Sitem USOM Zararlı Bağlantılar Listesine Düştü: Nasıl Çıkarılır?

Telefonunuzu mobil veriye alıp sitenizi açıyorsunuz: sayfa yüklenmiyor, bağlantı zaman aşımına uğruyor. Wi-Fi'ye geçiyorsunuz, aynı. Sonra bir VPN açıyorsunuz ve site anında, hiçbir sorun olmadan geliyor. Hosting firmanıza yazıyorsunuz; "sunucu ayakta, servislerde bir şey yok, biz erişebiliyoruz" diyorlar ve haklılar — access log'da hata yok, sadece Türkiye'den gelen trafik bir gün içinde sıfırlanmış durumda. Google'da site hâlâ görünüyor, sertifika geçerli, DNS doğru IP'yi veriyor.

Bu tablo bir sunucu arızası değil. Bir ağ seviyesi engeli. Türkiye'de bunun en yaygın kaynağı, USOM'un yayınladığı Zararlı Bağlantılar Listesidir: operatörler ve kurumsal güvenlik duvarları bu listeyi düzenli olarak çeker ve içindeki alan adlarını kendi ağlarında engeller. Yani sizi engelleyen tek bir kurum değil, listeyi tüketen yüzlerce farklı ağdır — ve bu yüzden engel, siz listeden çıkana kadar kalkmaz.

Bu konudaki Türkçe içeriğin neredeyse tamamı listeyi tüketen taraf için yazılmış: Fortigate'e nasıl entegre edilir, Exim'e nasıl senkronlanır, SOC'a nasıl beslenir. Listeye düşen site sahibi için sıralı bir rehber yok. Aşağıda o rehber var: önce engelin gerçekten bu kaynaktan geldiğini doğrulayacağız, sonra başvuru öncesi zorunlu olan temizliği yapacağız, ardından kanıt paketini hazırlayıp itirazı doğru kanaldan göndereceğiz ve son olarak tekrar düşmemek için kalıcılığı temizleyeceğiz.

Belirti Tablosu: Bu Engel Neye Benziyor#

Erişim sorunlarının kaynağını ayırt etmenin en hızlı yolu, belirtileri yan yana koymaktır. Aynı "site açılmıyor" cümlesi altı farklı sorunu gizler ve her birinin çözümü tamamen farklıdır.

Birinci satır bu yazının konusu. Üçüncü satır için Google aldatıcı site uyarısı kaldırma, dördüncü satır için mail kara listesi sorgulama ve çıkma yazılarına bakın; ikisi tamamen ayrı süreçlerdir ve birinde yapılan başvuru diğerini etkilemez.

İkinci satırı özellikle karıştırmayın: 5651 sayılı kanun kapsamındaki engeller içerik kaynaklıdır ve genellikle kullanıcıya bir bilgilendirme sayfası gösterilir. USOM kaynaklı engel ise güvenlik kaynaklıdır ve çoğunlukla sessizdir — kullanıcı yalnızca "siteye ulaşılamıyor" görür. Muhatap kurum ve başvuru kanalı farklıdır.

Engeli Kendi Ağınızdan Nasıl Doğrularsınız#

Tahmin yerine ölçün. İki noktadan aynı sorguyu yapıp sonuçları karşılaştırmak, engelin DNS'te mi yoksa paket seviyesinde mi olduğunu da gösterir.

# 1) DNS hâlâ doğru IP'yi veriyor mu (engel DNS'te mi?)
dig +short A siteniz.com @8.8.8.8
dig +short A siteniz.com @1.1.1.1
# Türkiye'deki bir operatör çözücüsüyle karşılaştırın
dig +short A siteniz.com @195.175.39.39

# 2) TCP seviyesinde ulaşılabiliyor mu
curl -sS -o /dev/null -w "%{http_code} %{time_total}s\n" https://siteniz.com/
curl -sS -o /dev/null -w "%{http_code}\n" --resolve siteniz.com:443:203.0.113.10 https://siteniz.com/

# 3) Paketin nerede durduğunu görün
traceroute -T -p 443 siteniz.com

Ayırt edici işaretler şunlardır:

• DNS cevabı doğru geliyor ama TCP el sıkışması tamamlanmıyor: paket seviyesinde engel. USOM kaynaklı engellemenin tipik görüntüsü budur.
• DNS cevabı yurt içinde farklı, örneğin bir yönlendirme IP'si dönüyor: DNS seviyesinde engelleme uygulanmış olabilir; operatöre göre yöntem değişir.
• Her yerden aynı hata, sunucu da cevap vermiyor: engelle ilgisi yok, altyapı sorununa bakın.

Alan adınızın listede olup olmadığını doğrudan sorgulamak için USOM'un yayınladığı Zararlı Bağlantılar Listesini kullanın. Liste tarihsel olarak usom.gov.tr üzerinden yayımlanıyordu; hizmetler T.C. Siber Güvenlik Başkanlığı çatısında siberguvenlik.gov.tr adresine taşınmakta ve düz metin (.txt) dosya paylaşımı 1 Haziran 2026 itibarıyla sona ererek yerini API servislerine bıraktı. Bu yüzden sorguyu API üzerinden yapmak, elinizdeki eski bir bağlantıyı denemekten daha güvenilirdir:

# Zararlı bağlantı kaydını alan adınıza göre ara (JSON döner, sayfalıdır)
curl -sS "https://www.usom.gov.tr/api/address/index?q=siteniz.com" | head -c 2000

# Sonucu okunur hâle getirin
curl -sS "https://www.usom.gov.tr/api/address/index?q=siteniz.com" | python3 -m json.tool | head -60

API sayfa başına sınırlı sayıda kayıt döndürür; arama parametresiyle daraltmak şarttır. Uç nokta taşınma sürecinde değişebildiği için, komut cevap vermiyorsa resmî sitedeki güncel liste sayfasını açıp alan adınızı orada aratın.

Kaydı bulduğunuzda not edin: hangi tam adres listelenmiş? Bazen tüm alan adı değil, tek bir URL (siteniz.com/wp-content/uploads/tmp/login.php gibi) listelenir. Bu ayrım başvuru metninizi doğrudan belirler ve saldırının hangi klasörde olduğunu da size söyler.

Neden Listeye Düşülür: Beş Tipik Senaryo#

Listeye girmek için kötü niyetli olmanız gerekmez; sitenizin kötü niyetli bir şey barındırıyor olması yeterlidir. Pratikte gördüğümüz nedenlerin neredeyse tamamı şu beş başlığa girer:

1. Oltalama (phishing) kiti barındırma. En yaygın sebep. Saldırgan sitenize sızar ve bir alt klasöre bir banka, kargo firması veya e-devlet taklidi giriş sayfası kurar. Sizin ana sayfanız çalışmaya devam eder; hiçbir şey fark etmezsiniz. Şikâyet o sahte sayfadan gelir, engel bütün alan adına uygulanır.
2. Zararlı yazılım dağıtımı. Sitenizde barındırılan bir .zip, .exe veya bulaştırılmış bir JS dosyası ziyaretçiye indiriliyordur.
3. Yönlendirme enjeksiyonu. Sayfalarınıza eklenen bir kod, ziyaretçiyi (özellikle mobilde veya arama motorundan gelenleri) bahis, ilaç ya da sahte ödül sitelerine yönlendirir. Ayrıntılı teşhis için site başka siteye yönlendiriyor yazısına bakın.
4. Ele geçirilmiş üçüncü taraf script'i. Sitenize kendi elinizle eklediğiniz bir reklam, istatistik veya widget script'inin kaynağı ele geçirilmiştir; kod sizin sayfanızdan servis edildiği için sorumluluk sizde görünür.
5. Alt alan adı devralma (subdomain takeover). Bir zamanlar üçüncü taraf servise yönlendirdiğiniz test.siteniz.com gibi bir kayıt, servis kapandıktan sonra DNS'te asılı kalmıştır; kaydı bir başkası ele geçirip oltalama sayfası yayımlar. Alan adınız listeye düşer, siz kendi sunucunuzda hiçbir zararlı dosya bulamazsınız — çünkü orada değildir.

Beşinci senaryo sinsidir: sunucuyu tarayıp temiz bulduysanız DNS bölgenizdeki sahipsiz CNAME kayıtlarını gözden geçirin.

Önce Temizlik: Başvurudan Önce Yapılması Zorunlu Olanlar#

Temizlik tamamlanmadan yapılan başvuru reddedilir ve süreci uzatır. Üstelik zararlı içerik yerinde dururken listeden çıkarılsanız bile birkaç gün içinde tekrar listelenirsiniz. Sıra şudur: kanıtı koru → temizle → doğrula → başvur.

Aceleyle her şeyi silmeyin. Saldırganın nasıl girdiğini bilmiyorsanız aynı kapıdan yine girer. Kapsamlı olay müdahalesi için hacklenmiş site kurtarma yazısı ana referanstır; burada USOM başvurusu için gereken minimum seti veriyorum.

Adım 1 — Anlık görüntü alın. Temizlemeden önce dosya sisteminin ve veritabanının bir kopyasını, erişim loglarıyla birlikte ayrı bir yere kaydedin. Bu hem kanıt paketiniz hem de bir şeyi yanlışlıkla silerseniz geri dönüş noktanız olur.

# Web kökünü ve logları dokunmadan arşivle
tar -czf /root/olay-$(date +%F).tar.gz \
  /home/kullanici/public_html /var/log/apache2 /var/log/nginx

# Son 10 günde değişmiş dosyalar — saldırının izi genelde buradadır
find /home/kullanici/public_html -type f -mtime -10 -printf '%TY-%Tm-%Td %TH:%TM  %p\n' \
  | sort | tail -50

Adım 2 — Oltalama ve zararlı dosyaları bulun. Listelenen URL bir klasörü işaret ediyorsa oradan başlayın. Yüklenen dosya dizinlerinde çalıştırılabilir kod bulunması tek başına ciddi bir bulgudur.

# Yükleme klasörlerinde PHP dosyası olmamalı
find /home/kullanici/public_html/wp-content/uploads -name "*.php" -o -name "*.phtml"

# Klasik gizleme kalıpları
grep -rIl --include="*.php" -E \
  "eval\(|base64_decode\(|gzinflate\(|str_rot13\(|assert\(|preg_replace\(.*/e" \
  /home/kullanici/public_html | head -40

# Oltalama kitlerinin sık kullandığı isimler ve arşivler
find /home/kullanici/public_html \
  \( -iname "*.zip" -o -iname "*.rar" -o -iname "index.htm?" \) -mtime -30

Bulduğunuz her dosyayı silmeden önce yolunu ve içerik özetini not edin. Web shell tespitinin ayrıntılı yöntemleri için web shell tespiti yazısına bakabilirsiniz.

Adım 3 — Kalıcılığı sökün. Yalnızca dosyayı silmek yetmez; saldırgan geri gelme yolunu ayrı bir yere saklamış olabilir.

# Tüm kullanıcıların cron görevleri
for u in $(cut -f1 -d: /etc/passwd); do
  echo "== $u"; crontab -u "$u" -l 2>/dev/null
done

# Yetkisiz SSH anahtarları
find /home /root -name authorized_keys -exec ls -l {} \; -exec cat {} \;

# WordPress'te sonradan eklenmiş yönetici hesapları
# (tablo öneki wp_ değilse ona göre düzenleyin)

SELECT u.ID, u.user_login, u.user_email, u.user_registered
FROM wp_users u
JOIN wp_usermeta m ON m.user_id = u.ID
WHERE m.meta_key = 'wp_capabilities'
  AND m.meta_value LIKE '%administrator%'
ORDER BY u.user_registered DESC;

Zararlı cron görevlerinin nasıl gizlendiğine dair ayrıntı zararlı cron görevi tespiti yazısında; genel tarama araçları için malware tarama ve temizleme yazısına bakın.

Adım 4 — Kimlik bilgilerini döndürün. Hosting paneli, FTP/SFTP, veritabanı, WordPress yöneticileri, API anahtarları ve alan adı firması hesabı. Saldırgan panelinizde ise sildiğiniz dosyayı geri koyar.

Adım 5 — Açığı kapatın. CMS ve eklentileri güncelleyin, yükleme klasörlerinde PHP çalıştırmayı sunucu seviyesinde kapatın:

# public_html/wp-content/uploads/.htaccess
<FilesMatch "\.(php|phtml|php3|php5|php7|phar)$">
    Require all denied
</FilesMatch>

# Nginx tarafında aynı önlem
location ~* ^/wp-content/uploads/.*\.(php|phtml|phar)$ {
    deny all;
    return 403;
}

Kanıt Paketi Nasıl Hazırlanır#

İtiraz başvurusu bir dilekçe değil, bir dosyadır. Karşı tarafın işi, sitenizin artık zararlı içerik barındırmadığına ikna olmaktır; bunu ne kadar kolaylaştırırsanız süreç o kadar kısalır. Toplamanız gerekenler:

• Listelenen tam adres. Sorguda bulduğunuz kaydı olduğu gibi yazın; alan adı mı, tek bir URL mi listelenmiş, belirtin.
• Bulgu özeti. Hangi dosya, hangi tarihte, hangi klasörde bulundu. Bir-iki cümle yeterli; teknik rapor yazmanız beklenmiyor.
• Temizlik öncesi ve sonrası kanıt. Zararlı URL'in artık 404 döndüğünü gösteren çıktı en ikna edici kanıttır.
• Tarama çıktısı. ClamAV/maldet veya kullandığınız harici tarayıcının temiz sonucu.
• Alınan kalıcı önlemler. Parola rotasyonu, güncellemeler, yükleme klasörü kısıtı, güvenlik duvarı.
• Alan adı sahipliği kanıtı. Hosting/registrar faturası veya panel ekran görüntüsü; alan adının size ait olduğunu göstermek başvurunun ciddiye alınmasını hızlandırır.

Zararlı URL'in kapandığını göstermek için basit ve tartışılmaz bir çıktı üretin:

# Listelenen URL artık yok — HTTP durum kodunu belgeleyin
curl -sS -o /dev/null -w "%{http_code}\n" https://siteniz.com/wp-content/uploads/tmp/login.php
# Beklenen: 404

# Ana sayfanın normal döndüğünü de gösterin
curl -sSI https://siteniz.com/ | head -5

Bu çıktıları ekran görüntüsü yerine düz metin olarak da ekleyin; okunması ve doğrulanması kolaydır.

İtiraz Başvurusu: Kime, Nasıl, Ne Yazılır#

Başvuru e-posta ile yapılır. İki adres vardır ve işlevleri farklıdır: [email protected] zararlı içerik ihbarı içindir (yani listeye eklenmesini istediğiniz adresler için), [email protected] ise genel iletişim ve talepler içindir — listeden çıkarılma talebi buraya gider. Hizmetlerin siberguvenlik.gov.tr adresine taşınması sürecinde kurumun sitesinde bir ihbar/başvuru formu da yayımlanmaktadır; form varsa formu kullanmak, e-postaya göre daha izlenebilir bir kayıt bırakır.

Konu satırını ve gövdeyi tahmin ettirmeyen, doğrudan bir yapıda yazın:

Konu: Zararlı Bağlantılar Listesinden Çıkarılma Talebi - siteniz.com

Sayın Yetkili,

Sahibi olduğum siteniz.com alan adının Zararlı Bağlantılar Listesinde yer
aldığını tespit ettim. Listelenen adres: siteniz.com/wp-content/uploads/tmp/login.php

Yapılan inceleme sonucunda sitede yetkisiz erişimle oluşturulmuş bir oltalama
sayfası bulunmuştur. Aşağıdaki işlemler tamamlanmıştır:

1. İlgili dosya ve tüm kopyaları kaldırılmıştır (ekte doğrulama çıktısı).
2. Giriş yolu tespit edilmiş, güncel olmayan bileşen güncellenmiştir.
3. Panel, FTP, veritabanı ve yönetici parolaları değiştirilmiştir.
4. Yükleme dizinlerinde betik çalıştırma sunucu seviyesinde kapatılmıştır.
5. Sunucu genelinde zararlı yazılım taraması yapılmış, temiz sonuç alınmıştır.

Alan adının listeden çıkarılması ve erişim engelinin kaldırılması hususunda
gereğini arz ederim.

Ad Soyad / Firma:
Alan adı:
Sunucu IP:
İletişim telefonu:
Ekler: temizlik doğrulama çıktısı, tarama raporu, alan adı sahiplik belgesi

Üç pratik not:

• Kurumsal bir e-posta adresinden yazın. Mümkünse alan adınıza ait bir adres kullanın; sahiplik ilişkisini doğrudan kurar. Mail akışınız çalışmıyorsa bunu belirtin ve alternatif bir adres bırakın.
• Hosting firmanızı da sürece dahil edin. Sunucu IP'si üzerinden yapılan bir doğrulama gerekirse firmanın teyidi işi hızlandırır. Bazı firmalar bu başvuruyu sizin adınıza yürütür.
• Art arda mail atmayın. Süreç sıraya girer; tekrar gönderilen mesajlar dosyanızı öne almaz.

Başvurudan Sonra: Süre, Takip ve Sık Yapılan Hatalar#

Olumlu sonuçlanan başvurularda alan adı genellikle birkaç iş günü içinde listeden düşürülür. Ancak listeden düşmek, erişimin aynı anda açılması demek değildir: operatörler ve kurumsal güvenlik duvarları listeyi kendi periyotlarında çeker. Bu yüzden liste güncellendikten sonra bazı ağlarda erişim hemen, bazılarında birkaç saat ya da bir gün sonra normale döner. Ofis ağınızdan hâlâ açılmıyorsa, kurumun kendi güvenlik duvarındaki eski liste kopyası sebep olabilir; o durumda muhatap kurumun IT birimidir.

Süreci uzatan tipik hatalar:

Beşinci satır yaygın bir reflekstir. Alan adını değiştirmek engeli aşmaz, SEO geçmişinizi sıfırlar; saldırgan aynı sunucudaysa yeni adres de aynı yolu izler.

Tekrar Düşmemek İçin: Kalıcılık Temizliği ve İzleme#

Bir kez listelenen bir sitenin ikinci kez listelenmesi, ilkinden çok daha hızlı olur — çünkü çoğu durumda ilk temizlik yüzeyseldir. Kalıcı çözüm için üç şeye bakın.

Bütünlük izleme. Web kökünde beklenmedik bir dosya oluştuğunda haberdar olun. Karmaşık bir sistem kurmadan da yapılabilir:

# Referans parmak izi çıkarın (temizlik doğrulandıktan sonra bir kez)
find /home/kullanici/public_html -type f -name "*.php" -print0 \
  | xargs -0 sha256sum | sort -k2 > /root/php-baseline.txt

# Günlük karşılaştırma (cron ile çalıştırın)
find /home/kullanici/public_html -type f -name "*.php" -print0 \
  | xargs -0 sha256sum | sort -k2 > /tmp/php-now.txt
diff /root/php-baseline.txt /tmp/php-now.txt \
  && echo "degisiklik yok" \
  || mail -s "PHP dosya degisikligi: $(hostname)" [email protected] < /tmp/php-now.txt

Liste durumunu izleme. Kendi alan adınızın listede olup olmadığını periyodik kontrol eden basit bir görev, bir daha aynı sürprizi yaşamanızı engeller:

#!/bin/bash
# /usr/local/bin/usom-kontrol.sh — günde bir kez cron ile çalıştırın
DOMAIN="siteniz.com"
SONUC=$(curl -sS --max-time 20 \
  "https://www.usom.gov.tr/api/address/index?q=${DOMAIN}")

if echo "$SONUC" | grep -qi "$DOMAIN"; then
  echo "$SONUC" | mail -s "UYARI: ${DOMAIN} listede gorunuyor" [email protected]
fi

Betiği kurumun güncel uç noktasına göre uyarlayın; API adresi taşınma sürecinde değişebilir, bu yüzden komutun sessizce boş dönmesi ile gerçekten temiz olmayı ayırt edebilmek için çıktı boyutunu da kontrol etmek iyi bir alışkanlıktır.

Yüzeyi daraltın. Yükleme dizinlerinde betik çalıştırmayı kapatın, kullanılmayan eklenti ve temaları silin (devre dışı bırakmak yetmez, dosyaları sunucuda durduğu sürece çalıştırılabilirler), yönetici paneline erişimi IP veya ek doğrulama ile sınırlayın, dosya izinlerini 644/755 düzeyine çekin. Sunucu genelinde bir kontrol listesi istiyorsanız sunucum hacklendi mi kontrol listesi yazısı bu adımları sıralı olarak veriyor.

Son olarak, DNS bölgenizi de envanterinize alın. Kullanılmayan alt alan adları ve üçüncü taraf servislere asılı kalmış CNAME kayıtları, sunucunuza hiç dokunmadan alan adınızı listeye düşürebilecek tek açıktır — ve sunucu tarafında ne kadar tarama yaparsanız yapın orada hiçbir iz bulamazsınız.

Sıkça Sorulan Sorular#

Sitem Türkiye'den açılmıyor ama yurt dışından açılıyor, kesin USOM engeli midir?#

Kesin değil ama en olası açıklamadır. Aynı tabloyu sunucunuzun güvenlik duvarındaki ülke bazlı bir kural, hosting sağlayıcınızın bir ağ filtresi ya da CDN tarafındaki bir bölge kısıtı da üretebilir. Önce DNS cevabının doğru IP'yi verdiğini, sonra TCP bağlantısının kurulamadığını doğrulayın; ardından alan adınızı zararlı bağlantılar listesinde aratın. Kayıt varsa teşhis netleşir.

Listeye düştüğümde bana bir bildirim gelir mi?#

Genellikle gelmez. Engel çoğu zaman sessizdir; site sahibi durumu ya trafiğin ani düşüşünden ya da müşterilerinin bildirmesinden öğrenir. Bazı hosting firmaları kendi izleme sistemleriyle fark edip haber verir, ancak bu bir kural değildir. Bu yüzden ani ve tam bir Türkiye trafiği düşüşü gördüğünüzde bu ihtimali erken kontrol etmek önemlidir.

Temizlik yapmadan başvurursam ne olur?#

Talebiniz büyük olasılıkla reddedilir. Değerlendirme sırasında adres yeniden kontrol edilir ve zararlı içerik yerinde bulunursa dosya kapatılır; siz de baştan başvurmak zorunda kalırsınız. Daha kötü ihtimalle içerik geçici olarak erişilemez durumda olduğu için listeden çıkarılırsınız, birkaç gün sonra saldırgan sayfayı yeniden yayımlar ve alan adınız tekrar listelenir.

Alan adımı değiştirsem sorun çözülür mü?#

Hayır. Zararlı içerik sunucuda durduğu ve saldırganın erişimi kapatılmadığı sürece yeni alan adı da kısa sürede aynı duruma düşer. Bu arada eski alan adının arama motoru geçmişini, bağlantılarını ve marka tanınırlığını kaybedersiniz. Alan adı değişimi bir kurtarma yöntemi değil, ancak temizlik tamamlandıktan sonra değerlendirilebilecek ayrı bir karardır.

Listeden çıktıktan sonra erişim ne kadar sürede açılır?#

Liste güncellendikten sonra genellikle birkaç saat içinde çoğu ağda erişim normale döner, ancak tek bir an yoktur: operatörler ve kurumsal güvenlik duvarları listeyi kendi güncelleme periyotlarında çeker. Bir gün geçmesine rağmen belirli bir ağdan hâlâ açılmıyorsa, o ağın kendi kopyası eskimiş olabilir; bu durumda ilgili kurumun bilgi işlem birimiyle iletişime geçmek gerekir.

Google uyarısı ile USOM engeli aynı anda olabilir mi?#

Evet ve oldukça sık görülür, çünkü ikisinin de tetikleyicisi aynı olaydır: sitede barındırılan zararlı içerik. Ancak bunlar iki bağımsız listedir ve iki ayrı başvuru gerektirir. USOM tarafındaki engel kalktığında tarayıcı uyarısı kendiliğinden kaybolmaz; Search Console üzerinden ayrıca inceleme talebi göndermeniz gerekir. İyi haber şu ki temizliği bir kez doğru yaparsanız her iki başvuru da aynı kanıt paketiyle yürütülebilir.