NiceNIC Uluslararası Grubu

Önemli Bulgular

• Her on altı alan adından biri bir kimlik avı sitesidir. NiceNIC’te kayıtlı 351.701 alan adını kapsayan kapsamlı taramamızda, 22.535 adet doğrulanmış kimlik avı sayfası tespit edildi — bu da %6,4’lük bir bulaşma oranına tekabül ediyor. Bu büyüklükteki bir kayıt kuruluşu için bu rakam olağanüstü; sektör ortalaması ise %0,5’in oldukça altında yer alıyor.
• Kripto platformları birincil hedef konumundadır. Sadece Coinbase’e ait 3.798 sahte alan adı tespit edildi; Ledger (1.317) ve Kraken (1.214) de yoğun bir şekilde hedef alındı. Bu eğilim, alan adlarını toplu olarak kaydeden, bunları kısa bir süre çalıştıran ve ardından yeni altyapılara geçiş yapan organize tohum cümle toplama operasyonlarıyla tutarlıdır.
• Kayıt verilerindeki ani artışlar, koordineli bir aktörün faaliyetlerini ortaya koymaktadır. 16 Haziran 2026 tarihinde, tek bir günde 1.382 kimlik avı etki alanı kaydedildi — bu rakam, günlük ortalamanın 14,9 katıdır. Bu büyüklükteki ani artışlar kendiliğinden gerçekleşmez; bunlar, kayıt kuruluşlarıyla doğrudan ilişkileri olan, önceden onaylanmış ödeme yöntemlerine sahip ve otomatikleştirilmiş sağlama süreçlerine sahip az sayıda aktörün varlığını gösterir.
• .com baskın olsa da, diğer TLD’ler yedek alan olarak işlev görüyor. Taranan 351.701 alan adından 194.812’si (%55,4) .com uzantısını kullanmaktadır. Ancak, NiceNIC'in .vip (27.121 alan adı) ve .icu (16.517 alan adı) uzantılarını yönetmesi, .com uzantılı alan adlarını hızlı bir şekilde elde etmenin zor olduğu durumlarda siber suçluların yoğun olarak istismar ettiği düşük maliyetli toplu kayıt kanalları sunmaktadır.
• Kötüye kullanım vakalarına yönelik müdahale, yapısal olarak mevcut değildir. PhishDestroy, çeşitli bildirim kanalları aracılığıyla NiceNIC’e yüzlerce kötüye kullanım raporu sunmuştur. Aktif kimlik avı altyapıları için kaldırma oranları sıfıra yakın seviyelerde seyretmektedir. Kaldırma bildirimleri alan alan adları, 24–48 saat içinde aynı kayıt kuruluşu hesabı altında sıklıkla yeniden aktif hale gelmektedir; bu durum, hesap düzeyinde herhangi bir yaptırım uygulanmadığını göstermektedir.
• Veri setinin tamamı kamuya açık bir şekilde arşivlenmiştir. Her bir kimlik avı etki alanı, kayıt tarihi, hedef alınan marka ve kötüye kullanım bildirimi, halka açık kanıt havuzunda belgelenmektedir. Veriler, kolluk kuvvetleri tarafından değerlendirilmek ve ICANN uyum incelemesi için uygun şekilde yapılandırılmıştır.

Canlı Algılama Akışı

PhishDestroy tarafından tespit edilen en son NiceNIC kimlik avı alan adları. Sürekli güncellenmektedir.

Kanıtlar ve İlgili Soruşturma