2FA Güvenlik Kontrol Listesi: Hesaplarınızı Bugün Kilitleyin

Güvenlik Kontrol Listesi Neden İyi Niyetleri Yener

Bir hesap ele geçirildiğinde, nedeni genellikle sıradan bir şeydir. Saldırganların egzotik araçlara ihtiyacı nadiren olur: başka bir sitede kullanılmış bir şifre ve arkasında ikinci bir doğrulama faktörü beklemeyen bir hesap yeter. Güvende hissetmekle gerçekten güvende olmak arasındaki fark nadiren bilgiyle ilgilidir — asıl mesele, işi sonuna kadar götürmektir.

Kontrol listesinin asıl değeri tam burada ortaya çıkar. "Güvenliğimi gerçekten geliştirmeliyim" demek, bitiş çizgisi olmayan bir endişedir. Bir kontrol listesi bunu, işaretleyebileceğiniz on iki somut adıma dönüştürür; her biri doğrulanabilirdir: yapıldı ya da yapılmadı. Belirsiz kaygı, sınırlı bir görev listesine dönüşür ve sınırlı görevler tamamlanır.

Beklentilerinizi şimdi ayarlayın: bu, tek oturuşta biten bir iştir. Yaklaşık bir saatlik odaklanmış zamanla bu makaledeki on iki adımın tamamını tamamlayabilirsiniz. Bazıları saniyeler alır, birkaçı daha uzun sürer, bir ikisi de sizi kaydedilmiş bir kurtarma kodunu aramaya gönderebilir — ama hiçbiri teknik beceri gerektirmez.

Pratik bir ipucu: başlamadan önce listeyi yazılı olarak çıkarın ya da not uygulamanıza kopyalayın; her adımı tamamladıkça yanına tarih düşün. Üç ay sonra hangi hesapların gözden geçirilmediğini hatırlamak, işaretlenmemiş bir maddeden zorlaşır. Sırayı da atlamayın — parola denetimi ilk adımdır çünkü 2FA etkin olsa bile, sıfırlama akışları zayıf bir parolayı geri kapıya dönüştürebilir.

Bir uyarı: süreç ortasında "bu hesabı sonra hallederim" tuzağına düşmek en sık yapılan hatadır. Az kullanılan eski hesaplar, unutulmuş kurtarma e-postaları ve hâlâ bağlı üçüncü taraf uygulamalar, saldırganın en çok sevdiği yüzeylerdir.

Sonunda, hangi hesapların korunduğunu, hangilerinin korunmadığını ve önce neyi düzeltmeniz gerektiğini tam olarak bileceksiniz.

Adım 1-3: Parolalarınızı Denetleyin ve Güçlendirin

Adım 1: Önemli Her Hesabı Listeleyin

Bir not açın ve kaybetmeyi göze alamayacağınız hesapları yazın: önce birincil e-postanız, ardından bankacılık ve ödeme uygulamaları, bulut depolama, parola yöneticisi ve telefon operatörünüz. E-posta önce gelir çünkü onu kontrol eden biri, neredeyse diğer her şeyin parolasını sıfırlayabilir.

Listeyi yaparken "şifremi unuturum" endişesiyle eski hesapları atlamayın; kullanmadığınız bir hesap bile aktif bir veri sızıntısına dahil olabilir. Belirsiz kalanları yazamıyorsanız, e-posta arşivinizde "hoş geldiniz", "hesabınız oluşturuldu" gibi ifadeleri aratmak unuttuğunuz kayıtları ortaya çıkarır. Artık kullanmadığınız hesaplar içinse doğrudan kapatma talebi en temiz çözümdür: silinmeyen bir hesap, korunması gereken bir hesaptır.

Adım 2: Bir Parola Yöneticisi Edinin

Bir parola yöneticisi her site için uzun ve benzersiz bir ana parola oluşturur ve saklar; böylece yalnızca bir ana parola ezberlersiniz. Güvenilir bir seçenek belirleyin, kendi iki aşamalı doğrulamasını açın ve şu anda belki de güvendiğiniz yapışkan notların ve tarayıcı otomatik doldurmanın yerine geçmesine izin verin.

Ana parolayı seçerken dikkat: günde on kez gireceksiniz, bu yüzden akılda kalması şart ama tahmin edilebilir olmamalı. Doğum tarihi ya da evcil hayvan adı içeren bir ana parola, yöneticinin sağladığı tüm korumayı tek noktadan çökerterek geçersiz kılar. Ayrıca acil durum planınızı düşünün: cihazınız kırılırsa girişin nasıl geri yükleneceğini bugünden bilin.

Adım 3: Yeniden Kullanılan Parolaları Kullanımdan Kaldırın

Yeniden kullanılan parolalar bu listedeki en büyük zayıflıktır. Herhangi bir site ihlal edildiğinde, saldırganlar aynı e-posta ve parola kombinasyonunu her yerde dener. Parola yöneticisinin güvenlik raporunun kopyaları işaretlemesine izin verin, ardından her birini değiştirin; e-postanız ve finansal hesaplarınızla başlayarak.

Yenilerini oluştururken, karmaşıklıktan çok uzunluk önemlidir. Dört-beş rastgele kelime, kısa bir simge dizisinden hatırlaması daha kolay ve kırılması çok daha zordur. Küçük bir ayrıntıya dikkat edin: bir site "en fazla 20 karakter" gibi tuhaf sınırlamalar koyuyorsa, sınırın üstünde kalmaya çalışmayın; mümkün olan en uzun parolayı kullanın ve bu sitede iki aşamalı doğrulamayı zorunlu kılın.

Adım 4-6: 2FA'yı Önemli Her Yerde Etkinleştirin

E-posta hesabınızla başlayın. Diğer tüm hizmetlerdeki her şifre sıfırlama işlemi onun üzerinden akar; dolayısıyla gelen kutunuzu kontrol eden biri her şeyin kilidini açabilir. 2FA'yı yalnızca tek bir hesapta etkinleştirecekseniz, bu hesapta yapın.

Adım 4: E-postanızı Önceliklendirin

Birincil e-postanız için bugün 2FA'yı etkinleştirin, sonra dışa doğru genişletin: bankacılık, sosyal medya, bulut depolama, iş hesapları. Çoğu hizmet bu seçeneği "güvenlik" veya "oturum açma" ayarlarının altında tutar.

Sıralamaya yardımcı olması için hesaplarınızı hasar potansiyeline göre derecelendirin: sıfırlama e-postalarını alan adresler, para hareket ettirebilen hesaplar, kimlik belgelerinizi veya kişisel fotoğraflarınızı barındıran hesaplar. Eski, unutulmuş hesaplar da unutmayın — onlar zayıf halkadır; artık kullanmıyorsanız kapatın.

Adım 5: Sunulan En Güçlü Yöntemi Seçin

Doğrulayıcı uygulamalar kodları cihazınızda üretir; bu nedenle çevrimdışı çalışırlar ve aktarım sırasında ele geçirilemezler. Donanım güvenlik anahtarları ise daha da zor phishing'e maruz kalır. SMS kodları hiç yoktan iyidir, ancak SIM-swap saldırıları onları yönlendirebilir — metin mesajlarını varsayılan değil, yedek olarak değerlendirin.

Yaygın hata: uygulamayı telefon değişiminde kaybetmek. Doğrulayıcı kurduğunuzda, cihazlar arası yedeklemeyi (uygulama bunu sunuyorsa) açın veya kodları iki cihaza ekleyin. Telefonunuzu satarak veya servise vermeden önce hesap bağlantılarını aktarın.

Adım 6: Yedek Kodlarınızı Düzgün Şekilde Kaydedin

Bir hizmet yedek kodları gösterdiğinde, bunları e-posta taslaklarınıza koymayın — bu, amacı boşa çıkarır. Kodları yazdırın veya bir şifre yöneticisinin şifreli notlarında, kurtarmaya çalıştığınız hesaba ihtiyaç duymadan ulaşabileceğiniz bir yerde saklayın.

Her kod yalnızca bir kez çalışır. Kullandığınızı işaretleyin; yarısı bitmiş bir liste gördüğünüzde yeni bir set üretin.

Adım 7-9: Kurtarma Seçeneklerini Kilitleyin

Kurtarma kanalları, hesaplarınızın arka kapısıdır. Kurtarma e-postanızı veya telefonunuzu kontrol eden biri genellikle şifrenizi sıfırlayabilir ve sıfırlamayı kendisi onaylayabilir; saldırganların önce bunlara saldırmasının nedeni budur.

Adım 7: Kurtarma E-postasını ve Telefonunu Gözden Geçirin

Birincil e-posta hesabınızla başlayın; ardından bankacılık, sosyal medya ve bulut depolamayı kontrol edin. Listelenen kurtarma e-postasının ve telefon numarasının güncel, yalnızca size erişilebilir ve kendilerinin de 2FA ile korunduğunu doğrulayın. Kurtarma iletişim bilgisi yanlış veya eksikse, devam etmeden önce düzeltin.

Pratik bir yöntem: her hesabı açın, ayarlardan "güvenlik" veya "hesap bilgisi" bölümünü bulun ve orada listelenen her e-postayı ve numarayı tek tek okuyun. Bir hesabı yıllardır kullanıyorsanız, kurtarma adresinin eski bir iş e-postası olma olasılığı yüksektir. Kontrol etmenin hızlı bir yolu da kendi ikinci adresinize "şifremi unuttum" denemesi yapmaktır; sıfırlama bağlantısının nereye gittiğini görürsünüz.

Adım 8: Eski Numaraları ve Terk Edilmiş Adresleri Kaldırın

Güncel olmayan her şeyi silin:

• Önceki operatörlerden, tarifelerden veya işlerden kalan telefon numaraları
• Artık kontrolünüzde olmayan alan adlarındaki e-posta adresleri — süresi dolmuş bir alan adındaki eski adres herkes tarafından yeniden kaydedilebilir
• Düzen değiştiyse, bir partnerin veya aile üyesinin iletişim bilgisi

Geri dönüştürülmüş telefon numaraları gerçek bir risktir: operatörler bunları yeniden atar ve yeni sahip sıfırlama kodlarınızı almaya başlayabilir. Aynı durum SMS tabanlı 2FA için de geçerlidir; numaranız operatörde kapatıldıysa, SMS kodlarının gelmesini beklemek yerine uygulamayla ürettiğiniz kodlara geçin. Numara değişikliğinden önce, kritik hesaplarda kayıtlı eski numarayı güncelleyin — kapatıldıktan sonra bu düzeltme çok daha zor hale gelir.

Adım 9: Güvenlik Sorularını Yeniden Düşünün

Cevaplara şifre gibi davranın, gerçek bilgi gibi değil. "Anne kızlık soyadı" veya "ilk evcil hayvan" genellikle sosyal medyada bulunabilir. Site güvenlik sorularını tamamen silmenize izin veriyorsa, öyle yapın. Aksi halde, uydurulmuş cevapları şifre yöneticinizde saklayın.

Uydurma cevap, sorulan soruyla hiçbir ilgisi olmayan bir dizedir: soru "ilk arabanız" olsa da, cevabınız kedi-mavi-4719 olabilir. Önemli olan tutarlılıktır; cevabı her seferinde aynı şekilde yazabilmelisiniz, bu yüzden şifre yöneticinizdeki not alanına soruyu ve cevabı birlikte kaydedin.

Adım 10-11: Aktif Oturumları ve Bağlı Uygulamaları Gözden Geçirin

Adım 10: Tanımadığınız Cihazların Oturumlarını Kapatın

Başlıca büyük hesapların çoğu (e-posta, sosyal medya, bulut depolama) aktif oturumların bir listesini gösterir: şu anda oturum açık cihazlar, yaklaşık konum ve son etkinlik tarihiyle birlikte. Bunu güvenlik ayarları altında bulun; genellikle "Cihazlar" veya "Oturum açtığınız yerler" olarak etiketlenir.

Her girişi kontrol edin. Eski telefonlar, ödünç alınan dizüstü bilgisayarlar ve unutulmuş kütüphane girişlerinin hepsi sayılır. Tanımadığınız veya artık kullanmadığınız her şeyin oturumunu kapatın, ardından bir oturum şüpheli görünüyorsa şifrenizi değiştirin.

Konum bazı durumlarda yanıltıcıdır: mobil operatörler bağlantıları başka şehirlerden yönlendirebilir, VPN kullanıyorsanız sunucunun konumu görünür. Kendi VPN'iniz veya bulut senkronizasyonuyla tanıdık bir cihazın "yabancı" bir konumdan gelmesi normal olabilir. Cihaz adına, işletim sistemine ve tarayıcıya bakın; bunlar konumdan daha güvenilir ipuçlarıdır. Yine de emin olamıyorsanız oturumu kapatın; zararı yoktur, yalnızca o cihazda yeniden giriş yapmanız gerekir.

Yılda en az bir kez bu listeyi baştan sona gözden geçirin. Saldırganlar haftalarca fark edilmeyen oturumlar açabilir; son etkinlik sütunu bu noktada en iyi erken uyarı sisteminizdir.

Adım 11: Üçüncü Taraf Uygulama Erişimini Kaldırın

Yıllar içinde, muhtemelen uygulamalara ve hizmetlere hesaplarınıza erişim izni verdiniz: Google ile giriş, quiz uygulamaları, randevu planlama araçları, eski tarayıcı eklentileri. Her biri sürekli açık bir davettir.

Hesabınızın güvenlik ayarlarında "Bağlı uygulamalar" veya "Üçüncü taraf erişimi" ifadesini arayın. Aktif olarak kullanmadığınız her şeyi kaldırın. Bir uygulamanın ne yaptığını hatırlamıyorsanız erişimini kaldırın; daha sonra her zaman yeniden yetkilendirebilirsiniz.

İzinlerin kapsamına dikkat edin. Bazı uygulamalar yalnızca profil adınızı okur, bazıları ise tam e-posta erişimi veya takvim yazma yetkisi ister. Takvim veya e-posta yazma izni olan, tanımadığınız uygulamaları öncelikli olarak temizleyin. Ayrıca geliştiricisi kapanmış veya satın alınmış uygulamalar eski izinleri koruyabilir; sahiplik değişikliği, erişimi yeniden değerlendirme nedenidir.

Herhangi Bir Şüpheli Uyarıdan Sonra

Beklemediğiniz herhangi bir giriş uyarısından hemen sonra her iki kontrolü de tekrarlayın. Saldırganlar, başka bir şey fark etmeden önce genellikle yeni oturumlar veya uygulama bağlantıları oluşturur. Bu durumda sıralamayı izleyin: önce şifreyi değiştirin, sonra tüm oturumları kapatın, ardından bağlı uygulamaları temizleyin. Şifreyi değiştirmeden yalnızca oturum kapatmak yetmez; saldırganın parolası hâlâ geçerliyse yeni bir oturum açabilir.

Adım 12: Alışkanlık Haline Getirin

Güvenlik kontrol listeleri yalnızca güncel kaldıklarında işe yarar. Gelecek yıl oluşturulacak bir hesap, az önce düzelttiklerinizle aynı korumayı hak eder.

Yeni Hesapları Hemen Ekleyin

Her yeni bir servise kaydolduğunuzda, devam etmeden önce temel adımları uygulayın: şifre yöneticinizden benzersiz bir şifre, açık 2FA, kontrolünüzdeki kurtarma bilgileri. Hesap daha yeniyken bu iki dakika sürer ve sonradan geriye dönük uyarlamaya çalışmaktan çok daha az zahmetlidir.

Yaygın hata: kayıt sırasında "2FA'yı daha sonra ayarlayayım" demek. "Sonra" genellikle "asla" demektir. Bir örnek: yeni bir alışveriş sitesi sizden doğum tarihi ve telefon isterse, gerçek kurtarma telefonunuzu vermek yerine alakasız bir numara kullanmayı düşünün — kurtarma bilgisi, hesabı ele geçirmek için kullanılabilecek bir kanal da olabilir.

Kontrol Listesini Yılda İki Kez Yeniden Uygulayın

Takviminize yinelenen bir hatırlatıcı ekleyin — altı ayda bir, kontrol listesinin tamamını baştan geçin. Kullandığınız bir hizmetle ilgili bir veri ihlali haberi çıktığında erken tetikleyin: önce o hesabı kontrol edin, gerekirse şifreyi değiştirin ve 2FA'nın hâlâ etkin olduğunu doğrulayın.

Yeniden geçiş sırasında iki şeyi özellikle arayın: şifre yöneticinizde artık kullanmadığınız hesaplar (kapatın veya silin — her ölü hesap bir saldırı yüzeyidir) ve o zamandan beri 2FA seçeneği eklemiş eski servisler.

2FA'nızı Zaman İçinde Yükseltin

Koruma, alışkanlıklarınızla birlikte gelişmelidir. Hâlâ kodları SMS ile alıyorsanız, bir kimlik doğrulama uygulamasına geçin. Bu rutinleştiğinde, en kritik hesaplarınız — e-posta, şifre yöneticisi, bankacılık — için donanımsal bir güvenlik anahtarı düşünün.

Yükseltme sırası önemli: önce e-posta. E-postanıza erişen biri, çoğu serviste "şifremi unuttum" ile diğer hesaplarınızı sıfırlayabilir.

Bir Adım Sorun Ortaya Çıkarırsa Ne Yapmalı

Zayıf bir nokta bulmak başarısızlık değildir — kontrol listesinin işe yaramasıdır. En sık karşılaşılan bulguları nasıl düzelteceğiniz aşağıda.

Şifre veya Oturum Kırmızı Bayrakları

Şifre yeniden kullanılmışsa, zayıfsa ya da tanımadığınız bir oturum fark ederseniz:

• Önce diğer girişlerinizle bağlı e-posta hesabından başlayarak şifreyi hemen değiştirin. Saldırgan e-postanızı ele geçirirse, diğer hesapların "şifremi unuttum" özelliği üzerinden sıfırlama bağlantıları talep edebilir; e-posta bu yüzden zincirin en zayıf halkasıdır.
• Hesabın güvenlik ayarlarındaki "tüm cihazlardan çıkış yap" seçeneğini kullanın, sonra temiz bir giriş yapın. Sadece şifre değiştirmek, çalınmış bir çerezle açık kalan oturumları her zaman sonlandırmaz.
• 2FA etkin değilse açın. Değiştirdiğiniz her şifre için bunu tek tek kontrol edin; şifre sıfırlama sırasında bazı siteler 2FA'yı geçici olarak devre dışı bırakabilir.

Kurtarma veya 2FA Yanlış Kurulmuşsa

Kurtarma bilgileri eski bir telefon numarasına veya e-postaya işaret ediyorsa ya da 2FA dikkatsizce kurulmuşsa:

• Önce kurtarma seçeneklerinizi güncelleyin, böylece kendinizi dışarıda kilitmezsiniz. Telefonu değiştirdiğinizde kimlik doğrulayıcı uygulaması da silinir; eski cihazı satmadan önce 2FA'yı o hesaptan kaldırıp yeni cihazda kurun.
• 2FA'yı tamamen kaldırın, sonra sıfırdan yeniden kurun. Yarım kurulum, doğrulamayı atlayabileceğiniz bir arka kapı bırakır.
• Yeni yedek kodlarını çevrimdışı ve güvenli bir yere kaydedin. Ekran görüntüsü alıp bulut fotoğraf arşivine düşürmek, kodları saldırganın da okuyabileceği bir yere kopyalamak demektir.

Şüpheli Etkinlik

Yalnızca gerçek bir kötüye kullanım kanıtı varsa — hesabınızdan gönderilmiş mesajlar ya da sizin talep etmediğiniz şifre sıfırlamaları — kişileri uyarın. Aksi halde kimseyi endişelendirmeye gerek yok. Kanıt yoksa ama şüpheniz sürüyorsa, oturum geçmişini ve hesap etkinlik kaydını kontrol edin; çoğu servis bunu güvenlik ayarlarında listeler.

Bugün yapılan küçük düzeltmeler, asla yapılmayan mükemmel plandan iyidir.