Türk Bankaları Hangi 2FA Yöntemini Kullanır?

Bir EFT gönderirken ya da yeni bir kart tanımlarken telefonunuza gelen kodu ya da uygulama üzerinden çıkan onay ekranını çoğu kullanıcı sorgulamadan geçiştiriyor. Oysa bu adım, hesabınızdaki paranın tek koruyucusu konumunda. Şifreniz ele geçirilse bile bu ikinci katman devreye girmeden işlem tamamlanmıyor, en azından teoride. Pratikte fark, kullanılan doğrulama yönteminin türüne göre ciddi şekilde değişiyor.

BDDK düzenlemeleri belirli tutarların üzerindeki elektronik bankacılık işlemlerinde ikinci bir doğrulama adımını zorunlu kılıyor; bu yüzden neredeyse her banka bir şekilde ikinci faktör kullanıyor. Ama "ikinci faktör" tek bir yöntem değil. SMS kodu, mobil uygulama üzerinden anlık onay, donanım tabanlı QR kod okuma ve biyometrik doğrulama aynı amaca hizmet etse de güvenlik seviyeleri birbirinden oldukça farklı.

Karşılaştırma, yöntemlerin pazarlama adlarından değil, hangi zafiyete açık olduklarından ilerliyor. Banka değiştirmek çoğu hesapta pratik bir seçenek değil; elinizde kalan, mevcut onay kanalını doğru okumak ve zayıf halkayı kapatmak.

SMS doğrulama neden hâlâ en yaygın yöntem?

SMS ile gelen tek kullanımlık kod, bankacılık işlemlerinde en uzun süredir kullanılan doğrulama biçimi. Yaygınlığının nedeni basit: ek bir uygulama kurulumu gerektirmiyor, akıllı telefonu olmayan kullanıcılar için de çalışıyor ve bankanın altyapı tarafında görece ucuz bir çözüm. Bu erişilebilirlik, özellikle yaşlı kullanıcılar ve teknik bilgisi sınırlı hesap sahipleri için SMS'i uzun süre vazgeçilmez kılmış durumda.

Ancak SMS'in güvenlik zayıflığı da tam olarak bu yaygınlıktan kaynaklanıyor. Kod, GSM operatörünün şebekesi üzerinden düz metin olarak iletiliyor ve bu iletim zinciri birden fazla noktada müdahaleye açık. En büyük risk, numaranın başka bir SIM karta taşınmasıyla ortaya çıkıyor. Kod artık sizin telefonunuza gitmiyor. SIM swap saldırısının işleyişini anlamak, SMS tabanlı bankacılık doğrulamasının neden tek başına yeterli görülmediğini netleştiriyor; çünkü ikinci faktör, numara el değiştirdiği anda saldırganın cihazına düşüyor ve şifre ne kadar uzun olursa olsun işlemi durdurmuyor.

Buna ek olarak SMS kodları, sahte arama ve mesaj yoluyla doğrudan kullanıcıdan istenebiliyor. Saldırgan, banka çalışanı gibi davranarak "hesabınızda şüpheli işlem tespit ettik, size gelen kodu doğrulama amacıyla paylaşın" diyerek kodu elde etmeye çalışıyor. Bu senaryoda teknik bir açık yok, sosyal mühendislik devrede.

Mobil banka uygulaması üzerinden doğrulama SMS'ten nasıl ayrılır?

Son yıllarda birçok banka, SMS yerine kendi mobil uygulaması üzerinden anlık onay isteği gönderen bir modele geçti. Bu yöntemde işlem başlatıldığında telefonunuza bir bildirim düşüyor, uygulamayı açıp işlemi onaylıyor ya da reddediyorsunuz. Kod yazmak veya kopyalamak gerekmiyor; onay uygulama içinde, şifrelenmiş bir kanal üzerinden gerçekleşiyor.

Bu modelin SMS'e göre taşıdığı temel avantaj, GSM şebekesinin dışında çalışması. SIM swap saldırısı numarayı ele geçirse bile, uygulama oturumu telefonun kendisine ve o cihazdaki kimlik doğrulamasına (PIN, parmak izi, yüz tanıma) bağlı kaldığı için işlem onayı saldırganın eline geçmiyor. Uygulama tabanlı onay, aynı zamanda işlem detaylarını (tutar, alıcı, tarih) ekranda gösterdiği için kullanıcının neyi onayladığını görmesini sağlıyor; SMS'te bu bağlam çoğu zaman eksik kalıyor.

Zayıf noktası ise telefonun kendisi. Cihaz çalınır ya da kilidi aşılırsa, uygulama üzerinden gelen onay isteği de risk altına giriyor. Çalınan telefonda önceliklendirme rehberinde anlatıldığı gibi, finans uygulamaları bu senaryoda en hızlı müdahale edilmesi gereken hesapların başında geliyor. Ayrıca bazı kullanıcılar onay isteklerini içeriğini okumadan reflekssel olarak onaylıyor; bu davranış, uygulama tabanlı sistemin sağladığı görünürlük avantajını fiilen sıfırlıyor.

Bu reflekssel onaylama alışkanlığı, "onay yorgunluğu" olarak adlandırılan bir saldırı biçimini de mümkün kılıyor. Saldırgan, çalınmış şifreyle art arda birden fazla işlem denemesi başlatıp kısa aralıklarla onay bildirimleri düşürüyor; amaç, kullanıcının rahatsızlıktan kurtulmak için bildirimlerden birini dikkatsizce onaylaması. Bu senaryoda savunma teknik değil davranışsal: beklemediğiniz bir onay isteği geldiğinde, önce hangi işlem için geldiğini okumak, ardından kendiniz başlatmadığınız bir işlemi reddetmek gerekiyor. Art arda gelen beklenmedik onay istekleri tek başına şüpheli bir işaret; bu durumda hesabı bildirimden onaylamak yerine doğrudan bankayı aramak daha güvenli bir yol.

Donanım token ve QR kod tabanlı doğrulama hangi bankalarda karşınıza çıkar?

Kurumsal bankacılık ve yüksek tutarlı işlemler için bazı bankalar hâlâ fiziksel donanım token'ları veya kart okuyucu cihazları kullanıyor. Bu cihazlar internete bağlı olmadığı için ağ üzerinden ele geçirilme riski taşımıyor; kod, cihazın kendi dahili saatine ve şifreleme anahtarına göre üretiliyor. Bu yüzden SIM swap veya SMS ele geçirme saldırılarının hiçbiri bu yöntem üzerinde işe yaramıyor.

Bir başka yaygın uygulama, ekranda beliren bir QR kodun bankacılık uygulamasıyla okutulması ve işlemin bu şekilde onaylanmasıydı. Bu model, cihazlar arası bir doğrulama köprüsü kuruyor: işlem bir cihazda başlatılıyor, onay farklı bir cihazdaki kamera ile veriliyor. İki farklı cihazın aynı anda saldırganın elinde olması gerektiği için bu yöntem de tek cihaz üzerinden yürütülen saldırılara karşı ek bir katman sağlıyor.

Donanım token'ların pratikteki dezavantajı taşınabilirlik ve kullanım kolaylığı. Cihazı yanınızda bulundurmanız, pilinin bitmemesi ve kaybolmaması gerekiyor. Bu nedenle çoğu banka bu yöntemi bireysel müşteriler için değil, kurumsal hesaplar ve yüksek işlem hacmi olan kullanıcılar için tercih ediyor.

Biyometrik doğrulama ikinci faktörün yerini alabilir mi?

Parmak izi ve yüz tanıma, günümüzde çoğu mobil bankacılık uygulamasında hem uygulamaya giriş hem de işlem onayı için kullanılıyor. Ancak burada bir ayrım netleştirilmeli: biyometrik doğrulama çoğu durumda cihaz üzerinde çalışan bir kilit açma mekanizması, bankanın sunucusuna gönderilen ayrı bir doğrulama faktörü değil. Parmak izi verisi telefonun güvenli donanım bölmesinde kalıyor; banka yalnızca "bu cihazın sahibi doğrulandı" bilgisini alıyor.

Bu, biyometrinin gereksiz olduğu anlamına gelmiyor. Cihaz kaybolduğunda ya da çalındığında, biyometrik kilidin varlığı, uygulamaya erişimi önemli ölçüde zorlaştırıyor. Ama biyometri tek başına, bankanın taleple ettiği ikinci doğrulama faktörünün yerini almıyor; genellikle uygulama içi PIN veya şifreyle birlikte katmanlı şekilde çalışıyor. Biyometrik doğrulamanın hangi senaryolarda gerçek bir koruma sağladığını, hangilerinde sadece kullanım kolaylığı sunduğunu ayırt etmek, bu yöntemi değerlendirirken önemli bir nokta.

SIM swap saldırısı bankacılık doğrulamasını nasıl etkiler?

Bankacılık özelinde SIM swap saldırısının etkisi diğer hesap türlerinden daha ağır sonuçlanıyor, çünkü doğrudan finansal kayıpla sonuçlanabiliyor. Saldırgan numarayı ele geçirdiğinde, SMS tabanlı doğrulama kullanan bir hesapta işlem onayı da saldırganın eline geçiyor. Bu senaryoda şifre güçlü olsa bile, ikinci faktör artık koruma sağlamıyor.

Mobil uygulama üzerinden onay veren bankalarda bu risk büyük ölçüde azalıyor, çünkü onay mekanizması numaraya değil cihaza ve o cihazdaki oturuma bağlı. Bu fark, SMS ile uygulama tabanlı doğrulama arasındaki en somut güvenlik ayrımını oluşturuyor. Hangi bankanın hangi yöntemi sunduğunu bilmiyorsanız, bankanızın mobil uygulama ayarlarından "işlem onay yöntemi" veya "güvenlik ayarları" bölümüne bakarak SMS yerine uygulama içi onayı etkinleştirip etkinleştiremeyeceğinizi kontrol edebilirsiniz.

Telefon numaranızda ani bir sinyal kesintisi, beklenmedik bir "SIM aktivasyonu" bildirimi ya da hiç yapmadığınız bir işlem için gelen onay kodu görürseniz, önce operatörünüzü arayarak hattınızın durumunu doğrulamanız, ardından bankanızın müşteri hizmetleriyle iletişime geçmeniz gerekiyor. Bu iki adımı aynı anda atmak, saldırının ilerlemesini durdurmak açısından zaman kazandırıyor.

Hangi yöntem daha güvenli? Banka seçmek elinizde değilken yapabilecekleriniz

Güvenlik sıralaması genel olarak şöyle özetlenebilir: donanım token ve cihazlar arası QR onayı en güçlü koruma seviyesini sunuyor, mobil uygulama üzerinden anlık onay bunun hemen ardından geliyor, SMS doğrulaması ise en geniş kullanılabilirliğe sahip olsa da en zayıf halka konumunda. Ama çoğu kullanıcı için banka değiştirmek ya da hangi yöntemin sunulduğunu tercih etmek pratik bir seçenek değil; asıl elinizde olan, mevcut yöntemi doğru kullanmak.

Bankanızın uygulaması SMS yerine uygulama içi onay sunuyorsa bu seçeneği etkinleştirmek, tek başına önemli bir güvenlik kazancı sağlıyor. İki aşamalı doğrulamanın genel mantığını anlamak, bankacılık dışındaki hesaplarda da hangi yöntemin tercih edilmesi gerektiğine dair aynı çerçeveyi kurmanıza yardımcı oluyor; SMS ile authenticator uygulaması karşılaştırması bu ayrımı bankacılık dışı hesaplar için daha ayrıntılı ele alıyor.

Hangi yöntemi kullanırsanız kullanın, telefonunuzun kendisinin güvenliği doğrulama zincirinin en kritik halkası. Ekran kilidinin güçlü olması, cihazın güncel tutulması ve bankacılık uygulamasına erişimin ayrı bir PIN ile korunması, hangi doğrulama yöntemi sunulursa sunulsun ek bir güvence katmanı oluşturuyor.

Doğrulama yönteminin türü değişse de amaç aynı kalıyor: şifrenin tek başına yetmediği bir noktada işlemi durdurup gerçek sahibinin onayını almak. Bu mekanizmanın ne kadar sıkı çalıştığı, kullanılan teknolojiye olduğu kadar kullanıcının o onay ekranını nasıl okuduğuna da bağlı.

Bankacılık uygulamanızın güvenlik ayarlarını gözden geçirmek, ayda bir yapılan diğer hesap kontrolleriyle birlikte ele alınabilecek kısa ama değerli bir alışkanlık. Hangi doğrulama yönteminin aktif olduğunu bilmek, bir sorun anında ne kadar hızlı ve doğru tepki verebileceğinizi doğrudan etkiliyor.