01Soru
Ödeme değişikliği e-postası gerçekten tedarikçinin posta kutusundan mı geldi ve finans posta kutusundaki bir kuralın tedarikçinin sonraki yanıtlarını gizlediğine dair delil var mı?
02Arka plan
Kurgusal bir firma olan Delta Lojistik, bilinen bir tedarikçiden geliyormuş gibi görünen bir e-posta aldıktan sonra bir faturayı değiştirilmiş bir banka hesabına ödedi. Mesaj dışa aktarımları ve posta kutusu denetim günlükleri, hesap sahiplerinin onayıyla sağlandı. İnceleme kayıtları okur; herhangi bir hesaba nasıl erişilebileceğini anlatmaz.
03Sınırlar
- Yalnızca dışa aktarılmış mesajlar ve sağlayıcı denetim günlükleri mevcuttu; posta sunucularının kendisi değil.
- Başlık yorumu, alıcı sağlayıcının kimlik doğrulama sonuçlarını kaydetmiş olmasına bağlı.
04Alınan delil
| Öğe | Form | Hash | Not |
|---|---|---|---|
| Tam başlıklı, .eml biçiminde özgün ödeme değişikliği mesajı | F-02 | sha256: 7c3a…11fd | Başlıkları bozulmadan dışa aktarıldı; alındığında hash'lendi. |
| Finans posta kutusu için posta kutusu denetim günlüğü dışa aktarımı | F-05 | sha256: bd60…9a4e | Hesap sahibinin onayıyla bir koruma bildirimi altında sağlandı. |
05İnceleme yöntemi
Tam başlık zincirini okuyun
Received zinciri, yolu ve kaynak sunucuyu belirlemek için alttan üste okundu. From, Reply-To ve Return-Path karşılaştırıldı; görünen göndericiden farklı bir Reply-To not edildi. Message-ID ve gönderen alan adı kaydedildi.
Kimlik doğrulama sonuçlarını kontrol edin
Alıcı sağlayıcının kaydettiği Authentication-Results başlığı SPF, DKIM ve DMARC sonuçlarını verdi. DKIM hizalaması From alanına göre kontrol edildi; benzer görünüşlü bir alan için SPF geçişi, gerçek alan için SPF geçişi değildir. Sonuçlar sağlayıcının yazdığı gibi tam olarak kaydedildi.
Benzer görünüşlü alanı gerçek olanla karşılaştırın
Gönderen alan adı, tedarikçinin gerçek alanıyla karakter karakter karşılaştırıldı. Değiştirilmiş bir karakter ve farklı bir kayıt not edildi. Gerçek alan ve başlıklar için referans olarak tedarikçinin özgün önceki yazışması kullanıldı.
Kurallar ve erişim için posta kutusu denetim günlüğünü okuyun
Finans posta kutusunun denetim günlüğü, gelen kutusu kuralı oluşturma ve posta öğesi erişimi için okundu. Tedarikçinin gerçek alanından gelen mesajları nadiren kullanılan bir klasöre taşıyan bir gelen kutusu kuralı, oluşturulma zamanıyla kaydedildi. Her denetim kaydı UTC zaman damgasına bağlandı ve ham günlük satırıyla saklandı.
06Bulgular
Sağlam
Ödeme değişikliği e-postası tedarikçinin gerçek alanından gelmedi; benzer görünüşlü bir alandan geldi ve alıcı sağlayıcıda DMARC hizalamasında başarısız oldu.
DayanakBaşlık zinciri, gönderen alan ve sağlayıcının Authentication-Results başlığı uyuşuyor.
Olası
Finans posta kutusundaki bir gelen kutusu kuralı, ilgili dönemde tedarikçinin gerçek yanıtlarını gelen kutusundan dışarı taşıdı.
DayanakDenetim günlüğü kuralın oluşturulmasını ve ölçütlerini kaydeder; mesaj hareketi tutarlıdır, ancak günlüğün eksiksizliği sağlayıcının saklamasına bağlıdır.
07Sınırlılıklar
- E-posta kimlik doğrulaması hizalamayı ve teslim yolunu gösterir, bir mesajı gönderen kişinin kimliğini değil.
- Denetim günlüğünün eksiksizliği, sağlayıcının saklamasına ve denetimin etkin olmasına bağlıdır.
- İnceleme hedef banka hesabını izlemez; bu, bu kapsamın dışında bir mali soruşturma adımıdır.
08Rapor alıntısı
Mesajın From alanı, tedarikçinin gerçek alanından tek bir değiştirilmiş karakterle ayrılır ve sağlayıcının Authentication-Results başlığında DMARC başarısız oldu (dmarc=fail). 2026-… tarihinde oluşturulan bir finans posta kutusu gelen kutusu kuralı, gerçek alandan gelen postayı nadiren açılan bir klasöre taşıdı. Günlük saklaması gördüğümüzü sınırladığından kuralın etkisini olası olarak belirtiyoruz.
09Çıkarımlar
- Kimlik doğrulama sonuçlarını alıcı sağlayıcının yazdığı gibi tam olarak kaydedin; yeniden türetmeyin.
- Benzer görünüşlü bir alan kendi SPF'ini geçebilir; önemli olan gerçek From alanıyla hizalamadır.
- Posta kutusu kuralları, gerçek yanıtların gizlenmesinin yaygın bir yoludur; kural oluşturma için denetim günlüğünü okuyun.