Instagram, X ve Facebook için İki Faktörlü Kimlik Doğrulama Rehberi

Sosyal Medya Hesapları Neden Çalınıyor

Sosyal medya hesapları sürekli çalınıyor ve bu tesadüf değil. Saldırganlar, ele geçirilmiş bir profilin hazır bir varlık olduğunu bilir: içinde yıllara dayanan güven zaten hazır olarak gelir.

Güvenlik uzmanları buna hesap ele geçirme (account takeover) der. İçeri giren bir hırsız, takipçilerinize dolandırıcılık bağlantıları içeren mesajlar gönderebilir, sizin adınıza para veya bilgi elde etmek için sizi taklit edebilir ya da kullanıcı adını sadece satmak için kullanabilir. Instagram ve X'teki yerleşik kullanıcı adlarının gerçek bir ikinci el değeri vardır, çünkü inandırıcı görünürler.

Zincir genellikle şöyle işler: ele geçirilen hesaptan gönderilen "Bu sen misin? Bu videoda" tarzı bir DM, arkadaşınızın da hesabını çalar. Tek bir ele geçirme, tüm takipçi listesi boyunca yayılabilir. Bu yüzden saldırganlar doğrudan hedefe değil, güvenilir bir arkadaşa saldırır; mesaj sizin hesabınızdan geldiği için şüphe uyandırmaz.

Bu ele geçirmeleri kolaylaştıran iki alışkanlık vardır:

• Şifre tekrarı. Başka bir yerde kullandığınız bir şifre bir veri sızmasında sızarsa, saldırganlar önce sosyal medya hesaplarınızda dener. Genellikle işe yarar. Denemeler otomatiktir: sızan şifre listeleri, binlerce hesap üzerinde dakikalar içinde döndürülür.
• Phishing (oltalama). İkna edici bir "giriş denemesi tespit edildi" e-postası veya DM'i sizi sahte bir giriş sayfasına yönlendirir. Şifrenizi yazarsınız; saldırgan onu toplar. Sık yapılan hata: bağlantıdaki adresi kontrol etmemek. instagram.com ile instagram-giris.net arasındaki fark, giriş sayfasında fark edilmez.

Bir hesabı kaybetmenin maliyeti basit bir rahatsızlığın ötesine geçer. Kişilerinizden ve topluluklardan kilitli kalabilirsiniz, adınıza gönderilen dolandırıcılıklar nedeniyle itibarınız zarar görebilir ve profile bağlı iş sayfaları bir gecede kitlelerini kaybedebilir. Daha kötüsü: saldırgan kurtarma e-postanızı da değiştirirse, hesabı geri alma süreci haftalar sürebilir ve her zaman başarılı olmaz.

İki Faktörlü Kimlik Doğrulama Aslında Ne Yapar

İki faktörlü kimlik doğrulama (2FA), iki farklı kanıt türünü birleştirir:

• Bildiğiniz bir şey — şifreniz.
• Elinizde olan bir şey — uygulamadan gelen bir kod, donanım anahtarı veya telefonunuz.

Şifrenizi tahmin eden veya çalan bir hırsız ikinci kontrolde başarısız olur. Telefonunuz veya anahtarınız olmadan, tek başına şifre işe yaramaz. Bu tek ekstra bariyer, çoğu hesap ele geçirmeyi durdurur; bunlar yeniden kullanılan veya sızan şifrelere dayanır. Pratikte bu şu anlama gelir: veritabanı sızıntısında şifreniz listelendiğinde bile, sızan veri tek başına oturum açmak için yeterli değildir.

Dürüst sınırlar

2FA bir kuvvet alanı değildir:

• Anlık onaylar kötüye kullanılabilir. Saldırganlar, durmaları için siz "Evet"e dokunasınız umuduyla tekrarlanan oturum açma istemleri gönderebilir. Kendiniz tetiklemediğiniz bir istemi asla onaylamayın. Şüpheniz varsa, telefonu kilitleyin ve şifrenizi hemen değiştirin; böylece süren istemleri durdurur.
• Kodlar oltalanabilir. İkna edici sahte bir oturum açma sayfası, şifrenizi ve tek kullanımlık kodunuzu isteyebilir, sonra ikisini anında kullanabilir. 2FA, ikisini de teslim etmenizi engelleyemez. Kodu yalnızca doğrudan açtığınız uygulamadan veya siteye yazdığınız adresten girin; kimseyle, "destek ekibi" dahil, paylaşmayın.
• SMS en zayıf halkadır. SIM takas saldırılarında numaranız saldırgana taşınabilir. Mümkünse kimlik doğrulayıcı uygulama veya donanım anahtarı tercih edin.

2FA'yı temel şüphecilikle eşleştirin: oturum açmadan önce web adresini kontrol edin ve beklenmedik oturum açma istemlerini görmezden gelinmesi gereken bir sıkıntı değil, bir uyarı işareti olarak değerlendirin.

İkinci Faktörünüzü Seçmek

Her ikinci faktör eşit değildir. Doğru olanı seçmek, en hızlı olanı seçmekten daha önemlidir.

Kimlik doğrulayıcı uygulamalar (mantıklı varsayılan)

Google Authenticator, Microsoft Authenticator veya Authy gibi uygulamalar telefonunuzda kod üretir. Çevrimdışı çalışırlar ve kodlar telefon numaranıza değil, cihazınıza bağlıdır. Bu, onları SIM takas saldırılarına karşı dirençli kılar; bu saldırıda bir suçlu, mobil operatörünüzü kandırarak numaranızı kendi SIM kartına taşıtır. Çoğu insan için doğru seçim budur. Kurulum sırasında ekranda gösterilen QR kodunu tararsınız; bazı uygulamalar ayrıca kurtarma için yedekleme seçeneği sunar. Yaygın hata: telefonu değiştirirken uygulamayı aktarmayı unutmak. Yeni cihaza geçmeden önce kodları taşıyın veya yedek kodlarınızın elinizde olduğundan emin olun; aksi halde hesabınızın dışında kalabilirsiniz.

SMS kodları

Mesajla gönderilen kodlar, hiç 2FA olmamasından iyidir, ancak yukarıdaki zayıflığı paylaşırlar: telefon numaranıza dayanırlar. Birisi numaranızı ele geçirirse kodlarınızı yakalayabilir. SMS, ayrıca yurt dışında seyahat ederken veya kapsama alanı dışındayken geç gelip oturum açmayı bloklayabilir. SMS'i yalnızca başka bir seçenek sunulmadığında kullanın.

Donanım güvenlik anahtarları

YubiKey gibi küçük USB veya NFC anahtarları mevcut en güçlü korumayı sağlar. Oturum açmak için anahtarın fiziksel olarak bulunması gerekir, bu nedenle kimlik avı siteleri onu çalamaz. İş, içerik üretici veya yüksek profilli hesaplar için maliyetine değer. İki anahtar satın alın: biri yanınızda, biri evde yedekte. Kayıp anahtar, yedek kodlar olmadan kilitlenme anlamına gelir.

Passkey'ler

Bir platform passkey sunuyorsa, bunlar güçlü ve daha yeni bir alternatiftir: kimlik avına dirençlidir, cihazınıza bağlıdır ve yazılacak kod gerektirmekten ziyade parmak izi veya yüz tanıma gibi cihaz kilidinizi kullanır. Dezavantajı, tüm cihazlarınızın ve tarayıcılarınızın henüz desteklememesi olabilir; destekleyen cihazlar arasında kurtarma yolunuz olduğundan emin olun.

Instagram, X ve Facebook'ta 2FA'yı Açma

Üç platform da ayarı farklı bir yere gömer. İşte her biri için güncel yol.

Instagram

1. Profilinizi açın, menüye dokunun, ardından Ayarlar ve gizlilik.
2. Hesap Merkezi'ne, ardından Parola ve güvenlik'e dokunun.
3. İki faktörlü kimlik doğrulama'yı seçin ve hesabınızı seçin.
4. Bir yöntem seçin: kimlik doğrulama uygulaması, SMS kodları veya WhatsApp kodları. Kimlik doğrulama uygulaması en güçlü seçim — çevrimdışı çalışır ve ele geçirilemez.
5. Kurulum sonunda ekranınızda görünen karekodu uygulamanızla tarayın. Kod tarayamıyorsanız, uygulamanın gösterdiği metin anahtarını elle yazın — aynı sonucu verir.
6. Uygulamanın ürettiği altı haneli kodu Instagram'a girin. Kodlar her 30 saniyede yenilenir; süresi bitmek üzereyse bir sonraki kodu bekleyin.

X

1. Ayarlar ve gizlilik'i açın, ardından Güvenlik.
2. İki faktörlü kimlik doğrulama'ya dokunun.
3. Bir kimlik doğrulama uygulaması veya güvenlik anahtarı seçin; anahtarınız varsa en güçlü seçenek odur. SMS kodları bazı hesaplarda görünür, bazılarında görünmez, bu yüzden onlara güvenmeyin.
4. Uygulama kurulumunu tamamlarken X sizden bir kurtarma kodu gösterir. Bunu hemen kaydedin — telefonunuzu kaybederseniz tek kurtarma yolunuz olabilir.

Facebook

1. Hesap Merkezi'ni açın, ardından Parola ve güvenlik.
2. İki faktörlü kimlik doğrulama'ya dokunun, hesabınızı seçin ve yönergeleri izleyin.
3. Ek olarak, tanınmayan oturum açma uyarılarını etkinleştirin; böylece normalde kullanmadığınız bir cihazdan biri oturum açtığında Facebook sizi bilgilendirir.

Menü adları uygulama güncellemeleriyle değişir. Bir yol ekranınızla eşleşmiyorsa, ayarlarda "iki faktörlü kimlik doğrulama" araması yapın — üç uygulamanın da tam bu yüzden bir arama kutusu var.

İki yaygın hata: 2FA'yı açıp yedek kodları kaydetmeden uygulamayı kapatmak ve telefonu değiştirirken kimlik doğrulama uygulamasını taşımayı unutmak. Yeni telefonda kodlar boş olur; eski cihazı sıfırlamadan önce uygulamayı aktarın veya yedek kodlarınize güvenin.

Yedek Kodlar ve Kurtarma Planlaması

2FA'yı etkinleştirdiğinizde her platform yedek kodlar sunar: telefonunuz kaybolduğunda, bozulduğunda veya sıfırlandığında işe yarayan tek kullanımlık parolalar. 2FA'yı açtığınız anda bunları oluşturun — çoğu platform bunu kurulum sihirbazının son adımı olarak zaten gösterir, ancak bu ekranı "daha sonra" tuşuyla geçen çok kişi var. Instagram'da kodları daha sonra Ayarlar > Hesap Merkezi > Şifre ve güvenlik bölümünden yeniden görüntüleyebilirsiniz; X ve Facebook'ta da güvenlik ayarlarında aynı seçenek bulunur. Genellikle 8-10 kod verilir ve her kod yalnızca bir kez çalışır: bir kodu kullandıktan sonra işaretleme alışkanlığı edinin, hangisinin harcandığını bilmeseniz kilitlenme anında sürpriz yaşarsınız.

Bunları çevrimdışı saklayın:

• Bunları yazdırın ve kâğıdı, önemli belgelerin yanında olduğu gibi güvenli bir yerde saklayın.
• Bunları parola yöneticinizin kasasına güvenli not olarak kaydedin.
• Bunları asla ekran görüntüsü klasöründe, e-posta taslağında veya masaüstünüzdeki düz metin dosyasında bırakmayın. Ekran görüntüsü klasörü bulutla otomatik eşitleniyorsa kodlar üçüncü taraf sunuculara kopyalanmış demektir.

İkinci Bir Yöntem Ekleyin

Tek bir cihaza güvenmeyin. Tek 2FA yönteminiz bir telefonun kimlik doğrulayıcı uygulamasıysa, o telefonu kaybetmek sizi kilitler. Platformun izin verdiği yerde ikinci bir seçenek ekleyin: bir kimlik doğrulayıcı uygulama artı bir donanımsal güvenlik anahtarı ya da ikinci bir cihazdan gelen kodlar. SMS'i tek yönteminiz olarak kullanmaktan kaçının, çünkü SIM swap saldırıları bu mesajları yönlendirebilir. Ayrıca eski telefonu satmadan veya vermeden önce kimlik doğrulayıcı uygulamasını yeni cihaza taşıdığınızı doğrulayın; uygulamaların çoğu hesap başına aktarım sunar.

Her Şeyi Kaybederseniz

Hem cihazınızı hem de kodlarınızı mı kaybettiniz? Her platformun Yardım Merkezi'nde bulunan resmi hesap kurtarma akışını kullanın. Kimlik doğrulama zaman alır, bu yüzden önlem her zaman kurtarmaya üstündür. Facebook gibi gerçek ad ve kimlik bilgisi isteyen platformlarda süreç şansınızı artırır; anonim takma adla açılmış hesaplarda kanıt sunmak zorlaşır.

Birinin İçeride Olduğundan Şüpheleniyorsanız

Hızlı davranın. Saldırganın elindeki her saat, sizi daha fazla kilitlemesine yetebilir.

İlk adımlar:

1. Parolanızı hemen değiştirin — güvenilir bir cihazdan, halka açık bir bilgisayardan değil. Yeni parola başka hiçbir yerde kullanmadığınız bir parola olsun; eski parolanızın bir varyasyonunu seçmek, saldırganın zaten bildiği bir şeyi yeniden kullanmak demektir.
2. Tüm etkin oturumları sonlandırın. Instagram, X ve Facebook'un her birinin güvenlik ayarlarında "tüm cihazlardan çıkış yap" seçeneği bulunur. Bu, saldırganın parolanız olsa bile onu dışarı atar. Sırayı bozmayın: önce oturumları kapatıp sonra parola değiştirirseniz, saldırganın açık oturumu sizi yeniden dışarı atabilir. Doğru sıra: oturumları sonlandır, sonra parolayı değiştir.
3. Kurtarma e-posta adresinizi ve telefon numaranızı kontrol edin. Saldırganlar genellikle önce bunları değiştirir; böylece parola sıfırlama bağlantıları size değil onlara gider. Tanımadığınız her şeyi kaldırın ve kendinizinkini geri yükleyin. Bağlı üçüncü parti uygulamalara da göz atın — tanımadığınız yetkilendirilmiş bir uygulama, saldırganın kapı açık bıraktığı bir yedek anahtar gibidir; erişimini iptal edin.

Hiç giriş yapamıyorsanız, tahmin etmeyi sürdürmeyin. Art arda başarısız denemeler hesabınızı kilitleyebilir ve zaman kaybettirir. Platformun resmî ele geçirilmiş hesap akışını kullanın:

• Instagram: Giriş ekranındaki "Oturum açarken yardım al"
• X: Giriş sayfasındaki "Yardıma mı ihtiyacınız var?" bağlantısı
• Facebook: facebook.com/hacked

Bu akışlar kimliğinizi doğrudan platform üzerinden doğrular ve geri dönmenin en güvenli yoludur.

Erişimi geri kazandığınız anda 2FA'yı açın. Onsuz kurtarılan bir hesap, yeniden çalınmayı bekleyen bir hesaptır.

Günlük Sosyal Medya Güvenlik Alışkanlıkları

2FA, birkaç temel alışkanlıkla birlikte en iyi şekilde çalışır.

Bir şifre yöneticisi kullanın. Her hesaba özgü, benzersiz bir şifre verin ve hiçbir sitede aynı şifreyi yeniden kullanmayın. Şifre yöneticisi bunları sizin için üretir ve hatırlar; böylece yalnızca tek bir güçlü ana şifreyi ezberlemeniz yeterli olur. Uzun, rastgele şifreler üretmesi, tek bir site sızsa bile diğer hesaplarınızın güvende kalmasını sağlar. Yeniden kullanılan bir şifre, bir veri sızıntısında üç hesabınızı birden ele geçirebilir.

Oturum açmadan önce kontrol edin. Sahte giriş sayfaları gerçek olanı piksel piksel kopyalar. Kimlik bilgilerinizi yazmadan önce adres çubuğuna bakın: instagram.com, x.com veya facebook.com olmalı, sonunda fazladan hiçbir şey olmamalı. Örneğin facebook.com.login-verify.example adresindeki "facebook.com" sizi kandırmak için konumlandırılmıştır; gerçek alan adı sondaki bölümdür. "Hesabınızı doğrulayın" diyen acil DM ve e-postaları şüpheli sayın — bağlantıya tıklamak yerine uygulamayı açın ya da adresi kendiniz yazın. Bu, 2FA'yı bile aşabilen kimlik avı (phishing) saldırılarına karşı en etkili savunmadır: saldırgan gerçek zamanlı olarak hem şifrenizi hem de kodunuzu toplayabilir.

Oturumları ve bağlı uygulamaları denetleyin. Arada bir güvenlik ayarlarınızı açın ve oturum açmış cihazları ve hesabınıza erişimi olan üçüncü taraf uygulamaları gözden geçirin. Tanımadığınız veya artık kullanmadığınız her şeyi iptal edin; bayat kalmış izler, sessizce geri dönmenin yoludur. Eski test uygulamaları ve yıllar önce yetki verdiğiniz küçük araçlar, bugün hâlâ erişimlerini korur — ayda bir kontrol yeterlidir.

Kurtarma bilgilerini güncel tutun. Eski bir telefon numarası veya terk edilmiş bir e-posta sizi kilitli bırakabilir — ya da bir saldırgana kurtarma yolu sunabilir. İkisi de değiştiğinde güncelleyin.

2FA açık, yedek kodlar saklanmış, benzersiz şifreler, giriş sayfalarına hızlı bir bakış: hesaplarınızı size ait tutan küçük bir rutin.