Tek Kullanımlık E-posta ile Kayıt: Gerçekte Hangi Tehdide Karşı Koruyor?
"Tek kullanımlık e-posta kullanıyorum, artık gizliyim" cümlesi güvenlik açısından boştur çünkü "kime karşı?" sorusunu yanıtlamaz. Disposable e-postanın tam olarak hangi saldırgan sınıfını durdurduğunu, neyi hiç kapatmadığını ve yanlış kullanıldığında nasıl bir hesap ele geçirme zafiyetine dönüştüğünü teknik olarak inceliyoruz.
EvilMail Team5 Ağustos 202611 dk okuma
"Tek kullanımlık e-posta kullanıyorum, artık gizliyim." Bu cümle güvenlik açısından boştur, çünkü asıl soruyu yanıtlamaz: kime karşı gizli? Bir e-posta adresini kompartımanlaştırmak, adresi *kimlik olarak* kullanan saldırganı durdurur. Adresi hiç umursamayan, seni IP'nden, cihazından ve ödeme yönteminden tanıyan saldırganı ise zerre yavaşlatmaz.
Disposable e-posta bir anonimlik battaniyesi değildir. Tek bir işi yapan, ucuz ama etkili bir araçtır: internetin fiili birincil anahtarını (primary key) parçalar. Bu yazının işi net — disposable'ın kapattığı kümeyi kapatmadığından ayıran çizgiyi çekmek ve yanlış kullanıldığında bir gizlilik aracının nasıl doğrudan hesap ele geçirme zafiyetine döndüğünü göstermek.
Önce saldırganı adlandır
Bir aracın işe yaradığını konuşmadan önce hangi düşmanı yendiğini adlandırmak gerekir. Kayıt akışında karşındaki saldırgan sınıfları şunlar:
Servisin kendisi. Kayıt e-postanı CRM'ine, reklam ağına ve nihayetinde bir veri simsarına besleyen platform. Kötü niyet bile gerekmez; bu çoğu zaman iş modelinin ta kendisidir.
İhlal sonrası korelasyon saldırganı. HaveIBeenPwned mantığı: farklı sızıntı dökümlerini *aynı adres* üzerinden birleştirip tam profilini çıkaran taraf.
Liste satışı / spam operatörü. Adresini bir kez ele geçirip N farklı listeye kopyalayan operatör.
Ağ gözlemcisi. Trafiğini izleyen ISP veya ortadaki taraf.
Sana karşı hesap-kurtarma saldırganı. Doğrulama kutunu ele geçirip hesabını çalan taraf. Bu, yanlış disposable kullanımında *kendi kendine atılan gol*.
Disposable yalnızca ilk üçünü zayıflatır. Kilit kavram şu: e-posta adresi web'in fiili birincil anahtarıdır. Aynı adres = veri birleştirme ekseni. Disposable bu ekseni kırar. Elde ettiğin şey kimlik ayrıştırma (unlinkability), anonimlik değil.
Gerçekten kapattığı vektörler
Doğru kullanıldığında disposable şu somut kazanımları verir:
Birincil kutu harvest edilmez. Newsletter ve pazarlama akını asıl adresine hiç ulaşmaz; gerçek gelen kutun temiz kalır.
Breach korelasyonu kırılır. Her servise farklı adres verdiğinde bir sızıntı diğer hesaplarını ele vermez. Parola tekrarı yapmış olsan bile credential-stuffing saldırganının eşleştirme yüzeyi çöker, çünkü kullanıcı adı (adres) her yerde farklıdır.
Tek seferlik doğrulama akışları temizlenir. İndirilecek PDF, deneme sürümü, "e-postanı gir" duvarları — hepsi asıl kimliğine dokunmadan halledilir.
Aşağıdaki diyagram, aynı gerçek adresin N sitede kullanılmasının veri simsarı grafiğinde nasıl tek bir düğüme çöktüğünü, disposable'ın bu düğümü nasıl N ayrı parçaya dağıttığını gösteriyor. Dikkat: IP, parmak izi ve ödeme okları her iki tarafta da aynı kalır — kesilen tek şey adres eksenidir.
Neyi kapatmadığı: anonimlik yanılgısı
Burası çoğu rehberin sustuğu yer. Disposable adres kullanırken bile sızmaya devam eden kimlik sinyalleri:
Kaynak IP. VPN veya Tor yoksa, adresin ne olursa olsun coğrafi konumun ve ISP'in açıktır.
TLS/JA3 ve tarayıcı parmak izi. Canvas, yüklü fontlar, User-Agent, ekran çözünürlüğü — bunlar seni adresinden bağımsız takip eder. Aynı tarayıcıyla iki farklı disposable adresle kayıt olduğunda, fingerprint ikisini de aynı kişiye bağlar.
Ödeme kimliği. Kart veya PayPal = gerçek isim. Bir servise para ödediğin an disposable adresin hiçbir anlamı kalmaz.
Telefon doğrulaması. SMS istendiğinde numara zaten kimliğindir.
Oturum çerezi ve cihaz grafiği. Reklam ağları seni cihazlar arası eşler.
Bir uyarı daha: disposable adres gelen phishing'i, tracking pixel'ini veya link token'ını engellemez. Postayı sen açtığın sürece açılış ve tıklama gönderen tarafından görülür. Disposable, gönderen tarafını değil, yalnızca kimlik eksenini yönetir.
Sınır da net: KYC, finansal veya yasal bağlamlarda (banka, borsa, resmi başvuru) disposable adres kullanmak geçersizdir ve bazı durumlarda hukuken riskli, hatta suç niteliğinde olabilir. Bunu bir gizlilik hilesi olarak oralarda kullanma.
Public temp-mail'in sessiz felaketi: hesap ele geçirme
En sert teknik nokta bu. Şifresiz, herkese açık temp-mail servislerinde adres ya tahmin edilebilirdir ya da doğrudan listelenir. Böyle bir kutuya düşen doğrulama kodunu veya parola sıfırlama linkini, o kutuyu açan herkes okuyabilir.
Saldırı zinciri basit ve gerçektir: kurban bir public adresle kayıt olur; saldırgan aynı kutuyu açar veya adresi tahmin eder; hedef sitede "parolamı unuttum" akışını tetikler; sıfırlama linkini o public kutudan okur; hesabı devralır. Buna bir de adres geri dönüşümü (recycling) eklenir — servis adresi bir süre sonra başkasına verir, yeni sahip eski hesapların kurtarma kutusuna oturur.
Çözüm ekseni net: kimlik doğrulamalı (private) disposable, public kutudan kategorik olarak farklı bir güvenlik profiline sahiptir. Şifre, gerçek IMAP/SMTP kimlik doğrulaması ve kutu sahipliği olduğunda, 6. adımdaki "saldırgan aynı kutuyu okur" hamlesi mümkün değildir. evilmail.pro'nun modeli tam olarak budur: tek kullanımlık ama yalnızca senin — API ve şifreyle erişilen özel kutular. "Tek kullanımlık" kelimesi kutunun *herkese açık* olduğu anlamına gelmez.
Doğru aracı seç: disposable mı, alias mı, plus-adres mi, catch-all mı
Bunlar birbirinin yerine geçmez; her biri farklı bir tehdit modeline oturur.
Plus-adresleme ([email protected]): sıfır maliyet, ama gerçek adresi *gizlemez*. Etiket tek satır regex ile sıyrılır. Yalnızca gelen kutu filtreleme ve "hangi servis adresimi sızdırdı" izlemesi için değerlidir, gizlilik için değil.
Alias (SimpleLogin, addy.io): kalıcı, üzerine cevap yazabilirsin, gerçek kutuna forward eder. Uzun ömürlü hesaplar için doğru seçim — bu bir disposable değildir.
Catch-all özel domain (*@ornek.dev): tam kontrol verir, ama WHOIS kaydı ve adres deseni seni fingerprint edebilir.
True disposable: hesabı bir daha geri istemeyeceğin, kurtarmaya asla ihtiyaç duymayacağın tek seferlik kayıtlar için.
Karar kuralı tek cümle: "Bu hesaba 30 gün sonra tekrar login olacak mıyım / kurtarmaya ihtiyacım olacak mı?" Evet → alias veya gerçek adres. Hayır → disposable.
Siteler disposable'ı nasıl tespit eder (ve neden bazen edemez)
Kayıt formları disposable'ı katmanlı yakalar: statik blocklist (GitHub disposable-email-domains, 7.000'den fazla domain), MX kaydı analizi (paylaşımlı temp MX imzaları), SPF/DNS sinyalleri ve Kickbox / ZeroBounce / verifymail.io gibi ticari API'lerin risk skoru.
Bu katmanları kendin kontrol edebilirsin:
bash
# 1) Domain herkesçe bilinen blocklist'te mi?
curl -s https://raw.githubusercontent.com/disposable-email-domains/disposable-email-domains/master/disposable_email_blocklist.conf \
| grep -x 'ornek-domain.com' && echo "BLOCKLIST'TE" || echo "temiz"
# 2) MX paylaşımlı bir temp-mail sağlayıcısına mı işaret ediyor?
dig +short MX ornek-domain.com
# 3) Doğrulama postası gerçekten teslim oluyor mu? (en düşük öncelikli MX'e)
swaks --to [email protected] \
--server "$(dig +short MX ornek-domain.com | sort -n | head -1 | awk '{print $2}')" \
--from [email protected]
Public temp-mail domainleri bu üç testin hepsinde takılır: listede kayıtlı, MX'i paylaşımlı ve tanınmış. Private disposable + benzersiz özel domain ise istatistiksel olarak "throwaway" imzası taşımaz — kendi domaini, temiz MX'i ve gerçek IMAP/SMTP'si olduğu için risk skoru düşük çıkar, blocklist'leri geçer. Fark "tek kullanımlık" olmanda değil, altyapının *paylaşımlı ve anonim* olup olmamasında.
Uygula-bırak kontrol listesi
Kurtarma gerekiyorsa disposable KULLANMA. 30 gün kuralını uygula.
Asla public/şifresiz bir kutuda doğrulama kodu bırakma. Kodu okuyabilen herkes hesabı çalar.
Her servise ayrı adres ver. Breach korelasyonunu ve credential-stuffing eşleşmesini bu kırar.
Ödeme veya telefon isteyen yerde disposable'ın kimliğini korumadığını unutma; kart = gerçek isim.
Uzun ömürlü ama gizli istiyorsan alias; gerçekten tek seferlik ise disposable seç.
Kritik hesaplarda 2FA'yı e-postadan bağımsız kur (TOTP). Aksi halde e-posta zafiyeti 2FA'yı da birlikte düşürür.
Domaini kendi kontrolünde tut. Catch-all veya private kutu, adres geri dönüşümü riskini sıfırlar.
KYC/finansal/yasal başvurularda disposable kullanma — geçersiz ve riskli.
