Hesabım Hacklendi Şifremi Değiştiremedim: Ne Yapmalıyım?

Şifreyi sıfırlamak için tıklıyorsunuz; doğrulama kodu eski telefonunuza ya da artık size ait olmayan bir e-posta adresine gidiyor. Ekranda "kod gönderildi" yazıyor, ama siz o kodu hiçbir zaman almayacaksınız. Hesabınızı ele geçiren kişi yalnızca şifreyi değiştirmedi; sizi dışarıda kilitleyen kapıları da kapattı.

Standart "şifremi unuttum" akışı artık işe yaramıyor. Kurtarma e-postası değişti, yedek telefon numarası güncellendi, güvenilir cihaz listesi temizlendi. Bundan sonraki adımlar daha yavaş ve daha belirsiz, ama işe yarayan yollar var; önemli olan hangi yolu, hangi sırayla denemek gerektiğini bilmek.

Hesabınızın türü, platformun büyüklüğü ve kayıtlı bilgilerin ne kadar eski olduğu bu sürecin ne kadar süreceğini doğrudan etkiler. Bir banka hesabı ile sosyal medya hesabı farklı kurtarma kanalları gerektirir; bir oyun platformu ile iş e-postanız da öyle. Doğru yoldan gitmeniz için önce saldırganın tam olarak neleri değiştirdiğini anlamak gerekiyor.

Saldırgan ilk hamlede neyi kilitler?

Yetkisiz erişimde kalıcılığı sağlamak için yapılan standart hamle, kurtarma bilgilerini değiştirmektir. Buna kurtarma e-posta adresi, bağlı telefon numarası ve iki aşamalı doğrulama (2FA) ayarları girer. Bazı platformlarda "güvenilir cihazlar" listesi de temizlenerek eski cihazınızdan erişim ek bir katmanla engellenir; hesap tamamen kilitlenir.

Tam olarak neyin değiştiğini her zaman bilemezsiniz, ama bazı ipuçları yol gösterir. Hesabınıza hâlâ giriş yapabiliyorsanız, yani şifre henüz değiştirilmediyse, güvenlik ayarlarına bakın. Telefona ya da e-postaya "şifre değiştirildi" ya da "e-posta adresi güncellendi" bildirimi geldiyse, değiştirilmeyen kanalın hangisi olduğunu anlayabilirsiniz; o kanal kurtarma talebi için hâlâ kullanılabilir durumda olabilir.

Değiştirilmeyen tek kanalı bulmak kritik. Platform hâlâ eski telefon numaranızı mı biliyor? O zaman SMS doğrulama çalışıyor olabilir. Hesap oluşturulduğunda yedek kodlar aldınız mı? O kodlar hâlâ geçerli olabilir. Her olasılığı sistematik biçimde test edin; hepsinin kapandığından emin olmadan destek sürecine geçmeyin, çünkü otomatik kanallar insan desteğine kıyasla çok daha hızlı sonuç verir.

Kimlik doğrulamayla kurtarma talebi nasıl açılır?

Otomatik kurtarma akışları tükendiğinde devreye giren bir kimlik doğrulama formu büyük platformların çoğunda bulunur. Google buna "Hesap Kurtarma", Meta buna "Kimlik Doğrulama Talebi" der; adlar farklı olsa da mantık aynıdır. Sunduğunuz bilgiler otomatik bir sistem tarafından değerlendirilir ve bir eşleşme skoru üretilir; bu skor yeterli bir eşiği aşarsa hesap size iade edilir.

Formlarda genellikle şunlar istenir: hesabı ilk açtığınızdaki e-posta adresi, hatırladığınız eski şifreler, hesabı hangi cihazdan ve hangi konumdan açtığınıza dair bilgiler, ayrıca kimlik belgesi. Kimlik belgesi her platformda zorunlu değil, ama büyük platformların çoğu artık bunu standart bir adım olarak istiyor.

Formu doldurmadan önce hazırlanın. Eski şifreleri hatırlamak zor görünse de tahmin edebildiğiniz her varyasyonu not edin; sistem her birini tek tek test etmez, sizi gerçek hesap sahibi olarak tanıma ihtimalini hesaplar. Hesabı hangi şehirde ve hangi tarayıcıyla ilk kez açtığınızı biliyorsanız yazın. Ödeme geçmişi, gönderilen ilk mesajın tarihi, bağladığınız uygulamalar gibi ayrıntılar da skoru yükseltir.

İlk talebin reddedilmesi sürecin sonu değildir. Farklı ayrıntılar ekleyerek yeni bir talep açın ya da mevcut talebe güncelleme gönderin. Platformların çoğu bu formları birden fazla kez doldurmanıza izin verir; her denemede daha fazla ayrıntı sunmak sonucu değiştirebilir.

Banka ve resmi hesaplarda süreç neden farklı işler?

Banka hesaplarında online kanallar tükendiğinde şube başvurusu doğrudan geçerlidir. Kimliğinizle birlikte şubeye gittiğinizde hesabın sahibi olduğunuzu belgeleyen sözleşme, hesap numarası ve kimlik uyumu yeterlidir; bankanın kendi sistemleri üzerinden sıfırlama yapılır. Telefon bankacılığı da benzer biçimde, canlı bir operatörle kimlik doğrulaması yaparak ilerler. Çevrimiçi kanalların kesildiği bu durumlarda fiziksel ya da sesli kanal genellikle en hızlı yoldur.

E-Devlet hesabı için durum farklıdır. e-Devlet şifresi PTT şubelerinden alınır ve bu kanal saldırgan tarafından ele geçirilemez, çünkü şifre size fiziksel olarak teslim edilir. Hesabınıza bilinmeyen giriş olup olmadığını anlamak için e-Devlet oturum geçmişini kontrol etmek ilk adım olmalı; şüpheli oturum görürseniz PTT'den yeni şifre almanız yeterlidir.

İş yerinin yönettiği kurumsal hesaplarda ise süreç tamamen farklı bir yöne kayar. Hesabınız bir şirketin alan adına bağlıysa bireysel kurtarma akışları çalışmaz; sistem yöneticisi ya da BT birimi devreye girmeden hiçbir şey ilerlemez. Bu durumda BT ile iletişime geçmek, ilgili kişiyi yazılı olarak bilgilendirmek ve olayın belgelenmesini sağlamak öncelikli adımlardır.

Destek ekibiyle yazışmada ne işe yarar, ne işe yaramaz?

Destek ekibine yazan çoğu kişi ya çok kısa ("hesabım çalındı, lütfen geri verin") ya da çok duygusal ("bu hesap çok önemli") mesajlar yazar. İkisi de etkili değil. Destek temsilcileri kimliği doğrulayacak bilgi ararlar; "önemli" ya da "acil" ifadeler bu doğrulamayı yapmaz.

İşe yarayan mesajın içeriği somut veriyle dolar: hesabın kullanıcı adı ya da kayıtlı e-posta adresi, yaklaşık oluşturulma tarihi, ilk kayıtta kullanılan cihaz veya tarayıcı, hesaba bağlı ödeme yöntemleri, son birkaç giriş konumu. Bu bilgileri bir araya getirin ve tek bir mesajda düzenli biçimde sunun. Parçalı, birden fazla mesaja dağılmış bilgi talebi süreci uzatır.

Yanıt süresi platforma göre değişir. Küçük platformlarda günler alabilir; büyük platformların çoğu bir-iki iş günü içinde ilk yanıtı verir. Yanıt gelmediğinde destek kanalını değiştirmeyi deneyin: e-posta yerine canlı sohbet, canlı sohbet yerine Twitter/X üzerinden kamuya açık mesaj. Büyük platformlar kamuya açık şikayetlere daha hızlı yanıt verme eğilimindedir; utandırma baskısı gerçek bir etkendir.

Üçüncü taraf uygulamalarla bağlı hesaplar tehlikeyi büyütür

Bir hesap ele geçirildiğinde saldırgan yalnızca o hesaba değil, ona bağlı tüm uygulamalara da erişim kazanmış olabilir. "Google ile giriş yap" ya da "Facebook ile bağlan" seçenekleriyle giriş yaptığınız her uygulama bu kategoridedir. Ana hesap kurtarılmadan önce bu bağlantıların ne olduğunu bilmek zaman kaybetmenizi engeller.

Hesaba erişiminizi geri kazandıktan sonra yapmanız gereken ilk şeylerden biri üçüncü taraf uygulama erişimlerini gözden geçirmektir. Tanımadığınız ya da artık kullanmadığınız uygulamaların erişimini iptal edin. Düzenli hesap güvenlik kontrolleri bu bağlantıları takip etmenin en pratik yoludur.

Hesap kurtarılamıyorsa bile bağlı uygulamaların bir kısmına kendi şifrelerinizle giriş yapıyor olabilirsiniz. Bu uygulamaların "ana hesap bağlantısını kaldır" seçeneğini kullanarak bağımsız hale getirin; ele geçirilen hesap artık o uygulamalara da erişemez.

Kurtarma beklerken paralel olarak yapılması gerekenler

Destek talebini gönderdikten sonra beklemeye geçmek yerine paralel adımları başlatın. İlk adım: ele geçirilen hesaba bağlı diğer hesapların şifrelerini değiştirin. E-posta hesabınız çalındıysa, o e-posta adresiyle kayıt olduğunuz tüm platformlar potansiyel risk altındadır; saldırgan şifre sıfırlama taleplerini o e-posta üzerinden gönderebilir.

Aynı ya da benzer şifreleri kullanan hesapları bulun ve hepsini güncelleyin. Şifre yöneticisi kullanmıyorsanız, önce korunması gereken hesapları belirleyin ve en değerli olandan başlayın. Banka, e-posta, iş hesapları bu listenin başında gelir.

Saldırının nasıl gerçekleştiğini anlamak da bu süreçte işe yarar. Kimlik avı mesajına mı tıklandı, ortak bir şifre mi kullanılıyordu, kaydedilmiş tarayıcı şifresi mi çalındı? Tarayıcıya kaydedilen şifrelerin güvenlik riskleri çoğu zaman göz ardı edilir; bu kanaldan gerçekleşen ele geçirmelerde aynı tarayıcıdaki tüm kayıtlı şifreler değiştirilmelidir.

Hesap gerçekten kurtarılamıyorsa ne yapılabilir?

Tüm kanalları denediğinizde ve platform size hesabı iade etmediğinde bazı pratik adımlar zararı sınırlar. Kullanıcı adınızı içeren yeni bir hesap açarak eski hesabın artık size ait olmadığını çevrenize duyurabilirsiniz; tanıdıklarınızın eski hesaptan gelen mesajlara inanmasını engeller.

Hesap değer taşıyan içerik barındırıyorsa, yani yıllar içinde biriktirdiğiniz fotoğraflar, yazışmalar ya da iş bağlantıları varsa, platforma bu içeriklerin yedeğini almanız için destek talebinde bulunabilirsiniz. Bazı platformlar hesabı iade edemeseler bile belirli verilere erişim iznini ayrı bir süreçle değerlendirir.

Maddi kayıp yaşandıysa ya da hesap aracılığıyla başkalarına zarar verilmişse, Siber Suçlarla Mücadele birimlerine şikayette bulunmak hem belgesel açıdan faydalı hem de ileride hukuki süreç gerekirse zorunlu bir adımdır. Bu şikayetin hesabı geri getirmesi beklenmemeli; amacı olayı kayıt altına almak ve gerekirse hukuki zemin oluşturmaktır.

Hesabı kurtarabilseniz de kurtaramasanız da bu sürecin sonunda yapılacak en önemli iş gelecekteki riskleri azaltmak olmalı. Passkey ve iki aşamalı doğrulamanın farkını anlamak, hangi yöntemin hangi tehditten koruyup korumadığını netleştirir. FIDO2 tabanlı doğrulama yöntemleri, kurtarma bilgilerinin çalınmasına karşı çok daha dayanıklı bir yapı sunar; çünkü kurtarma kanalı yerine cihaza bağlı bir kimlik doğrulama kullanır.

Farklı platformlar için farklı kurtarma kanalları kullanmak, en güçlü koruma katmanını oluşturur. E-posta ve telefon numarasının her iki amaç için de aynı olması, birinin ele geçirilmesini diğerinin de otomatik olarak ele geçirilmesi anlamına gelir. Kritik hesapları birbirinden bağımsız kurtarma kanallarına bağlamak, bu yazıda geçen senaryonun tekrar yaşanma ihtimalini önemli ölçüde düşürür.