Hafta içi bir akşam, üç yıl önce kullandığınız bir bilet sitesinden ileti geldiğini düşünün. Konu satırında "Önemli: verileriniz ifşa olmuş olabilir" yazıyor. Hesabı zar zor hatırlıyorsunuz, o siteye hangi parolayı verdiğinizi de bilmiyorsunuz, iletide ise büyük bir "Hesabımı güvene al" düğmesi var. Önümüzdeki bir saat, haftanın geri kalanından daha önemli ve bu saatte yapılacak ilk şey o düğmeye dokunmamak.
Kısaca: bildirimi, şirketin sitesine kendiniz giderek doğrulayın, hangi tür verilerin alındığını öğrenin, her şeyden önce ana posta kutunuzu güvene alın, sonra sızan parolayı kullandığınız her yerde değiştirip iki adımlı doğrulamayı ya da bir geçiş anahtarını (passkey) açın. E-posta veri ihlali, adresinizi tutan bir şirketin onun üzerindeki denetimi, çoğunlukla başka bilgilerinizle birlikte kaybetmesi demektir. Sızıntıyı geri alamazsınız. Ama onun bir baş ağrısı olarak kalmasını, çalınmış bir hesaba dönüşmemesini sağlayabilirsiniz.
İlk saat, sırasıyla
Aşağıdaki sıra tek bir fikre dayanıyor: posta kutunuz, sahip olduğunuz neredeyse tüm diğer parolaları sıfırlayabilir; bu yüzden asıl ihlal edilen hesaptan önce o korunur. Süreler yaklaşıktır. Sızıntıda parolalar yoksa 4. ve 5. adımları atlayıp on beş dakikada bitirebilirsiniz.
- İletideki hiçbir şeyi kullanmayın (ilk 2 dakika). Bağlantı, ek ya da bildirimdeki telefon numaraları olmaz. Sahte ihlal bildirimleri, gerçek ihlallerin ardından sık görülen bir devam hamlesidir; gerçek bir bildirim ise düğmesine dokunmazsanız hiçbir şey kaybetmez.
- Bağımsız olarak doğrulayın (sonraki 5 dakika). Şirketin adresini tarayıcıya kendiniz yazın ya da eski bir yer imini kullanın, sonra bir güvenlik duyurusu ya da banner arayın. Şirketin adını "ihlal" sözcüğüyle aratın ve güvenilir haber kaynaklarının ya da şirketin kendisinin bunu bildirip bildirmediğine bakın.
- Nelerin alındığını okuyun (sonraki 5 dakika). Bildirim, şirketin açıklaması ya da bir sorgulama servisi veri türlerini sıralar. Parolalar, kart verileri ve kimlik belgeleri farklı işler çıkarır; aşağıdaki tablo bunları sıralıyor.
- Ana posta kutunuzu güvene alın (sonraki 15 dakika). Başka hiçbir yerde kullanılmayan uzun bir parola verin, diğer oturumları kapatın, iki adımlı doğrulamayı ya da bir geçiş anahtarını açın; yönlendirme kurallarını ve kurtarma bilgilerini kontrol edin. Gmail, Outlook ve iCloud için adımlar aşağıdaki posta kutusu bölümünde yer alıyor.
- Sızan parolayla ilgilenin (sonraki 20 dakika). İhlal yaşanan sitede, o sitenin kendi giriş sayfasından değiştirin. Sonra aynı parolayı ya da ona benzer bir parolayı başka nerede kullandığınızı düşünün ve oraları da değiştirin; bankacılık, mobil operatörünüz, bulut depolamanız ve kayıtlı kartı olan alışveriş siteleriyle başlayın.
- Yaptıklarınızı not edin (son 5 dakika). Şirketi, tarihi, ilgili verileri ve hangi parolaları değiştirdiğinizi yazın. Üç ay sonra tuhaf bir şey olursa, bu not ikisinin bağlantılı olup olmadığını size söyler.
Zamanınız ya da gücünüz yetmezse 4. adımdan sonra durun. Korunan bir posta kutusu seçeneklerinizin çoğunu açık tutar, çünkü postanızı okuyamayan bir saldırganın başka bir şeyi sıfırlaması çok daha zordur.
Bildirim gerçek mi?
Şirketler bu iletileri gerçekten gönderir ve birçok yerde göndermek zorundadır. AB'nin GDPR düzenlemesinin 34. maddesine göre, bir ihlalin kişiler için yüksek risk doğurması olası olduğunda kuruluş, etkilenen kişilere gereksiz gecikme olmadan haber vermelidir; ABD'de de her eyaletin kendi ihlal bildirimi yasası ve kendi tetikleyicileri vardır. Kurallar farklı olduğundan, bir şirketten günler içinde, bir başkasından aylar sonra haber alabilir ya da hiç almayabilirsiniz. E-posta gizliliği yasaları hakkındaki genel bakışımız hukuki tarafı daha ayrıntılı ele alıyor.
Suçlular insanların bu iletileri beklediğini bilir. Dikkat etmeniz gereken türden sahte bir bildirime uydurulmuş bir örnek:
Sahte bildirim örneği (uydurma, örnek amaçlı):
Konu: Hesabınızda ACİL güvenlik olayı
Sayın müşterimiz, parolanız yakın zamanda yaşanan bir olayda ifşa oldu. Aşağıdaki güvenli düğmeyi kullanarak mevcut parolanızı ve kart numaranızı doğrulamazsanız hesabınız 12 saat içinde kapatılacaktır.
Bunu üç şey ele veriyor. Saatlerle ölçülen bir son tarih koyuyor, mevcut parolanızı istiyor ve gerçek hiçbir sıfırlama sürecinin ihtiyaç duymayacağı bir kart numarası talep ediyor. Gerçek bir bildirim ne olduğunu anlatır ve parolanızı sitede değiştirmenizi söyler. Kimlik avı (phishing) e-postalarını fark etme rehberimiz çok daha fazla işaret içeriyor, ama aşağıdaki karşılaştırmalar ihlale özgü olanları kapsıyor.
| Neye bakmalı | Gerçek bir bildirim genellikle | Sahte bir bildirim genellikle |
|---|---|---|
| Yönergeler | Parolanızı sitede değiştirmenizi önerir ya da sıfırlamanın zorunlu kılındığını söyler | Sizi bir düğme aracılığıyla bir giriş sayfasına iter |
| Ayrıntılar | Olayı, yaklaşık tarihleri ve veri türlerini belirtir | Ne olduğu konusunda belirsiz kalır |
| İstekler | E-postayla hassas hiçbir şey istemez | Parola, kart numarası ya da telefonunuza gelen bir kod ister |
| Ekler | Nadiren ek içerir | ZIP, makrolu belge ya da report.pdf.exe gibi bir dosya olarak bir "rapor" ekler |
| Kamuya açık iz | Şirketin sitesindeki bir açıklamayla örtüşür | Hiçbir kamuya açık iz bırakmaz |
| Teklifler | Adı belli bir sağlayıcı üzerinden, o sağlayıcının sitesinde kullanılacak bir kodla kimlik izleme önerebilir | Ücret talep eder ya da tazminat ödemek için banka bilgilerinizi ister |
Bir ileti tüm teknik kontrolleri geçip yine de istenmeyen bir ileti olabilir. Gmail'de üç nokta menüsünde SPF, DKIM ve DMARC sonuçlarını gösteren Orijinali göster seçeneği bulunur. Büyük bir şirketten geldiğini iddia eden bir iletide dmarc=fail görmek güçlü bir uyarıdır. Geçmiş olması ise yalnızca iletinin gösterilen alan adından geldiğini söyler; o alan adı geçen hafta kaydedilmiş, benzer görünen bir alan adı da olabilir.
Bildirimler bazen tanımadığınız bir addan gelir, çünkü olay bir tedarikçide yaşanmıştır: tanıdığınız bir şirket için çalışan bir destek masası, pazarlama platformu ya da ödeme işlemcisi. Bu durumda, tanıdığınız şirketten bir teyit arayın. Hiçbir şey bulamazsanız şirketin kendi iletişim sayfasından destek ekibine yazıp sorabilirsiniz.
Veri listesini okuyun: iş yükünüzü o belirler
E-posta adresi neredeyse hiçbir zaman tek başına değildir. Bunun size on dakikaya mı yoksa koca bir öğleden sonraya mı mal olacağı, çalınan tabloda adresin yanında ne olduğuna bağlıdır. Örnekteki bilet sitesinin "adlar, e-posta adresleri ve karma (hash) haline getirilmiş parolalar" bildirdiğini varsayalım. Bu sizi aşağıdaki tabloda üçüncü satıra, ikinci satırın bazı işleriyle birlikte yerleştirir.
| Adresinizle birlikte sızan | Birinin bununla yapabileceği | Yapmanız gereken |
|---|---|---|
| Başka hiçbir şey | Spam ve hedefli kimlik avı göndermek, kayıtlarınızı ihlaller arasında eşleştirmek, başka yerlerde tekrar kullanılan parolaları denemek | O hizmeti anan iletilere karşı dikkatli olun; hesabı başka bir adrese taşımayı düşünün |
| Düz metin parola | O sitede hemen giriş yapmak ve aynı ikiliyi başkalarında denemek | Kullanıldığı her yerde, bugün değiştirin |
| Karma haline getirilmiş parola | Çevrimdışı kırmayı denemek; zayıf ve yaygın parolalar ilk önce düşer | Düz metinmiş gibi davranın |
| Ad, telefon numarası, ev adresi | İkna edici iletiler yazmak, dolandırıcılık aramaları yapmak, SIM kart değiştirme saldırısı denemek | Operatörünüzde bir PIN ya da numara taşıma kilidi ekleyin; beklenmedik arama ve kısa mesajlara karşı dikkatli olun |
| Doğum tarihi, güvenlik yanıtları | Hesap kurtarmayı kötüye kullanmak, zayıf kimlik doğrulamalarını geçmek | Güvenlik yanıtlarını bir parola yöneticisine kaydettiğiniz rastgele yanıtlarla değiştirin |
| Kısmi kart verisi | Dolandırıcılıklara inandırıcılık katmak ("1234 ile biten kartınızı görebiliyoruz") | Ekstrelerinizi izleyin; bu rakamları bilen bir arayan hiçbir şey kanıtlamış olmaz |
| Tam kart numarası | Sahte alışveriş denemek | Kartın üzerindeki numarayı kullanarak kartı veren kuruluşu arayın ve yenisini isteyin |
| Resmi kimlik numaraları | Kimlik sahteciliği denemek | Ulusal makamınızın yönergelerini izleyin; aşağıdaki kimlik verileri bölümüne bakın |
| IP adresi, cihaz ayrıntıları | Yaklaşık konumunuzu tahmin etmek, bir dolandırıcılığı size göre uyarlamak | Doğrudan yapılacak pek bir şey yok |
| Özel iletiler ya da dosyalar | Şantaj yapmak ya da utandırmak, başkalarının verilerini ifşa etmek | İçinde ne olduğunu ve kimlerin etkilendiğini belirleyin; şantajı polise bildirin |
Şirketlerin güven vermek için kullandığı "karma" (hash) hakkında bir not. Karma, parolanızın tek yönlü bir karıştırılmış halidir ve sağladığı koruma yönteme bağlıdır. bcrypt ya da Argon2 gibi yavaş, tuzlanmış algoritmalar tahmin etmeyi pahalı hale getirir; bu yüzden böyle saklanan uzun ve rastgele bir parola hiç ele geçirilemeyebilir. Tuzsuz MD5 ya da SHA-1 gibi hızlı karmalara muazzam hızlarda saldırılabilir, kısa ya da yaygın parolalar da hangi yöntem olursa olsun hızla düşer. Bir bildirim, bunu değerlendirmeniz için nadiren yeterli bilgi verir; bu yüzden her durumda parolayı değiştirin.
Tek başına sızan bir adres neler yapabilir
"Yalnızca e-posta adresiniz etkilendi" iyi haber gibi duyuluyor ve parola sızıntısına göre öyle de. Adres bir sır değildir ve kimse yalnızca onunla hesabınıza giremez. Yine de durumunuzu birkaç açıdan değiştirir ve bunları anlamakta fayda var.
Gerçek bir hizmetten gelen adresin, bir şeylere kaydolan birine ait olduğu bilinir; bu da onu spam gönderenler için tahmin edilmiş bir adresten daha değerli kılar. Listeler birleştirilir ve yeniden satılır; dolayısıyla spamdaki artış olaydan aylar sonra başlayabilir ve bununla belirgin bir bağlantısı olmayabilir.
Sızıntı ayrıca suçlulara nerede hesabınız olduğunu söyler. Genel bir "siparişinizle ilgili sorun" iletisini geçiştirmek kolaydır. Gerçekten kullandığınız mağazanın adını anan, aynı sızıntıdaki adınızla size hitap eden ve mağaza haberlerdeyken gelen bir ileti ise fark etmesi çok daha zor olandır. Bildirimden sonra birkaç hafta tetikte kalmanın başlıca pratik nedeni budur.
Adresiniz aynı zamanda bir birleştirme anahtarı işlevi görür. Bir ihlalin onu bir oyun kullanıcı adına, bir başkasının bir telefon numarasına, üçüncüsünün bir ev şehrine bağladığını varsayın. Üçünü de elinde tutan biri bunları ortak adres üzerinden hizalayabilir ve kimsenin tek parça halinde vermediği bir profil çıkarabilir. Bunu mümkün kılan, aynı adresi her yerde kullanmaktır; değiştirebileceğiniz kısım da budur.
Üstelik adres, çoğu girişin yarısıdır; bu da ihlalleri pahalı hale getiren saldırıya götürür.
Bir ihlal nasıl birçoğuna dönüşür
Hasar çoğu zaman ihlal edilen şirkette oluşmaz. Kimlik bilgisi doldurma (credential stuffing), sızan e-posta ve parola ikililerinin diğer hizmetlerde otomatik olarak denenmesidir. Pek çok ihlalden gelen ikililer büyük "kombo listeleri" haline getirilir ve araçlar bunları e-posta sağlayıcılarında, mağazalarda, yayın hizmetlerinde, oyun platformlarında ve bulut depolamada dener. Denemelerin çoğu başarısız olur. Yine de kâr getirecek kadarı başarılı olur, çünkü bir isabet kayıtlı bir kartla mal almak, sadakat puanlarını boşaltmak, güvenilir bir hesaptan spam göndermek ya da bağlantılı hizmetlerde parola sıfırlamayı başlatmak için kullanılabilir.
Bunların hepsi tekrar kullanıma dayanır. Örneğin bilet sitesinde, bir mağazada ve e-postasında Harbour2019! kullanan birini ele alın. Bilet sitesi ihlali bir parolayı ve üç hesabı ifşa eder. Her sitenin kendine ait rastgele bir parolası olsaydı, aynı ihlal kişinin pek kullanmadığı tek bir hesabı ifşa ederdi. Küçük değişiklikler pek işe yaramaz, çünkü saldırganların araçları bariz varyasyonları dener: yılı değiştirmek, bir rakam eklemek, ünlemi başka bir işaretle değiştirmek.
Parola püskürtme (password spraying) bunun ayna görüntüsüdür. Kişi başına bilinen tek bir parolayı denemek yerine saldırgan, uzun bir geçerli adres listesine karşı çok yaygın birkaç parolayı dener. Bunun işe yaraması için parolanızın sızması gerekmez. Yaygın olması yeter; adresi de ihlal sağlamıştır.
Çalıntı parolaların farklı bir kaynağı, tavsiyeyi değiştirdiği için anılmayı hak ediyor. Infostealer olarak bilinen zararlı yazılım, kayıtlı parolaları ve oturum çerezlerini doğrudan bulaşmış bir cihazdan kopyalar ve bu çalıntı kayıtlar tıpkı ihlal verileri gibi dolaşıma girer. Hiç tekrar kullanmadığınız bir parola ifşa olmuş görünüyorsa ya da güçlü bir parolaya ve bilinen bir ihlale rağmen bir hesap ele geçirildiyse, kaynak cihazınız olabilir. Güvenilir bir güvenlik yazılımıyla tarayın ve parola değişikliklerinizi temiz bir cihazdan yapın; çünkü bulaşmış bir bilgisayarda parola değiştirmek yenisini de teslim etmek anlamına gelebilir.
Kendi maruz kalmanızı kontrol etmek
Bir bildirim size tek bir şirketi anlatır. Daha geniş resmi görmek için birden fazla kaynak kullanın; çünkü hiçbir veri tabanı her olayı kapsamaz.
Güvenlik araştırmacısı Troy Hunt'ın işlettiği Have I Been Pwned (haveibeenpwned.com), en tanınmış sorgulama servisidir. Bir adres girdiğinizde, onu içeren bilinen ihlalleri tarihleri ve veri türleriyle listeler. Bildirim özelliği, adresiniz yeni yüklenmiş bir ihlalde göründüğünde size e-posta gönderir; bir kez kurup unutmaya değer. Hassas sayılan bazı ihlaller herkese açık aramadan gizlenir ve ancak adresin sizin olduğunu kanıtladıktan sonra gösterilir. Mozilla Monitor, Have I Been Pwned verilerini kullanarak benzer bir sorgulama ve uyarı sunar; sürekli uyarılar için bir Mozilla hesabı gerekir.
Boş bir sonuç güvende olduğunuz anlamına gelmez. Birçok ihlal hiç keşfedilmez ya da bu servislere hiç ulaşmaz. Uzun bir liste de başınızın dertte olduğu anlamına gelmez; eski kayıtlar çoğunlukla çoktan değiştirdiğiniz parolalarla ilgilidir. Tarihlere ve veri türlerine bakın ve hâlâ kullanımda olabilecek her şey için harekete geçin.
E-posta sorgulamaları yalnızca adresinize ihtiyaç duyar. Parolalar daha fazla özen ister. Google Parola Yöneticisi'nde Parola Denetimi, Apple cihazlardaki Parolalar uygulamasında ele geçirilmiş ve tekrar kullanılmış parolaları işaretleyen bir Güvenlik bölümü bulunur; üçüncü taraf yöneticilerde de benzer raporlar vardır, örneğin 1Password'deki Watchtower ve Bitwarden'daki ifşa olmuş parolalar raporu. Bunlar kayıtlı listenize karşı çalışır; bir parolanın nerede tekrar kullanıldığını bulmanın en hızlı yolu da budur.
Pwned Passwords özelliği, bir kontrolün parolayı ele vermeden nasıl yapılabileceğini gösterir. Cihazınız parolanın SHA-1 karmasını hesaplar ve yalnızca ilk beş karakteri gönderir. Servis, bu karakterlerle başlayan tüm sızmış karmaları döndürür ve cihazınız geri kalanını yerelde karşılaştırır. Servis parolayı ya da tam karmasını bile hiç almaz; bu yönteme k-anonimlik denir.
Hacklenip hacklenmediğini söyleyeceğini iddia eden rastgele bir web sitesine asla parola yazmayın. Parola yöneticinize ya da tarayıcınıza yerleşik araçlar sorun değildir. Bir e-postadan ya da reklamdan ulaştığınız bir denetleyici sayfa, sadece parola topluyor olabilir.
Kendi postanızdan da çok şey öğrenebilirsiniz. Posta kutunuzda "welcome", "verify your email", "confirm your account" ve "your password has been changed" ifadelerini arayın. Çıkan sonuç, adresinizi tutan hizmetlerin kabaca bir listesidir ve bazılarını unutmuş olacaksınız. Bu liste aşağıdaki temizlik bölümünde işinize yarayacak.
Posta kutusunun düzgün bir denetimi
Birisi zaten içeri girdiyse parolayı değiştirmek yetmez. Bir posta kutusuna giren kişi çoğu zaman parola değişikliğinden sonra da kalacak bir şey kurar; bu yüzden şu dört şeye bakın: açık oturumlar, yönlendirme, filtreler ve kurtarma bilgileri. Menü adları zamanla değişir, ama aşağıdaki yollar sizi yaklaştırır.
Gmail ve Google hesapları
Web'de Gmail'de dişli simgesine, ardından Tüm ayarları göster seçeneğine gidin. Eklemediğiniz bir yönlendirme adresi için Yönlendirme ve POP/IMAP bölümüne, iletileri silen ya da yönlendiren kurallar için Filtreler ve Engellenen Adresler bölümüne bakın. Gelen kutusunun sağ altında, son hesap etkinliğinin altındaki Ayrıntılar bağlantısı son erişimleri gösterir. Google Hesabınızda Güvenlik sayfası cihazlarınızı, yakın zamandaki güvenlik etkinliğini, kurtarma telefonunu ve e-postasını ve üçüncü taraf bağlantılarını listeler. Tanımadığınız her cihazdan çıkış yapın ve tanımadığınız her uygulamayı kaldırın.
Outlook.com ve Microsoft hesapları
Web'de Outlook'ta Ayarlar'ı, ardından Posta'yı açın. Yönlendirme ve Kurallar bölümlerini kontrol edin. Microsoft hesabınızda oturum açma etkinliğini gözden geçirmek için Güvenlik'e gidin; hangi doğrulama yöntemlerinin ve uygulamaların bağlı olduğuna bakın.
Apple ve iCloud Mail
iPhone'da Ayarlar'ı açın, adınıza dokunun, ardından güvenilir telefon numaralarınızı ve kurtarma seçeneklerinizi gözden geçirmek için Oturum Açma ve Güvenlik'e dokunun. Aşağıdaki cihaz listesi, Apple Hesabınızda oturum açmış her şeyi gösterir. iCloud Mail için posta kuralları ve yönlendirme, iCloud.com'daki Mail ayarlarından kontrol edilebilir.
Kurcalanmış bir posta kutusu neye benzer
Eklemediğiniz bir yönlendirme adresi en açık işarettir, çünkü parola sıfırlamaları da dahil olmak üzere postanızın kopyalarını sessizce başkasına gönderir. Hemen ardından "güvenlik", "parola" gibi sözcükler ya da bankanızın adı geçen iletileri doğrudan çöp kutusuna ya da arşive gönderen bir filtre gelir. Tanımadığınız gönderilmiş iletiler, bilinmeyen bir kurtarma telefon numarası ya da hiç onaylamadığınız bağlı bir uygulama da aynı yöne işaret eder.
Bunlardan herhangi birini bulursanız posta kutusunu ele geçirilmiş sayın. Öğeyi kaldırın, parolayı güvendiğiniz bir cihazdan yeniden değiştirin, tüm oturumları kapatın, sonra postanın kendisine göz atın. İstemediğiniz parola sıfırlama iletilerini arayın; çünkü bunlar hangi diğer hesapların hedef alındığını gösterir. Kilitlenip dışarıda kaldıysanız doğru yol sağlayıcınızın hesap kurtarma sürecidir ve ona sağlayıcının kendi yardım sayfaları üzerinden ulaşmalısınız. "E-posta destek numarası" arama sonuçları, dolandırıcıların bilinen bir av sahasıdır.
İkinci adım yöntemini seçmek
İki adımlı doğrulama, kimlik bilgisi doldurmanın çoğunu durdurur, çünkü sızan parola tek başına artık kimseyi içeri sokmaz. Yöntemler arasında büyük farklar var ve bir ihlalden sonra önemli hesaplarınızı mümkün olan yerde bu tabloda yukarı taşımak mantıklıdır.
| Yöntem | Ne kadar dayanıklı | Nerede yetersiz kalır |
|---|---|---|
| Kısa mesajla gelen kodlar | Yalnızca parolaya göre çok daha iyi | SIM kart değiştirme saldırıları; kodlar sahte bir siteye yazılıp iletilebilir |
| E-postayla gönderilen kodlar | En önemli hesaplarınızda zayıf | Posta kutusunun kendisi ele geçirildiyse işe yaramaz ve posta kutusunun kendi girişinde anlamsızdır |
| Kimlik doğrulayıcı uygulama (TOTP) | İyi ve telefon numaranıza bağlı değil | Kodlar, inandırıcı sahte bir giriş sayfasında yine de ele geçirilebilir; telefon değiştirirken için yedek tutun |
| Anlık bildirimle onay | Bir sayıyı eşleştirmenizi istediğinde iyi | Sayı eşleştirme olmadan, art arda gelen istemler kişiyi yorup Onayla'ya dokunmaya iter |
| Geçiş anahtarı (passkey) ya da donanım güvenlik anahtarı | Çoğu kişi için en güçlü seçenek | Biraz kurulum ve yedek olarak ikinci bir anahtar ya da eşitlenen bir cihaz gerektirir; her yerde sunulmaz |
Geçiş anahtarları bu bağlamda ekstra dikkati hak ediyor. Geçiş anahtarı, açık anahtarlı şifrelemeye dayanan ve tek bir web sitesinin alan adına bağlı bir kimlik bilgisidir. Site yalnızca açık yarısını saklar; dolayısıyla çalınmış bir kullanıcı tablosunda sizin adınıza giriş yapabilecek hiçbir şey bulunmaz. Benzer görünen bir kimlik avı sitesi de hiçbir şey elde edemez, çünkü cihazınız kimlik bilgisini yanlış alan adına sunmaz. Posta sağlayıcınız ve bankanız geçiş anahtarlarını destekliyorsa, bir ihlal bildirimi bir tane kurmak için uygun bir andır. Hangi yöntemi kullanırsanız kullanın, sunulduğunda kurtarma kodlarını parola yöneticinize ya da evde güvenli bir yerde kâğıda kaydedin.
Ödeme ya da kimlik verileri söz konusuysa
Düz bir e-posta ve parola sızıntısı bunların hiçbirini gerektirmez. Listede tam kart numaraları, banka bilgileri ya da resmi kimlik numaraları varsa, sonraki adımlar yaşadığınız yere ve şirketin sunduklarına bağlıdır.
Kartlar için, kartın üzerinde basılı numarayı kullanarak kartı veren kuruluşu arayın ve değiştirilmesi gerekip gerekmediğini sorun. Son ekstrelerde, çoğunlukla daha büyük çekimlerden önce gelen küçük deneme çekimlerini kontrol edin. Şirket ücretsiz kimlik izleme sunuyorsa ona şirketin resmi sitesi üzerinden ulaşabilirsiniz; ayrıca izlemenin sorunları ancak başladıktan sonra bildirdiğini bilmelisiniz.
Amerika Birleşik Devletleri'nde kredi dondurma (credit freeze) en güçlü ücretsiz araçtır. Federal yasa, ülke çapındaki üç kredi bürosunun (Equifax, Experian ve TransUnion) her birinde dosyanızı dondurmayı ve çözmeyi ücretsiz kılar; dondurma genellikle siz kaldırana kadar adınıza yeni kredi açılmasını durdurur. Her büroyla ayrı ayrı iletişime geçmeniz gerekir. Dolandırıcılık uyarısı, borç verenlerden kimliğinizi doğrulamasını isteyen, bir yıl süren daha hafif bir seçenektir ve tek bir büroda yaptırdığınızda diğerlerine iletilir. Kimliğiniz kötüye kullanıldıysa FTC'nin IdentityTheft.gov sitesi, bankalarda ve bürolarda kullanabileceğiniz bir kurtarma planı ve bir rapor üretir.
Başka yerlerde seçenekler farklıdır. Birleşik Krallık'ta dosyanızı kredi referans kuruluşlarında kontrol edebilir ve bankanıza ne önerdiğini sorabilirsiniz; ücretli koruyucu kayıt ise dolandırıcılık önleme hizmeti Cifas'tan alınabilir. AB'de ve diğer birçok ülkede bankanızla iletişime geçin ve ulusal tüketici ya da veri koruma otoritenizin yönergelerine bakın. Bir pasaportun ya da ulusal kimliğin taraması çalındıysa, belgeyi veren makam yenilenmesinin uygun olup olmadığını söyleyebilir.
Sızan bir telefon numarasının kendi çözümü var. Mobil operatörünüzden, onun ne adlandırdığına bağlı olarak bir hesap PIN'i, bir numara taşıma PIN'i ya da bir numara kilidi isteyin. Bunlar, bir saldırganın operatörü numaranızı kendi SIM kartına taşımaya ikna edip ardından kısa mesaj kodlarınızı aldığı SIM kart değiştirme dolandırıcılığını zorlaştırır. Operatörlerin sunduğu şeyler değişir; bu yüzden doğrudan sorun.
Zor durumlar
Hiç kullanmadığınız bir sitede ihlal
Birkaç açıklama mümkün. Biri adresinizi yanlış yazmış ya da bilerek kullanmış olabilir, veri adı geçen şirket için çalışan bir tedarikçiden gelmiş olabilir, sızıntı kazınmış ya da birleştirilmiş bir liste olabilir veya yıllar önceki bir hesabı basitçe unutmuş olabilirsiniz. Öğrenmek için resmi sitedeki "parolamı unuttum" işlevini kullanın. Bir sıfırlama iletisi gelirse bir hesap vardır ve onu güvene alabilir ya da kapatabilirsiniz. Siz oluşturmadıysanız şirketle iletişime geçin, çünkü adresinize başkasının verileri bağlı olabilir.
Artık kullanmadığınız eski bir parola
Bu iyi haber, yeter ki "artık kullanmıyorum" her yerde doğru olsun. Unutulmuş hesaplar eski parolaları tutma eğilimindedir ve aynı kalıptan türetilmiş her yeni parola da değiştirilmeyi hak eder. Bir parola yöneticiniz varsa parolayı orada arayın.
Parolanızı alıntılayan bir şantaj e-postası
Bu dolandırıcılık yaygındır ve ilk seferinde korkutucudur. Gönderen kanıt olarak eski ve gerçek bir parolanızı alıntılar, web kameranız aracılığıyla sizi kaydettiğini iddia eder ve kripto para talep eder. Tipik durumda parola bir ihlal listesinden gelmiştir ve ortada bir kayıt yoktur. Ödeme yapmayın ve yanıt vermeyin. O parolayı hâlâ kullandığınız her yerde değiştirin, iletiyi bildirin ve göndereni engelleyin. İleti gerçek özel materyal ya da ciddiye aldığınız bir tehdit içeriyorsa bir kopyasını saklayın ve polisle iletişime geçin.
İş adresiniz ihlalde yer aldı
Küçük görünse bile BT ya da güvenlik ekibinize söyleyin. Şirket sistemlerinde tekrar kullanımı kontrol etmek, kimlik bilgilerini sıfırlamak ya da hedefli kimlik avını izlemek isteyebilirler. Bir iş adresiyle izleme hizmetlerine kaydolmadan önce işvereninizin politikasını kontrol edin ve bundan sonra kişisel hesaplarınızı kişisel bir adreste tutun.
Bir ebeveyn ya da akraba bildirimi aldı
Onlarla aynı sırayı izleyin; ana posta kutularına ve tekrar kullanılan parolalara odaklanın. Yaşlı akrabalar, ihlali anan takip aramalarının sık hedefidir; bu yüzden üzerinde anlaşılacak yararlı bir kural, hiçbir gerçek şirketin onlardan bir kodu yüksek sesle okumasını istemeyeceğidir. Arayan aksini söylerse telefonu kapatıp bir banka kartındaki ya da ekstredeki bir numaradan geri arayabilirler.
Bir uzlaşma ya da tazminat iletisi
Büyük ihlallerden sonra toplu davalar ya da tazminat programları hakkında iletiler alabilirsiniz. Bazıları gerçektir, bazıları ise banka bilgilerini toplamak için kurulmuş taklitlerdir. Bir şey doldurmadan önce uzlaşmayı resmi bir mahkeme, düzenleyici kurum ya da şirket sayfasında kontrol edin. Tazminat almak için ücret ödemeyin.
Sonraki haftalarda
Acil kısım bittiğinde ihlal, onu tehlikeli yapan şeyi düzeltmek için iyi bir bahanedir. Bunların hiçbirinin tek oturuşta yapılması gerekmiyor.
Kullanmıyorsanız bir parola yöneticisiyle başlayın. Her site için rastgele bir parola üretir ve benzer görünen bir alan adında doldurmayı reddeder; bu da size biraz kimlik avı koruması sağlar. Tanınmış bir ürün seçin, uzun bir parola cümlesi ve ikinci bir adımla koruyun, en önemli hesaplarınızı önce taşıyın. Gerisi, onlara giriş yaptıkça gelebilir. NIST'in dijital kimlik yönergeleri, düzenli parola değişikliklerini kendi başına zorlamaya karşı çıkıyor ve parolaların bilinen sızıntılara karşı kontrol edilmesini öneriyor; yani her şeyi bir takvime göre değiştirmeniz gerekmiyor. İfşa olmuş, zayıf ya da tekrar kullanılan olanı değiştirin.
Sonra posta kutusu aramanızdan çıkan unutulmuş hesaplar listesini gözden geçirin. Her uykudaki hesap, bir sonraki olayı bekleyen depolanmış veridir. Giriş yapın, profilden kaldırabildiklerinizi kaldırın, kayıtlı kartları silin ve hesabı kapatın. Silme düğmesi yoksa sitenin gizlilik politikasındaki gizlilik iletişim adresine yazın. GDPR ve Kaliforniya'nınki de dahil bazı diğer yasalar uyarınca birçok kişinin silme talep etme hakkı vardır; ancak şirket, tutmakla yükümlü olduğu kayıtları saklayabilir ve bu haklar yaşadığınız yere bağlıdır.
Güvenlik soruları sırada. "Anne kızlık soyadı" ve "ilk okul" çoğu zaman ihlal verilerinden ya da sosyal medyadan bulunabilir. Bir site sizi bunları kullanmaya zorluyorsa rastgele bir yanıt verin ve onu bir parola gibi parola yöneticinize kaydedin.
Son olarak, bir süre dikkatinizi sürdürün. Sızan veri yıllarca dolaşmaya devam eder ve hedefli kimlik avı çoğu zaman manşetler sönüp gittikten çok sonra gelir. İhlal uyarılarını açık tutun, parola yöneticinizin raporunu birkaç ayda bir gözden geçirin ve ihlal edilen hizmeti anan hiçbir iletiye hemen güvenmeyin.
Bir sonraki ihlali küçültmek
Bir şirketin güvenliği üzerinde denetiminiz yok. Ama onun ne kadar veri tuttuğunu ve bir sızıntının o tek kayıttan ne kadar yayılabileceğini siz denetlersiniz. Amaç, gelecekteki her bildirimin hızlı bir parola kontrolü anlamına gelmesi ve başka bir şey gerektirmemesidir.
Adreslerinizi güvene göre ayırın
En yararlı tek değişiklik, herkese tek bir adres vermeyi bırakmaktır. Basit bir üç kademeli düzen çoğu kişiyi kapsar; kişisel e-posta stratejisi kurma yazımız bunu adım adım anlatıyor.
| Kademe | Ne için kullanılır | Adres türü | Bir ihlalin maliyeti |
|---|---|---|---|
| Ana | Banka, kamu, sağlık, iş, parola yöneticisi, ana sosyal hesaplar | Güçlü oturum açma korumalı, uzun vadeli, nadiren paylaşılan bir adres | Ciddi, ama bu kademenin nadiren sızması gerekir, çünkü onu tutan şirket azdır |
| Günlük | Mağazalar, abonelikler, yıllarca tutacağınız hizmetler | İkinci bir posta kutusu ya da posta kutunuza yönlendiren takma adlar (alias) | Sınırlı; tek bir takma adı kapatabilir ya da filtreleyebilirsiniz |
| Tek seferlik | Tek bir indirme, bir daha kullanmayacağınız bir form, kendi kayıt sayfanızı test etmek | Sitenin koşulları izin veriyorsa geçici bir gelen kutusu | Küçük; adres adınıza bağlı değildir ve gelen kutusu artık yoktur |
name+shop@example.com gibi artı (+) adresleme bir yerde ortada durur. Gmail'de ve Outlook.com'da çalışır ve adresinizi kimin sızdırdığını ya da sattığını gösterebilir. Hiçbir şeyi gizlemez, çünkü herkes etiketi silip temel adresi görebilir ve saldırganların araçları tam olarak bunu yapar. iCloud+, Proton ya da Firefox Relay'inkiler gibi yönlendirmeli takma adlar gerçek adresi düzgünce gizler, çünkü takma adda ona geri işaret eden hiçbir şey yoktur. Alışveriş burada özel bir düşünce hak ediyor, çünkü mağaza veri tabanları adresleri, telefon numaralarını ve ev adreslerini bir arada tutar. Alışveriş e-postası gizliliği rehberimiz, fişlerinizi nasıl saklayacağınız da dahil olmak üzere bu durumu ele alıyor.
Geçici bir gelen kutusunun işe yaradığı yer
Geçici bir gelen kutusu, kalıcı bir ilişkinizin olmadığı bir sitede tek bir işlem için, gizlilik amacıyla ve sitenin koşullarının izin verdiği yerde uygundur. VookMail böyle bir hizmettir: sayfa yüklendiğinde adres hazırdır, kayıt ya da parola gerekmez. Yeni'ye basarak bir kullanıcı adı yazabilir ve 30'dan fazla alan adından birini seçebilir, ya da rastgele bir adres için sarı Rastgele düğmesine basabilirsiniz. İletiler, ekler ve adresler yaklaşık bir gün sonra silinir.
Gelecekteki bir ihlali sınırlayan şey bu kısa ömürdür. Bir kez ziyaret ettiğiniz bir site sonradan kullanıcı tablosunu sızdırırsa, o tablodaki adres artık hiçbir şey tutmayan ve adınıza, telefonunuza ya da ana posta kutunuza bağlantısı olmayan bir gelen kutusuna çıkar. Orada oluşturduğunuz parola hâlâ önemlidir, bu yüzden benzersiz olsun. Profilde girdiğiniz ayrıntılar da ifşa olur; bu, yalnızca formun gerektirdiğini doldurmak için iyi bir nedendir.
Sınırlar da aynı derecede açık. Geçici bir adresi bilen ya da tahmin eden herkes o gelen kutusunu açabilir; bu yüzden rastgele bir adres daha güvenli bir seçimdir ve oraya özel hiçbir şey konmaz. Haftalar sonra bir parola sıfırlamasını güvenilir biçimde alamazsınız; bu yüzden tekrar ihtiyaç duyabileceğiniz her hesap için yanlış araçtır ve bankacılık, kamu hizmetleri, sağlık, iş ya da ana sosyal hesaplarınız için asla kullanılmamalıdır. Bazı siteler tek kullanımlık alan adlarını reddeder. Bu onların kararıdır ve doğru karşılık buna saygı göstermek, onlara kalıcı bir adres ya da takma ad vermektir. Kullanım koşullarımız da hizmetin dolandırıcılık, kötüye kullanım ya da bir engeli aşmak için kullanılmasını yasaklıyor.
En baştan daha azını verin
Hasar, nelerin saklandığına bağlıdır. İsteğe bağlı alanları boş bırakın. Nadiren kullandığınız bir sitede kart kaydetmeyin. Tam güvenmediğiniz hizmetlerdeki "ile giriş yap" düğmelerine dikkat edin ve istedikleri profil erişimine bakın. Bir site güvenlik için gerçekten gerek duymuyorsa telefon numarası vermeyin. Bir sitenin yalnızca doğum günü kuponu için istediği doğum tarihi, form izin veriyorsa kendinize saklayabileceğiniz bir veridir.
Verilerinizi iki farklı yer tutar
Çoğu zaman birbirine karıştırılan iki tür olayı ayırmak yardımcı olur. Bir hizmet ihlal edildiğinde saldırgan o hizmetin sakladığını alır: adresinizi, profilinizi ve veri tabanındaki diğer her şeyi. Posta kutunuz ele geçirildiğinde saldırgan farklı bir şey alır, yani sakladığınız her iletiyi: eski fişler, parola sıfırlama bağlantıları, taranmış belgeler ve özel yazışmalar dahil.
İkincisi genellikle daha kötüdür ve bu rehberin sizi hep posta kutusuna geri göndermesinin nedeni budur. Aynı zamanda mütevazı bir alışkanlık öneriyor: ana hesabınızda on yıllık düşük değerli postanın durması gerekmez. Eski kargo bildirimlerini ve bültenleri silmek, posta kutusunun ele geçirilmesinin açığa çıkarabileceklerini azaltır; önemli belgeleri kendi korumasıyla güvenli bir yerde saklamak da çok az maliyetlidir.
Geçici gelen kutuları bu fikrin en ucunda yer alır. VookMail'de her alan adının MX kayıtları bir posta teslim sağlayıcısını gösterir; bu sağlayıcı iletiyi SMTP üzerinden alır ve HTTPS üzerinden hizmete iletir. İletiler ve ekler yaklaşık bir gün sonra kaldırıldığı için uzun bir arşiv oluşmaz. Hizmetin verileri nasıl ele aldığı gizlilik politikasında ve yöntem sayfasında açıklanıyor.
İhlalin kendisi nasıl yaşandı ve bu sizin için neden önemli
Şirketler nedeni her zaman ayrıntılı açıklamaz, ama açıkladıklarında ne bekleyeceğinizi söyleyebilir.
- SQL enjeksiyonu ya da yamalanmamış bir sunucu gibi bir açık üzerinden veri tabanının ele geçirilmesi, genellikle kullanıcı tablosunun toplu olarak kopyalandığı anlamına gelir. Adreslerin ve parola karmalarının olmasını bekleyin ve verilerin alıp satılacağını varsayın.
- Yanlış yapılandırılmış depolama, bir veri tabanının ya da bulut kovasının internete açık bırakıldığı anlamına gelir. Kimse bir şeyi "hacklememiş" olabilir ve şirket onu kimin indirdiğini bilmeyebilir; bu yüzden "verilerim alındı mı?" sorusunun dürüst yanıtı "söyleyemeyiz" olabilir.
- Bir tedarikçi olayı, bir pazarlama platformunun, destek masasının ya da analiz aracının ele geçirildiği anlamına gelir. Bu, tanımadığınız adlardan gelen bildirimleri açıklar ve genellikle parolaları değil iletişim verilerini ve destek taleplerini ifşa eder. Bir destek talebine yazdığınız her şey dahil olabilir; bu yüzden onlara ne gönderdiğinizi düşünün.
- Kazıma (scraping), bir site ya da API aracılığıyla herkese açık veya yarı açık profil verilerini büyük ölçekte toplar. Şirketler bazen bunun ihlal olmadığını savunur, ama adresiniz yine de alıp satılan bir veri kümesine girer.
- İçeriden kötüye kullanım, bir çalışanın ya da yüklenicinin çıkarmaması gereken verileri dışarı aktarması anlamına gelir. Çoğu zaman hedeflidir; bu yüzden olağandışı ve kişisel takip iletileri daha fazla şüpheyi hak eder.
Baskı altında yapılması kolay hatalar
En yaygını, yalnızca ihlal edilen sitenin parolasını değiştirip aynısını e-postanızda ve alışveriş hesaplarınızda bırakmaktır. Yakın bir ikincisi, eski parolanın küçük bir varyasyonudur. Summer2024! parolasından Summer2025! parolasına geçmek, bir kırma aracı için neredeyse hiç ek çaba gerektirmez.
İnsanlar ayrıca tek bir değişiklikte durma eğilimindedir. Yönlendirme kurallarını atlarlar; parola değişikliğinden önce içeride olan birinin sonrasında da postayı almaya devam etmesi böyle olur. Bir kimlik doğrulayıcı uygulama ya da geçiş anahtarı varken kısa mesaj kodlarına güvenmek kritik hesaplarda bir açık bırakır; yine de tek seçenek oldukları yerde mesajlar hiç yoktan iyidir.
Sonra tersi hata var: her bildirimi acil durum saymak. Yalnızca basitçe kapatabileceğiniz bir hesaptan adresiniz sızdıysa e-posta adresinizi değiştirmeniz gerekmez ve korkutucu bir reklam çıktı diye bir izleme ürünü için ödeme yapmanıza da gerek yoktur. Çabanızı, bir parolanın, bir kartın ya da bir kimlik numarasının söz konusu olduğu durumlara saklayın.
Bildirimden sonra akla gelen sorular
E-posta hesabımı silmeli miyim?
Genellikle hayır. Ana adresiniz yıllarca süren parola sıfırlamalarına ve kişilere bağlıdır; ondan vazgeçmek kendi risklerini yaratır, çünkü unutulmuş bir hesabı geri almak zor olabilir. Bunun yerine onu koruyun ve düşük güvenli sitelere vermeyi bırakın. Yeni bir adres ancak eskisi umutsuzca ifşa olduysa anlamlıdır; o zaman hesaplarınızı kademeli olarak taşımalı ve eskisini bir süre açık tutmalısınız.
Şirket parolaların şifrelendiğini söylüyor. Yine de benimkini değiştirmem gerekir mi?
Evet. Yöntemi ve anahtarların da alınıp alınmadığını bilmeden korumayı değerlendiremezsiniz; parola değiştirmek de bunu öğrenmekten daha kısa sürer. Aynı parolayı başka yerde kullandıysanız orada da değiştirin.
Geçici bir adres bir ihlali önleyebilir mi?
Hiçbir araç bir şirketin ihlal edilmesini durdurmaz. Geçici bir adres, ihlalin hakkınızda neyi açığa çıkardığını değiştirir. Bu yolla katıldığınız bir forum kullanıcı tablosunu sızdırırsa, kimliğinizi belli eden başka bir şey girmediyseniz sızan adresin kimliğinizle bağlantısı yoktur.
Ne sıklıkla kontrol etmeliyim?
Kontrol işi siz uğraşmadan yapılsın diye uyarıları açın. Parola yöneticinizin raporuna birkaç ayda bir elle göz atmak yeterlidir; kullandığınız bir hizmet haberlerde olduğunda bir de ek olarak bakın.
Karanlık ağ izleme için ödeme yapmak işe yarar mı?
Ne satın aldığınıza bağlı. Bu ürünler çoğunlukla verilerinizin bir yerde ortaya çıktığını bildirir; bunu yukarıdaki sorgulama servislerinden büyük ölçüde ücretsiz öğrenebilirsiniz. Kimlik sigortası ya da kurtarma yardımı, resmi kimlik verileriniz ifşa olduysa bir ölçüde işe yarayabilir; bu yüzden ödeme yapmadan önce planın gerçekte neyi kapsadığını okuyun.
Bunu kime bildirmeliyim?
Bir şirketin ihlalini normalde bildirmeniz gerekmez, çünkü şirketin düzenleyicilere karşı kendi yükümlülükleri vardır. Para kaybettiyseniz ya da şantaj yapılıyorsa bildirin: önce bankanıza, sonra polise ya da ulusal dolandırıcılık bildirim hizmetinize. AB'de ve Birleşik Krallık'ta, bir şirket olayı kötü ele alırsa ya da taleplerinizi yok sayarsa veri koruma otoritenize şikâyet edebilirsiniz.
Geçici gelen kutularının nasıl çalıştığı ve iletilerin ne kadar süre saklandığı hakkında daha fazlası için VookMail SSS sayfasına bakın.