Yıllar önce kayıt olduğun bir şirket hackleniyör. Veritabanları — e-posta adresini, muhtemelen parolanı ve diğer kişisel verilerini içeren — çalınıyor. Peki sonra ne oluyor?
Çoğu insan çalınan verilerin internetin karanlık bir köşesinde kaybolduğunu hayal eder. Gerçek bundan çok daha organize, çok daha kalıcı ve çok daha sonuç doğurucu.
Veri İhlali Zaman Çizelgesi
İhlalden sonra verilerine ne olduğunu anlamak, uygun şekilde yanıt vermene ve ihlaller gerçekleşmeden önce daha iyi kararlar almana yardımcı olur.
Aşama 1: İhlal gerçekleşir (0. Gün)
Bir saldırgan bir şirketin veritabanına yetkisiz erişim sağlar. Bu yamalanmamış bir güvenlik açığı, bir çalışana yönelik phishing saldırısı, ele geçirilmiş kimlik bilgileri veya herkese açık bırakılmış yanlış yapılandırılmış bir veritabanı aracılığıyla gerçekleşebilir.
Saldırgan veritabanını kopyalar. Bu küçük veritabanları için dakikalar, büyükler için saatler veya günler sürebilir. Şirket henüz bunun gerçekleştiğini bilmiyor olabilir.
Aşama 2: Keşif ve ifşa (Günler ila aylar sonra)
Şirket ihlali izleme yoluyla kendisi keşfedebilir ya da bir güvenlik araştırmacısı, kolluk kuvvetleri veya saldırganların kendileri tarafından (fidye yazılımı senaryolarında) bilgilendirilebilir.
GDPR (Avrupa) kapsamında şirketler, keşiften itibaren 72 saat içinde etkilenen kullanıcıları bilgilendirmekle yükümlüdür. Çeşitli ABD eyalet yasalarına göre bildirim süreleri değişiklik gösterir. Pratikte birçok ihlal gerçekleştikten haftalar veya aylar sonra açıklanır — bir kısmı ise hiçbir zaman açıklanmaz.
Aşama 3: Veriler piyasaya çıkar (Hemen ila haftalar sonra)
Çalınan veritabanına gerçekte ne olduğu şöyle:
Senaryo A: Karanlık web pazarlarında satılır Saldırgan veritabanını satışa çıkarır. Fiyatlar büyük ölçüde değişir — bir finans hizmetinden gelen bir milyon e-posta/parola çiftinden oluşan bir veritabanı binlerce dolara satılabilir. Bir oyun sitesinden gelen e-postalar içeren bir veritabanı birkaç yüz dolara satılabilir.
Senaryo B: Doğrudan kimlik bilgisi doldurmak için kullanılır Veritabanı parolalar içeriyorsa (hash'li bile olsa), saldırganlar bunları parola kırıcılardan geçirir ve ardından kırılmış kimlik bilgilerini yüksek değerli hedeflerde dener — bankacılık siteleri, e-posta sağlayıcıları, e-ticaret siteleri. Buna kimlik bilgisi doldurma denir. İşe yarar çünkü çoğu insan parolaları yeniden kullanır.
Senaryo C: Spam listelerine eklenir Parola olmasa bile, ihlallerden gelen e-posta adresleri spam göndericiler için değerlidir. Adresler gerçek olarak doğrulanmıştır (bir şeye kaydolmak için bir zamanlar kullanılmışlardır) ve toplu e-posta listelerine eklenir.
Senaryo D: Hedefli phishing için kullanılır İhlal ek bağlam içeriyorsa — hangi hizmeti kullandığın, kullanıcı adın, satın alma geçmişin — saldırganlar meşru görünmek için belirli ayrıntılara atıfta bulunan ikna edici phishing e-postaları hazırlayabilir.
Aşama 4: Veriler süresiz olarak dolaşımda kalır
Bu, çoğu insanın anlamadığı kısım: ihlal edilen veriler sona ermez veya kaybolmaz.
Bir veritabanı bir kez satıldığında, yeniden satılır. Diğer ihlal veritabanlarıyla birleştirilerek "combo listeler" oluşturulur — yüzlerce ihlalden birleştirilmiş e-posta/parola çiftlerinden oluşan devasa koleksiyonlar. Bazı combo listeler milyarlarca kayıt içerir.
2015'teki bir ihlalden gelen bir e-posta adresi 2026'da hâlâ spam listelerinde ve combo listelerde dolaşmaktadır. Büyük ihlallerden gelen veriler — LinkedIn 2012, Adobe 2013, Yahoo 2013-2016 — bugün hâlâ saldırılarda aktif olarak kullanılmaktadır.
E-postanın İhlal Edilip Edilmediğini Nasıl Kontrol Edilir
HaveIBeenPwned (haveibeenpwned.com) e-postanın bilinen ihlal veritabanlarında görünüp görünmediğini kontrol etmek için en kapsamlı ücretsiz araçtır. Güvenlik araştırmacısı Troy Hunt tarafından geliştirilmiştir ve yüzlerce büyük ihlali takip eder.
E-posta adresini gir ve şunları söyler:
- Adresin hangi ihlallerde göründüğü
- Her ihlalde hangi verilerin açığa çıktığı (e-posta, parola, kullanıcı adı, IP adresi vb.)
- Her ihlalin tarihi
Bu, geçmiş maruziyetini anlamak için kullanışlıdır. Henüz kamuoyuna açıklanmamış ihlalleri tespit etmez.
Mozilla Monitor (monitor.mozilla.org) aynı HaveIBeenPwned veritabanını kullanır ve sürekli izleme ekler — adresin yeni ihlallerde göründüğünde seni uyarır.
İhlal Bildirimi Aldıktan Hemen Sonra Yapılacaklar
E-postanın (ve muhtemelen parolanın) bir ihlalde açığa çıktığına dair bildirim alırsan, şu sırayla hareket et:
1. İhlal edilen servisteki parolayı değiştir Şirket parolaların "hash'lendiğini" söylese bile değiştir. Hash algoritmaları güç bakımından farklılık gösterir ve eski ihlaller genellikle hızla kırılabilen zayıf hash (MD5) kullanmıştır.
2. O parolayı başka bir yerde yeniden kullanıp kullanmadığını kontrol et Aynı parolayı diğer servislerde — özellikle e-posta, bankacılık veya sosyal medya hesaplarında — kullandıysan, oralarda da hemen değiştir. Kimlik bilgisi doldurma saldırıları özellikle parola yeniden kullanımını istismar eder.
3. Önemli hesaplarda iki faktörlü kimlik doğrulamayı etkinleştir E-posta tabanlı 2FA hiç yoktan iyidir. Kimlik doğrulayıcı uygulaması (Google Authenticator, Authy) veya donanım anahtarı (YubiKey) e-posta tabanlı 2FA'dan önemli ölçüde daha iyidir.
4. Phishing girişimlerine karşı dikkatli ol Bağlamsal verileri (hangi hizmeti kullandığın, kullanıcı adın, satın alma geçmişin) açığa çıkaran ihlallerin ardından hedefli phishing kampanyaları gelir. Önümüzdeki birkaç hafta içinde belirli hesap ayrıntılarına atıfta bulunan e-postalara karşı ekstra şüpheci ol.
5. Finansal hesaplarını izle İhlal ödeme verilerini içerdiyse, yetkisiz işlemlere karşı kart ekstrelerini izle. Yetkisiz işlemleri derhal bankana bildir.
Geçici E-posta İhlal Hasarını Nasıl Sınırlar
Temel olmayan kayıtlar için geçici veya tek kullanımlık e-posta adresi kullanmak, ihlal maruziyetini doğrudan sınırlar.
Daha sonra ihlal edilen bir servis için geçici adres kullandığında:
- İhlal edilen veritabanı
xk7p2m@instanttempemail.comiçerir — kimliğinle hiçbir bağlantısı olmayan süresi dolmuş, rastgele bir adres - Gerçek e-posta adresin veritabanında değildir
- İhlal verileri onu içermediğinden gerçek adresine phishing e-postası gelmez
- Bu adresi kullanan kimlik bilgisi doldurma saldırıları hiçbir yere varmaz çünkü adres ölüdür
Bu, tek kullanımlık e-postanın en somut ve pratik gizlilik faydalarından biridir — herhangi bir ihlalin patlama yarıçapını yalnızca o servisle sınırlar, gerçek kimliğine veya diğer hesaplarına taşmaz.
Geçici adres hâlâ phishing kampanyalarında kullanılabilir, ancak gelen kutusu süresi dolduğundan phishing e-postaları hiçbir yere ulaşmaz ve hiç görmezsin.
Parola Yeniden Kullanma Sorunu
Veri ihlalleri en çok birden fazla serviste yeniden kullanılan parolaları açığa çıkardığında tehlikelidir. Bunu anlamak, hem ihlal hijyeninin hem de e-posta hijyeninin birlikte neden önemli olduğunu açıklamaya yardımcı olur.
Tipik bir kimlik bilgisi doldurma saldırısı şöyle işler:
- Saldırgan çeşitli ihlallerden gelen 500 milyon e-posta/parola çiftini içeren bir combo listesi satın alır
- Her çifti hedef bir servise (Gmail, PayPal, Amazon) karşı deneyen bir betik yazar
- Küçük bir yüzde — %0,1 bile — bu kullanıcılar parolayı yeniden kullandığı için başarıyla giriş yapar
- Bu hesaplar artık ele geçirilmiştir
Savunma basit ama disiplin gerektiriyor:
Parola yöneticisi kullan. 1Password, Bitwarden (açık kaynak, ücretsiz) veya Dashlane her servis için benzersiz rastgele parolalar oluşturur ve saklar. Parolaları hatırlamana gerek olmadığından asla parola yeniden kullanmazsın.
Her servis için benzersiz parola kullan. Parola yöneticisiyle bu zahmetsizdir. Onsuz gerçekten zordur — bu yüzden çoğu insan yapmaz ve bu yüzden kimlik bilgisi doldurma işe yarar.
Düşük değerli servisler için tek kullanımlık e-postalarla benzersiz parolaları birleştirmek, herhangi bir servisteki ihlalin diğer servislere saldırmak için yararlı hiçbir şeyi açığa çıkarmadığı anlamına gelir.
Bazı Şirketler Neden İhlalleri Açıklamaz
Her ihlal kamuoyunun bilgisine sunulmaz. Şirketler:
- İhlal edildiklerini bilmiyor olabilir (saldırganlar çoğunlukla gizlidir)
- Güvenlik açığını sessizce düzelterek kimsenin fark etmemesini umabilir
- Erişilenlerin kapsamını hafife alabilir
- Zayıf veya hiç ifşa gereklilikleri olmayan yargı bölgelerinde bulunabilir
- Bazen aylarca süren soruşturma sırasında ifşayı erteleyebilir
Bu, e-postanın HaveIBeenPwned'in bilmediği ihlal veritabanlarında görünebileceği anlamına gelir. İfşa edilmemiş ihlal sorunu, hiç ihlal bildirimi almamış olsan bile düşük güvenilirlikli servisler için tek kullanımlık adresler kullanmanın neden değerli olduğunu gösterir — farkında olmadan ihlal edilmiş olabilirsin.
Sıkça Sorulan Sorular
E-postam bir ihlalde bulunduysa ama parolam yoksa güvende miyim? Daha güvende ama güvende değil. Yalnızca e-posta ihlalleri spam listelerini besler ve seni phishing hedefi yapar. Ayrıca potansiyel hedeflerin daha zengin profillerini oluşturmak için diğer ihlal verileriyle birleştirilir. Hiçbir şeyi değiştirme ama şüpheli e-postalara karşı daha uyanık ol.
Verilerimi ihlal veritabanlarından kaldırtabilir miyim? HaveIBeenPwned gibi servisler tarafından kullanılan ihlal veritabanlarından — hayır, ve istemezdin de. Bu veritabanları maruziyetini kontrol etmeni sağlayan şeydir. Saldırganlar arasında dolaşan spam listelerinden ve combo listelerden — hayır. Veriler bu listelere girdiğinde, kaldırma mekanizması yoktur.
Kimlik hırsızlığı koruma servisleri için ödeme yapmaya değer mi? Değerleri değişkendir. Temel özellik — kişisel verilerini ihlal veritabanlarında izlemek — HaveIBeenPwned ve Mozilla Monitor aracılığıyla ücretsiz olarak kullanılabilir. Ücretli servisler sigorta, kredi izleme ve yardımlı kurtarma hizmetleri ekler; bunlar kimlik hırsızlığından zaten etkilendiysen değer taşır. Yalnızca ihlal izleme için ücretsiz araçlar yeterlidir.
Saldırganlar hangi e-posta/parola çiftlerini nerede deneyeceklerini nasıl bilir? Combo listeler genellikle kimlik bilgilerinin nereden geldiğine dair meta veri içerir. Saldırganlar ayrıca olasılığı kullanır — e-postana ve bir parolana sahiplerse, önce en yaygın yüksek değerli hedefleri dener: Gmail, Outlook, PayPal, Amazon, büyük bankalar. Bu süreci milyonlarca kimlik bilgisi üzerinde otomatikleştirirler.
Parolam açığa çıktı ama hash'lenmişti. Yine de değiştirmeli miyim? Evet. Hash gücü değişkendir. MD5 ve SHA1 hash'leri (birçok eski servis tarafından kullanılan) GPU tabanlı araçlar ve gökkuşağı tabloları kullanılarak dakikalar içinde kırılabilir. Parola zayıfsa, bcrypt ile hash'lenmiş parolalar bile yeterli zaman ve hesaplama gücü verildiğinde kırılabilir. Bağımsız olarak değiştir.