Twitter/X Hesabında 2FA Değişikliği Sonrası Güvenlik

Twitter/X, 2023 yılının başında SMS tabanlı iki aşamalı doğrulamayı (2FA) yalnızca Premium abonelere özgü bir özellik haline getirdi. Ücretsiz hesaplar için bu yöntem otomatik olarak devre dışı bırakıldı. Pek çok kullanıcı bu değişiklikten yeterince haberdar olamadı; bir gün oturum açmaya çalışırken SMS kodunu beklediler, kod gelmedi ve sistemin arızalandığını sandılar. Aslında sistem çalışıyordu; değişen, arka plandaki güvenlik katmanıydı.

İki farklı risk aynı anda ortaya çıktı. İlki açık: 2FA olmadan hesap yalnızca şifreyle korunur hale gelir. İkincisi ise daha sinsi oldu; değişiklik döneminde bazı hesaplar ele geçirildi, çünkü saldırganlar SMS 2FA'nın kaldırılacağını önceden biliyordu ve o geçiş penceresinde zayıflayan hesapları hedef aldı.

SMS kapanınca hesap şifreyle kaldı; geçiş penceresinde bazı hesaplar da ele geçirildi. TOTP, passkey veya donanım anahtarı o boşluğu doldurur. Yedek kod kaydedilmezse telefon kaybı, SMS'siz hesaptan daha uzun bir kilit üretir.

SMS 2FA kaldırıldığında hesapta ne değişti?

Twitter/X, SMS 2FA'yı devre dışı bıraktığında Premium abonesi olmayan hesaplarda ikinci doğrulama katmanı tamamen ortadan kalktı; hesap, şifreyle tek başına korunur hale geldi. Platform sizi bir bildirimle uyardı ve belirli bir süre içinde farklı bir yöntem seçmenizi istedi. Bu süreyi kaçırdıysanız veya başka bir yönteme geçmeyi erteledinizse, hesabınız o andan bu yana yalnızca şifreyle korunuyor demektir.

SMS tabanlı 2FA zaten en zayıf ikinci faktör yöntemiydi. SIM swap saldırıları, yani birinin telefon operatörünüzü arayarak numaranızı başka bir SIM'e taşıtması, bu yöntemin temel açığıdır. Türkiye'de banka doğrulama mesajlarını hedef alan bu tür saldırılara dair belgelenmiş vakalar mevcut; Twitter/X bu açıdan benzer bir hedef olabilir. Platforma özgü ek bir risk de var: Yüksek takipçili hesaplar veya belirli toplulukların içinde aktif olan hesaplar, özel olarak hedeflenir.

Kaldırılma tam anlamıyla ne anlama geliyor? Hesabınız o güne kadar "şifre + SMS kodu" ikilisiyle korunuyordu; artık yalnızca şifreniz var. Saldırganın veri ihlallerinden edindiği ya da tahmin ettiği bir şifre, hesabınıza doğrudan giriş sağlar. Ek bir adım yok, ek bir engel yok.

Kimlik doğrulama uygulamasıyla 2FA nasıl kurulur?

TOTP (Time-based One-Time Password) uygulamaları, SMS'e kıyasla çok daha güvenli bir yöntemdir. Bu uygulamalar 30 saniyede bir değişen altı haneli kodlar üretir; çalışmak için internet bağlantısı gerekmez ve kodlar cihazınızda hesaplanır, bir telefon ağından geçmez. Kurulum tek seferlik, kullanım ise oldukça basittir.

Twitter/X web arayüzünde ya da mobil uygulamada "Ayarlar ve gizlilik" bölümüne gidin. Oradan "Güvenlik ve hesap erişimi", ardından "Güvenlik" ve son olarak "İki aşamalı kimlik doğrulama" seçeneğine tıklayın. "Kimlik doğrulama uygulaması" seçeneğini etkinleştirdiğinizde ekranda bir QR kodu belirecek. Google Authenticator, Microsoft Authenticator veya açık kaynak tercih edenler için Aegis (Android) bu QR kodu tarayabilir; uygulama altı haneli bir kod üretecek, bunu Twitter/X'e girin ve kurulum tamamlansın.

Bir sonraki adımı atlamayın. Kurulum ekranı size yedek kodları sunar; bu kodları kaydetmeden devam etmeyin. Uygulamanıza erişiminizi kaybederseniz, o kodlar olmadan hesabınıza giremezsiniz.

TOTP uygulamasını kaybetmek, telefonu çalmak ya da fabrika ayarlarına sıfırlamak aynı sonuca yol açar: ikinci faktörünüze erişiminiz kesilir. Hesap kurtarma süreci Twitter/X'te uzun ve belirsizdir; yanıt gelmeden haftalar geçebilir. Yedek kodlar bu senaryoya karşı hazırlanır.

Kurulum sırasında Twitter/X sekiz hanelik bir dizi kod sunar. Her biri tek kullanımlıktır; uygulamanıza erişemezseniz bunlardan birini kullanarak giriş yaparsınız, ardından TOTP uygulamanızı yeniden kurarsınız. Ekran görüntüsü almak güvenli değildir; telefonunuz çalınırsa veya bulut yedeğiniz ele geçirilirse bu görüntüler de tehlikeye girer. Şifre yöneticisinin güvenli not bölümü ya da şifreli bir belge, daha iyi bir seçenektir. Kağıda yazdırıp kilitli bir çekmecede saklamak da geçerlidir; dijital olmayan yedek bazen en güvenilir olandır.

Yedek kodların ters yönde riski de var. Bu kodlar başkasının eline geçerse, o kişi telefonunuza veya uygulamanıza ihtiyaç duymadan hesabınıza girebilir; yani bu kodlar, hesap şifrenizden daha dikkatli saklanmalıdır. Yeni bir kod seti almak isterseniz Twitter/X ayarlarından yedek kodları yenileyebilirsiniz; yenileme yapıldığında eski kodlar geçersiz kalır.

Passkey seçeneği Twitter/X için ne kadar uygun?

Twitter/X, passkey desteğini mobil uygulamasına ve tarayıcıya ekledi. Passkey, şifre ve 2FA'nın ikisini birden yerini alır; cihazınızdaki biyometrik doğrulama (parmak izi veya yüz tanıma) ya da PIN ile kimliğinizi kanıtlarsınız. Ayrı bir kod girmenize gerek kalmaz; kimlik doğrulama süreci cihazınızda tamamlanır ve sunucuya gönderilen şifrelenemez bir bilgi yoktur.

Passkey'in avantajı kimlik avı saldırılarına karşı yapısal olarak dirençli olmasıdır. Sahte bir Twitter/X giriş sayfası, passkey ile çalışmaz; doğrulama yalnızca gerçek alan adıyla eşleşen cihaz anahtar çiftiyle tamamlanır. Bu, TOTP uygulamasının bile sağlayamadığı bir korumadır; çünkü bir saldırgan sizi sahte sayfaya yönlendirir, orada ürettiğiniz kodu gerçek zamanlı olarak kullanabilir.

Ne zaman passkey işe yaramaz? Cihaz değiştirirken ya da cihazı kaybettiğinizde. Passkey cihaza bağlıdır; yeni bir telefon aldığınızda passkey'i o cihaza da eklemeniz gerekir. Birden fazla cihaz kullanıyorsanız bu yönetim yükü artar. Passkey ve TOTP uygulaması birbirinin yerine değil, birbirini tamamlayan yöntemler olarak değerlendirilebilir. Passkey'in ne olduğunu ve şifreden farkını passkey ile 2FA arasındaki fark başlığında daha ayrıntılı inceledik.

Geçiş döneminde hesabınız ele geçirildiyse ne yapmalısınız?

Tanımadığınız paylaşımlar, hesabınızdan gönderilmediğiniz mesajlar veya bağlantı bilgilerinizin değiştirildiğine dair uyarılar; bunlar ele geçirilmenin belirgin işaretleridir. Hesaba hâlâ erişebiliyorsanız sırayla şunları yapın: önce şifreyi değiştirin, ardından TOTP uygulamasıyla 2FA kurun, sonra tüm aktif oturumları sonlandırın.

Twitter/X'te aktif oturumları sonlandırmak için "Ayarlar ve gizlilik" altındaki "Güvenlik ve hesap erişimi" bölümüne, oradan "Uygulamalar ve oturumlar" kısmına gidin. "Oturumlar" sekmesinde hangi cihazlardan oturum açıldığını görebilirsiniz; şüpheli veya tanımadığınız cihazları orada kapatabilirsiniz. "Tüm diğer oturumları kapat" seçeneğini kullanırsanız yalnızca aktif olduğunuz cihaz dışındaki tüm bağlantılar kesilir.

Hesaba artık erişemiyorsanız durum daha güçtür. Twitter/X'in kurtarma süreci yavaş işler; yardım formu doldurun ve kayıtlı e-posta ya da telefon numarası üzerinden kimliğinizi doğrulamaya çalışın. Kurtarma bilgileriniz de değiştirildiyse süreç uzar. Çalınan telefon söz konusuysa hangi hesapların öncelikli olarak korunması gerektiği konusunda çalınan telefonda ilk adımlar başlığı yol gösterici olabilir.

Aktif oturumlar ve bağlı uygulamalar: kalması gerekmeyen erişimler

2FA yeniden kurduktan sonra durmanın zamanı değil.

Twitter/X hesabınıza bağlı üçüncü taraf uygulamalar, hesabınıza belirli izinlerle erişebilir; bu uygulamalar tweet gönderebilir, mesajlarınızı okuyabilir ya da takip işlemi gerçekleştirebilir. Haber okuyucuları, içerik planlama araçları, yarışma botları veya eskiden kullandığınız ve artık hatırlamadığınız uygulamalar, uzun süre aktif kalabilir. Bir uygulama kötü niyetli hale gelirse ya da farklı bir kişiye satılırsa bu izinler risk oluşturur.

"Uygulamalar ve oturumlar" bölümünden bağlı uygulamaları gözden geçirin. Son altı ayda kullanmadığınız veya adını bile hatırlamadığınız her uygulamayı iptal edin. Kalan uygulamalarda ise izin seviyesine bakın: yalnızca okuma izni olan bir araç, yazma iznine sahip birinden çok daha az risk taşır.

Aynı pencerede "Bağlı hesaplar" kısmını da kontrol edin. Twitter/X'i başka hesaplarla bağladıysanız, o bağlantılar hâlâ aktif olabilir. Bağlı her hesap, bir zincirin halkasıdır; o hesaplardan biri ele geçirilirse Twitter/X hesabınıza da etki edebilir. Hesap güvenliği denetimini belirli aralıklarla yapmak için aylık güvenlik kontrol listesi pratik bir çerçeve sunar.

Şifre gücü: 2FA her açığı kapatmaz

İkinci faktör, zayıf şifrenin verebileceği hasarı sınırlar ama tamamen ortadan kaldırmaz. Hesabınıza kötü niyetli bir uygulama erişmişse ya da şifreniz bir veri ihlalinde açığa çıkmışsa, bu senaryolarda 2FA devreye girmez; saldırganın zaten geçerli bir oturumu veya başka bir erişim yolu vardır.

Twitter/X şifresi için ne kadar uzun yeter? Rastgele seçilmiş dört kelimeden oluşan bir parola, sözlük ve harf-rakam kombinasyonlarını deneyen brute force saldırısına karşı yeterince dayanıklıdır. Karakter sayısı 16'nın üzerine çıktığında olası kombinasyon sayısı saldırganın pratik olarak deneyebileceği değerlerin çok ötesine geçer. "Güçlü görünen" kısa bir şifre, rakam ve özel karakter içerse bile gerçekte 8-10 karakterlik bir alanda kalıyorsa, bu sınır içindeki tüm kombinasyonları otomatik sistemler kısa sürede deneyebilir.

Şifreyi tarayıcıya kaydetmek başka bir soru işareti doğurur. Tarayıcı senkronizasyonu aktifse kayıtlı şifreler buluta çıkar; bu bulut hesabı ele geçirilirse şifreleriniz de risk altına girer. Tarayıcıya kaydedilen şifrelerin güvenliği konusunda dikkat edilmesi gereken noktalar ayrı bir incelemeyi hak ediyor. Twitter/X şifresini tarayıcı yerine ayrı bir şifre yöneticisinde saklamak, bu riski büyük ölçüde azaltır.

Eski cihaz sattıysanız veya değiştirdiyseniz yapmanız gerekenler

Telefon değişikliği ya da eski cihazın başkasına devredilmesi, Twitter/X bağlamında iki ayrı risk barındırır. İlki aktif oturum: cihazı temizlemediyseniz, o telefon hâlâ hesabınıza giriş yapabilir durumda olabilir. İkincisi TOTP uygulaması: eski cihazda authenticator kuruluysa ve uygulamayı taşımadıysanız, 2FA'nın ikinci katmanını kaybedebilirsiniz.

Cihaz devretmeden önce Twitter/X'teki oturumu orada kapatmak ya da sunucu tarafından tüm oturumları sonlandırmak gerekir. Sonra TOTP uygulamasını yeni cihaza taşıyın ya da Twitter/X'te 2FA'yı devre dışı bırakıp yeni cihazda yeniden kurun. Eski cihazdan çıkış yapma adımlarını genel olarak ele alan eski cihazı devretmeden önce hesap çıkışları başlığı bu süreci adım adım gösteriyor.

TOTP uygulamasını yeni cihaza geçirmek uygulamaya göre değişir. Bazı uygulamalar şifreli yedek oluşturmanıza izin verir; bazılarında hesapları tek tek yeniden eklemek gerekir. Bunu yapmadan eski telefonu fabrika ayarlarına sıfırlamayın; sıfırladıktan sonra yedek kodlar olmadan TOTP'a erişemezsiniz.

Donanım güvenlik anahtarı: en yüksek koruma, en dar kullanım alanı

Twitter/X, FIDO2 uyumlu donanım güvenlik anahtarlarını da destekler. USB ya da NFC aracılığıyla çalışan bu fiziksel cihazlar, kimlik avına karşı passkey ile aynı yapısal direnci sunar; üstelik telefona bağımlı değildir. Telefon çalınsa veya kırılsa bile güvenlik anahtarınız yanınızdaysa hesabınıza erişiminiz kesilmez.

Kimler için anlamlı? Yüksek takipçili hesaplar, gazeteciler, aktivistler veya hesabına erişimin kesilmesinin ciddi sonuçları olacak kişiler için bu yatırım mantıklıdır. Sıradan bir hesap için ise TOTP uygulaması yeterli korumayı sağlar; donanım anahtarı ekstra bir karmaşıklık katmanı ekler ve kaybedilirse kendine özgü kurtarma sorunları çıkar. FIDO2'nin nasıl çalıştığını anlamak, hangi durumda hangi yöntemi tercih edeceğinize karar vermenizi kolaylaştırır.

Tek bir donanım anahtarıyla çalışmak risklidir; anahtarı kaybettiğinizde yedek olmadan kurtarma süreci uzar. İki adet edinip birini güvenli bir yerde saklayan kullanıcılar bu riski en aza indiriyor. Her iki anahtarı da Twitter/X hesabına kaydetmek mümkündür.

SMS tabanlı 2FA'nın kaldırılması, seçim yapmaya zorlayan bir andı; tepkisiz kalmak da bir seçimdi, ama güvenlik açısından pahalı bir seçim. TOTP uygulaması, passkey ya da donanım anahtarı, üçü de SMS'ten güvenlidir ve üçü de ücretsiz hesaplarda kullanılabilir. Hangisini seçeceğiniz büyük ölçüde kullandığınız cihaz sayısına ve hesabın profiline bağlıdır; tek bir cihaz kullanan biri için TOTP uygulaması yeterli, birden fazla cihazda aktif olan biri için passkey daha pratiktir.

Kurulum biter ama iş bitmez. Yedek kodları güvenli bir yere kaydetmek, bağlı uygulamaları düzenli gözden geçirmek ve cihaz değişikliklerinde oturum yönetimini yapmak, 2FA kurulumu kadar önemlidir. Dijital kimlik güvenliğinin bu boyutunu daha geniş bir çerçevede değerlendirmek de değerli bir adımdır.