Asıl düşman dolandırıcı değildir. Asıl düşman, çeklerini bozduran kayıt kuruluşudur.

Dolandırıcılıkla mücadele sektörünün yüksek sesle söylemekten hoşlanmadığı bir konu hakkında acımasızca dürüst olalım: Dolandırıcıların çoğu, suç dünyasının usta beyinleri değildir. Sofistike değillerdir. Çoğu, işini zar zor yapabilen kişilerdir.

Artık piyadelerin peşinden koşmayı bırakın

Yıllardır tehdit aktörlerini takip ediyoruz. Onların bir dolandırıcılık yönteminden diğerine nasıl geçiş yaptığını izliyoruz: bugün bilgi hırsızı operatörü, yarın para boşaltma yazılımı geliştiricisi, gelecek çeyrekte ise kredi kartı dolandırıcılığı dükkanı. Sahte kimliklerini ve altyapılarını bir yerden bir yere taşıdıklarını izliyoruz — bu ay İsviçre’de, bir sonraki ay Türkiye’de. Kendilerini pek iyi gizleyemiyorlar. Birinci sınıf bir analistin bile takip edebileceği izler bırakıyorlar. Çoğu, tek bir basit nedenden ötürü bu “işe” bulaştı: Başka bir çıkış yolu yoktu ve meşru bir iş yapmak için yeterli zekaya sahip değillerdi.

Peki, sorun neden giderek büyüyor? Çünkü kötü niyetli kişilerin sayısı çok fazla ve onları tek tek yakalamak matematiksel olarak anlamsız.

Kendi Telegram istihbarat platformumuza bir bakın. Yalnızca veri setimizde yaklaşık 130 bin kötü niyetli aktör var — ve bu sadece tek bir veri seti.

Diğer araştırma ekiplerinin geçmişteki soruşturmalarında tespit edilen binlerce kişiyi de eklediğinizde tablo netleşiyor: Bu büyüklükteki bir nüfustan sadece tutuklamalarla kurtulmak mümkün değil. Aylar süren hukuki çalışmalar, sınır ötesi yargı yetkisi kabusları ve kolluk kuvvetlerinin nadiren ilgisini çeken dava miktarları sonucunda bir aktörü, bir grubu ortadan kaldırsanız bile, aynı hafta içinde on yeni aktör ortaya çıkar. Bireysel dolandırıcı, ucuz ve kolayca değiştirilebilir bir halkadır.

Ekonomik koşullar değişmedikçe, denklem de değişmez. Dolandırıcılık ucuz olmaya devam ettiği sürece — ucuz alan adları, sorgusuz sualsiz kayıt sağlayıcıları, doğrulama gerektirmeyen kripto ödemeleri — bu tür olaylar yaygın olarak devam edecektir. Ölçeklenebilir tek strateji, dolandırıcılığı pahalı hale getirmektir. Ve bu da doğrudan, şu anda dolandırıcılığı ucuz tutan kişilere yönelir:

Rakamlar bunun bir kriz olduğunu gösteriyor. Sektör ise bunun sadece geçici bir durummuş gibi davranıyor.

Bu bizim görüşümüz değil. Bu, internetin belgelenmiş durumu:

Son cümleyi bir kez daha okuyun. Bu alandaki önde gelen bağımsız araştırma, tam da bizim söylediğimiz şeyi doğruluyor: Bunun arkasındaki etken, sektörün hoşgörülü uygulamalarıdır. Dolandırıcıların dehası değil. Hoşgörü. Ve yoğunlaşma durumu bunu kanıtlıyor: Interisle, bir kampanyada 37.000 adet “Ücretsiz Geçiş Ücreti Dolandırıcılığı” alan adından oluşan bir örneklemde şunu ortaya koydu: %65’i tek bir Çinli kayıt kuruluşu aracılığıyla kaydedilmişti.

Dolandırıcılık ekonomisi, internet üzerinde rastgele dağılmamaktadır. Belirli alan adı kayıt kuruluşlarının çevresinde kümelenmektedir — çünkü dolandırıcılar sessiz kalacak yerler ararlar.

Kayıt kuruluşları tarafsız değildir. Bunlar ücretli katılımcılardır.

Kayıt kuruluşlarının “tarafsız altyapı” olduğu yönünde yaygın bir yanılgı vardır — yani, sattıkları alan adlarında olup bitenlerle hiçbir ilgisi olmayan pasif hizmet sağlayıcılar oldukları yönünde.

Bu bir yalandır. Bir kayıt kuruluşu, askıya almayı reddettiği her kimlik avı alan adından doğrudan gelir elde eden, kâr amacı güden bir kuruluştur. Göz ardı edilen her kötüye kullanım bildirimi, korunmuş bir gelir kaynağıdır. “İçeriği değerlendiremeyiz” şeklindeki her yanıt, hukuki bir tutum kisvesi altında alınan bir ticari karardır.

Dolandırıcılar, fiyatlandırma sayfası ya da tasarımı nedeniyle bir kayıt kuruluşu seçmezler. Soru sormayan, alan adlarını askıya almayan, doğrulama yapmadan kripto para kabul eden ve kötüye kullanım bildirimlerine sessiz kalacak olan kayıt kuruluşunu seçerler. İşte bu bir pazardır. İşte bu bir üründür. Ve sektörün kendi verileri, bunu kimin sattığını ortaya koymaktadır. Per Interisle’ın bulguları, ham kimlik avı hacmi açısından ilk beş gTLD kayıt kuruluşu şunlardı: NameSilo, GoDaddy, GMO (Onamae), PublicDomainRegistry ve NameCheap; yönetim altındaki alan adlarına göre normalize edildiğinde, en çok kötüye kullanılanlar şunlardı: NiceNIC, URL Solutions, Aceville, WebNic ve OwnRegistrar — NiceNIC’in gTLD portföyünün %45’inin kimlik avı amaçlı olarak bildirildiği görülmektedir.

Kayıt kuruluşlarını kim denetler? Teknik olarak ICANN. Pratikte ise kimse.

Kayıt kuruluşlarının üstünde ICANN yer alır. ICANN’ın üstünde ise kimse yoktur.

ICANN’ın 2013 Yılı Kayıt Operatörü Akreditasyon Anlaşması, Bölüm 3.18, sözleşme gereği her akredite kayıt kuruluşunu bir kötüye kullanım irtibat kişisi bulundurmaya ve kötüye kullanım bildirimlerini soruşturmak ve bunlara uygun şekilde yanıt vermek için makul ve derhal gerekli adımları atmaya mecbur kılar. Kağıt üzerinde — yerine getirilmesi zorunlu bir yükümlülük.

Pratikte durum nasıl? Her gün sahada gözlemlediklerimizden yola çıkarak, kötüye kullanıma açık tek bir kayıt kuruluşunun en az 3.18 maddesini ihlal ettiğini tahmin ediyoruz Yılda yaklaşık 1.000 kez — görmezden gelinen ihbarlar, hayali “soruşturmalar”, kurbanlar zarara uğrarken haftalarca aktif bırakılan kimlik avı alan adları. Bunu beş yıllık bir süre boyunca sektör genelinde ölçeklendirdiğimizde, 3,18 sınıfındaki başarısızlıkların gerçek sayısı, muhtemelen bir milyon görmezden gelinen veya yanlış yönetilen ihbara ulaşır. Gerçek rakamı kimse bilmiyor, çünkü kimseyi saymakla yükümlü tutmuyorlar. Mesele de bu.

Peki ya ICANN’ın yaptırım araçları? Aslında tek bir “nükleer düğme”: akreditasyonu iptal etmek. Para cezası yok. Kademeli cezalar yok. Mağdurlara tazminat yok. Ve bu düğme neredeyse sadece zaten ölmüş olan kayıt kuruluşlarına karşı basılıyor — ücretlerini ödemeyi bırakmış, sadece kağıt üzerinde var olan kuruluşlara. Neden? Çünkü ICANN, “düzenlediği” kayıt kuruluşlarından aldığı ücretlerle finanse ediliyor. Büyük, kârlı ve kötüye kullanımı yüksek bir kayıt kuruluşunun bağlantısını kesmek, kendi gelir kaynağını kesmek anlamına gelir. Yapısal olarak yaptırım uygulamak istemeyen bir kurumdur.

ICANN, bağımsızlığını korumak ve hükümetleri sürece dahil etmemek amacıyla, sadece isim olarak düzenleyici kurumun başkanlığını üstlendi. Sonuç: hiçbir kayıt kuruluşunun korkmadığı bir kural. Evet, emsaller var — uyum bildirimleri ve uyarılar (WebNIC vakası (bunların arasında). Sonuçlarına bir bakın. Sert ifadeli bir mektup ile milyonlar kazandıran bir iş modeli arasında. Uyumun isteğe bağlı olduğu bir uyum rejimi, düzenleme değildir. Bu bir tiyatro oyunudur.

Vaka çalışması: NameSilo — “en hızlı büyüyen”, en hızlı göz ardı eden

NameSilo, halka açık bir şirkettir. Borsaya sunduğu raporlarda milyonlarca dolarlık gelir beyan etmekte ve kendisini dünyanın en hızlı büyüyen alan adı kayıt kuruluşlarından biri olarak tanıtmaktadır. Ayrıca, yukarıda alıntılanan bağımsız bir araştırmaya göre, ham kimlik avı hacmi sıralamasında en üst sırada yer almaktadır. Tesadüf mü? İşte şahsen tanık olduğumuz olaylar:

NameSilo, gelir kaybını önlemek için ABD'li kullanıcıların korunmasına yönelik kaç talebi doğrudan görmezden geldi? Tecrübelerimize dayanarak şunu söyleyebiliriz: sadece çok sayıda değil — bizce bunların çoğunluğu. Ve bu konuda hiçbir hesap verme sorumluluğu yok.

İşler daha da ilginçleşiyor. NameSilo, hakkında hiçbir şikayet almadıklarını iddia ettikleri bir müşterinin VirusTotal’daki tespitlerin kaldırılmasına yardımcı olduklarını kamuoyuna açıkladı. Mantığı bir düşünün:

• Bir kimlik avı alan adının askıya alınması istendi: "Neyin kötü amaçlı olduğunu belirlemeye yetkimiz yok."
• Ücret ödeyen bir müşteriye yardım etmek: birdenbire Fortune 500 listesindeki güvenlik tedarikçilerinin tespit kararlarını geçersiz kılma yetkisine sahip oldu.

Teknik yetersizliği bir kalkan, teknik otoriteyi ise bir hizmet olarak öne süremezsiniz. İkisinden birini seçin. Bu bir kaza değil ve münferit bir vaka da değil. Bu bir kalıptır: parayı sev, hiçbir şey yapma, kimseye hesap verme.

ICANN akreditasyonunun gerçek değeri nedir: Trustname, şu anda

Çıkar çatışması yapısal ve basittir: Bir düzenleyici kurum, gelirini asla denetlediği taraflardan doğrudan elde etmemelidir. ICANN bunu yapıyor — ve anladığımız kadarıyla, yaklaşık 400 kişilik personelinin, bu alan adlarının boşaltmak üzere tasarlandığı kullanıcıların güvenliğinden çok daha acil meselelerle meşgul olduğu şüphesizdir.

İşte bu akreditasyonun günümüzde, pratikte ne kadar değerli olduğu. Şunu bir düşünün: Güven Adı (Fewmoretaps OÜ) — bizim kullandığımız bir alan adı kayıt kuruluşu ayrıntılı bir şekilde belgelenmiş. Kağıt üzerinde bir Estonya şirketi; operasyonel olarak ise Beyaz Rusya tek bir sahip-işletmeci tarafından — şirketin %100 hissedarı, CEO’su ve tek çalışanı. 2024 yılı için beyan edilen gelir: 120 avro. Alan adı satışına ancak bu yıl ciddi bir şekilde başladı. ICANN akreditasyonu (IANA #4318) ise şirket tasfiye sürecinde olsa bile hâlâ faaliyette. Yönettiği yaklaşık 7.641 alan adından, Canlı olanların %86’sının zararlı olduğu doğrulandı.

İşte ICANN’ın güven rozetini verdiği kurum budur. Ve bu, kötüye kullanımla nasıl başa çıktığına dair bizim yorumumuz değil — bu, Trustname’in kendi ifadesidir. kendi yayınladığı istismar politikası:

“ICANN yönergelerine göre, çoğu durumda bir alan adına karşı işlem yapılabilmesi için kayıt kuruluşuna geçerli bir mahkeme kararı veya kayıt sahibinin onayı sunulmalıdır.”

“Yalnızca otomatik tehdit analiz sistemleri aracılığıyla alınan bildirimler, kesin kanıt olarak değil, soruşturma ipucu olarak değerlendirilir… Trustname, inceleme sırasında söz konusu suistimalin hâlâ devam edip etmediğine dair teyit de isteyebilir.”

“Ücretsiz veya anonim e-posta hizmetlerinden (örneğin, @gmail.com, @proton.me) gönderilen kötüye kullanım bildirimleri ek doğrulama sürecine tabi tutulur.”

“Bir sitenin içeriğinin yasallığını değerlendirmez ve yalnızca kolluk kuvvetlerinin talimatı üzerine ya da kullanım şartlarımızın açıkça ihlal edildiği durumlarda harekete geçeriz.”

Bunu bir sistem olarak ele aldığınızda, tasarımın ne olduğu apaçık ortada: geçerli bir mahkeme kararı bir alana dokunmak; gerçek tespitlerin sadece “ipucu” düzeyine indirgenmesi; dolandırıcılığı yeniden teyit etmenizin istenmesi hala hayatta inceleme aşamasında — yeterince uzun süre oyalandıktan sonra; Gmail veya Proton üzerinden bildirimde bulunan herkes için ek “doğrulama”; ve içeriği değerlendirmeyi genel olarak reddedip, kibarca “barındırma sağlayıcınızla iletişime geçin” şeklinde yönlendirme. Bunu, kripto para kabul eden ve fiziksel postaları reddeden, kayıt kuruluşuna ait gizlilik kalkanlarıyla birleştirin; işte size bir kötüye kullanım süreci kalmaz. Elinizde olan şey evraklarla koruma — ve bu, ICANN tarafından akredite edilmiş bir kayıt kuruluşunun antetli kağıdında yazılıdır.

Bu durum ICANN’ı doğrudan suçlamaktadır. Tek kişilik, 120 avro gelirli, Belarus tarafından yönetilen ve tasfiye sürecinde olan bir kuruluş, geçerli bir akreditasyona sahip olup, hiçbir şeyi askıya almamaya yönelik olarak tasarlanmış bir politikayı açıkça yayınlamaktadır. ICANN’ın buna karşı elindeki en güçlü araç bir mektuptur; bu tür mektuplara verilen yanıt ise askıya alma değil, Şartlar’da yapılan bir güncellemedir. En ağır yaptırımının bir mektup olduğu — ve buna “Şartlar” bölümünde yapılan bir düzenlemeyle yanıt verilen — bir düzenleyici kurum, gerçek anlamda bir düzenleyici kurum değildir. Bu arada, her gün gerçek insanlar şu konuda para kaybediyor: .com ve bürokratik işlemler sürerken bu tür operatörler üzerinden geçen diğer alan adları. Canlı bir kimlik avı sayfasını kaldırmak için üç mahkeme kararı, adil yargılama süreci değildir; bu bir komedidir ve ICANN, bunu talep eden operatörlere akreditasyon vererek bu komediyi desteklemektedir.

Trustname, tesadüfi bir olay değildir; akreditasyonun ucuz ve hesap verme yükümlülüğünden muaf olduğu durumlarda ortaya çıkan bir durumdur. Birkaç AB ülkesi — bunların arasında Estonya da yer almaktadır (bu tür paravan şirketlerin uzun bir listesine ev sahipliği yapan, Keitaro (dahil) ve son derece ucuz şirket kurma imkânları sunan Birleşik Krallık gibi ülkeler — gerçek bir inceleme sürecini tamamen ortadan kaldıran bir fiyata şirket ve hizmet erişimi satmaktadır. Sonuç olarak, kimse kontrol etmediği ve kimse hesap vermediği için, meşru işletmeler için bile sistemin doğasında güvensizlik hakimdir. Aynı mahkeme kararı engelinin farklı varyantlarıyla bazı ülke kodlu operatörlerde de karşılaştık; bunları ayrı bir belgede ele alacağız.

Çözüm ortada: para cezaları ve sorumluluk

Sansür yetkisi talep etmiyoruz. Diğer tüm sektörlerin halihazırda sahip olduğu şeyi talep ediyoruz: sözleşme ihlali durumunda uygulanacak mali yaptırımlar.

Kayıt kuruluşları, “onlardan neyin kimlik avı olduğunu belirlemelerinin beklenemeyeceğini” söyleyeceklerdir. Karşı soru: Parayı alıp akreditasyon yükümlülüklerini imzalamaya muktedirken, bunları yerine getirmeye muktedir değil misiniz? Eğer bir kayıt kuruluşu, kanıtların ekli olduğu bir suistimal raporunu gerçekten değerlendiremiyorsa, sözleşme gereği tam da bunu yapmasını şart koşan bir akreditasyona sahip olmaya hakkı yoktur.

Bunun yerine ne olmalı: açık, gerçek zamanlı bir suistimal kayıt defteri

İkinci bir ICANN kurulmasını önermiyoruz — buna ihtiyacımız yok. İnternetin yükü taşıyan sistemlerinden ikisi, cevabın ana hatlarını şimdiden ortaya koyuyor: TLS/SSL sertifika şeffaflığı ve WHOIS — açık, sorgulanabilir, kamuya açık kayıtlar. Kötüye kullanım durumlarının ele alınması da aynı şekilde gerçekleşmelidir: Bir kayıt kurumunun aldığı her istismar bildiriminin ve buna karşılık tam olarak ne yaptığının açık ve kamuya açık bir kaydı — zaman damgalı, denetlenebilir ve sonradan inkar edilemez.

Bu bakış açısı göz önüne alındığında, günümüz tiyatrosunun büyük bir kısmı çöküyor:

• Canlı bir tehdidi durdurmaya yönelik hiçbir denizaşırı mahkeme kararı yok. Cüzdanları boşaltan bir kimlik avı sayfası, şu anda yaşanmakta olan bir zarardır; bunu engellemek için, bir denizaşırı bölgedeki bir adadaki mahkemenin kararı gerekmemelidir. Kanıtlar raporda yer almaktadır ve kayıt kuruluşunun harekete geçip geçmediği kamuya açık kayıtlardan anlaşılmaktadır.
• Triyaj otomatikleştirilebilir. Kayıt kuruluşları, “saldırılar” ve gereksiz bildirimler altında boğulduklarını iddia ediyorlar — ki bu tam da bir AI katmanı İyi iş çıkarıyor: gereksiz bilgileri ayıklıyor, kanıtlanmış vakaları gün yüzüne çıkarıyor ve her kararı kayıt altına alıyor. Kötüye kullanım sürecinin önüne konacak basit ve dürüst bir aracı, mevcut insan eliyle yürütülen ve sistematik olmayan süreçten çok daha iyi sonuç verecektir. Bunun için ICANN’ın “2 numarası”na gerek yok.
• Mazeret geçerliliğini yitirir. Bir kayıt operatörü, sattığı her alan adı için ücret alır; kötüye kullanım vakalarını ele almak, bu işlemin diğer yarısıdır, bir nezaket göstergesi değildir. NameSilo’nun “buna yetkin değiliz” bahanesini öne sürmesi teknik bir sınırlama değil, ticari bir karardır — ve bir phishing kitini meşru trafikten gerçekten ayırt edemeyen bir şirket, diğer işlerini yürütmeli, varsayılan olarak dolandırıcılık ve phishing operasyonlarına destek vermemelidir.
• Artık “bize hiçbir rapor gelmedi” gibi bahaneler yok. WebNic ve NiceNic, rapora zaten eklenmiş olan bir ekran görüntüsünü talep eden otomatik yanıtlarla bize cevap verdiler; NameSilo ise kamuoyuna “tek bir şikayet bile alınmadığını” açıkladı. Bu adımların hiçbiri, zaman damgalı ve herkese açık bir kayıt defteriyle karşılaştırıldığında geçerliliğini yitiriyor.

Ve defter, tek önemli sonucu ortaya koyar yürürlükte olan. Bir mağdur, bir alan adı nedeniyle parasını kaybettiğinde ... gün sonra Dosyada zaten doğrulanmış bir rapor bulunuyordu — ve kamuya açık kayıtlara göre kayıt memuru bu raporu görmezden geldi — bu durum artık talihsiz bir belirsizlik alanı değildir. Bu, zaman damgası bulunan, belgelenmiş bir başarısızlıktır ve kayıt memuru bu belirli olaydan dolayı mali sorumluluk taşımalıdır.

İşte mekanizma budur. Bir ihbarı görmezden gelmenin, üzerine harekete geçmekten daha pahalıya mal olduğu an, “buna yetkin değiliz” bahanesinin geçerliliği sona erer; şikayet masaları birdenbire bütçe ve personel bulur; sessizliği satın almaya çalışan dolandırıcılar ise satın alacak kimse kalmadığını fark eder — ve güvendikleri alan adlarını sessizce terk ederler.

Çözüm şeffaflıktır. Herkesin, sizin aldığınızı görebileceği bir raporu sessizce görmezden gelemezsiniz.

Sonuç olarak

$16 billion in reported losses in a single year. Phishing up 180% since 2021. 130,000 malicious actors in one monitoring dataset alone. And the entire pipeline still starts the same way: a cheap domain, sold by a registrar that will never answer for its silence.

Dolandırıcı sadece bir belirtidir — çaresizlik ekonomisi içindeki, değiştirilebilir ve çoğunlukla akılsız bir düğüm. Kripto paralarını gülümseyerek kabul eden, yirmi adet şikâyet raporunu görmezden gelen ve ardından bu konuda kamuoyuna yalan söyleyen kayıt kuruluşu — asıl hastalık budur. ICANN’ın ise sadece süs niteliğindeki “düzenlemesi”, devreye girmemeyi tercih eden bağışıklık sistemidir.

Dolandırıcılık, ucuz olduğu sürece tam da bu ölçekte devam edecektir. Ve kayıt kuruluşları sessiz kaldıkları — ve bu sessizlikleri karşılığında hiçbir bedel ödemedikleri — sürece, dolandırıcılık ucuz olmaya devam edecektir.

Kaynaklar ve referanslar

1. FBI İnternet Suçları Şikayet Merkezi (IC3) — 2024 İnternet Suçları Raporu (859.532 şikayet; bildirilen kayıplar 16,6 milyar dolar; şikayet sayısına göre birinci sırada yer alan kimlik avı/kimlik taklidi).
2. Interisle Danışmanlık Grubu — 2025 Yılı Oltalama Durumu (≈2 milyon kimlik avı saldırısı; 2021’den bu yana %180 artış; kayıt kuruluşu/TLD yoğunlaşması; 37.000 alan adından oluşan yol ücreti dolandırıcılığı örneği).
3. ICANN — 2013 Kayıt Kurumu Akreditasyon Anlaşması, §3.18 (istismar bildirim noktası; istismarı soruşturmak ve buna müdahale etmek için makul ve derhal önlemler alma yükümlülüğü).
4. ICANN Sözleşme Uyumluluğu — Web Commerce Communications (WebNic)’e Yönelik Veri İhlali Bildirimi, 29 Temmuz 2025.

Rakamlar yukarıdaki birincil kaynaklardan alınmıştır; yorum ve açıklamalar ise yazarlara aittir.