Kimlik avı kampanyası · Vardiya amiri

İK portalını taklit eden toplu kimlik avı

Kolay

İSTİHBARAT SORUSUBu toplu kimlik avı kampanyası kurumumuzu etkiler mi?

Ortak SOC bilgi paylaşım ağından bordro dönemine denk gelen bir kimlik avı kampanyası bildirimi geldi. Aynı gün bir çalışan, 'İK Portalı şifre yenileme' başlıklı bir e-postayı şüpheli bularak bildirdi.

Elinde ham bir tehdit raporu, bir gösterge listesi, bir kapalı forum ilanı, bir sandbox özeti ve alan adı kayıt bilgisi var. İstihbarat sorusu net: kurumu gerçekten etkiliyor mu, yoksa başka bir sektöre yazılmış genel bir kampanya mı?

Tehdit istihbaratı raporu

Bordro dönemi kimlik avı kampanyası — haftalık bülten

Ortak SOC Bilgi Paylaşım Ağı · 2026-09-18

Son bir haftada, kurum içi İK portallarını taklit eden bir kimlik avı dalgası gözlemlendi. E-postalar 'Bordro bilgilerinizi güncelleyin' veya 'İK Portalı şifre yenileme' başlığıyla gönderiliyor.

Bağlantılar, kurumun gerçek portal alan adına çok benzeyen ama üç gün önce tescil edilmiş alan adlarına yönlendiriyor. Sayfa, gerçek İK giriş ekranının bire bir kopyası.

Girilen kullanıcı adı ve şifre, sayfa arka planında bir dış sunucuya iletiliyor. Kampanya birden çok sektörden kurumu hedef alıyor; hedef seçimi büyük ölçüde e-posta adresi formatına göre yapılıyor.

Gösterge (IOC) listesi

Bültene ekli gösterge listesi

Ortak SOC Bilgi Paylaşım Ağı · 2026-09-18

Değer	Tür	Not
ik-portalim-giris.example	Alan adı	Sahte giriş sayfası
[email protected]	E-posta	Gönderen adresi
203.0.113.44	IP adresi	Sahte sayfayı barındıran IP

Kapalı forum ilanı

'Hazır İK giriş şablonu' satışı

KaranlıkPazar-Forum (erişimi kısıtlı ayna) · @sablon_ustasi41 · 2026-09-12

Kurumsal İK/bordro giriş sayfalarını taklit eden hazır şablon satıyorum. Logo ve renk şeması otomatik uyarlanıyor, kimlik bilgisi toplama betiği dahil.

Daha önce birkaç orta ölçekli şirkette denendi, giriş oranı iyi. Fiyat ve teslimat için özelden yazın.

Sandbox analiz özeti

Şüpheli bağlantının izole ortamda incelenmesi

Özet 5f1a9c3e7b2d… · 2026-09-19

Sonuç: Kimlik bilgisi toplama sayfası (credential harvester)

Süreç ağacı

chrome.exe → sayfa render
sayfa içi form gönderimi (JavaScript fetch)

Ağ etkinliği

GET https://ik-portalim-giris.example/giris — 200, gerçek portalın CSS/logo kopyası
POST https://ik-portalim-giris.example/dogrula — girilen kullanıcı adı/şifre gövdede düz metin
Yönlendirme: dogrulama sonrası gerçek İK portalına (ikportal.example) yönlendiriliyor — kullanıcı şüphelenmesin diye

Dosya notları

Sayfa kaynak kodu yerel önbellekte; kalıcı dosya bırakılmıyor

Whois sorgusu

ik-portalim-giris.example kayıt bilgisi

ik-portalim-giris.example

Kayıt şirketi	Örnek Kayıt A.Ş. (bütçe segmenti)
Tescil tarihi	2026-09-16
Güncelleme	2026-09-16
Kayıt sahibi	Gizlilik koruması (registrant bilgisi maskeli)
İsim sunucuları	ns1.ucuz-dns.example, ns2.ucuz-dns.example
Gizlilik koruması	Var