Lookalike / typosquat domain tehdidi nasıl kontrol edilir?

Tehdit neden ciddi?

Lookalike domain tek başına zarar vermez; asıl tehlike onunla ne yapıldığıdır:

• Fatura dolandırıcılığı (BEC): muhasebe@sirketiniz-ltd.com adresinden müşterinize "IBAN değişti" e-postası. KKTC ve Türkiye'de KOBİ'lerin en çok para kaybettiği senaryo budur.
• Çalışanlara oltalama: "IT departmanı" imzalı, benzer domainden gelen parola sıfırlama maili.
• Sahte site / sahte uygulama: Markanızın logosuyla kurulmuş giriş sayfası, müşteri bilgisi toplar.
• İtibar: Müşteri dolandırıldığında sorumluluğu kimde arayacağı bellidir.

DMARC kaydınız düzgün olsa bile bu saldırı çalışır, çünkü saldırgan sizin domaininizi değil kendi domainini kullanır. Bu yüzden e-posta güvenliği ve lookalike kontrolü birbirini tamamlar, biri diğerinin yerine geçmez.

Hangi varyantlar üretilir?

İyi bir kontrol şu türetmeleri dener (örnekler arvenova.ai üzerinden):

• Yazım hatası (typo): arvenoa.ai, arvneova.ai, arvenovaa.ai
• Harf değişimi: arvenove.ai, arvenoba.ai
• Homoglif: arven0va.ai (sıfır), arvenova ile Kiril "а" karışımı
• Ek ve çıkarma: arvenova-ai.com, arvenovaai.com, arvenova-destek.com, my-arvenova.com
• Uzantı değişimi: arvenova.com, arvenova.net, arvenova.co, arvenova.com.tr
• Tire ve noktalama: arve-nova.ai, arvenova.a.i

Her aday için iki soru sorulur: kayıtlı mı (A kaydı çözülüyor mu) ve e-posta gönderebilir mi (MX kaydı var mı). MX kaydı olan bir lookalike, oltalama için hazırlanmış olma ihtimali en yüksek olandır.

Gerçek örnek: Fjordex çıktısı

Aşağıdaki çıktı 24 Ekim 2026'da Fjordex connector'ının find_lookalike_domains aracıyla arvenova.ai için alınmıştır, değiştirilmemiştir:

{
  "domain": "arvenova.ai",
  "check": "lookalike_domains",
  "summary": { "critical": 0, "high": 0, "medium": 1, "low": 0, "info": 0 },
  "findings": [
    {
      "id": "brand.lookalike_registered",
      "title": "Look-alike domain registered: arvenova.com",
      "severity": "medium",
      "evidence": "arvenova.com resolves to ['199.36.158.100'].",
      "recommendation": "Verify ownership; if not yours, consider a takedown/abuse report or defensive registration.",
      "category": "brand"
    }
  ],
  "observations": {
    "candidates_tested": 57,
    "registered_lookalikes": [
      { "domain": "arvenova.com", "a": ["199.36.158.100"], "has_mx": false }
    ]
  }
}

Okuması: 57 varyant denendi, yalnızca biri kayıtlı. arvenova.com bizim kendi savunma amaçlı kaydımız ve arvenova.ai'ye yönlendiriyor; has_mx: false olması e-posta gönderemediğini gösteriyor. Araç bunu bilemez, bu yüzden "medium" verip "sahipliği doğrula" diyor. Doğru davranış da budur: bulgu, karar değildir; kararı insan verir.

Aynı çıktıda has_mx: true olan ve size ait olmayan bir domain görseydiniz, bu "high" bir durumdur ve aşağıdaki adımlar devreye girer.

Bulgu çıkınca ne yapılır?

1. Sahipliği doğrulayın. Domain sizin, eski bir ajansın ya da bir iştirakin olabilir. WHOIS ve kendi kayıtlarınıza bakın.
2. Kanıt toplayın. Ekran görüntüsü, DNS kayıtları, varsa sitenin içeriği ve gönderilen e-posta örnekleri. Tarih damgalı saklayın.
3. Abuse bildirimi yapın. Domainin kayıt şirketine (registrar) ve barındıran firmaya marka ihlali / phishing bildirimi. Çoğu registrar'ın abuse formu vardır; marka tescil belgeniz süreci hızlandırır.
4. Müşteri ve çalışanları uyarın. Kısa, net bir duyuru: "Yalnızca @arvenova.ai uzantılı adreslerden yazarız; IBAN değişikliğini her zaman telefonla teyit edin."
5. Posta sunucunuzda engelleyin. Lookalike domaini gelen posta kurallarına ekleyin, böylece çalışanlarınıza ulaşamaz.
6. Savunma amaçlı kayıt yapın. En olası 5-10 varyantı (özellikle .com, .net, .co ve ülke uzantısı) kendiniz alın ve ana domaine yönlendirin. Yıllık maliyeti düşüktür.
7. Düzenli tekrarlayın. Yeni lookalike'lar her ay kaydedilir; aylık izleme bunun için vardır.

Lookalike kontrolü ile DMARC arasındaki ilişki

DMARC, sizin domaininizin taklit edilmesini engeller: saldırgan info@arvenova.ai yazamaz. Lookalike kontrolü ise benzer domainlerle yapılan saldırıyı görünür kılar: saldırgan info@arvenova.co yazar. Tam koruma için ikisi birlikte gerekir. Fjordex'in full_scan aracı ikisini aynı raporda verir; ArveNova Katman 1 değerlendirmesi de her iki kontrolü içerir.