Kimlik Avı 2FA Kodlarınızı Nasıl Çalar — ve Nasıl Durdurulur

2FA Kodları Neden Artık Bir Hedef

Yıllarca güvenlik tavsiyesi tek satıra indirgeniyordu: güçlü ve benzersiz bir parola kullanın. Bu tavsiye hâlâ geçerli, ancak yeterli olmayı bıraktı. İki faktörlü kimlik doğrulama bankacılık, e-posta ve sosyal medya hesaplarına yayıldıkça saldırganlar bir duvara çarptı — çalınmış bir parola artık tek başına kapıyı açmıyordu.

Bu yüzden taktik değiştirdiler. Parolaya saldırmak yerine artık ikinci faktörün kendisini hedefliyorlar: kısa mesajla, doğrulayıcı uygulamasıyla veya push bildirimiyle gelen tek kullanımlık kodu.

Kod, yeni ödül

Bu kodlar tek kullanımlık gibi görünür — altı hane, birkaç saniye geçerli. Ama o birkaç saniye boyunca bir kod, parolanız kadar güçlüdür. Saldırganlar kodu nadiren "hack"ler. Size onu ele geçirtmek için sahte bir giriş sayfası, inandırıcı bir telefon araması ya da yeni aldığınız bir numarayı "doğrulamanızı" isteyen acil bir mesaj kullanır.

Örnek bir senaryo: bankanız adına gelen bir SMS, "şüpheli işlem" bildirir ve "iptal için" bir bağlantı verir. Bağlantı, gerçek banka sitesinin birebir kopyasıdır. Parolanızı girersiniz, doğrulayıcı uygulamanızdan kodu alıp aynı sayfaya yazarsınız. Kod, saldırganın eline saniyeler içinde geçer ve gerçek sitede hemen kullanılır — çoğu kod 30 saniyelik zaman aralıklarında üretildiği ve kısa süre geçerli olduğu için acele etmek saldırganın lehinedir.

Yaygın hata: kodu "sadece doğrulama için" paylaşmak. Gerçek hiçbir hizmet sizden kodu telefonla ya da mesajla istermez. Kod yalnızca giriş sayfasına girilir — ve o sayfanın gerçek olduğunu adres çubuğundan doğrulamak gerekir.

Neden hâlâ işe yarıyor

Phishing (oltalama), teknolojiyi kırmakla değil, insan alışkanlıklarını sömürerek başarılı olur: tanıdık markalara duyulan güven, hesap sorunları korkusu ve hızlı davranma baskısı. Acil hissettiren mesajlar bilinçli bir tasarım seçimidir; panik, doğrulama refleksini bastırır.

Bunun işe yaraması için teknik bir kusur bulunması gerekmez — tam da bu yüzden işe yaramaya devam eder. Bu değişimi anlamak, onu durdurmanın ilk adımıdır.

Sahte Giriş Sayfaları: Klasik Oyun

En eski hile hâlâ en yaygın olan: güvendiğiniz siteye birebir benzeyen bir web sitesi. Saldırganlar gerçek giriş ekranını kopyalar — aynı logo, aynı renkler, aynı alanlar — ve benzer görünümlü bir alan adında barındırır. Bu adresler bir bakışta gözden kaçması kolay ayrıntılara dayanır: yer değiştirmiş bir harf, "secure" veya "login" gibi fazladan bir kelime ya da ".com" beklerken alışılmadık bir son ek.

Sayfa gerçek gibi davranır; sorun da tam olarak budur. Kullanıcı adınızı ve şifrenizi yazarsınız. Sahte site daha sonra, gerçek sitenin yapacağı gibi ikinci adımı ister; siz de kimlik doğrulayıcı (authenticator) uygulamanızdaki veya SMS'ten gelen kodu girersiniz.

O anda saldırganın elinde her şey vardır. Bilgileriniz sunucusuna ulaştığı anda gerçek web sitesini açar ve şifrenizle birlikte yeni kodunuzla oturum açar. Bu genellikle saniyeler içinde, 30 saniyelik kodun süresi daha dolmadan gerçekleşir. Gerçek siteye tamamen normal bir giriş gibi görünür.

Ardından sahte sayfa bir hata, "oturumun süresi doldu" mesajı gösterir ya da sizi yalnızca başka bir yere yönlendirir — girişin sessizce neden başarısız olduğunu sormanızı engelleyecek her şey.

Bu tuzağı yakalamanın en güvenilir yolu, kodu girmeden önce adres çubuğuna bakmaktır. Giriş bilgisi yazacağınız her sayfada alan adını baştan sona okuyun: banka-ornek.com ile banka-ornek.secure-login.com aynı şey değildir; ikincisinde asıl alan adı secure-login.com'dur, "banka-ornek" sadece bir alt klasör görünümündedir. Yazım hatalarına özellikle dikkat edin: "rn" harfleri "m" gibi, "0" (sıfır) "o" (o) gibi görünebilir.

Alan adı kontrolü pratikte zor geliyorsa, bağlantıya hiç tıklamayın. E-postadaki veya SMS'teki linke güvenmek yerine, siteyi yer iminizden ya da uygulamadan açın. Bankanız, e-posta sağlayıcınız ya da sosyal medya hesabınız sizi hiçbir zaman "kod doğrulanmazsa hesabınız kapanacak" gibi baskıyla kod istemez; bu aciliyet hissi neredeyse her zaman saldırganın kozudur.

Yaygın hata: kodu girdikten sonra giriş başarısız olursa tekrar denemek ve ikinci bir kod üretmek. Saldırgan ilk kodu zaten kullanmıştır; ikincisi de aynı şekilde çalınır. Giriş beklenmedik şekilde başarısız olursa, o siteye ait şifreyi hemen değiştirin ve hesabın oturumlarını kapatın.

Gerçek Zamanlı Phishing: Aradaki Saldırgan (Adversary-in-the-Middle)

Sahte giriş sayfaları giderek akıllanıyor. En tehlikeli versiyonu yalnızca şifrenizi toplamakla kalmıyor — onu anında kullanıyor.

Aktarım (relay) nasıl çalışır?

Aradaki saldırgan (adversary-in-the-middle, AiTM) saldırısı, sizinle gerçek web sitesi arasında duran bir proxy sitesi kullanır. Bir bağlantıya tıklarsınız, neredeyse kusursuz bir giriş sayfası kopyasına gelirsiniz ve kimlik bilgilerinizi yazarsınız. Proxy bunları gerçek siteye iletir ve her şeyi geri aktarır — böylece sayfa gerçek olanla tamamen aynı davranır.

Kopya o kadar sadıktır ki, gerçek sitenin şifre yanlış uyarısını bile aynen gösterir: yanlış şifre yazarsanız, gerçek site reddeder, proxy hatayı size geri taşır. Bu, sayfanın sahte olduğuna dair her türlü ipucunu ortadan kaldırır. Adres çubuğundaki alan adı da ikna edici görünür — kısa bağlantılar, açılış sayfaları veya "belge paylaşımı" gerekçeleriyle saldırgan, alan adının garip görünmesini gizler.

Sonra 2FA kodunuzu girersiniz. Proxy bunu gerçek zamanlı olarak iletir, gerçek site kabul eder ve giriş tamamlanır — ama saldırganın tarafında.

Kısa kod geçerlilik süresi neden sizi kurtarmaz?

30 saniyelik kod penceresi, saldırganın önce şifrenizi, sonra kodunuzu gördüğünü varsayar. AiTM bu boşluğu ortadan kaldırır: kod, geçerliyken yazdığınız anda kullanılır. Geçerlilik süresi önemsiz hale gelir.

Yaygın hata şu varsayımdır: "Kodum cihazımda kaldı, çalınamaz." Sorun kodun kendisi değil, kullanım anıdır. Kodu siz yazarken saldırgan aynı saniyede harcar; birkaç saniye sonra geçersiz olması hiçbir şeyi değiştirmez.

Asıl ödül: oturumunuz

Girişten sonra, gerçek site bir oturum çerezini (session cookie) saldırganın tarayıcısına verir — sizinkine değil. Saldırgan artık kimliği doğrulanmış bir oturuma sahiptir ve e-postanızı okuyabilir, diğer şifreleri sıfırlayabilir ya da sessizce oturumda kalabilir. Şifreniz ve kodunuz asla çalınmadı; canlı canlı ödünç alındı — bu daha da kötü.

Saldırgan oturum çerezini kopyalayıp saklar; günler sonra, siz fark etmeden tekrar kullanır. Şifrenizi değiştirmek bu oturumu her yerde sonlandırmaz — çoğu site tüm oturumları ayrı bir "her yerden çıkış yap" işlemiyle kapatır. Bu yüzden şüpheden sonra tek yapılacak, o ayarı bulup oturumları iptal etmek.

Oturum Açma Formunun Ötesinde Sosyal Mühendislik

Her saldırı sahte bir web sitesi içermez. Bazı hırsızlar teknolojiyi tamamen atlar ve telefonu elinde tutan kişiyi hedef alır.

Vishing: Kodunuzu Soran Arama

"Vishing", telefon yoluyla yapılan phishing'dir. Arayan kişi bankanızdan, işvereninizden veya bir destek ekibinden geldiğini iddia eder, aciliyet yaratır — şüpheli işlem, kilitli hesap — ardından kimliğinizi doğrulamak için doğrulama kodunu yüksek sesle okumanızı ister. Meşru hiçbir hizmet, kodunuzu sesli söylemenizi asla gerektirmez. Arayan kişi şu anda oturum açıyor ve kodunuz, ihtiyaç duydukları son parça.

Kendinizi korumanın yolu basit: aramayı siz kapatın, ardından kurumun resmi web sitesindeki veya uygulamasındaki numaradan (kartınızın arkasındaki numara değil, bağımsız bir kaynak) kendiniz arayın. Saldırgan sizi arama sırasında tutmaya çalışırsa bu bir kırmızı bayraktır — hat meşgulken ikinci bir arama yapamayacağınızı bilirler. Yaygın hata: arayan kişinin son dört hanesini veya doğum tarihinizi "zaten bilmeleri" sizi ikna etmesin. Bu bilgiler sızıntılardan kolayca elde edilir.

Push Bildirimi Yorgunluğu

Uygulamanız onay istemleri gönderiyorsa, şifrenizi çoktan bilen saldırganlar gece 2'de "Giriş onaylansın mı?" istekleri yağdırabilir; amaçları, onları durdurmak için Kabul'a basmanızdır. Tek yorgun bir dokunuş hesabınızı ele geçirir. Bazı uygulamalar numara eşleştirme ekler — ekranda gösterilen numarayı yazmanız gerekir — tam da yanlışlıkla yapılan onayların yaygın olması nedeniyle.

Doğru refleks: beklenmedik bir push bildirimi geldiğinde asla "Kabul"e basmayın, "Reddet"i seçin ve şifrenizi hemen değiştirin. Reddetme, saldırgana şifresinin artık işe yaramadığını söyler. Bir bildirim bile reddedilen gecede şifrenizi yenilemek, sabah uyanıp hesabın boş olduğunu görmekten çok daha ucuzdur.

SIM Takası ve SMS Ele Geçirme

Metin mesajıyla gönderilen kodlar telefon numaranızda yaşar ve telefon numaraları çalınabilir. SIM takasında (SIM swap), bir dolandırıcı operatörünüzü numaranızı kendi SIM kartına aktarmaya ikna eder, ardından kodlarınızı doğrudan alır. SMS, en zayıf 2FA kanalıdır; onu temel değil, yedek olarak değerlendirin.

Erken uyarı işareti: telefonunuz aniden "Şebeke yok" derken başkaları sizi aramaya devam ediyorsa, SIM klonlanmış olabilir. Hemen mobil operatörünüzü arayın (Wi-Fi çağrısı veya başka bir telefondan) ve hesap kilidi talep edin. Önlem olarak operatörünüzün sunduğu SIM değişikliği PIN'i veya port korumasını etkinleştirin; ayrıca e-posta ve banka hesaplarınızda SMS 2FA'yı authenticator uygulamasıyla değiştirin. Sıfırlama sürecinde SMS'e bağımlı her hesap, numaranızla birlikte düşer — bu yüzden tehlike zincirinin başını hedef alın.

Kod Hırsızlığını Gerçekten Durduran Savunmalar

Passkey'ler ve Güvenlik Anahtarları: Tasarım Gereği Phishing'e Dayanıklı

Passkey'ler ve FIDO2 donanım anahtarları, kendilerini kaydeden web sitesine kriptografik olarak bağlıdır — buna köken bağlama (origin binding) denir. Herhangi bir şeyi imzalamadan önce cihazınız, gerçek alan adıyla konuştuğunu doğrular. Sahte bir giriş sayfasında, gerçek zamanlı proxy çalıştıran bir sayfada bile anahtar basitçe reddeder. Çalınacak bir şey yoktur, tekrar oynatılacak (replay) bir şey yoktur; giriş kendi kendine başarısız olur. Bu, buradaki savunmalar arasında, sizin bir şey fark etmenize gerek kalmadan phishing'i otomatik olarak durduran tek savunmadır.

Pratikte bu, anahtarı ilk kez kaydederken doğru sitede olduğunuzu doğrulamanın yeterli olduğu anlamına gelir. Bir sonraki adım, anahtarın fiziksel yedeğini düşünmektir: donanım anahtarları kaybolabilir, bu yüzden çoğu hizmet ikinci bir anahtar kaydetmenize izin verir ve bunu ayrı bir yerde saklamak akıllıca olur. Telefonunuzda saklanan passkey'ler için, cihaz değişiminde erişimi kaybetmemek adına hesap kurtarma yönteminizi önceden kurun. Yaygın bir hata, anahtarı yalnızca tek bir hesapta deneyip sorunsuz çalışınca bırakmaktır; en kritik hesaplarınızda — e-posta ve bankacılık — etkinleştirmek asıl kazancı sağlar, çünkü e-postanızı ele geçiren bir saldırgan diğer tüm hesaplarınızın şifre sıfırlamalarını yönlendirebilir.

SMS Yerine Uygulamaları Tercih Edin

Doğrulayıcı (authenticator) uygulama kodları, SIM takası (SIM swap) yoluyla ele geçirilebilen veya size ulaşmadan önce saldırganın aktarıcısına yönlendirilebilen SMS kodlarından daha güvenlidir. Uygulama kodları cihazınızda kalır — yine de sabırlı bir dolandırıcı sizi kodları yüksek sesle okumaya ikna edebilir; bu yüzden her kod talebine şüpheyle yaklaşın. E-posta, bankacılık ve şifre yöneticisi hesapları için en güçlü seçenek olarak bir FIDO2 donanım anahtarı ekleyin.

Kurulumdan sonra iki küçük adım çoğu kişinin atladığı şeydir. Birincisi: uygulamayı kuran hemen ardından, hizmetin gösterdiği kurtarma kodlarını yazdırıp güvenli bir yere koyun; telefonunuz kaybolduğunda bu kodlar tek kurtuluşunuz olur. İkincisi: aynı doğrulayıcı uygulamasına birden fazla hesap ekleyin ve her girdiyi hizmet adıyla etiketleyin — altı farklı hesabın kodları yan yana dururken yanlış kodu okumak gerçek bir risktir. Bir de zamanla ilgili bir uç durum vardır: TOTP kodları cihaz saatinize göre üretilir. Telefonunuzun saati yanlışsa kodlar sürekli reddedilir; saat otomatik ayarlı kalsın.

Şifre Yöneticinizin Kanarya Olmasına İzin Verin

Şifre yöneticileri kimlik bilgilerini yalnızca kaydedildikleri tam alan adında otomatik doldurur. Benzer görünümlü bir sitede hiçbir şey doldurulmaz. Boş kalan otomatik doldurmayı bir kırmızı bayrak olarak görün: elle bir şey yazmadan önce adres çubuğunu kontrol edin.

Bunun işleyişini bir örnekle görün: mail.ornek.com için kaydettiğiniz şifre, mail.ornek-giris.com veya ornek.co gibi sayfalarda sessizce boş kalır. Saldırganın sayfası ne kadar inandırıcı olursa olsun, yöneticiniz alan adının eşleşmediğini bilir ve sizden önce fark eder. İki yaygın hatadan kaçının. İlki, otomatik doldurma "çalışmıyor" diye şifreyi elle kopyalayıp yapıştırmak — bu, kanaryanın uyarısını görmezden gelmekle aynı şeydir. İkincisi, yöneticinin "yeni şifre kaydet" penceresini sahte sitede onaylamak; alan adını pencerenin kendisinde de doğrulayın. Ayrıca her hesap için farklı ve rastgele bir şifre kullanın: yönetici yalnızca siz aynı şifreyi birden fazla sitede kullanmadığınızda bu bariyeri tam sağlar, çünkü tek bir sızan şifre başka hiçbir yere açılmamalıdır.

Kodları Güvende Tutan Günlük Alışkanlıklar

Günlük rutinler aksadığında güçlü savunmalar çöker. Birkaç alışkanlık, kalan boşlukların çoğunu kapatır.

Asla kod paylaşmayın. Meşru hiçbir hizmet, banka veya destek görevlisi size telefonla, e-postayla veya sohbette 2FA kodunuzu, parolanızı ya da bir "doğrulama numaranızı" asla sormaz. Bunu soran herkes bir saldırgandır. Kod bir anahtardır, onaylanacak bir parola değil. Bu kural SMS kodları için de geçerlidir: "Numaranıza gelen altı haneli kodu okuyun" diyen biri, kodun nereye gittiğini bilir. Bilgisayar ekranında beliren bir kod bakiyesi uyarısı bile bir istismar aracı olabilir — kimseyle paylaşılmaz.

Nereye yazdığınızı kontrol edin. Kimlik bilgilerinizi girmeden önce tarayıcı çubuğundaki adresin tamamına bakın — sayfadaki logoya değil. Daha iyisi, incelemeyi tamamen atlayın: önemli siteler için yer imlerini kullanın ya da adresi kendiniz yazın. Sahte sayfaların trafiğini e-postalardaki ve mesajlardaki bağlantılar sağlar. Sık yapılan hata: yalnızca alan adının başına ve sonuna bakmak. banka.guvenli-giris-ayr.com gibi bir adres, "banka" kelimesini içermesine rağmen gerçek alan adı değildir; alan adının kendisi, en sağdaki anlamlı bölümdür, okumayı oradan yapın.

Şüpheli bir sayfaya kod yazdıysanız:

1. O hesabın parolasını hemen değiştirin.
2. Hesabın güvenlik ayarlarından diğer tüm oturumları kapatın.
3. Sağlayıcıyla resmi destek kanalları üzerinden iletişime geçin ve durumu bildirin.
4. Bu parolayı başka yerlerde de kullanıyorsanız, orada da değiştirin.

Hız önemlidir — çalınan bir kod genellikle birkaç dakika içinde kullanılır. Oturum kapatma adımını atlamak yaygın bir hatadır; saldırganın zaten açtığı oturum, parola değişikliğinden sonra da canlı kalabilir.

Kod uygulamanızda siz istemeden beliren bir eşleştirme veya kod girişi ekranı gördüyseniz, reddedin: bu, birinin sizin kullanıcı adınızla giriş denemesidir.

Altı bölümün tamamındaki örüntü basit: saldırganlar kodların peşindedir, çünkü kodlar hesapların kilidini açar. Kodları kendinize saklayın, nereye girdiğinizi doğrulayın ve bir hizmet sunuyorsa passkey'leri veya donanım anahtarlarını tercih edin. Bunu yaparsanız, phishing'in çalacak çok az şeyi kalır.