Verilerim Sızdırıldı mı? Kontrol Yöntemleri ve Sızıntı Sonrası Yapılacaklar

“Kullandığınız bir servisten veri sızdı” haberleri artık kimseyi şaşırtmıyor; asıl soru, o sızıntıların içinde sizin bilgilerinizin olup olmadığı. Yıllar içinde üye olduğunuz forumlar, alışveriş siteleri, oyun platformları ve unuttuğunuz onlarca servis düşünülünce, e-posta adresinizin en az bir sızıntıda yer alması istatistiksel olarak neredeyse kaçınılmaz. İyi haber şu: Bunu birkaç dakikada kontrol edebilir ve sonuca göre hasarı ciddi ölçüde sınırlayabilirsiniz.

Veri Sızıntısı Tam Olarak Nedir?

Bir şirketin sistemlerine sızan saldırganlar, kullanıcı veri tabanını kopyalayıp dışarı çıkardığında buna veri sızıntısı (veri ihlali) diyoruz. Sızan pakette neler olduğu olaydan olaya değişir: Bazen yalnızca e-posta adresleri ve kullanıcı adları, bazen şifreler, telefon numaraları, adresler, kimlik bilgileri, hatta kredi kartı verileri.

Şifreler konusunda bir ayrım önemli. Düzgün kurulmuş sistemler şifreleri açık metin olarak değil, “hash” denilen matematiksel özetler halinde saklar. Güçlü bir algoritmayla saklanmış şifrenin geri çevrilmesi zordur; ama zayıf algoritmalar ve basit şifreler söz konusuysa saldırganlar bu özetleri kırabilir. Yani “şifreler hashli sızdı” haberi rahatlama nedeni değil, sadece zaman kazandıran bir detaydır.

Sızan veriler karanlık ağda satılır, takas edilir ve yıllar içinde biriken dev birleşik listelerde bir araya getirilerek yeniden dolaşıma sokulur. Buradan doğan en yaygın saldırıya “credential stuffing” deniyor: Saldırgan, A sitesinden sızan e-posta-şifre ikilinizi B, C ve D sitelerinde otomatik olarak dener. Aynı şifreyi birden fazla yerde kullanan herkes, tek bir sızıntıyla tüm hesaplarını riske atmış olur. Sızıntıların asıl yıkıcı etkisi tam olarak burada.

Sızıntı Kontrolü Nasıl Yapılır?

En bilinen ve güvenilir araç, güvenlik araştırmacısı Troy Hunt’ın yıllardır işlettiği Have I Been Pwned (haveibeenpwned.com). Siteye e-posta adresinizi yazdığınızda, o adresin bilinen hangi sızıntılarda geçtiğini listeler: hangi servis, hangi tarih, hangi veri türleri. Telefon numarası sorgulama da bazı büyük sızıntılar için destekleniyor. Sitenin “Notify me” özelliğine kaydolursanız, adresiniz yeni bir sızıntıda ortaya çıktığında e-postayla haber alırsınız; bu, tek seferlik kontrolden çok daha değerlidir.

Aynı sitenin “Pwned Passwords” bölümü ise bir şifrenin bilinen sızıntılarda görülüp görülmediğini kontrol eder. Merak etmeyin, şifreniz siteye gönderilmez; sorgu, şifrenin özetinin yalnızca ilk birkaç karakteriyle yapılır ve eşleştirme cihazınızda tamamlanır.

Elinizin altındaki diğer araçlar da küçümsenmemeli:

• Tarayıcı ve işletim sistemi uyarıları: Chrome, Safari ve Firefox, kayıtlı şifrelerinizi bilinen sızıntı listeleriyle karşılaştırıp “bu şifre bir veri ihlalinde görüldü” uyarısı verir. Bu uyarıyı gördüğünüzde ertelemeden şifreyi değiştirin.
• Şifre yöneticileri: 1Password, Bitwarden gibi uygulamaların güvenlik raporları, kasanızdaki zayıf, tekrar kullanılan ve sızmış şifreleri tek ekranda gösterir.
• Firefox Monitor gibi servisler: Have I Been Pwned verisini kullanarak benzer sorgu ve bildirim hizmeti sunar.

Bir uyarı: “Bilgileriniz sızdı, kontrol etmek için tıklayın” diyen e-posta ve SMS’lere karşı tetikte olun. Sızıntı korkusu, oltalama saldırılarının sevdiği bir yem. Kontrolü her zaman adresi kendiniz yazarak, bilinen sitelerde yapın; size gelen bağlantılar üzerinden asla değil.

Sızdıysa Ne Yapmalı? Öncelik Sırası

Sorgu sonucunda adınızın sızıntılarda geçtiğini görmek moral bozucu ama panik gerektirmiyor; doğru sırayla hareket etmek gerekiyor. Öncelik, hangi verinin sızdığına ve hangi hesabın söz konusu olduğuna göre belirlenir:

1. Önce e-posta hesabınız. E-postanız diğer tüm hesapların kurtarma anahtarıdır; onu ele geçiren, “şifremi unuttum” yoluyla diğer hesaplarınıza da ulaşır. Sızıntıda geçen şifre e-postanızda da kullanılıyorsa, ilk değişecek şifre budur. Ardından e-postada iki faktörlü doğrulamayı açın.
2. Bankacılık ve ödeme hesapları. Banka, ödeme uygulamaları ve içinde kayıtlı kart bulunan alışveriş hesaplarının şifrelerini yenileyin. Kart bilgileriniz sızan bir hizmette kayıtlıysa bankanızdan kartı yeniletmek en temiz çözüm; sanal kart kullanıyorsanız iptal edip yenisini oluşturmak saniyeler sürer.
3. Sızıntının yaşandığı hesap. İlgili servisteki şifreyi değiştirin. Hesabı artık kullanmıyorsanız şifre değiştirmekle yetinmeyin, hesabı tamamen silin; kullanılmayan her hesap, gelecekteki sızıntılar için gereksiz bir yüzey.
4. Aynı şifreyi kullandığınız her yer. Sızan şifreyi başka nerelerde kullandıysanız hepsinde değiştirin. Credential stuffing saldırıları saatler içinde başlayabilir; bu adımı yarına bırakmayın.
5. İzleme moduna geçin. Takip eden haftalarda banka hareketlerinizi ve hesaplarınızın “son oturumlar” ekranlarını ara ara kontrol edin. Kimlik bilgileri (T.C. kimlik no, adres, doğum tarihi) sızdıysa, adınıza hat veya abonelik açılmadığını e-Devlet üzerindeki sorgularla teyit etmek de akıllıca olur.

Sızıntı sonrası dönemde hedefli oltalama da artar: Saldırganlar sızan bilgilerinizi kullanarak daha inandırıcı sahte e-postalar yazar. Adınızla, telefon numaranızla hitap eden bir mesaj bile artık tek başına güven işareti sayılmamalı.

Şifre Değişim Stratejisi: Bir Daha Aynı Duruma Düşmemek

Sızıntı sonrası telaşla yapılan şifre değişiklikleri, birkaç ay içinde eski düzene dönülünce anlamını yitirir. Kalıcı çözüm, şifre alışkanlığını baştan kurmaktan geçiyor ve bunun modern reçetesi üç maddede özetlenebilir:

Her hesaba ayrı şifre. Bu, insan hafızasıyla yapılabilecek bir iş değil ve zaten yapmanız da beklenmiyor. Bir şifre yöneticisi, her site için rastgele ve uzun şifreler üretip sizin yerinize saklar; sizin ezberlemeniz gereken tek şey, kasayı açan ana şifredir. Ana şifre için birkaç kelimeden oluşan, size özel ama tahmin edilemez bir cümle iyi bir yöntemdir: uzun, hatırlanabilir, kırması zor.

Kritik hesaplarda iki faktörlü doğrulama. E-posta, bankacılık, sosyal medya ve e-Devlet başta olmak üzere önemli hesaplarda ikinci doğrulama katmanı açık olmalı. Mümkünse SMS yerine doğrulama uygulaması tercih edin; SIM kart dolandırıcılığı SMS kodlarını çalabilirken uygulama kodlarına ulaşamaz. Geleceğe dönük olarak “passkey” (şifresiz giriş anahtarı) sunan servislerde bu seçeneği etkinleştirmek de sızıntı riskini kökten azaltır, çünkü ortada çalınacak bir şifre kalmaz.

Takvime değil, olaya bağlı değişim. “Her üç ayda bir tüm şifreleri değiştir” tavsiyesi eskidi; güncel güvenlik yaklaşımı, zorunlu periyodik değişimin insanları daha zayıf ve tahmin edilebilir şifrelere ittiğini gösteriyor. Doğrusu şu: Güçlü ve benzersiz bir şifre, sızdığına dair bir işaret olmadıkça kalabilir; sızıntı şüphesi doğduğu anda ise beklemeden değişir. Enerjinizi sık değiştirmeye değil, benzersizliğe ve iki faktörlü korumaya harcayın.

Bu üçlü kurulduktan sonra sızıntı haberleri sizin için karakter değiştirir: “Acaba hangi hesaplarım tehlikede?” panik sorusu, yerini “ilgili tek şifreyi değiştireyim” rutinine bırakır.

Sık Sorulan Sorular

Have I Been Pwned’a e-posta adresimi yazmak güvenli mi?

Evet. Site, güvenlik camiasında yıllardır itibar gören bir hizmettir ve sorguladığınız adresi sızdırmaz; e-posta adresi zaten sızıntı listelerinde aranan anahtar olduğu için ek bir bilgi vermiş olmazsınız. Yine de şifrenizi hiçbir sorgulama sitesine yazmayın; şifre kontrolü yalnızca Pwned Passwords gibi özeti kısmen gönderen sistemlerle yapılmalı.

Sorguda hiçbir sızıntı çıkmadı, güvende miyim?

Temkinli bir “şimdilik” demek gerekir. Bu araçlar yalnızca kamuya açık hale gelmiş, doğrulanmış sızıntıları bilir; henüz keşfedilmemiş veya satışa çıkmamış ihlaller görünmez. Temiz sonuç, benzersiz şifre ve iki faktörlü doğrulama ihtiyacını ortadan kaldırmaz.

Şifrem sızdı ama hesabımda şüpheli bir şey görmüyorum, yine de değiştirmeli miyim?

Mutlaka. Sızan veriler bazen aylar, hatta yıllar sonra kullanılır; bugün sessiz olması yarın da öyle kalacağı anlamına gelmez. Şifreyi değiştirmek dakikalar sürer, ele geçirilen bir hesabı kurtarmak günler.

Telefon numaram sızdıysa ne yapabilirim?

Numarayı değiştirmek çoğu kişi için pratik değil; bunun yerine tetikte olmak gerekir. Tanımadığınız numaralardan gelen “banka”, “kargo” ve “kamu kurumu” temalı arama ve SMS’lere karşı şüpheci olun, operatörünüzün sunduğu ek doğrulama hizmetlerini araştırın ve kritik hesaplarınızın doğrulamasını SMS’ten uygulama tabanlı yönteme taşıyın.

Bu yazıda anılan sorgulama araçları yalnızca kamuya açık hale gelmiş sızıntıları kapsar; sonuçlar mutlak güvence olarak değil, yol gösterici olarak okunmalıdır.