2FA Doğrulama Kodunu Unuttum: Ne Olur, Nasıl Kurtarılır?

Senaryo: Kod Ya Cihazda Ya da Aklınızda Değil

Giriş ekranı sizi bekliyor, kod yok. Panik anlaşılabilir bir refleks; ama önce durumu doğru tanımlamak gerekir. Çünkü aslında kaybolan şey kodun kendisi değil, kodu üreten erişimdir.

TOTP kodu "akılda tutulan" bir şey değildir. Her 30 saniyede, cihazınızdaki gizli seed'den (kurulum sırasında QR ile aktarılan anahtardan) matematiksel olarak üretilir. Seed giderse kod gider; geri kalanı kurtarma meselesidir. Bu yüzden bir sonraki kodu hatırlamaya çalışmak ya da eski QR'ı tekrar taramayı ummak boşa çabadır: QR okutulmadıysa hiçbir şey üretmez, okutulduysa zaten cihazın içinde durur.

Kaybın üç yaygın tipi:

• Telefon kaybı: Cihaz çalındı, kayboldu ya da bozuldu. TOTP uygulaması ve varsa SIM tabanlı akışlar birlikte etkilenebilir. Yeni telefon almak yetmez; eski cihazdaki hesaplar orada kalır.
• Uygulama silinmesi: Telefon ortada, TOTP uygulaması silinmiş. Uygulama kaldırıldığında seed genellikle geri gelmez; yeniden kurulum yetmez. Uygulamayı geri yüklemek boş bir listeyle başlamanızı garantiler. İstisna: uygulama bulut yedeklemesi açıksa (örneğin iOS için iCloud yedeği) seed geri yüklenebilir — kurulum sırasında açtıysanız.
• Yedek kodların kaybolması: Kurulum sırasında indirilen tek kullanımlık kurtarma kodları nerede bilinmiyor ya da hiç kaydedilmemiş. En sık hata: kodların "bir yerde" olduğuna inanmak ama hangi cihazda ya da klasörde olduğunu bilmemek.

İyi haber: çoğu servis bu senaryoyu bilinçli olarak tasarlanmış bir kurtarma akışıyla karşılar. Sıradaki bölümler o akışı izler.

Yedek Kodlar: Bir Numaralı Kurtarma Yolu

Çoğu servis 2FA kurulumu sırasında tek kullanımlık kurtarma kodları üretir. Her kod bir kez çalışır. Telefonunuz, uygulamanız, numaranız — hepsi kaybolsa bile bu kodlarla giriş yapabilirsiniz.

Kod Nasıl Kullanılır

1. Giriş sayfasında parolanızı girin.
2. 2FA ekranında "kurtarma kodu" veya "recovery code" seçeneğini bulun. Genelde küçük bir bağlantıdır.
3. Listeden henüz kullanılmamış bir kod yazın. Kod geçerli sayılır ve listede işaretlenmelidir.
4. Girişten sonra kullandığınız kodu listeden silin veya "kullanıldı" olarak not edin.

Kod yazarken sık yapılan hata: harf ile rakam karıştırmak. "0" (sıfır) ile "O" (harf), "1" ile "l" veya "I" kolayca birbirine benzer. Çoğu servis belirsiz karakterleri kodlardan çıkarır, ama hepsi yapmaz. Kod reddedilirse önce bu karışıklığı kontrol edin. Ayrıca kodu boşluklu veya tireli göründüğü gibi yazın; bazı servisler biçimi zorunlu tutar.

Kodlar Nerede Saklanır

• Kağıda yazıp çekmeceye koyun. Basit, çevrimdışı, hacklenemez. Ev yangını veya taşınma gibi fiziksel risklere karşı ikinci bir kopya farklı bir yerde tutulabilir.
• Parola yöneticisine kaydedin. Bitwarden, 1Password gibi araçlar güvenli not alanı sunar. Avantaj: cihaz değişince kodlar sizinle gelir. Dezavantaj: parola yöneticisinin ana parolasını unutursanız kodlara erişim de gider.
• Şifreli not uygulaması da iş görür — anahtar cihazınıza bağlı olmalı.

Ekran görüntüsünü şifresiz klasörde tutmak güvenlik açığıdır. Buluta açık dosya olarak koymak daha kötü: cihaz yedeği, paylaşılan klasör veya yanlışlıkla gönderilen ek ile kodlar başkasının eline geçebilir. Kod sızdıysa hemen yeni set üretin.

Kodlar Bittiyse

Giriş yaptıktan sonra güvenlik ayarlarına gidin, "kurtarma kodları" bölümünü açın ve yeni set üretin. Eski set otomatik geçersiz olur. Yeni seti hemen aynı şekilde saklayın. Unutmayın: yeni set üretmek eski kayıp kodları da düşürür — kayıp bir setin başkasının eline geçmiş olma ihtimali varsa bu iyi haberdir.

Yedek Kod da Yoksa: Servisin Kurtarma Akışı

Giriş ekranında "Koduma erişemiyorum" ya da "2FA'yı kullanamıyorum" benzeri bir seçenek arayın. Bu bağlantı, servisin kendi kurtarma akışını başlatır. Bağlantıyı bulamıyorsanız yardım ya da destek sayfasında "iki adımlı doğrulama" terimiyle arama yapın; çoğu servis bu akışı orada belgeler.

Hangi Yöntemle Doğrulama Yapılır?

Servise göre değişir. Sık görülen alternatifler:

• Hesap e-postasına doğrulama bağlantısı gönderilmesi
• Kayıtlı telefon numarasına SMS
• Kimlik belgesi fotoğrafı istenmesi (özellikle finans ve e-posta servislerinde)
• Hesap açılış tarihi, eski şifreler gibi hesap geçmişi soruları

Hesap geçmişi sorularında en iyi bildiğiniz cevabı verin; tahminle oynamak incelemeyi uzatır, hatta talebi reddettirebilir. Kimlik isteniyorsa yalnızca servisin resmî alan adındaki sayfadan yükleyin. Phishing sayfaları tam bu anda devreye girer: "kurtarma" diye gelen e-postadaki linke tıklamak yerine tarayıcıya servisin adresini elle yazın.

Süre Ne Kadar?

Servise göre değişir. Bazıları e-posta ile anında kurtarma sağlar. Kimlik incelemesi isteyen servislerde süreç birkaç günden haftaya uzayabilir. Manuel inceleme, sahteciliği zorlaştırmak için bilinçli olarak yavaştır. Bu sırada aynı talebi tekrar tekrar göndermeyin; kuyrukta sıranız ilerlemez, bazı servisler tekrarlanan talebi şüpheli sayar.

Hesabım Neden Kilitlendi?

Kurtarma talebi sırasında çoğu servis hesabı geçici olarak kilitler. Amaç: saldırgan 2FA'yı aşmaya çalışsa bile hesaba erişemesin. Güvenlik gecikmesi ve bildirim e-postaları da aynı nedendir; kurtarma başlatıldığında tanımadığınız bir uyarı gelirse hemen servise haber verin. Bu, hesabı ele geçirme girişiminin ilk işareti olabilir.

Kurtarma tamamlanınca 2FA'yı yeniden kurun ve yedek kodları bu kez saklayın.

SMS Kodu Kullananlar İçin Not

Numara kaybı ya da SIM değişimi durumunda ilk adım operatör. SIM kartın çalınması veya kopyalanması şüphesi varsa operatör hattı dondurmanızı ister; numarayı geri almak için kimlik doğrulaması yapmanız gerekir. Hat geri gelmeden SMS kodu alınamaz.

Operatörü ararken hazır bulunsun: kimlik numarası, hatta kayıtlı adres bilgisi, son ödeme tutarı gibi doğrulama detayları. Operatör bunları istemeden kimlik doğrulaması tamamlanamaz; süre kaybı olmasın.

SMS neden daha kırılgan?

• SIM swap saldırıları: Saldırgan, sosyal mühendislikle numaranızı kendi SIM'ine taşıyabilir. Kod, size değil ona gider. Saldırgan genellikle önce şifrenizi çalar, sonra kodu ele geçirir; bu yüzden SMS tek başına güvenlik sağlamaz.
• SMS şifresiz iletilir ve operatör altyapısına bağlıdır; gecikme ve teslim edilmeme sorunları sıktır. Yurt dışı seyahatlerde dolaşım kapatılmışsa kod hiç ulaşmaz.
• TOTP uygulaması cihaz üzerinde çalışır; telefona fiziksel erişim olmadan kod üretilemez. Uçak modunda bile çalışır; ağ bağımlılığı yoktur.

Geçiş önerisi

• Hesap güvenlik ayarlarında kimlik doğrulayıcı uygulamayı (TOTP) ikinci faktör olarak ekleyin. Google Authenticator, Aegis, Authy gibi uygulamalar bu amaçla kullanılır.
• Kurulum sırasında gösterilen yedek kodları çevrimdışı, güvenli bir yerde saklayın. Ekrandaki QR kodu fotoğraftan silin; galeride açıkta kalması risktir.
• SMS'i tamamen kapatmadan önce uygulamanın çalıştığını doğrulayın; aksi halde hesaptan kilitlenirsiniz. Test için bir kez çıkış yapıp tekrar giriş yapın.
• Operatörünüz varsa SIM kilidi/hat PIN koruması etkinleştirin. SIM yuvaya takıldığında PIN istenir; çalınan SIM tek başına işe yaramaz.

Numara değişikliği planlıysa, eski numara kapandıktan önce tüm hesaplarda yeni numarayı güncelleyin. Banka ve e-devlet gibi kritik servisleri listenin başına alın; unutulan tek bir hesap, kurtarma akışında saatler kaybettirir.

Kurtarma Başarısız Olursa

Yedek kodlar geçersiz, kurtarma akışı çalışmıyor. Son yol: destek ekibi.

Destek Ekibine Hazırlanma

Destek talebi açmadan önce şunları toplayın:

• Hesap açılış tarihi (yakın tahmin bile işe yarar)
• Hesapla ilişkili eski e-postalar, özellikle kayıt/hoş geldiniz mesajları
• Ödeme yöntemiyle eşleşen fatura veya işlem bilgileri
• Cihaz ve konum geçmişi: hangi cihazlardan, hangi şehirlerden giriş yaptığınız
• Diğer hesaplarla bağlantılar (bağlı e-posta, telefon numarası)

Ne kadar çok kanıt, inceleme o kadar hızlı. Talebi destek ekibinin resmi kanalından gönderin; sahte "destek" hesaplarına dikkat.

Bu noktada iki yaygın hata yapılır. Birincisi: talebi birden fazla kanaldan aynı anda açmak. Bu, incelemeyi hızlandırmaz; kuyrukta çakışan talepler oluşur ve süreç uzar. Tek talep açın, cevabı bekleyin. İkincisi: panik halinde bilgileri tahmin etmek. Açılış tarihi hakkında emin değilseniz "2019 civarı" yazın; çelişkili tarihler vermekten kaçının, çünkü destek ekipleri verdiklerinizle sistem kayıtlarını karşılaştırır ve tutarsızlık şüphe yaratır.

Kanıt toplamak için pratik bir yol: eski e-posta arşivinizde servis adıyla arama yapın. Kayıt onayı, şifre sıfırlama bildirimleri ve oturum açma uyarıları hem tarihi hem cihaz bilgisini kanıtlar.

Gerçekçi Beklenti

Kurtarma garanti değil. Bazı servisler kimliği doğrulayamazsa hesabı kapatır; bu politika, sosyal mühendislikle hesap çalınmasını zorlaştırır. Veri kaybı ihtimali vardır: eski mesajlar, geçmiş işlemler veya abonelikler kurtarılamayabilir.

Yanıt süresi servise göre değişir; birkaç saat de olabilir, birkaç gün de. Bu arada aynı hesapla ilgili şifre sıfırlama denemesi yapmayın; süreci karıştırabilir.

Hesap kurtarılsa bile 2FA sıfırlanmış olur. Giriş yaptığınız anda yeni yedek kodlar oluşturun; bir sonraki bölüme geçin.

Bir Daha Yaşamamak İçin Hazırlık

Yedek Kodları Kurulum Anında Saklayın

2FA'yı açtığınız anda sunulan yedek kodları mutlaka indirin. "Sonra yaparım" demeyin; o ekran bir daha gelmez. Kodları yazıcıdan çıkarın veya parola yöneticinize güvenli bir not olarak ekleyin. Kağıt kopyayı evde kilitli bir çekmecede ya da belgi klasöründe tutun; telefonunuzla aynı yerde durmasın, çünkü telefon kaybolursa ikisini de aynı anda kaybetmiş olursunuz. Bazı servisler kodları ayarlarda yeniden görüntülemeye izin verir, ama bu yeniden oluşturma işlemi eski kodları geçersiz kılar; elinizdeki eski liste artık işe yaramaz olur. Bu yüzden yeni kod ürettiğinizde eskisini hemen imha edin.

TOTP Uygulamasını Yedekleyin

• Kurulum sırasında gösterilen QR kodunu (seed) şifreli olarak saklayın; kaybolan uygulamayı aynı seed ile yeniden kurabilirsiniz. Ekran görüntüsünü çıplak halde galerinizde tutmayın; telefon çalındığında seed, saldırgana kod üretme gücü verir. Şifreli bir not veya yazdırılıp kilitli saklanan çıktı yeterlidir.
• Mümkünse aynı hesabı iki cihaza kurun; bir telefon kırıldığında diğeri çalışır. Örn. telefonunuz yanına tablet ya da eski bir cihaz ikame olsun.
• Uygulamanız yedekleme/senkronizasyon özelliği sunuyorsa (örn. bulut şifreli yedek) etkinleştirin. Bu yedeklemenin de güçlü bir parolayla korunduğunu doğrulayın; yedek, parolası zayıf bir hesabın arkasında saklanıyorsa güvenlik kazancı yalan olur.

Kritik Hesaplara Ek Kurtarma Yöntemi Tanımlayın

E-posta, banka ve parola yöneticisi hesaplarınız için birden fazla kurtarma yolu tanımlayın: ikinci bir telefon numarası, güvenilir bir kişiye atanmış kurtarma seçeneği (servis destekliyorsa) veya fiziksel güvenlik anahtarı. E-posta sizin ana kimliğinizdir; onun kilitlenmesi her şeyi kilitleyebilir. Numara değiştirdiğinizde veya eski operatörden geçiş yaptığınızda kurtarma numaralarını güncellemeyi unutmayın; bu en sık gözden kaçan bakım adımıdır. Yılda bir, takviminize "2FA denetimi"notu koyun ve her kritik hesapta kurtarma yollarının hâlâ geçerli olup olmadığını tek tek kontrol edin.

Parola Yöneticisinin Kendi Planı Olsun

Parola yöneticiniz tüm yedek kodlarınızı barındırıyorsa, onun da 2FA'sı ve kendi kurtarma yöntemi (örn. kurtarma anahtarı, güvenilir acil kişi) olmalı. Yönetici kilitlenirse tek noktadan çökmemek için kritik birkaç kodu çevrimdışı tutun. Kurtarma anahtarını kurulum sırasında verilen uzun dize ise yazıcıdan çıkarıp fiziksel olarak saklayın; bu anahtar kaybolursa hesabı geri getirmenin yolu olmayabilir.

Sık Yapılan Hatalar

Yedek kodları, 2FA'ya en açık hesabın içine koymak sık bir hatadır. Kodlar düz metin olarak e-postada duruyorsa, e-posta hesabını ele geçiren saldırgan aynı anda ikinci faktörünüzü de ele geçirmiş olur. Kodları çevrimdışı bir yerde saklayın: basılı kâğıt veya şifre yöneticisinin güvenli not alanı. Ek hata: kodları ekran görüntüsü olarak galeriye kaydetmek. Telefonda otomatik yedeklenen bulut fotoğraf arşivi, kodları istemeden internete taşır. Bulut yedeklemeyi kapatın veya kodu hiç fotoğrafa dönüştürmeyin.

Kurtarma e-postasının kendisi 2FA korumasız bir hesaba bağlı olmak da yaygın. Kurtarma akışı bu zayıf hesaptan geçiyorsa, tüm zincir o kadar güçlüdür. Kurtarma adresine de TOTP veya donanım anahtarı ekleyin. Pratik test: kurtarma hesabının şifresini hatırlıyor musunuz, cihazında TOTP uygulaması gerçekten kurulu mu? Kontrol etmeden bırakılan kurtarma hesabı, saldırı anında kilitli bir kapıya dönüşür.

Yeni cihaza geçerken eski TOTP kurulumunu doğrulamadan eski cihazı sıfırlamak, kodları geri dönüşsüz siler. Sıra: yeni cihaza kurulumu yapın, kodların üretildiğini doğrulayın, ancak sonra eski cihazı sıfırlayın. Sıfırlamadan önce eski cihazı birkaç gün saklamak da mantıklıdır; nadir kullanılan bir servisin kurulumu yeni cihazda eksik kalmış olabilir.

Bu üç hata aynı kökten çıkar: kurtarma yollarının güvenliğini, ana hesabın güvenliği kadar ciddiye almamak. 2FA zincirindeki en zayıf halka, saldırganın kullanacağı halkadır. Yedek kodları güvenli saklayın, kurtarma hesabını koruyun, cihaz değişiminde sırayı bozmayın. Yılda bir kez tüm kurtarma zincirini baştan gözden geçirmek, bu hataların çoğunu daha gerçekleşmeden yakalar.