Doğrudan İletişim Yöntemleri: Email Forensics ve Spam İzleri

E-posta, bireyler ve kurumlar arasında doğrudan iletişimin en yaygın yollarından biridir. Bu yaygınlık; dolandırıcılık, kimlik avı (phishing), tehdit, veri sızdırma ve spam gibi olaylarda email forensics çalışmalarını kritik hale getirir. Bu makalede, e-posta adli analizinin temellerini, spam izlerinin nasıl takip edildiğini ve pratik inceleme yöntemlerini ele alıyoruz.

1. Email Forensics Nedir?

Email forensics, bir e-postanın kaynağını, iletim yolunu, bütünlüğünü ve amacını teknik olarak inceleme sürecidir. Amaç; e-postanın kim tarafından, ne zaman, nereden ve hangi yollarla gönderildiğini ortaya koymaktır.

2. Bir E-postanın Temel Bileşenleri

Bir e-posta iki ana kısımdan oluşur:

- Header (Başlık): Teknik iletim bilgileri
- Body (Gövde): Kullanıcının gördüğü içerik ve ekler

Adli analizde asıl odak header alanıdır.

3. Email Header Analizi

Header, e-postanın ağ üzerindeki yolculuğunu satır satır kaydeder.

Önemli alanlar:

From – Gönderici bilgisi (kolayca sahte olabilir)

To – Alıcı
Date – Gönderim zamanı
Message-ID – Eşsiz kimlik
Received – Mail sunucularından geçtiği zincir

1Received: from mail.example.com (203.0.113.45)
2by mx.google.com with ESMTPS id x12si3456789
3for user@gmail.com
4;
5Tue, 20 Jan 2026 14:22:10 +0300

4. IP ve Zaman Damgası İncelemesi

Header’daki IP adresleri üzerinden:

- Gönderim yapılan ülke/ISP tespiti
- VPN, proxy veya botnet kullanımı
- Zaman çizelgesi (timeline) oluşturma

5. SPF, DKIM ve DMARC Kayıtları

Bu mekanizmalar, e-postanın yetkili bir sunucudan gelip gelmediğini doğrular.

SPF: Gönderen IP yetkili mi?
DKIM: İçerik yolda değişti mi?
DMARC: SPF/DKIM başarısızsa ne yapılmalı?

1Authentication-Results:
2spf=fail smtp.mailfrom=example.com;
3dkim=fail header.d=example.com;
4dmarc=fail

6. Spam ve Phishing İzleri

Spam ve oltalama e-postalarında sık görülen göstergeler:

- Sahte alan adı (paypaI.com gibi)
- URL kısaltma servisleri
- Aciliyet ve tehdit dili
- HTML içinde gizli linkler
- Zararlı ekler (ZIP, HTML, ISO)

1<a href="http://185.92.xxx.xxx/login.html">
2https://secure-bank.com
3
4</a>

7. Ek Dosya (Attachment) Adli Analizi

E-posta ekleri ayrı bir delildir:

- Hash (MD5 / SHA-256) alınır
- Dosya türü (magic number) kontrol edilir
- Sandbox ortamında çalıştırılır

1sha256sum invoice.pdf
2file invoice.pdf

8. Örnek Adli Senaryo

Olay:
Bir çalışan, sahte bir İK mailiyle kimlik bilgilerini girdiğini bildiriyor.

Analiz Süreci:

1 - Header incelenir
2 - SPF/DKIM başarısız
3 - Gönderen IP yurt dışı VPS
4 - Link hedefi sahte domain

9. İpuçları ve En İyi Uygulamalar

- Orijinal e-postayı .eml / .msg formatında sakla
- Header’ı kopyalarken satır yapısını bozma
- İçeriği analiz etmeden linklere tıklama
- Ekleri izole ortamda incele
- Delil dosyalarının hash’lerini kaydet

Email forensics, doğrudan iletişimin en güçlü adli delil kaynaklarından biridir. Header analizi, kimlik doğrulama kayıtları, IP izleri ve spam göstergeleri sayesinde bir e-postanın gerçek kaynağı ve amacı büyük oranda ortaya çıkarılabilir. Doğru yöntemler ve dikkatli analizle, basit görünen bir e-posta bile kritik bir dijital kanıta dönüşebilir.

#AdliBilişim #kaynak