Güçlü 2FA ile Kripto ve Finansal Hesapları Koruma

Neden Finansal Hesaplar Birincil Hedeflerdir

Saldırganların çoğu en büyük ödüle giden en az dirençli yolu izler. Finansal hesaplarınız tam da bu yolun sonunda durur.

Para hesapları basit bir nedenle caziptir: çalınan fonlar doğrudan kâra dönüşür. Çalınan hediye kartlarını yeniden satmaya ya da elektronik eşya bulmaya gerek yoktur — banka havalesi veya kripto çekimi ödemenin kendisidir.

"Sıkıcı" hissettiren hesaplar bile risk altındadır. Onları savunmasız bırakan iki alışkanlık vardır:

• Şifre tekrarı — bir web sitesinin sızması, şifreyi yeniden kullandıysanız saldırganlara bankanızın, aracı kurumunuzun veya borsanızın anahtarını teslim eder. Sızan veri yıllar sonra bile dolaşımda kalır; saldırganlar ele geçirdikleri şifreleri otomatik araçlarla onlarca sitede toplu olarak dener. On yıl önce kullanıp unuttuğunuz bir forum şifresi bile bugünkü banka şifrenizle aynıysa sizi ele verebilir.
• Phishing (oltalama) — inandırıcı sahte bir giriş sayfası, kimlik bilgilerini saniyeler içinde ele geçirebilir. Modern oltalama sayfaları gerçek siteyi birebir kopyalar, hatta bir kez kod girilmesini bile bekleyip kodu canlı olarak saldırgana iletebilir. Bu yüzden tek seferlik kodlara güvenmek bile tek başına yeterli değildir.

Kripto, stakesi daha da yükseltir. Blockchain transferleri tasarımı gereği geri alınamaz. Fonlar bir kez cüzdanınızdan çıktığında hiçbir banka işlemi geri çevirmez ve çalınan kriptolar nadiren kurtarılır. Bankalarda en azından şikayet, dondurma ve geri çekme mekanizmaları vardır; zincirde böyle bir "geri al" düğmesi yoktur.

İki adımlı doğrulamanın (2FA) asıl değeri burada ortaya çıkar. Ele geçirilmiş bir şifrenin tek başına bir hesabı boşaltması asla yeterli olmamalıdır. 2FA, saldırganın ayrıca aşması gereken ikinci bir bariyer ekler — bir kod, bir anahtar veya bir cihaz. Şifre sızsa bile ikinci adım olmadan giriş tamamlanamaz; saldırgan sizden kod istemeye çalışan bir mesajla karşılaştığınızda uyarı sinyali de almış olursunuz.

Doğru 2FA Yöntemini Seçmek

Her 2FA yöntemi eşit değildir. Sağlayıcınızın desteklediği en güçlü yöntemi seçmek, özellikle para söz konusu olduğunda çok önemlidir.

SMS Kodları

Metin mesajıyla gönderilen kodlar, hiç 2FA olmamasından iyidir ancak en zayıf seçenektir. Saldırganlar SIM takası (SIM swapping) yoluyla telefon numaranızı ele geçirebilir veya mesajları kesebilir. SMS'i bir tercih değil, son çare olarak görün.

Riski azaltmak için operatörünüzün SIM değişikliklerinde ek kimlik doğrulama (PIN veya şifre) zorunlu kılıp kılmadığını sorun ve varsa etkinleştirin. Numaranızı sosyal medyada veya formlarda gereksiz yere paylaşmayın; SIM takası genellikle saldırganın sizinle ilgili topladığı kişisel bilgilerle başlar.

Doğrulayıcı Uygulamalar (TOTP)

Bu tür uygulamalar, cihazınızda çevrimdışı olarak sürekli değişen kodlar üretir; böylece ağ üzerinden ele geçirilecek hiçbir veri oluşmaz. SMS'ten çok daha zor ihlal edilirler. Kurulum yaparken yedek kodları güvenli bir yere kaydedin—çevrimdışı, e-postanızda değil.

Yaygın hata: kurtarma kodlarını yazdırmadan kurulumu tamamlamak. Telefon kaybolursa veya değiştirilirse hesaba girişi tek başına geri alamazsınız; kodları yazdırıp kasaya koymak birkaç dakika sürer ve kilidi açar.

Donanım Güvenlik Anahtarları

Cihazınıza takılan fiziksel anahtarlar en güçlü seçenektir. Meşru web sitesini kriptografik olarak doğrularlar; bu yüzden kimlik avı (phishing) sayfaları onları kandıramaz. İki tane alın: biri günlük kullanım için, biri ayrı bir yerde saklanan yedek.

Zayıf nokta fiziksel kayıptır: anahtar evde kalırsa yedek anahtar devreye girer. Bu yüzden ikisi de aynı çantada olmamalı.

Banka Gerçekliği

Birçok banka hâlâ yalnızca SMS'e dayalı 2FA sunuyor. Sundukları her şeyi etkinleştirin, ardından uzun ve benzersiz bir şifre ile daha güçlü 2FA ile korunan bir e-posta hesabıyla eksikliği telafi edin.

Bankanızın uygulamasında işlem bildirimlerini ve giriş uyarılarını da açın; SMS 2FA aşılsa bile şüpheli girişi fark etmenizi sağlar.

Kripto Borsa Hesaplarını Kilitlemek

Kripto borsaları, transferler geri alınamadığı için sık hedef olur. Her şeyden önce uygulama tabanlı veya donanım anahtarlı 2FA'yı etkinleştirin ve asla yalnızca e-postaya güvenmeyin — gelen kutunuzu kontrol eden bir saldırgan bile hesabınızın dışında kalmalı. SMS tabanlı 2FA'yı, borsa izin veriyorsa tamamen kapatın; SIM takas saldırıları bu kodları ele geçirmenin bilinen bir yoludur. Ayrıca borsa hesabınızın e-postası ile 2FA uygulaması aynı telefonda duruyorsa, telefonun kaybolması iki savunmayı birden götürür — bunları ayrı cihazlara dağıtın.

Bir Çekim İzin Listesi (Allowlist) Kullanın

Saygın borsaların çoğu, cüzdan adreslerini önceden onaylamanıza izin verir. Etkinleştirildikten sonra fonlar yalnızca listenizde zaten bulunan adreslere çıkabilir; böylece çalınan bir parola ve hatta çalınan bir 2FA kodu çok daha az kazançlı hale gelir. Yeni bir adres eklemek genellikle bir bekleme süresi başlatır; bu gecikmeyi bir sıkıntı olarak değil, bir özellik olarak görün. Adres eklerken ilk ve son birkaç karakteri açıkça doğrulayın: bazı zararlı yazılımlar panoya kopyalanan adresi kendi cüzdanıyla değiştirir. Donanım cüzdanı kullanıyorsanız, adresi cihazın kendi ekranından doğrulamak en güvenli yoldur.

Bir Anti-Phishing Kodu Belirleyin

Birçok borsa, gönderdikleri her meşru e-postada görünen kısa bir kod seçmenize izin verir. Bir mesaj borsanızdan geldiğini iddia ediyorsa ve kod eksik ya da yanlışsa, mesaj sahtedir — silin. Kodu unutursanız, borsanın resmi sitesinden kendiniz girip kontrol edin; e-postadaki bağlantılarla asla.

"2FA'yı Yeniden Etkinleştir" E-postalarını Saldırı Olarak Görün

Borsalar, 2FA'yı yeniden etkinleştirmenizi isteyen e-posta göndermez. Doğrulanana kadar böyle her mesaj phishing'tir — uygulamadan giriş yapın veya site adresini kendiniz yazın. Saldırganların klasik deseni budur: önce 2FA'yı "kapat", sonra parolayı sıfırla. Şüpheli bir mesaj görürseniz, hesabınıza uygulamadan giriş yapıp oturum geçmişini ve yetkili cihazları kontrol edin.

Para Çekme Koruması ve Transfer Gecikmeleri

Birçok borsa ve banka, para çekme veya transfer işlemleri tamamlanmadan önce gecikme ya da zaman kilidi eklemenize izin verir. Bu özellik sunulduğu her yerde açın. 24 saatlik bir bekleme süresi, oturumunuzu veya kimlik bilgilerinizi çalan bir hırsızın fonları hemen boşaltamayacağı anlamına gelir — fark etmek, hesabı dondurmak ve transferi iptal etmek için bir zaman penceresi kazanmış olursunuz.

Adres beyaz listesi (whitelist) ikinci bir bariyer ekler. Etkinleştirildikten sonra para çekmeler yalnızca önceden onaylanmış hedeflere gider:

• Kripto: para çekmeleri kontrolünüzdeki belirli cüzdan adresleriyle sınırlayın
• Fiat: desteklendiği durumlarda transferleri yalnızca kendi doğrulanmış banka hesabınıza kısıtlayın

Beyaz listedeki bir adresin değiştirilmesinin kendisi de bir gecikme veya onay tetiklemelidir; sağlayıcınızın bunu nasıl ele aldığını kontrol edin. Bu ayrıntıyı atlamak yaygın bir hatadır: saldırgan mevcut 2FA kodunuzu geçmeyi başardıysa, beyaz listeyi kendi adresiyle değiştirmeye çalışacaktır. Değişiklik anında uygulanıyorsa, beyaz listenin koruması büyük ölçüde boşa düşer. İdeal uygulama, adres değişikliğinin yeni bir 24 saatlik bekleme ve kayıtlı e-posta ya da telefonunuza gönderilen bir onay bildirimi tetiklemesidir — böylece siz başlatmadıysanız değişikliği iptal etme şansınız olur.

Ayrıca yeni bir adres eklerken küçük bir test transferi yapın. Yanlış ağa gönderilen kripto (örneğin ETH'nin yanlış zincire çekilmesi) çoğu zaman geri alınamaz; küçük tutarla doğrulamak bu kalıcı hatayı önler.

Hesap etkinliğini düzenli olarak gözden geçirin. Giriş geçmişine, bağlı cihazlara ve API anahtarlarına haftalık olarak ya da şüpheli bir e-posta aldıktan sonra bakın. Artık kullanmadığınız cihazları ve uygulamaları kaldırın — her biri potansiyel bir giriş noktasıdır. API anahtarlarında para çekme yetkisi varsa kapatın; çoğu kullanım için salt okunur işlem anahtarları yeterlidir.

Gecikmeler, bir hırsız ile bakiyeniz arasındaki tek engel oldukları güne kadar zahmetli hissettirir.

2FA Arkasındaki Cihazları ve E-postayı Güvenceye Almak

E-postanız Kurtarma Kapınızdır

Gelen kutunuz neredeyse her şeyi sıfırlar. Onu ele geçiren bir saldırgan, genellikle şifre sıfırlamalarını tetikleyebilir ve banka ile borsa hesaplarınızın kurtarma kodlarını ele geçirebilir. Diğer tüm hesaplardan önce, önce e-postanız için 2FA'yı açın.

Aynı mantığı e-posta sağlayıcınızın ayarlarına da uygulayın: kurtarma e-postası olarak kullanılan ikincil adresin de 2FA'sı açık olsun. Eski, unutulmuş cihazlardaki oturumları kapatın ve "son giriş etkinliği" listesini tanımadığınız kayıtlar için düzenleyin.

Cihazları Temiz ve Güncel Tutun

Kripto kullanıcılarını hedefleyen kötü amaçlı yazılımlar arasında panoyu ele geçirenler (clipboard hijacker) bulunur; bunlar kopyalanan cüzdan adresini sessizce saldırganın adresiyle değiştirir. İşletim sistemi ve tarayıcı güncellemelerini derhal yükleyin; bu araçların istismar ettiği açıkları kapatırlar.

Göndermeden önce cüzdan adresinin ilk ve son birkaç karakterini ekrandan karşılaştırın. Sık kullandığınız adresler için küçük bir "test transferi" yapın; küçük tutar sorunsuz ulaştıysa kalanı gönderin. Telefonunuzda resmî olmayan mağazalardan uygulama kurmaktan kaçının.

Neyi Yüklediğinize Acımasızca Titiz Olun

Yalnızca inceleyebildiğiniz tarayıcı eklentilerini ve uygulamaları kullanın. Sayfa erişimi olan kötü amaçlı bir eklenti, borsa oturumunuzdaki her şeyi okuyabilir. Tohum (seed) ifadelerini veya kurtarma kodlarını asla dosyalarda, fotoğraflarda, bulut notlarında veya e-posta taslaklarında saklamayın—onları cebinizdeki nakit gibi görün.

Pratik kural: seed ifadesini hiçbir dijital cihazda yazmayın; kağıda yazıp fiziksel olarak güvenli bir yerde saklayın. Ekran görüntüsü almak en yaygın hatadır—bulut yedeklemesiyle birleştiğinde saldırgan için kolay bir hedeftir.

Bir Şifre Yöneticisi Kullanın

Şifre yöneticisi her hesap için benzersiz bir şifre üretir ve saklar; böylece tek bir sızıntı diğerlerine yayılamaz. Benzersiz şifreler artı 2FA, sızan tek bir şifrenin tek başına hesabı ele geçirmek için artık yeterli olmadığı anlamına gelir.

Yöneticinin kendi ana parolasını uzun ve ezberlenebilir seçin; buna da 2FA ekleyin. Varsa, finansal hesapların kurtarma kodlarını yöneticinin kilitli notlarına değil, çevrimdışı bir kopyaya kaydedin.

Kayıp Cihazlar ve Kurtarma Planlaması

Telefonunuzu veya donanım anahtarınızı kaybetmek, paranızı kaybetmek anlamına gelmemeli. Hazırlık, olaydan sonra yapacağınız her şeyden daha önemlidir.

Yedekleme Kodlarını Çevrimdışı Saklayın

Çoğu hizmet, 2FA'yı etkinleştirdiğinizde yedekleme kodları verir. Bunları fiziksel bir yerde saklayın: yazdırıp kilitli bir dolapta tutun ya da önemli belgelerle birlikte saklanan bir deftere yazın. Doğrulayıcı uygulamanızın bulunduğu telefonun kendisinde çekilen bir ekran görüntüsü amacı boşa çıkarır — telefonu kaybederseniz ikisini de kaybedersiniz.

İki ayrı kopya tutun: biri evde, biri güvenilir bir yakınınızda ya da kasa gibi ikinci bir fiziksel konumda. Bulut senkronizasyonu yapan not uygulamalarına koymayın; hesap ele geçirilirse yedek kodlar saldırganın ilk aradığı şeydir. Kodları kaydederken hangi hizmete ait olduklarını yazın — dokuz ayrı hizmetin isimsiz kod listesi, acil anında işe yaramaz. Kodlardan birini hiç kullanmadıysanız, birkaç ayda bir hâlâ geçerli olduklarını kontrol edin; bazı hizmetler yeniden 2FA kurulumunda kodları geçersiz kılar.

Yedek Bir Donanım Anahtarı Kaydedin

Hizmetin izin verdiği yerlerde ikinci bir donanım anahtarı ekleyin ve ilk anahtardan ayrı bir yerde saklayın. Biri kaybolur veya bozulursa diğeri erişiminizi korur. İki anahtarı yan yana aynı çantada taşımak bu amacı bozar: çantayı kaybederseniz ikisini birden kaybedersiniz.

Kurtarma Sürecini Önceden Öğrenin

Her sağlayıcı kayıp cihazları farklı şekilde ele alır. Kurtarma adımlarını ihtiyaç duymadan önce okuyun. Kripto borsaları bu konuda bilinçli olarak yavaş ve katıdır — kimlik kontrolleri ve bekleme süreleri fonlarınızı korur, ancak kötü planlayan herkesi cezalandırır. Kimlik doğrulama için gereken belgeleri (pasaport kopyası, adres kanıtı) önceden hazır bulundurun; bazı sağlayıcılar ayrıca kurtarma sırasında cüzdan adreslerinizi veya işlem geçmişinizi sorduğunda buna da ihtiyacınız olur.

Düşük Riskli Bir Hesapta Test Edin

Kısa süreliğine kaybetmeyi göze alabileceğiniz bir hesapta kurtarma işlemini bir kez deneyin. Sürprizler acil durumda değil, tatbikatta yer alır. Testin amacı hem adımları öğrenmek hem de yedek kodlarınızın gerçekten çalıştığını doğrulamaktır — hiç denenmemiş bir yedek, yok sayılır.

2FA'yı Güçlü Tutan Günlük Alışkanlıklar

Güçlü 2FA rutin olmadan solar. Küçük alışkanlıklar onu çalışır durumda tutar.

Oturum açmadan önce kontrol edin. Phishing sayfaları borsaları ve bankaları neredeyse kusursuz kopyalar. URL'yi harf harf doğrulayın, indirmeden önce uygulama yayıncılarını onaylayın ve finansal sitelerinizi yer imlerine ekleyin. Her seferinde yer imini kullanın, arama sonuçlarını veya e-posta bağlantılarını değil. Arama motorlarına reklam vermek, saldırganların sahte sitelerini gerçek sitenin üstüne koyabilmesi demektir; yer imi bu riski tamamen ortadan kaldırır. Alan adında benzer görünen karakterlere dikkat edin: "rn" ile "m" karışabilir, "0" ile "o" kolayca gözden kaçar.

Kodları asla paylaşmayın. Meşru hiçbir destek temsilcisi 2FA kodu, şifre veya yedek kod istemez. Bunu isteyen herkes hesabınızı ele geçirmeye çalışıyor demektir. Görüşmeyi kesin. Saldırganlar aciliyet kullanır: "hesabınız kapanmak üzere", "şüpheli işlem tespit edildi". Acil hissettiren her istek bir kırmızı bayraktır. Şüphede kalırsanız, numarayı kendiniz bularak resmî kanaldan arayın.

Aktif oturumları gözden geçirin. Seyahat, cihaz yükseltmesi veya eski donanım satışı sonrasında hesabınızın güvenlik sayfasını açın ve tanımadığınız oturumları kapatın. Artık kullanmadığınız uygulamaların yetkisini kaldırın. Eski telefonu fabrika ayarına döndürmeden önce authenticator uygulamasını devretmeyi unutmayın; aksi hâlde kodlar cihazla birlikte gider.

Üç ayda bir yeniden denetleyin. Şunları doğrulamak için yinelenen bir hatırlatıcı ayarlayın:

• 2FA her finansal hesapta hâlâ etkin
• Adres beyaz listeleri ve çekim ayarları güncel
• Yedek kodlar güvenle saklanmış ve hâlâ çalışıyor
• Kurtarma e-postası ve telefonu güncel

Kodların son kullanma tarihini de test edin: bir hesaptan çıkış yapıp yeniden giriş yapın. Bozuk bir 2FA'yı gerçek bir acil durumda keşfetmek yerine, sakin bir öğleden sonra keşfetmek çok daha iyidir.

Özet: 2FA sıkıcı olduğunda çalışır. Doğrulayın, paylaşmayı reddedin, gözden geçirin, tekrarlayın. Üç ayda on beş dakika, bundan çok daha değerli hesapları korur.