Hesap Güvenliğinde En Çok Yapılan 10 Hata

Hesap güvenliği denildiğinde akla genellikle karmaşık saldırılar, devlet destekli gruplar ya da sıfır-gün açıkları gelir. Gerçekte hesapların büyük çoğunluğu çok daha sıradan nedenlerle ele geçirilir: tekrarlanan parolalar, güncellenmemiş kurtarma bilgileri, kapalı tutulan uyarı bildirimleri. Bu hatalar tehlikeli olmalarının yanı sıra görünmezdirler, çünkü sorun ortaya çıkana kadar herhangi bir belirti vermezler.

Tekrarlanan parola, eski kurtarma numarası ve kapatılmayan oturum, sıfır-gün açığından daha sık kapı açar. Her madde kendi düzeltmesini taşır; parola yöneticisi yoksa listedeki diğer adımlar aynı şifreyi yeniden üretir.

Listeyi kendi hesaplarınız için bir kontrol noktası olarak kullanabilirsiniz. Bir maddeyi zaten uyguladıysanız geçin; birini uygulamadıysanız o gün içinde düzeltin.

Parola tekrarı ve zayıf parola seçimi

Hata 1: Aynı parolayı birden fazla hesapta kullanmak. Bir hizmetin veri tabanı sızdırıldığında, saldırganların elinde e-posta adresi ve parola çiftleri bulunur. Bu çiftleri yüzlerce farklı hizmette otomatik olarak denemek, "credential stuffing" olarak bilinen ve yaygın biçimde uygulanan bir yöntemdir. Kullandığınız parola tek bir sitede ne kadar güçlü olursa olsun, o site sızıntıya uğrarsa diğer tüm hesaplarınız tehlikeye girer. Haveibeenpwned.com gibi hizmetler, e-posta adresinizin geçmişteki veri ihlallerinde görünüp görünmediğini kontrol etmenize imkan tanır.

Düzeltme: Her hesap için farklı, rastgele üretilmiş parola kullanın. Bunu insan hafızasıyla yapmak mümkün değil; parola yöneticisi bu hatanın tek gerçekçi çözümüdür. Parola yöneticisi karmaşık parolalar üretir, şifreli olarak saklar ve giriş ekranına otomatik doldurur; yüzlerce farklı parolayı ezberlemeye çalışmak yerine yalnızca tek bir ana parolayı hatırlamak yeterli olur.

Hata 2: Kısa ve tahmin edilebilir parolalar seçmek. Modern donanım, sekiz karakterli bir parolayı büyük-küçük harf ve rakam içerse bile saatler ile günler arasında değişen sürelerde kırabilir. Kelime köklerinden türetilmiş parolalar - şifre1, güvenlik2024, İstanbul! - kelime sözlüğü saldırılarına açıktır çünkü insan dilinin tahmin edilebilir kalıplarını izler.

Uzunluk, karmaşıklıktan daha etkilidir. Rastgele seçilmiş dört kelimeden oluşan 28-30 karakterlik bir parola, tüm karakter türlerini içeren 8 karakterlik bir paroladan entropi bakımından çok daha güçlüdür: karakter sayısı arttıkça olası kombinasyonlar üstel biçimde büyür ve brute force süresi pratikte hesaplanamaz hale gelir. 95 karakterlik tam ASCII havuzuyla 8 karakterlik parola yaklaşık 7 kuadrilyon kombinasyon sunarken, 20 karakterlik rastgele bir parola bu sayıyı trilyon kez aşar. Parola yöneticilerinin ürettiği rastgele karakter dizileri bu nedenle en sağlam seçenek olarak öne çıkar.

SMS tabanlı iki faktörlü doğrulamaya güvenmek

Hata 3: İki faktörlü doğrulamayı yalnızca SMS ile kurmak. SMS tabanlı iki faktörlü kimlik doğrulama (2FA), yalnızca parola kullanan bir hesaba kıyasla çok daha iyi bir koruma sağlar. Ancak yapısal olarak kırılgandır. SIM taşıma (SIM swapping) saldırısında saldırgan, operatörü arayarak hattınızı kendi SIM kartına aktartır; bundan sonra SMS ile gelen tüm doğrulama kodları saldırgana ulaşır. Türkiye'de GSM operatörlerinin self-servis panellerinde ek kilitleme seçenekleri mevcut olmakla birlikte, çoğu kullanıcı bu ayarları hiç açmamış oluyor.

Düzeltme: Kritik hesaplar için kimlik doğrulayıcı uygulama (authenticator app) kullanın. Google Authenticator, Aegis veya benzer uygulamalar, ağ bağlantısı olmadan çalışan ve 30 saniyede değişen tek kullanımlık kodlar üretir; bu kodlar telefon numaranıza değil, cihazınızdaki şifreli anahtara bağlıdır. Fiziksel donanım anahtarı (security key) ise en güçlü seçenek olarak öne çıkar, kimlik avı saldırılarına karşı da koruma sağlar. Hesap destekliyorsa önce authenticator uygulamasıyla başlayın, ardından donanım anahtarına geçmeyi değerlendirin.

Eski kurtarma bilgilerini güncellemeden bırakmak

Hata 4: Kurtarma e-postası veya telefon numarasını yıllarca güncellememiş olmak. Parolayı unuttuğunuzda ya da hesabınıza erişiminizi kaybettiğinizde, platform sizi eski bir e-posta adresine ya da artık aktif olmayan bir telefon numarasına yönlendirir. Yıllarca açılmamış bir kurtarma hesabı genellikle zayıf ya da tekrarlanan bir parola ile korunuyor demektir ve bu adres kolaylıkla ele geçirilebilir. Asıl hesabı ne kadar güvenli kurduğunuzun önemi kalmaz; kilit kapıda değil, elinizde tuttuğunuz yedek anahtardadır.

Düzeltme: Yılda en az bir kez tüm kritik hesaplarınızın kurtarma bilgilerini gözden geçirin. Google, Apple, e-posta sağlayıcısı, banka, sosyal medya; her birinin güvenlik ayarları bölümünde kurtarma e-postası ve telefon numarasını kontrol edin. Artık erişiminiz olmayan kurtarma yöntemlerini kaldırın, yerine güncel ve güvenli alternatifler ekleyin. Basit ama ertelenmeye son derece elverişli bir adım.

Açık oturumlar ve korumasız cihazlar

Hata 5: Eski cihazlarda oturumu kapatmamak. Yeni bir telefon aldığınızda ya da bilgisayarı değiştirdiğinizde, eski cihazlardaki oturumlar çoğunlukla açık kalır. Cihazı sattıysanız, bağışladıysanız ya da tamir için bıraktıysanız, o oturumlar hesabınıza erişim kapısı olmaya devam eder. Platform bunu fark etmez; yetkisiz kişi aktif bir oturumu kullandığı sürece parola veya 2FA kodu sormaz.

Hata 6: Cihaz kilidi kullanmamak. Telefon veya bilgisayarda ekran kilidi yoksa, hesap parolası ne kadar güçlü olursa olsun cihaza erişen herkes tüm uygulamalara ve hesaplara anında ulaşabilir. Korumasız cihaz, tüm dijital güvenliği fiziksel erişime indirger. Düzeltme: Her önemli platformun aktif oturumlar listesini düzenli olarak inceleyin ve tanımadığınız ya da uzun süredir kullanmadığınız cihazları listeden çıkarın. Tüm cihazlarda biyometrik veya PIN kilidi açık tutun.

Güvenlik bildirimlerini kapatmak ya da görmezden gelmek

Hata 7: Hesap aktivitesi uyarılarını devre dışı bırakmak. Platformların büyük çoğunluğu, yeni bir cihazdan giriş yapıldığında, parola değiştirildiğinde ya da alışılmamış bir konumdan erişim denendiğinde e-posta veya bildirim gönderir. Bu uyarılar rahatsız edici bulunarak kapatılabiliyor ya da gelen kutusunun alt katmanlarında fark edilmeden bekleyebiliyor. Hesap ele geçirildiğinde bu bildirimler çoğu zaman ilk sinyali verir.

Erken müdahale, hasarın boyutunu belirler. Saldırgan hesabınıza girdiğini siz fark etmeden 24 saat geçirirseniz, o sürede parolayı değiştirmiş, kurtarma bilgilerini güncellemiş ve bağlı hizmetlere erişmiş olabilir. Bildirimleri açık tutun; önemli hesapların bildirimlerini ayrı bir klasöre yönlendirin ve en az haftada bir bu klasörü gözden geçirin.

Herkese açık ağlarda hassas işlem yapmak

Hata 8: Kafe, havalimanı veya otel Wi-Fi'ında banka ve kritik hesaplara giriş yapmak. Herkese açık ağlarda aynı ağdaki bir kişi, doğru araçlarla ağ trafiğini izleyebilir. HTTPS kullanan sitelerde bu kısmen sınırlıdır, ancak saldırgan ağı kontrol ediyorsa ve sahte erişim noktası (rogue access point) kurmuşsa trafik şifrelenmeden önce ele geçirilebilir. Risk sıfır değildir, özellikle parola veya doğrulama kodu girilen anlarda bu risk yükselir.

Açık ağı tamamen kullanmamak her zaman mümkün değil. VPN kullanmak bu riski azaltır; ancak VPN sağlayıcısına güvenmek gerekir, dolayısıyla ücretsiz VPN hizmetleri burada ters etki yaratabilir. En güvenilir yol: mobil veri bağlantısı üzerinden işlemi yapmak, herkese açık ağı yalnızca sosyal medya gibi daha az kritik hizmetler için kullanmak.

Güvenlik sorularına gerçek yanıt yazmak

Hata 9: "İlk evcil hayvanınızın adı neydi?" sorusuna gerçek yanıt vermek. Güvenlik soruları, tasarım gereği zayıf bir doğrulama yöntemidir. Yanıtlar sosyal medyada, aile çevresinde ya da kısa bir araştırmada bulunabilecek bilgilerdir. Birinin doğum yerini, annesinin kızlık soyadını ya da ilkokul öğretmeninin adını öğrenmek, sosyal medya hesabı aktif olan biri için birkaç dakika meselesidir.

Düzeltme: Güvenlik sorularını rastgele oluşturulmuş, anlamsız yanıtlarla doldurun ve bu yanıtları parola yöneticinizde kaydedin. "İlk evcil hayvanınızın adı?" sorusunun yanıtı "kw8#Lm!92rP" olabilir; bunu ezberlemeniz gerekmiyor, yalnızca kaydedilmiş olması yeterli. Yanıt gerçek olmak zorunda değil, tutarlı olmak zorunda.

Uygulamalara hesap erişimi vermek ve kontrol etmemek

Hata 10: Bağlı uygulamaları ve OAuth izinlerini yıllarca gözden geçirmemek. "Google ile giriş yap" veya "Facebook ile bağlan" seçeneğini kullandığınızda, ilgili uygulamaya hesabınızın belirli bölümlerine erişim yetkisi verirsiniz. Bu uygulama zamanla sahiplik değiştirebilir, güvenlik açığına uğrayabilir ya da kötü niyetli bir tarafça satın alınabilir. Verilen izin siz iptal etmediğiniz sürece yürürlükte kalır; artık kullanmadığınız bir uygulamaya yıllarca aktif erişim yetkisi tanımlı olabilir.

Google, Apple, Facebook ve Microsoft hesaplarınızın güvenlik ayarları altında "bağlı uygulamalar" veya "üçüncü taraf erişimi" bölümü yer alır. Tanımadığınız ya da artık kullanmadığınız uygulamaların erişimini iptal edin. Bu gözden geçirmeyi yılda bir kez yapmak, fark edilmeden süren yetkisiz erişimleri kapatmanın en pratik yolu.

On hatanın ortak paydası şu: hepsi bir kez kurulup unutulan ayarlardan ya da kolaya kaçan tercihlerden kaynaklanıyor. Güvenlik, büyük hamlelerden değil tekrarlanan küçük kararlardan oluşur; zayıf parola seçimi, SMS koduna fazla güven, kurtarma bilgilerinin güncellenmemesi birbirini besleyen ve zamanla biriken açıklardır.

Listeyi baştan sona geçip her maddeyi kendi hesaplarınız üzerinde kontrol etmek, çoğu kullanıcı için bir-iki saat alır. Parola yöneticisi yoksa önce onu kurun; ardından kritik hesaplara authenticator uygulama ekleyin ve kurtarma bilgilerini güncelleyin. Geri kalan adımlar bu ikisine kıyasla çok daha hızlı tamamlanır.

Hesap güvenliği bir kez kurulan ve sonra unutulan bir sistem değil; yılda birkaç kez gözden geçirilen, değişen alışkanlıklara göre ayarlanan bir süreçtir. Yukarıdaki hatalardan herhangi birini bugün düzeltmek, hesabınızın güvenliği üzerinde herhangi bir teknik önlemden daha doğrudan bir etki yaratır.