Hesap güvenliğinde çok sayıda küçük önlem almak yerine, gerçekten fark yaratan az sayıda önlemi doğru uygulamak daha etkilidir. Aşağıdaki dört başlık, pratikte saldırıların büyük bölümünü durdurur.
1. Her hesap için farklı şifre
Şifre sızıntılarının çoğu, sizin hatanızdan değil, kullandığınız bir servisin veri ihlalinden kaynaklanır. Saldırganlar sızan e-posta ve şifre çiftlerini başka sitelerde otomatik olarak dener; buna kimlik bilgisi doldurma (credential stuffing) denir. Tek savunma, aynı şifreyi iki yerde kullanmamaktır.
Bunu akılda tutmak mümkün olmadığı için şifre yöneticisi kullanın. Şifre yöneticisinin güvenlik dışında önemli bir yan faydası vardır: kayıtlı şifreyi yalnızca alan adı tam eşleştiğinde doldurur. Sahte bir sayfada otomatik doldurma çalışmaz — bu, gözle yapılan kontrolden daha güvenilir bir uyarıdır.
İyi bir şifre nasıl olur?
Uzunluk, karmaşıklıktan daha belirleyicidir. Birbiriyle ilgisiz dört beş kelimeden oluşan uzun bir parola, kısa ve simge dolu bir paroladan hem daha güçlü hem daha kolay hatırlanır. Kaçınılması gerekenler:
- Ad, doğum tarihi, takım adı, telefon numarası gibi tahmin edilebilir bilgiler.
- Aynı şifrenin sonuna sayı ekleyerek türetilmiş varyantlar.
- Klavye üzerinde sıralı diziler.
2. İki adımlı doğrulama (2FA)
Şifreniz ele geçse bile ikinci adım saldırganı durdurur. Ancak tüm yöntemler eşit güvenlikte değildir:
| Yöntem | Güvenlik | Not |
|---|---|---|
| Donanım güvenlik anahtarı | En yüksek | Oltalamaya karşı da korur |
| Doğrulayıcı uygulama (TOTP) | Yüksek | İnternet bağlantısı gerekmez |
| SMS kodu | Orta | SIM değiştirme saldırısına açıktır |
| Yalnızca e-posta kodu | Düşük | E-posta ele geçerse anlamsızdır |
Seçenek varsa doğrulayıcı uygulama veya donanım anahtarı tercih edin. Kurulum sırasında verilen yedek kurtarma kodlarını mutlaka güvenli bir yere kaydedin; telefonunuzu kaybettiğinizde hesabınıza erişmenin tek yolu bunlar olabilir.
Önemli bir kural: tek seferlik doğrulama kodunu hiç kimseyle paylaşmayın. Hiçbir gerçek destek ekibi bu kodu istemez. Kodu isteyen kişi, sizin adınıza giriş yapmaya çalışıyordur.
3. Önce e-posta hesabınızı koruyun
E-posta hesabınız diğer tüm hesaplarınızın ana anahtarıdır: şifre sıfırlama bağlantıları oraya gider. Bu nedenle en güçlü şifreyi ve en güçlü ikinci adımı önce e-postanıza uygulayın. Ayrıca e-posta hesabınızın ayarlarında şunları düzenli kontrol edin:
- Tanımadığınız yönlendirme kuralları — saldırganlar gelen postayı sessizce kopyalayabilir.
- Tanımadığınız kurtarma adresi veya telefonu.
- Erişim verdiğiniz üçüncü taraf uygulamalar.
4. Oturum ve cihaz yönetimi
- Ortak veya başkasına ait bir cihazda oturum açmayın; açtıysanız işiniz bittiğinde çıkış yapın, sekmeyi kapatmakla yetinmeyin.
- Hesap ayarlarındaki “aktif oturumlar” listesini ara ara kontrol edin ve tanımadıklarınızı kapatın.
- Halka açık Wi-Fi ağlarında hassas işlem yapmayın.
- Tarayıcı ve işletim sistemi güncellemelerini erteleme; güncellemelerin çoğu güvenlik yaması içerir.
- Kaynağını bilmediğiniz tarayıcı eklentilerini kurmayın; eklentiler sayfadaki her şeyi okuyabilir.
Bir hesabın ele geçirildiğini nasıl anlarsınız?
- Talep etmediğiniz şifre sıfırlama veya doğrulama kodu e-postaları.
- Tanımadığınız konumdan giriş bildirimi.
- Ayarlarda değiştirmediğiniz e-posta, telefon veya bildirim tercihleri.
- Gönderilmiş kutunuzda sizin yazmadığınız iletiler.
Bunlardan birini fark ederseniz önce e-posta şifrenizi değiştirin, sonra diğer hesapları sırayla ele alın ve tüm aktif oturumları kapatın.
Kısa kontrol listesi
- Şifre yöneticisi kur, her hesaba benzersiz şifre ver.
- Önce e-postana, sonra diğer hesaplara 2FA aç.
- Yedek kurtarma kodlarını güvenli bir yere kaydet.
- Doğrulama kodunu kimseyle paylaşma.
- Aktif oturumları ve e-posta yönlendirme kurallarını ara ara denetle.
Bağlantıların sahteliğini ayırt etme konusu için oltalama bağlantılarını tanıma rehberimize bakabilirsiniz.
