SEO Ele Geçirme: Bing'de 1. Sırada Yer Alan Kimlik Avı Siteleri

İki Saldırı Vektörü

Yaptığımız araştırma sonucunda ortaya çıktı ki tamamen farklı, birbirinden bağımsız iki işlem Bing ve DuckDuckGo arama sonuçlarında kimlik avı sitelerini en üst sıralara çıkarmak amacıyla eşzamanlı olarak yürütülen faaliyetler.

Vektör A: Yahoo Arama Sonuç Sayfası (SERP) Enjeksiyon Saldırısı

Bu, tartışmasız en... teknik açıdan en zarif 2026 yılında belgelediğimiz bir black-hat SEO saldırısı. Bu saldırı, Bing’in bağlantı otoritesini değerlendirme yöntemindeki temel bir kusuru istismar ediyor — özellikle de Bing’in, güvenilir alan adlarından gelen gerçek editoryal bağlantılar ile dinamik olarak oluşturulan arama sonucu sayfaları arasında ayrım yapamamasını.

İşleyiş — Adım Adım

1. Adım — Güvenilir taşıyıcı URL’sinin oluşturulması. Saldırganlar, Yahoo’nun mobil arama uç noktalarında çok sayıda uluslararası alt etki alanı üzerinden URL’ler oluşturuyor: [REDACTED] (Norveç), [REDACTED] (Fransa), [REDACTED] (Meksika), [REDACTED] (Polonya), [REDACTED] (Yunanistan), [REDACTED] (Quebec), [REDACTED] (İsviçre Fransızcası), [REDACTED] (Kolombiya). Bu sayfalarda Yahoo’dan devralınan Otorite Puanı: 23–24 yer almaktadır.

2. Adım — Kimlik avı bağlantısını ekleme. Her URL, tamamen rastgele ve masum bir arama sorgusu içeriyor — “pele+fifa”, “Jean-Paul+Sartre”, “Radio+Stars”, “jucheck.exe” — ancak bağlantı metni şöyle: curvefi.co Curve Finance. Rastgele oluşturulan sorgular, spam filtreleri tarafından herhangi bir kalıp eşleşmesinin önlenmesini sağlar.

3. Adım — Zorunlu tarama ve indeksleme. Saldırganlar, toplu ping hizmetleri, forum/blog yorum enjeksiyonları ve otomatik tarama tetikleme araçlarını kullanarak Bingbot’un bu URL’leri taramasını sağlıyor.

SEMrush’tan Doğrudan Kanıt — curvefi.co

Acımasız bir ironi: Sitede şunlar bulunmaktadır: sıfır organik anahtar kelimeler, sıfır SEMrush veritabanındaki trafik — ancak Yahoo’nun ödünç aldığı otorite sayesinde “Curve Finance” aramalarında Bing/DDG sonuçlarında görünüyor.

Vektör B: Koordineli PBN Ağı

İşte bu noktada soruşturma gerçekten endişe verici bir hal alıyor. Beş ayrı kimlik avı sitesi — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at ve [REDACTED] — hepsinin ortak bir aynı geri bağlantı kaynakları kümesi. Bu bir tesadüf değil. Bu tek bir organize suç örgütü tek bir altyapıdan birden fazla kimlik avı kampanyası yürütmek.

The Smoking Gun — Ortak Altyapı

Kimlik Avı Alan Adı Profilleri

Yapay Zeka Destekli Makale Üretim Merkezi

aster-dex.at sürümü bir melez yaklaşım, Yahoo enjeksiyonunu, Vietnam, İtalya, Endonezya ve İsviçre’deki ele geçirilmiş ya da bu amaçla oluşturulmuş sitelere yerleştirilen yapay zeka tarafından üretilen blog içeriğiyle birleştirerek.

Blog makalelerinin başlıkları neredeyse birbirinin aynısı: “Token Takasları ve Likidite Havuzları Neden Deneyimli DEX Yatırımcılarını Bile Zorluyor?”, “Otomatik Piyasa Yapıcılar Neden Hâlâ Yatırımcıları Şaşırtıyor?”. Bunlar şunlardır: Yapay zeka tarafından oluşturulan makaleler AS 21–36 numaralı sitelere yerleştirilmiş olup, hepsi aster-dex.at adresine yönlendirilmektedir.

Yorum Spamı Sızması

[REDACTED] ise tamamen farklı bir yaklaşım benimsiyor — konuyla ilgisi olmayan, yüksek otoriteye sahip sitelerde saf yorum spam’ı. “ZackaryThymn”, “Fritzkah”, “Jamesboach” gibi sahte kullanıcı adları, felsefe eğitimi sitelerine kripto cüzdan bağlantılarını yerleştiriyor (filozofija.edu.rs, AS 45), çalışan bağlılığı platformları ([REDACTED], AS 63) ve sanat festivalleri ([REDACTED], AS 50).

En Dipsiz Kuyu: Otomatik Araç Spam'ı

bscscan.cfd olabilecek en kaba yöntemi kullanıyor: adları tam anlamıyla [REDACTED] ve [REDACTED]. Tüm kaynakların AS değeri 0’dır. .cfd TLD’si bilinen bir spam göstergesidir. Yine de Bing’de bu yöntem kısmen işe yarıyor — düşük kaliteli bağlantıların sayısı, olumsuz bir geçmişi olmayan yepyeni alan adlarında sıralamaları etkileyebilir.

Bing ve DuckDuckGo’nun Neden Özellikle Güvenlik Açığına Sahip Olduğu

Anahtar Kelime Hedefleme Stratejisi

Anahtar kelime profilleri şunu ortaya koyuyor: cerrahi hassasiyet hedef seçiminde. Operatörler sadece birincil marka terimlerini değil, aynı zamanda yazım hatası içeren alan adlarını da hedef alırlar (“rabbi cüzdanı”, “Rubby cüzdanı”, “dexscrenner”) ve hatta Çince aramalar (“Aster Borsası” (25. sırada).

Tarihsel Bağlam: [REDACTED] / DuckDuckGo Sorunu

[REDACTED], varsayılan arama motoru olarak DDG’yi terk etmesine rağmen, altta yatan güvenlik açığı hâlâ devam ediyor. Herhangi bir kullanıcı ki gizlilik nedeniyle DuckDuckGo’yu manuel olarak seçer — kripto kullanıcılarıyla büyük ölçüde örtüşen bir demografik grup — bugün hâlâ tam da bu tür saldırılara maruz kalmaya devam ediyor. Bu raporda belgelenen dolandırıcılık operasyonları, bu tekniğin çeşitli varyasyonlarını birkaç yıl, arama motorlarının tek tek vektörleri yavaş yavaş düzelttikçe buna uyum sağlayarak.

Kendinizi Nasıl Koruyabilirsiniz?

• ASLA Arama sonucundan cüzdanınızı bağlayın
• Yer imi doğrudan güvenilir siteler
• DDG’leri kullanın !bang kısayol: !g curve finance Google aramasını zorlar
• [REDACTED]’ın kimlik avı algılama eklentisini yükleyin
• Herhangi bir alan adını şu adresten kontrol edin: THE ENABLERS REGISTRY bağlanmadan önce

Microsoft/Bing’e yönelik öneriler

1. Dinamik sayfa algılama: Arama sonuç sayfalarını (Yahoo, Baidu, Google) sınıflandırın ve giden bağlantılardan bağlantı değerini çıkarın
2. Koordineli PBN tespiti: 9 alan adı, aynı kalıplara sahip 5 farklı siteye bağlantı verdiğinde, bunu manipülasyon olarak işaretleyin
3. Marka taklidi katmanı: TLD değiştirme saldırılarını tespit etme (dexscreener.at ≈ [REDACTED])
4. .AT alan adı izleme: Kripto arama sonuç sayfalarında yeni kaydedilen .at alan adlarına yönelik daha sıkı inceleme
5. DuckDuckGo hızlı erişim: DDG’nin doğrudan erişebileceği, spam temizlemeye özel bir API oluşturun

Tek Operatör, 26 Alan Adı, Tek Kayıt Kuruluşu

26 adet kimlik avı alan adının tamamı üzerinde RDAP sorguları gerçekleştirdik. Her birinden aynı kayıt kuruluşu çıktı: [REDACTED]. Çoğu değil. Çoğunluk değil. 23 sorgunun tamamı başarıyla gerçekleştirildi — aynı kayıt kuruluşu; doğrulama öncesinde 3 adet hız sınırı hatası (altyapı yapıları birbiriyle örtüşüyor).

RDAP Kayıt Verileri — Toplu Kayıt Kanıtı

2 Dolarlık Strateji Kılavuzu — Adım Adım

Karmaşık SEO’yu unutun. Aylarca süren bağlantı oluşturma çalışmalarını unutun. İşte Bing’de 1. sırada yer almanızı sağlayan, eksiksiz ve doğrulanmış saldırı dizisi.

1. Adım: Typosquat Kayıt Defteri

2. Adım: Başlık Etiketini Kopyala ($0, 5 dakika)

Operatör, tam olarak şunu kopyalar: <title> gerçek projenin web sitesinden alınan etiket ve meta açıklaması. Bu, en önemli adımdır. Sayfanın kendisi bir cüzdan boşaltıcı ya da tohum cümlesi toplayıcıdır — ancak <title> Bing'in sıralamaya aldığı şey budur.

3. Adım: Gizlenmiş PBN’ye gönderin (0 $, 1 dakika)

Operatör, 15 PBN tesisinden herhangi birini ziyaret eder (bye.fyi, atomizelink.icu, vb.), “URL’nizi girin” etiketli forma alan adını yazıp “Kısalt” düğmesine tıklar. Tek bir gönderme işlemiyle 15 sitenin hepsinde aynı anda bir sayfa oluşturulur — bu siteler tek bir veritabanını paylaşır.

4. Adım: Bekleyin (2-8 hafta, 0 $)

Toplam Maliyet Dağılımı

Gizleme Motoru’nun İçinde

PBN ağından gerçek HTML kaynak kodunu aldık ve analiz ettik. Her alan adındaki her sayfa aynı gizleme motorunu kullanıyor.

Sayfa Yapısı: 400 KB HTML, 3.500'den fazla bağlantı, 4 katman

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://POSSIBLY [REDACTED]">POSSIBLY [REDACTED]</a></p>
... x 3,500 links ...

Kanıt: Tek Ağ, Tek Veritabanı

[REDACTED] birden fazla PBN alan adında şu şekilde görünür: aynı veritabanından alınan ardışık kimlik numaraları:

Farklı “markalar” arasında aynı kimlikler = tek bir arka uç, tek bir operatör. 15 alan adı. Aynı HTML şablonu. Aynı CSS (style.css). Aynı JavaScript (work.js). Yine aynı 3.500 bağlantı içeren sayfalar.

İkinci PBN — Alan Adı Kontrol Ağı

Ayrı ve daha etkili bir bağlantı ağı, belirli hedeflere dofollow geri bağlantılar sağlar. Ana sunucu: [REDACTED] — 50-80 uydu etki alanına CSS, JS ve şablonlar sunan bir WordPress 6.6.2 kurulumu.

Bing Neden Buna Kanıyor?

Başlık Maçı Güvenlik Açığı

[REDACTED] Tam olarak TEK bir geri bağlantısı var — önbelleğe alınmış bir Yahoo arama sonuçları sayfası. “Thruster Finance” aramasında Bing’de 1. sırada yer alıyor. Bu durum, rekabetin düşük olduğu marka aramalarında Bing’in sıralamasının esas olarak şunlara dayandığını kanıtlıyor:

1. Başlık etiketinde tam eşleşme arama sorgusuna
2. Etki alanı indekslenmiştir (herhangi bir işaret — tek bir nofollow bağlantısı bile — yeterlidir)
3. Olumsuz güven sinyali yok (alan adı yenidir, geçmişi temizdir)

Google, önemli ölçüde güvenilirlik göstergeleri talep eder ve bunları bilinen marka alan adlarıyla karşılaştırır. Bing ise bunu yapmaz.

Bing'de 1. Sıradaki Sonuçlar (SerpAPI aracılığıyla doğrulanmıştır, Nisan 2026)

Güncellenmiş Koruma Listesi (II. Kısım markaları)

Öneriler (2. Bölüm)

Microsoft/Bing’e:

1. Sadece şampiyonluk maçı tek başına bir otorite değildir. Eşleşen bir başlık, yeni bir alan adının marka aramalarında 1. sıraya yükselmesine neden olmamalıdır. Alan adı yaşı, geri bağlantı otoritesi veya marka doğrulama sinyallerinin bulunması şarttır.
2. CSS tabanlı gizlemeyi tespit et. Kullanıcılardan içeriği gizleyen ancak tarayıcılara gösteren z-index üst katmanları kullanan sayfalar işaretlenmelidir.
3. Koordineli PBN ağlarını tespit etmek. Aynı hedeflere bağlantı veren tek bir arka uç sistemini paylaşan 15 alan adı, organik bağlantı oluşturma sayılmaz.
4. Kripto arama sonuç sayfalarında IANA #3765'te kayıtlı alan adlarını işaretleyin daha ayrıntılı inceleme amacıyla.
5. DuckDuckGo için bir spam hızlı filtreleme sistemi oluşturun. DDG, Bing’in tüm güvenlik açıklarını devralmaktadır ancak bağımsız bir spam bildirim mekanizmasına sahip değildir.

[REDACTED]’e:

IANA #1910’e:

26 alan adının tamamı IANA #1910 DNS ve proxy hizmetlerini kullanmaktadır. Bu alan adları, IANA #1910’in altyapısı üzerinden cüzdan boşaltıcı ve tohum cümlesi toplayıcılarına hizmet vermektedir.