Bir muhasebeci tedarikçisinden bir not alıyor: faturaların yatırılacağı banka hesabı değişmiş. E-posta doğru kişinin imzasını taşıyor, doğru sipariş numaralarını anıyor ve tedarikçininkine benzeyen bir alan adından geliyor; aradaki fark tek bir harf. Gerçek tedarikçi ödemenin nereye gittiğini sorana kadar kimse bir şey fark etmiyor.
Bu yazıda typosquatting'in ne olduğunu, hangi türlerinin bulunduğunu, benzer bir alan adının ne için kullanıldığını, böyle bir alan adının nasıl tanındığını ve bir markanın neler yapabileceğini anlatıyoruz. Yazı savunan tarafın gözüyle yazıldı; burada bir tarif yok ve bütün örnekler belgeleme için ayrılmış bir alan adı olan example.com üzerine kurulu.
Typosquatting nedir?
Typosquatting, URL hijacking (URL kaçırma) adıyla da anılır; var olan bir alan adını bir yazım hatasıyla, farklı bir uzantıyla ya da başka bir harfe benzeyen bir karakterle taklit eden alan adlarının kaydedilmesidir. Alan adını kapatan kişi hiçbir yere sızmaz. Gerçek bir alan adının sahibidir ve şuna güvenir: makine bir adı harf harf okur, insan ise sözcük olarak.
Typosquatting, cybersquatting'in, yani başkasının adının ya da markasının alan adı olarak kaydedilmesinin bir koludur. Cybersquatting, markanın unuttuğu bir uzantıda adın kendisini alır; typosquatting ise ada yakın yazımları alır. Uyuşmazlık kuralları ikisini de kötü niyetli kayıt sayar.
Typosquatting nasıl işler?
- Trafiği olan bir hedef. Bir banka, bir mağaza, bir yazılım üreticisi ya da fatura gönderen bir tedarikçi: adı ne kadar çok kişi yazar ya da alırsa o kadar çok yanlış yazım doğar.
- Yakın yazımların listesi. Her alan adının olası birkaç yazım hatası, birkaç benzer yazımı ve bir avuç alternatif uzantısı vardır. Alan adını kapatan kişi bunlardan hangilerinin hâlâ boş olduğuna bakar.
- Kayıt. Bir alan adı yılda birkaç dolara mal olur ve dakikalar içinde çözümlenir; sertifikası da aynı hızla verilir.
- Trafik gelir. Elle, adresi yanlış yazanlardan; bağlantıyla, alan adını kapatan kişinin gönderdiği e-postalardan; aramayla, benzer alan adı sonuçlara itildiğinde; bunu yapan SEO poisoning yöntemidir.
- Sayfa işini görür. Bir giriş sayfası kopyası, bir kurulum dosyası, reklam dolu bir park sayfası ya da yanlış adrese gönderilen her şeyi toplayan bir posta kutusu.
Ağ tarafında yanlış yazılmış bir adı doğrusundan ayıran hiçbir şey yoktur: tarayıcı, kendisine verilen adın arkasındaki adresi DNS'e sorar ve kayıtlı bir ad cevap alır (sorgunun işleyişini DNS Nedir? yazısı anlatıyor). Hatayı gören tek denetim, adres çubuğunu okuyan kişidir.
Typosquatting'in türleri nelerdir?
| Tür | Örnek | Neden işe yarar? |
|---|---|---|
| Eksik harf | exmple.com | Göz harfleri değil sözcüğü okur |
| Yer değiştiren harfler | exmaple.com | En yaygın yazım hatası |
| Komşu tuş | exampke.com | Klavyede k, l'nin yanındadır |
| Benzer karakterler | exarnple.com, examp1e.com | rn m gibi, 1 l gibi okunur |
| Farklı alfabe (homograf) | xn--exmple-4nf.com | Kiril а harfi Latin a ile aynı biçimdedir |
| Yanlış uzantı | example.co, example.cm | Uzantı alışkanlıkla yazılır; iki uzantı da gerçektir |
| Eklenen sözcük (combosquatting) | example-login.com | Marka sözcüğü olduğu gibi durur; ek sözcük resmî görünür |
| Alt alan adı hilesi | example.com.example.net | Gerçek ad önde gelir; asıl alan adı sondadır |
| Eksik nokta | wwwexample.com | www. alışkanlığı |
Benzer karakterler tablonun tehlikeli ucudur: m yerine rn, w yerine vv, l yerine 1 hızlı bir bakışta fark edilmez. Homograf türü daha da ileri gider: Kiril harfleriyle yazılmış bir ad Latin aslıyla birebir aynı görünebilir; tarayıcılar şüpheli görünen bu adları punycode denen xn-- biçiminde gösterir.
Combosquatting, oltalama e-postalarının en çok kullandığı türdür, çünkü aslında bir yazım hatası bile değildir: example-login.com marka sözcüğünü olduğu gibi içerir. Bitsquatting ise insan hatasına hiç ihtiyaç duymaz; cihazın belleğinde tek bir bitin değişmesi, saklanan adın bir harfini başka bir harfe çevirir.
Typosquatting ile alınmış bir site ne yapar?
Giriş sayfasını kopyalar. Sayfa markanın giriş formuna benzer, yazdıklarınızı alan adını kapatan kişiye iletir; bazen girişin çalışmış gibi görünmesi için bilgileri gerçek siteye de aktarır. Ele geçirilen şifre genellikle birkaç saat içinde başka servislerde denenir; bu ikinci adımı Credential Stuffing Nedir? yazısı anlatıyor.
Yazılım dağıtır. Bir üreticinin indirme sayfasının kopyası, gerçek kurulum dosyasını zararlı yazılımla paketlenmiş hâlde sunar. Dosyanın geçerli bir imzası bile olabilir; onu ele veren alan adıdır.
Trafikten para kazanır. Park sayfaları markanın kendi ürünlerinin reklamlarını gösterir ve tıklama başına ücret alır; satış ortaklığı yönlendirmeleri ziyaretçiyi bir referans bağlantısıyla gerçek siteye geçirir, marka da zaten kendisinin olan müşteri için komisyon öder.
E-posta alır. Bir şirketin e-posta alan adından bir harf farklı olan alan adı, yanlış yazılan adrese gönderilen her iletiyi toplar: faturalar, sözleşmeler, şifre sıfırlamaları. WIPO'nun 2025 yılı raporu (6.200'ü aşkın alan adı davasıyla kurumun gördüğü en yüksek sayı) bir alan adının, dava onu durdurmadan önce "800.000 ABD dolarını az kalsın sahte bir banka hesabına yönlendirdiğini" yazıyor (WIPO, Ocak 2026).
Paket depolarında typosquatting
Bu hile web siteleriyle sınırlı değildir. npm ve PyPI'da paket adı bir kurulum komutuna elle yazılır; popüler bir paketten bir harf farklı adlı bir paket yanlışlıkla kurulur ve kurulduğu anda kodu çalışır. npm'in tehdit belgeleri, deponun bu tür adları tespit edip yayımlanmalarını engelleyebildiğini söylüyor.
Depoların kendi alan adları da hedeftedir. Temmuz 2025'te PyPI kullanıcılarına, pypi.org'un i yerine küçük j ile yazılmış benzeri olan pypj.org adresine bağlanan "e-posta doğrulama" iletileri gönderildi; site gerçek siteyi aynen aktarıyordu, dört hesap oltalamayla ele geçirildi ve alan adı kapatılmadan önce iki zararlı paket sürümü yüklendi. PyPI'ın olay raporu, deponun kendisinin ihlale uğramadığını söylüyor ve WebAuthn ya da donanım güvenlik anahtarı öneriyor, çünkü araya girilip aktarılan tek kullanımlık kod bunlara karşı işe yaramaz.
Geliştiriciler için: kurulum komutlarını ezberden değil projenin kendi belgelerinden kopyalayın ve bir kez yapılan yazım hatasının her makinede tekrarlanmaması için kilit dosyası (lockfile) kullanın.
Typosquatting ile alınmış bir alan adı nasıl tanınır?
- Asıl alan adını bulun ve harf harf okuyun. Uzantı ve hemen önündeki parça, birinin kaydettiği alan adıdır; solda kalan her şey onun seçtiği bir alt alan adıdır.
example.com.example.netadresinde alan adıexample.net'tir. xn--görünce durun. Chrome bir alan adı parçasını yalnız IDN gösterim kurallarından geçerse Unicode olarak gösterir; Latin harflerini Kiril ya da Yunan harfleriyle karıştıran ya da "iskeleti" tanınmış bir alan adıyla eşleşen bir parça punycode olarak görünür. Tanıdığınız bir marka adı asla bu biçimde görünmemelidir.- Kilide değil şifre yöneticinize güvenin. Sertifika yalnız bağlantının şifreli olduğunu ve adres çubuğundaki alan adı için verildiğini kanıtlar; o alan adının sahibi de alan adını kapatan kişidir. Şifre yöneticisi formu yalnız şifrenin kaydedildiği alan adında doldurur; tanıdık görünen bir sayfada sessiz kalması uyarının ta kendisidir.
- Tarayıcının uyarısını dinleyin. Chrome, bir sunucu adı tanınmış bir sitenin biçimiyle eşleştiğinde [site adı] mı demek istediniz?, Bu doğru site mi? ya da Sahte bir siteyi ziyaret etmek üzeresiniz uyarısını, alan adı Güvenli Tarama listesine girdiğinde ise kırmızı Tehlikeli site sayfasını gösterir. Güvenli Tarama'yı Diğer > Ayarlar > Gizlilik ve güvenlik > Güvenlik yolunda açık tutun; Gelişmiş koruma daha sıkı olan düzeydir.
- Siteye kendi yolunuzdan gidin. Adresi kendiniz yazın, yer imi kullanın ya da uygulamayı açın; beklemediğiniz bir e-postadaki bağlantı, alan adını kapatan kişinin dağıtım kanalıdır. Gönderenin alan adını da aynı biçimde okuyun ve banka hesabı değişikliklerini telefonla doğrulayın.
Markalar typosquatting'e karşı kendini nasıl korur?
Akla gelen varyantları kaydedin. Ana uzantılar, satış yaptığınız pazarların ülke uzantıları ve bir permütasyon listesinin en üste koyduğu birkaç yazım hatası; hepsi asıl alan adına HTTP 301 ile yönlendirilir, Chromium'un benzer site denetiminin tanıdığı yönlendirme budur.
E-postanızı kilitleyin. Gönderim yaptığınız alan adı için SPF, DKIM ve reddetme politikalı DMARC yayımlayın; sahibi olduğunuz ama hiç gönderim yapmadığınız alan adlarında da hiçbir göndericiye izin vermeyen bir SPF kaydı bulunsun. DMARC sizin alan adınızı korur, benzerini değil.
Kayıtları ve sertifikaları izleyin. dnstwist gibi açık kaynaklı bir araçla alan adınızın permütasyonlarını üretin, hangilerinin kayıtlı olduğuna ve ne sunduğuna düzenli aralıklarla bakın; sertifika şeffaflığı (certificate transparency) kayıtları herkese açıktır, benzer bir alan adının sertifikası çoğu zaman önce orada görünür.
Sayfaya müşterilerinizin gördüğü gibi bakın. Benzer bir alan adı herkese aynı sayfayı pek göstermez: ofisten ya da bir barındırma ağından gelen ziyaretçi park sayfasını, hedeflenen ülkedeki ev bağlantısından gelen müşteri giriş sayfası kopyasını görür. Bir alan adına zararsız demeden önce hizmet verdiğiniz pazarlardan kontrol edin.
Yayında olanı bildirin. Oltalama ve zararlı yazılım sayfaları Google'ın Güvenli Tarama bildirim formuna gönderilir; bu form tarayıcı uyarılarını besler. Aynı kanıtı, ICANN'in her kayıt kuruluşundan (registrar) yayımlamasını istediği kötüye kullanım iletişim adresine ve sitenin önündeki barındırma şirketine ya da CDN'e de gönderin. İlk bildirim reddedilebilir, PyPI'ınki reddedildi; daha fazla ayrıntıyla yeniden gönderin.
Alan adını geri alın. WIPO'nun UDRP rehberi, Tekdüzen Alan Adı Uyuşmazlık Çözüm Politikası (UDRP) kapsamında şikâyetçinin neyi kanıtlayacağını sıralar: alan adı sahip olduğunuz bir markayla aynı ya da karıştırılacak kadar benzerdir, kayıt sahibinin alan adı üzerinde hakkı ya da meşru bir menfaati yoktur ve alan adı kötü niyetle kaydedilmiş ve kullanılmaktadır. Bir dava "normalde 2 ay içinde tamamlanmalıdır", tek hakemle görülen bir ila beş alan adlık dava 1.500 ABD dolarına mal olur ve devir ya da iptalle sonuçlanır; yeni genel uzantılarda ICANN'in Uniform Rapid Suspension (URS) mekanizması, alan adını devretmek yerine askıya alan daha hızlı bir yoldur. Türkiye'de .tr uzantılı alan adları UDRP kapsamında değildir; bu uyuşmazlıklar TRABİS'in listelediği uyuşmazlık çözüm hizmet sağlayıcılarına (UÇHS) götürülür.
Müşterilerinize nerede olduğunuzu söyleyin. Kullandığınız alan adlarını yayımlayın ve e-postayla asla şifre istemediğinizi belirtin; böylece müşteri "bu bağlantı sizin mi" diye sorduğunda destek ekibinin gönderecek tek bir sayfası olur.
adım, Residential Proxy ürününün dürüst kullanımıdır: şüpheli sayfayı müşterinin ülkesindeki ve şehrindeki bir çıkış üzerinden yükleyin ve gösterdiğini uyuşmazlık dosyası için saklayın. Bu, alan adı başına birkaç sayfa yüklemesidir, tarama değil.
Çıkışı seçmekten kanıtı saklamaya kadar kurulumun tamamı marka koruma sayfamızda.
Kullanıcılar ne yapabilir?
- Giriş yaptığınız her site için adresi kendiniz yazın ya da yer imi kullanın; mesajdaki bağlantı yerine uygulamayı açın.
- Bir şifre yöneticisi kullanın ve sessiz kalmasını uyarı sayın.
- Sunulan yerde geçiş anahtarı (passkey) ya da güvenlik anahtarı kullanın; benzer bir giriş sayfasının topladığı şey tam olarak aktarılan tek kullanımlık koddur.
- Para ya da şifre isteyen her e-postada gönderenin alan adını okuyun ve ödeme değişikliklerini telefonla doğrulayın.
Typosquatting en çok nerede zarar verir?
Bankalar ve ödeme uygulamaları; kopyalanmış bir giriş sayfası dakikalar içinde paraya ulaşır. Online mağazalar ve SaaS şirketleri; giriş ve ödeme sayfaları markayla birlikte kopyalanır. Yazılım üreticileri ve paket geliştiricileri; çünkü indirme ya da kurulum komutu, ziyaretçinin zaten bir şey çalıştırmayı beklediği andır. Tedarikçiler ve müşterileri; bir harfi farklı bir e-posta alan adı fatura dolandırıcılığına dönüşür.
Sık yapılan hatalar
- Kilide güvenmek. Kilit, görünen alan adına şifreli bağlandığınızı kanıtlar; sahibi hakkında hiçbir şey söylemez.
- Yüzlerce alan adı kaydedip unutmak. Yönlendirilmeyen ya da süresi dolan savunma amaçlı alan adları, alan adı kapatan kişiye kalır.
- DMARC'ın benzer alan adlarını da kapsadığını sanmak. DMARC sizin alan adınızı doğrular; benzerini onun sahibi doğrular.
- Yalnız kayıt kuruluşuna bildirmek. Tarayıcı uyarısı, barındırma şirketi ve CDN birbirinden bağımsız ve çoğu zaman daha hızlı hareket eder.
- Benzer alan adına yalnız ofisten bakmak. Ülkeye göre değişen sayfa size zararsız sürümü gösterir.
Karar rehberi
| Durumunuz | Önce ne yapmalısınız? |
|---|---|
| Giriş sayfası kopyası olan benzer bir alan adı yayında | Bugün Güvenli Tarama'ya, kayıt kuruluşuna ve barındırma şirketine bildirin; kanıtı kullanıcıların gördüğü biçimiyle saklayın |
| Benzer alan adı kayıtlı ama park hâlinde | İzleyin, kanıtı saklayın, UDRP dosyasını hazırlayın |
| Müşterileriniz sizinkine benzer bir alan adından fatura alıyor | Onları uyarın, DMARC'ı reddetmeye ayarlayın, e-posta alan adınızın yazım hatalı hâlini kaydedin |
| Yeni bir marka çıkarıyorsunuz | Ana uzantıları ve en olası yazım hatalarını kaydedin; 301 yönlendirmesi ve boş SPF kaydı koyun |
| Benzer bir sitede şifre girdiniz | Gerçek sitede şifreyi değiştirin, diğer oturumları kapatın, geçiş anahtarı ekleyin |
| Bir paketin geliştiricisisiniz | Depoda donanım anahtarlı 2FA açın; her girişten önce deponun alan adına bakın |
Sıkça sorulan sorular
Typosquatting yasa dışı mı?
Bir alan adını kaydetmek tek başına suç değildir; UDRP de bu yüzden vardır: kötü niyetli kayıtları mahkemeye gitmeden geri almanın idari yolu. Alan adıyla yapılan şey yasa dışı olabilir: oltalama, zararlı yazılım ve fatura dolandırıcılığı çoğu ülkede suçtur, bir markayı aldatmak için kullanmak da marka ihlalidir.
Typosquatting ile cybersquatting arasındaki fark nedir?
Cybersquatting, başkasının adını ya da markasını olduğu gibi, genellikle markanın sahip olmadığı bir uzantıda alan adı olarak kaydeder. Typosquatting ise o adın yakın yazımlarını kaydeder. İkisi de UDRP kapsamında kötü niyetli kayıttır.
Typosquatting ile oltalama arasındaki fark nedir?
Typosquatting alan adıyla, oltalama (phishing) ise kimlik bilgilerinizi isteyen sayfa ya da e-postayla ilgilidir. Oltalama sayfası inandırıcı bir adrese ihtiyaç duyduğu için çoğu zaman typosquatting ile alınmış bir alan adında durur; ama böyle bir alan adı hiçbir oltalama sayfası olmadan da reklam gösterebilir ya da e-posta toplayabilir.
Alan adımın typosquatting'e uğrayıp uğramadığını nasıl öğrenirim?
Alan adınızın olası varyantlarını üretip hangilerinin kayıtlı olduğuna bakın, sertifika şeffaflığı kayıtlarında sizinkine benzeyen adları arayın ve kayıtlı varyantların satış yaptığınız pazarlardan ne sunduğunu kontrol edin.
HTTPS sitenin gerçek olduğu anlamına mı gelir?
Hayır. HTTPS, adres çubuğundaki alan adına giden bağlantının şifreli olduğu ve sertifikanın o alan adı için verildiği anlamına gelir. Alan adının sahibi olan herkes dakikalar içinde sertifika alabilir; benzer bir site de gerçek site kadar kolay kilit gösterir.
Typosquatting ile alınmış bir alan adını kendime devrettirebilir miyim?
Evet, UDRP yoluyla: alan adı markanızla karıştırılacak kadar benzerse, kayıt sahibinin meşru bir menfaati yoksa ve alan adı kötü niyetle kaydedilip kullanıldıysa. WIPO rehberi bir ila beş alan adlık bir davayı 1.500 ABD doları ve yaklaşık iki ay olarak veriyor; UDRP'yi benimsememiş ülke uzantılarının kendi usulleri vardır.
Özet
Typosquatting, müşterilerinizin yazım hatalarını ve okuma alışkanlıklarını denetiminizde olmayan bir alan adına trafiğe çevirir: bir giriş sayfası kopyası, bir kurulum dosyası, bir park sayfası ya da yanlış adrese giden faturalar için bir posta kutusu. Okur, alan adının asıl kayıtlı kısmını harf harf okuyarak ve tanıdık bir tasarım yerine şifre yöneticisine güvenerek korunur. Markalar önemli varyantları kaydeder, e-postalarını kilitler, kayıtları ve sertifika kayıtlarını izler, yayındaki sayfaları bildirir ve alan adını UDRP ile geri alır. Benzer bir alan adının başka bir ülkedeki ya da şehirdeki müşteriye ne gösterdiğini görmek için çıkış adresini proxy hizmetlerimiz sağlar.
