2024’te RockYou2024 adıyla sızdırılan veri tabanı, yaklaşık 10 milyar benzersiz şifre içeriyordu. Bu şifrelerin büyük kısmı gerçek hesaplardan geliyordu ve içlerinde “123456”, “password”, “qwerty” gibi onlarca yıllık klasikler hâlâ yer alıyordu. İnternet güvenliği teknik bir konu gibi görünür ama tehlikelerin yüzde sekseninden fazlası insan hatasına dayanır. Çözümün büyük bölümü de teknik değil, davranışsaldır.
Şifre Yönetimi: En Kritik Adım
Büyük çaplı güvenlik ihlallerinin çoğunda ortak bir zincir vardır: bir hizmetten çalınan şifre, aynı şifreyi kullanan başka hesaplara erişim sağlar. Buna kimlik bilgisi doldurma (credential stuffing) denir ve tamamen otomatik çalışır; milyonlarca şifre kombinasyonu saniyelerde test edilir.
Tek savunma her hesap için farklı, güçlü bir şifre kullanmaktır. Bunu elle takip etmek mümkün değildir. Bitwarden (ücretsiz ve açık kaynak) veya 1Password gibi bir şifre yöneticisi bu sorunu köklü biçimde çözer. Ana şifrenizi güçlü seçip bir yere yazarak saklayabilirsiniz; bu daha mantıklıdır çünkü risk odağı dijital değil fiziksel hale gelir.
İki Faktörlü Doğrulama Nasıl Çalışır, Hangisi Daha Güvenli?
İki faktörlü doğrulama (2FA), şifreniz ele geçirilse bile hesabınıza girilmesini büyük ölçüde engeller. Ama tüm 2FA yöntemleri eşit değildir:
- SMS kodu: En yaygın ve en zayıf yöntem. SIM swap saldırılarına karşı savunmasız. Hiç yoktan iyidir ama tek seçenek değilse tercih edilmemeli.
- TOTP (zaman bazlı tek kullanımlık kod): Google Authenticator, Authy gibi uygulamalar üretir. SMS’ten çok daha güvenli; sunucu yerine cihazda üretilir.
- Donanım anahtarı (YubiKey, Titan): Phishing dahil neredeyse tüm kimlik avı saldırılarına karşı dayanıklı. Kritik hesaplar için (Google, GitHub, banka) en güçlü seçenek.
Phishing: Teknik Değil, Psikolojik Saldırı
2023’te FBI’ın İnternet Suçları Raporuna göre phishing, en fazla şikâyet alan siber suç kategorisi olmayı sürdürdü. Saldırılar artık çok daha sofistike; eski “Nijerya prensi” kalıbı çoktan geride kaldı. Günümüzde Apple’dan ya da bankanızdan geldiği sanılan, görsel tasarımı orijinalden ayırt edilemez e-postalar, gerçek domain adına çok benzeyen URL’ler (rn harflerini uzaktan m gibi gösterme gibi hileler) kullanılıyor.
Korunmanın yolu basit ama titizlik gerektirir: gelen kutunuzdaki bağlantılara tıklamak yerine siteyi doğrudan tarayıcıya yazın ya da yer imlerinizden açın. Aciliyet hissi yaratan mesajlara (hesabınız kapatılacak, doğrulayın) özellikle şüpheyle yaklaşın. Aciliyet, phishing’in neredeyse evrensel bir özelliğidir.
Ağ Güvenliği: Ev ve Halka Açık Wi-Fi
Ev ağınızda yapılması gereken minimum iki şey var: modem/router’ın yönetici şifresini varsayılandan değiştirmek ve WPA3 (yoksa WPA2) şifrelemesini aktif tutmak. WEP kullanan cihazlar artık güvensiz kabul edilir; WEP şifresi dakikalar içinde kırılabilir.
Halka açık Wi-Fi ağlarında hassas işlemler (banka, e-posta) mümkünse yapmayın. Zorunluysa bir VPN kullanın; ProtonVPN’in ücretsiz katmanı temel koruma için yeterlidir. Ama dikkat: VPN her şeyi çözmez; sadece trafiğinizi eriştiğiniz ağdan gizler. VPN sağlayıcısı sizi görebilir.
Güncel Tutmanın Önemi
Yazılım güncellemelerini ertelemek yaygın bir alışkanlık ama pahalı bir hata. WannaCry fidye yazılımı 2017’de 150’den fazla ülkede yüz binlerce sistemi etkiledi. Kullandığı güvenlik açığı (EternalBlue), Microsoft tarafından saldırıdan iki ay önce yamalanmıştı. Yamayı uygulamayan sistemler çöktü; uygulayanlar geçti.
İşletim sistemi, tarayıcı ve yaygın kullandığınız uygulamalarda otomatik güncelleme açık tutun. Güvenlik güncellemeleri çoğu zaman yeni özellik getirmez; sessizce açıkları kapatır. Bunun için beklemek gereksiz risk taşımaktır.
Kısa Bir Hatırlatma
Güvenliği mükemmel hale getirmek zorunda değilsiniz. Amaç saldırganın işini zor kılmak: benzersiz şifreler + şifre yöneticisi + TOTP tabanlı 2FA + güncel yazılım. Bu dört adım, yaşanan güvenlik ihlallerinin büyük çoğunluğuna karşı sizi koruyan pratik bir temeldir. Geri kalanı üzerine bina edilebilir, ama önce bu temel.
