186 AI taklidi alan adı tespit edildi; bazıları sahte doğrulamayla komut çalıştırmaya yöneltiyor

27 AI hizmeti markasını taklit eden 186 benzer alan adı tespit edildi. Bazıları ziyaretçileri sahte güvenlik doğrulama veya uygulama yükleme ekranlarına yönlendirerek komut çalıştırmaya ya da program yüklemeye teşvik etti.

Güvenlik şirketi Island, 12 Kasım'da yayımladığı raporda 3 Kasım itibarıyla 186 benzer alan adı belirlediğini açıkladı. ChatGPT'yi taklit eden alan adları 25 ile ilk sırada yer aldı. Claude 18, DeepSeek 16 ve Runway 12 alan adıyla onları izledi. Perplexity, Lovable ve Character.ai içinse 11'er alan adı tespit edildi.

Başlıca erişim yolu, kullanıcıların adresi yanlış yazarak benzer alan adlarına girmesiydi. AI hizmetlerinin güvenlik açıklarının hedef alındığı belirtilmedi. Adreste tek bir harfin eksik yazılması veya harflerin sırasının değişmesi bile benzer bir sayfanın açılmasına yol açabiliyordu.

Ziyaretçiler reklam sayfaları görebiliyor veya bir aracı sistem üzerinden başka ekranlara yönlendirilebiliyordu. Aynı alan adında karşılaşılan ekran, kullanıcının bulunduğu ülkeye, işletim sistemine ve tarayıcısına göre değişebiliyordu.

Claude'u andıran cloude[.]ai adresinde sahte bir Cloudflare doğrulama ekranı tespit edildi. Ekran, Windows kullanıcılarından Çalıştır penceresini açıp bir komutu yapıştırmalarını istiyordu.

Island'ın incelediği komut, bir PowerShell betiğini indirip gizli durumda çalıştıracak şekilde hazırlanmıştı. Ancak aynı adresi ziyaret eden herkes bu ekranı görmedi.

Raporda, doğrulama ekranında kullanılan betikle eşleşen 550 tarama kaydı sunuldu. Kayıtların kapsadığı dönem Nisan 2025'ten Kasım 2026'ya kadar uzanıyor. Bu kayıtlar, komutun gerçekten çalıştırıldığı veya cihazlara zararlı yazılım bulaştığı anlamına gelmiyor.

Tarama kayıtlarında 211 giriş alan adı yer aldı. Bunların arasında bankaları, sigorta şirketlerini ve kurumsal yazılım şirketlerini taklit eden adresler de vardı. Bu nedenle kayıtların kapsamı, AI markalarını taklit eden 186 alan adından farklıydı.

Başka bir yöntemde Claude, DeepSeek, Copilot, ElevenLabs ve Voice AI'ı taklit eden sekiz yazım hatalı alan adı, ziyaretçileri sahte «Security Check» ekranından Net Guard yükleme sayfasına yönlendirdi. Bu akışta ziyaretçilerden önce doğrulamayı tamamlamaları, ardından uygulamayı yüklemeleri istendi.

Island, incelediği yükleme dosyasının özet değerinin Microsoft (MSFT) Store'da listelenen bir uygulamayla aynı olduğunu bildirdi. Şirket, uygulama kodunda tarayıcının arama ayarlarını değiştirme ve uzaktan iletilen betikleri çalıştırma özellikleri tespit ettiğini açıkladı.

Perplexity'yi taklit eden preplexity[.]ai alan adı, Quick Search adlı bir Chrome uzantısının yükleme sayfasına bağlanıyordu. Island'ın analizine göre uzantı, varsayılan arama yolunu üçüncü taraf bir sunucuya yönlendiriyor ve adres çubuğuna yazılan arama terimlerini bu sunucuya iletiyordu.

Aynı yükleme yöntemiyle bağlantılı 30 uzantı bulunuyor. Raporun metninde 13 uzantının kaldırıldığı, 17'sinin ise hâlâ yayında olduğu belirtiliyor. Kalan uzantıların mağaza sayfalarında gösterilen kullanıcı sayıları toplamı 3 Kasım itibarıyla 972 bin. Ancak aynı rapordaki bir görsel açıklaması, kullanıcı sayısı gösterilen uzantı sayısını 16 olarak veriyor. Mağazada gösterilen sayılar gerçek kullanıcı veya mağdur sayısıyla aynı değil.

Arama yönlendirme yöntemi başka bir araştırmada da ele alındı. Socket, 29 Ekim'de yayımladığı raporda arama yolunu değiştiren 319 tarayıcı uzantısının yaklaşık 13,4 milyon kişiye yüklendiğini hesapladı. Bu bulgu, Island'ın incelediği alan adlarını veya olası mağdur sayısını doğrulamıyor.

Infoblox'un incelemesi de park edilmiş alan adlarındaki reklamların ziyaretçileri aracı sistemler ve riskli sayfalara yönlendirebildiği yolları ele aldı. TokenPost daha önce şirketleri taklit eden alan adlarının kullanıcıları Tether (USDT) göndermeye yönlendirdiği bir vakayı haberleştirmişti. Island'ın bu raporda incelediği yöntemlerse komut çalıştırmaya ve uygulama ya da uzantı yüklemeye teşvik etmeye odaklanıyor.

Island raporundaki bir şemada bir akış «kripto dolandırıcılığı» olarak etiketlendi. Ancak raporun metninde ilgili bir varlık, cüzdan veya zarar tutarı açıklanmıyor; bu nedenle somut bir kripto varlık mağduriyetine ilişkin kanıt sunulmuyor.