nasıl anlarız, nasıl durdururuz" sorusuna net cevap bulması.
1. ATO Nedir, Neden "Kimlik Doğrulama" Onu Durduramaz?
Account Takeover, bir saldırganın meşru bir kullanıcının e-posta hesabının kontrolünü ele geçirmesidir — parolayı çalarak, oturum çerezini (token) çalarak ya da MFA'yı atlatarak. Ele geçirildikten sonra saldırgan sahte bir kimlik taklit etmez; gerçek kimliği kullanır.
İlk yazımızda anlattığımız SPF/DKIM/DMARC üçlüsü "bu mail gerçekten bu alan adından mı çıktı?" sorusunu çözer. ATO'da cevap dürüstçe "evet"tir — mail gerçekten o hesaptan çıkmıştır. Bu yüzden kimlik doğrulama katmanı ATO'yu tasarımı gereği göremez. Gereken, "gönderen doğru ama davranışı yanlış mı?" sorusunu soran bir katmandır.
2. Bir ATO Nasıl Başlar? (Giriş Yolları)
- Kimlik avı (credential phishing): Sahte Microsoft 365 / Google giriş sayfası; kullanıcı parolasını "teyit eder", saldırgan yakalar.
- AiTM (Adversary-in-the-Middle) ile MFA atlatma: Modern phishing kitleri, kullanıcıyla gerçek giriş sayfası arasına girer ve oturum çerezini çalar — MFA'yı geçmiş bir oturumu doğrudan ele geçirir. "MFA'mız var, güvendeyiz" yanılgısının kırıldığı nokta.
- Parola tekrarı / sızıntı: Başka bir serviste sızan parolanın kurumsal hesapta da kullanılması (credential stuffing).
- Quishing ve mobil: QR kodlu oltalar kullanıcıyı masaüstü korumasının dışına, telefona taşır; ayrıntı quishing yazımızda.
3. İçeri Girdikten Sonra: ATO'nun Yaşam Döngüsü
Ele geçirme anı, saldırının başlangıcıdır, sonu değil. Tipik seyir:
- Sessiz keşif: Saldırgan günlerce hiçbir mail atmadan yazışmaları okur — kimin kime nasıl yazdığını, ödeme akışlarını, ton ve imzayı öğrenir.
- Kalıcılık ve gizlenme: Gizli yönlendirme kuralları kurar (belirli mesajları otomatik siler ya da bir dış adrese kopyalar), böylece gerçek kullanıcı hiçbir şey fark etmez. Çoğu zaman bir uygulama izni (OAuth) ekleyerek parola değişse bile erişimi korur.
- İç yatay hareket: Ele geçirdiği hesaptan meslektaşlara mail atar — "iç" mailler en çok güvenilen maillerdir. Bir hesap, tüm kurumu domino gibi düşürebilir.
- Para tahsili: Gerçek bir ödeme yazışmasının tam ortasında, doğru zamanda banka değişikliği ya da sahte fatura devreye girer. Sektör yazılarımızdaki "ele geçirilmiş hesaptan gelen" vakaların hepsi bu adımdır.
4. Neden Gateway Tabanlı Koruma ATO'yu Kaçırır?
Geleneksel e-posta güvenlik ağ geçitleri (SEG) trafiği kurumun sınırında, gelirken/giderken tarar. Oysa ATO'nun en tehlikeli hamleleri iç trafiktir: ele geçirilmiş hesaptan başka bir çalışana giden mail, kurum sınırını hiç geçmez — SEG onu hiç görmez. Bu, API tabanlı mimarinin neden gerekli olduğunu gösteren en net örnektir; ayrımı API vs Gateway yazımızda detaylandırdık. API tabanlı bir çözüm, Microsoft 365 / Google Workspace'e doğrudan bağlanır ve iç mailleri, giriş anomalilerini ve posta kutusu kural değişikliklerini de görür.
5. ATO'yu Nasıl Tespit ve Durdurursunuz?
Teknoloji
Check Point Harmony Email & Collaboration ATO'ya özel şu yetenekleri sağlar:
- Giriş anomalisi tespiti: İmkânsız seyahat (5 dakikada İstanbul-Vietnam), tanınmayan cihaz/IP, olağandışı saat — ele geçirmenin ilk sinyalleri.
- Posta kutusu kural izleme: Aniden kurulan gizli yönlendirme/silme kuralları ve yeni OAuth izinleri işaretlenir — kalıcılık adımını yakalar.
- İç trafik analizi: Ele geçirilmiş hesaptan meslektaşlara giden anormal mailleri (ton, talep, aciliyet sapması) bağlamsal olarak tespit eder.
- Otomatik müdahale: Şüpheli oturumu sonlandırma, hesabı karantinaya alma, atılmış zararlı mailleri geriye dönük tüm kutulardan toplama (post-delivery remediation).
Süreç ve İnsan
- Phishing-dirençli MFA: SMS/onay-kodu yerine FIDO2/passkey — AiTM oturum çalmasına karşı en güçlü katman.
- Ödeme teyit kuralı: Banka değişikliği ve tutar üstü ödemelerde ikinci kanaldan geri arama (sektör yazılarımızın ortak kuralı) — ATO para tahsili adımını hesap gerçek olsa bile durdurur.
- Farkındalık: "İç mail her zaman güvenli değildir" kültürü; olağandışı iç talepleri de sorgulama refleksi.
Sıkça Sorulan Sorular
MFA'mız var; ATO'ya karşı yeterli değil mi?
MFA kritik bir katmandır ama sihirli değildir. AiTM phishing kitleri oturum çerezini çalarak MFA'yı atlatabilir; ayrıca OAuth izinleri ve uygulama parolaları MFA'yı devre dışı bırakan yan kapılar açabilir. FIDO2/passkey tabanlı, phishing-dirençli MFA bu açığı büyük ölçüde kapatır — ama tespit/müdahale katmanı yine de gereklidir.
Hesabın ele geçirildiğini nasıl anlarız?
Erken sinyaller genelde teknik ve sessizdir: beklenmedik konumdan girişler, kendiliğinden kurulmuş posta kuralları, "gönderdim ama giden kutusunda yok" durumları, meslektaşlardan gelen "senden garip bir mail aldım" bildirimleri. Bu sinyalleri insanın fark etmesini beklemek yerine otomatik izleme şarttır.
Bir hesap ele geçirildiğinde ilk ne yapmalı?
Sırasıyla: oturumları küresel olarak sonlandırma, parola sıfırlama, MFA yeniden kaydı, gizli posta kurallarını ve yetkisiz OAuth izinlerini temizleme (en sık atlanan adım — parola değişse bile bunlar erişimi sürdürür) ve o hesaptan atılmış maillerin geriye dönük temizliği. Bir plan önceden yazılı olmalı.
Bizim gibi orta ölçekli bir firma neden hedef olsun?
ATO otomatikleştirilmiş bir iştir; saldırgan tek tek kurum seçmez, sızan parola havuzlarını topluca dener. Orta ölçekli firmalar, phishing-dirençli MFA ve tespit katmanı çoğunlukla eksik olduğu için yüksek getirili hedeftir.
Şimdi Ne Yapmalı?
Tek soru: "Bir çalışanımızın hesabı bugün ele geçirilse, bunu fark eder miydik — yoksa ilk haberi dolandırılan bir müşteriden mi alırdık?" Cevap ikincisiyse:
- Ücretsiz Saha Denetimi: Kimlik doğrulama karnenizin yanında, ATO'ya açık yüzeyinizi (MFA olgunluğu, iç trafik görünürlüğü) değerlendiririz.
- 14 Günlük Check Point Trial (monitor modu): Giriş anomalileri, şüpheli posta kuralları ve iç trafik riskleri dahil kaçırılanlar raporlanır.
Bu yazı hakkında: Tematik Serimizin bir yazısıdır; sektör yazılarımızda geçen "ele geçirilmiş hesap" senaryosunun mekaniğini derinleştirir. Kinetik Bilişim, Check Point Software Technologies'in Advanced Partner 2026 seviyesindeki Türkiye iş ortağıdır; Email, Endpoint & Browser, Mobile ve SASE Solution Specialization akreditasyonlarına sahiptir. Yazar Kemal Özleyen, Check Point Workspace Security Expert sertifikalı bir siber güvenlik mühendisidir.
