WhatsApp Hesabı Nasıl Güvende Tutulur?

Telefon numarası başka bir SIM'e taşındığında WhatsApp hesabına erişmek dakikalar alıyor. Doğrulama kodu yeni cihaza geliyor, uygulama kurulup numarayla eşleştiriliyor ve eski hesaptaki tüm bağlı cihaz oturumları sona eriyor. Mesaj geçmişi bulut yedekleniyorsa geri yüklenebiliyor. Bu senaryo teorik değil; SIM swap saldırılarında yaşanan tam da bu.

WhatsApp'ın kimlik doğrulama mimarisi telefon numarası üzerine kurulu. Bu tasarım kurulum kolaylığı sağlıyor ama numarayı ele geçiren biri için hesaba giden doğrudan bir yol açıyor. Diğer platformların çoğunda şifre ya da ek kimlik bilgisi bu açığı kısmen kapatıyor; WhatsApp'ta varsayılan kurulum bunu yapmıyor.

Bu riskin karşısına çıkabilecek katmanların büyük bölümü WhatsApp'ın kendi ayarlarında mevcut. Ancak varsayılan olarak kapalı geliyor. Kurulumu bir kez tamamlamak, ardından periyodik kontrolleri rutin hale getirmek — bu iki adım hesabın güvenliğini kökten değiştiriyor.

WhatsApp'ın telefon numarasına dayanan kimlik yapısı

WhatsApp'ta hesap sahibi olmak, o numaranın SMS veya sesli aramasına erişebilmekle eşdeğer. Uygulama kurulduğunda doğrulama kodunu alacak numarayı siz belirliyorsunuz; kodu alan kişi hesabı açıyor.

SIM swap bu noktada devreye giriyor. Saldırgan, mobil operatörün müşteri hizmetlerini arayarak ya da mağazaya giderek sosyal mühendislik yoluyla numaranın kendi SIM'ine taşınmasını sağlıyor. Bunun için genellikle ad, soyad ve bazı doğrulama bilgilerine ihtiyaç duyuluyor — bu bilgilerin bir kısmı sosyal medya profillerinden ya da daha önceki veri sızıntılarından elde edilebiliyor. Sosyal mühendislik saldırılarında hedef çoğu zaman sistemi değil, insanı kandırmak oluyor; SIM swap da bunun operatör destek hattına uyarlanmış hali.

Bu mimarinin yarattığı riski tamamen ortadan kaldırmak mümkün değil; ama ek bir kimlik katmanı ekleyerek çok daha zorlu hale getirmek mümkün. SMS tabanlı doğrulamanın taşıyıcı saldırılarına açık olması WhatsApp için de geçerli; bu yüzden platforma özgü ikinci katman olan PIN mekanizması kritik bir önem taşıyor.

İki adımlı doğrulama PIN'inin işlevi

WhatsApp'ın iki adımlı doğrulama özelliği, hesap yeni bir cihaza taşınmak istendiğinde SMS koduna ek olarak altı haneli bir PIN talep ediyor. Yani telefon numaranıza erişim sağlanmış olsa bile bu PIN bilinmiyorsa hesap başka bir cihazda açılamıyor. Kurulmamış bir PIN, SIM swap sonrasında hesabın dakikalar içinde ele geçirilmesi anlamına geliyor. PIN etkin olduğunda bu pencere kapanıyor.

Etkinleştirmek için "Ayarlar" → "Hesap" → "İki adımlı doğrulama" yolu izleniyor. Kurulum sırasında bir e-posta adresi bağlamak da isteniyor; PIN unutulduğunda sıfırlama bağlantısı bu adrese gönderiliyor. Bu e-posta adresinin güvenilir ve erişilebilir olması, PIN'in kurtarma zincirinin çalışması için zorunlu. Bağladığınız adresin kendisi savunmasızsa PIN koruması da zayıflıyor.

PIN seçiminde doğum tarihi, telefon numarası sonu ya da 123456 gibi tahmin edilmesi kolay kombinasyonlardan kaçınmak gerekiyor. Altı hane küçük bir uzunluk; zayıf seçilmişse PIN'in koruyuculuğu sınırlı kalıyor. WhatsApp PIN'i zaman zaman hatırlatma ekranı göstererek sorguluyor; bu hatırlatmaları geçiştirmemek, PIN'in akılda kalıcılığını koruyor.

Bağlı cihazlar listesinin periyodik kontrolü

WhatsApp, telefonun yanı sıra bilgisayar ve tablet gibi ek cihazlarda da oturum açmaya izin veriyor. Bağlı cihaz oturumları telefon çevrimdışı olsa bile çalışabiliyor; bu mesaj göndermek ve okumak için kolaylık sağlıyor, ama kontrol edilmeyen oturumlar sessiz bir risk bırakabiliyor.

"Ayarlar" → "Bağlı Cihazlar" bölümünde hangi cihazların aktif oturuma sahip olduğu, son kullanım zamanlarıyla birlikte listeleniyor. Tanımadığınız bir cihaz varsa o oturumu oradan doğrudan kapatmak mümkün. Ödünç verilen ya da paylaşımlı bir bilgisayarda WhatsApp Web açıldığında ve çıkış yapılmadığında, oturum belirsiz bir süre açık kalabiliyor.

Bu listeyi ayda bir gözden geçirmek — ya da yeni bir cihaz bağladıktan sonra listeyi temizlemek — fark edilmeden açık kalmış erişim noktalarını kapatmanın en doğrudan yolu. Instagram'da giriş etkinliği izlemede olduğu gibi, bu tür listelerin düzenli kontrolü hesap güvenliğinin rutin bir parçası haline gelebilir.

Uçtan uca şifrelemenin koruma dışında bıraktığı durumlar

WhatsApp mesajları uçtan uca şifreli iletiyor; bu ağ düzeyindeki dinlemeye ve sunucu tarafındaki erişime karşı güçlü bir koruma. Ama bu şifreleme her senaryoyu kapsamıyor.

Mesajlar telefon deposunda şifresiz duruyor. Cihaza fiziksel erişim sağlayan ya da kötü amaçlı yazılım yükleyen biri mesaj içeriğini okuyabiliyor. Şifreleme aktarım sırasında çalışıyor; depolama güvenliği ise ayrı bir konu ve büyük ölçüde cihaz kilit ekranına ve işletim sistemi güvenliğine bağlı.

Bulut yedeklemeleri de bu tablonun bir parçası. Google Drive ya da iCloud'a alınan WhatsApp yedekleri, ilgili bulut hesabının güvenlik seviyesiyle korunuyor; uçtan uca şifrelemenin sağladığı güvence burada devam etmiyor. Bu yedeklere erişebilen biri tüm mesaj geçmişini geri yükleyebiliyor. Bulut hesabının güvenli tutulması — özellikle iki adımlı doğrulamanın açık olması — dolaylı olarak WhatsApp yedeklerini de koruyor.

Ekran görüntüsü meselesi de bu bağlamda düşünülmeli. Karşı taraf mesajları her zaman ekran görüntüsüne alabilir ya da başka bir cihazla fotoğraflayabilir. Uçtan uca şifreleme bu eylemi engellemiyor; iletişimin içeriğini yalnızca aktarım sırasında koruyor.

Cihaz değişiminde ve hesap taşımada güvenlik

Telefon değiştirildiğinde WhatsApp otomatik devir yapıyor: yeni cihaza kurulup numara doğrulandığında eski cihazdaki aktif oturum sona eriyor. Bu süreçte eski cihazın ne olduğu önemli.

Satılacak ya da başkasına verilecek bir telefonu fabrika ayarlarına sıfırlamadan önce WhatsApp'ı aktif olarak silmek gerekiyor. Aksi hâlde mesaj geçmişi ve yerel depolamadaki veriler cihazda kalabiliyor. WhatsApp içindeki "Hesabımı Sil" ya da "Sohbetleri Sil ve Çıkış Yap" seçeneklerini kullanmak yerel veriyi temizliyor; ardından gelen fabrika sıfırlaması ek bir güvence sağlıyor.

Yeni cihaza geçişte mesaj geçmişini aktarmak için yapılan yedek geri yüklemesi sırasında iki adımlı doğrulama PIN'i de sorgulanıyor. Bu aşamada PIN'in bilinmesi gerekiyor; kayıp ya da unutma durumunda e-posta üzerinden sıfırlama sürecine girilmesi gerekiyor. Hesap erişimini kaybetmeden önce kurtarma bilgilerini güncel tutmak bu gibi geçiş süreçlerinde işe yarıyor.

Platformun mimari yapısından gelen SMS tabanlı kimlik doğrulama riski tamamen ortadan kalkmıyor. PIN bu riskin önüne somut bir engel koyuyor: telefon numarasına erişmek, PIN bilinmediği sürece hesabı açmak için yeterli olmaktan çıkıyor. Kurtarma e-postasını bağlamak ve bağlı cihazlar listesini periyodik temizlemek bu yapıyı tamamlıyor.

Kurulum yalnızca birkaç dakika. Sonrasında gereken fazla değil: bağlı cihazlar listesini ara sıra gözden geçirmek, kurtarma e-postasının erişilebilir kalmasına dikkat etmek. Günlük kullanıma bir yükü yok.