E-posta Adresinizin Bir Veri İhlaline Karışıp Karışmadığını Nasıl Kontrol Edersiniz?

Bir Veri İhlali E-postanız İçin Gerçekte Ne Anlama Gelir?

Bir şirket veri ihlaline uğradığında, saldırganlar çaldıklarını nadiren kendilerine saklar. E-posta adreslerini, parolaları, isimleri, telefon numaralarını ve diğer hesap ayrıntılarını içeren veritabanları kopyalanır, takas edilir ve sonunda güvenlik araştırmacılarının "ihlal dökümü" dediği biçimde yayımlanır. Zamanla tek tek dökümler, forumlarda ve dosya paylaşım sitelerinde serbestçe dolaşan devasa birleşik listelere — sıkça kullanılan adıyla combolist'lere — dönüşür. Adresinizin böyle bir listeye düşmesi için önemli bir hesaba ait olması gerekmez. 2013'te kaydolduğunuz bir forum, bir kez kullandığınız bir alışveriş sitesi ya da artık var olmayan bir hizmet kaynak olabilir. İhlal onların sunucularında yaşandı, ancak maruz kalan sizsiniz.

Pratikteki tehlike genellikle ihlalin kendisi değil, sonrasında olanlardır. Saldırganlar bu listeleri alıp kimlik bilgisi doldurma (credential stuffing) saldırıları yapar: sızan her e-posta–parola çiftini yüzlerce başka hizmette dener ve insanların parolalarını yeniden kullandığına bahse girer. İhlale uğrayan bir evcil hayvan forumundaki parolanız, birincil e-posta hesabınızı koruyan parolayla aynıysa, forum ihlali bir anda e-posta hesabı ele geçirmeye dönüşür. Sızan adresler hedefli kimlik avını da besler; çünkü hangi hizmetleri kullandığınızı bilen bir saldırgan çok daha inandırıcı sahte e-postalar hazırlayabilir. Adresinizin ifşa olup olmadığını ve nerede olduğunu bilmek, bu yüzden hastalıklı bir merak değil, gerçekten işe yarar bir bilgidir.

İhlal Sorgulama Hizmetleri Nasıl Çalışır?

İhlal sorgulama hizmetleri, aslında düz bir dizinleme sorununu çözer. Araştırmacılar, ortaya çıktıkça ihlal dökümlerinin kopyalarını edinir, verinin gerçek olduğunu doğrular ve etkilenen e-posta adreslerini aranabilir bir veritabanına yükler. Adresinizi girdiğinizde hizmet size onu hangi bilinen ihlallerin içerdiğini, her ihlalin ne zaman yaşandığını ve hangi veri türlerinin ifşa olduğunu — parolalar, telefon numaraları, fiziksel adresler vb. — söyler. En köklü hizmet olan Have I Been Pwned, yüzlerce olayda milyarlarca ihlal edilmiş hesabı kataloglamıştır ve hem bireyler hem de kendi alan adlarını izleyen şirketler tarafından yaygın biçimde kullanılır.

Makul bir itiraz şudur: parolanızın sızıp sızmadığını öğrenmek için onu bir web sitesine yazmak berbat bir fikir gibi görünür — ve yanlış siteye yazıldığında gerçekten öyledir. Have I Been Pwned'in parola sorgulama özelliği bu sorunu k-anonimlik adı verilen bir teknikle aşar. Tarayıcınız parolayı yerel olarak özetler (hash), ardından bu özetin yalnızca ilk beş karakterini sunucuya gönderir. Sunucu, bu beş karakterle başlayan tüm sızmış özetleri — genellikle birkaç yüz aday — döndürür ve tarayıcınız eşleşmeyi yerelde kontrol eder. Hizmet ne parolanızı ne de onu tanımlamaya yetecek kadar özet parçasını görür. Tasarımın tamamı hizmetin kurucusu tarafından herkese açık biçimde belgelenmiştir ve o zamandan beri parola yöneticileri ile tarayıcılar da kendi sızıntı kontrolleri için aynı yöntemi benimsemiştir.

Pwned Passwords'ün arkasındaki k-anonimlik modeli, Have I Been Pwned'i işleten Troy Hunt tarafından ayrıntılı biçimde anlatılıyor: Troy Hunt — Pwned Passwords and the k-anonymity model ↗

Adresinizi Adım Adım Kontrol Etme

haveibeenpwned.com adresindeki Have I Been Pwned ile başlayın. E-posta adresinizi arama kutusuna girin ve gönderin. Sonuç ya rahatlatıcı biçimde boştur ya da adresinizi içeren ihlallerin kronolojik bir listesidir; her biri olayın kısa bir tarifi ve ifşa olan veri sınıflarıyla birlikte gelir. Veri sınıflarını dikkatle okuyun: yalnızca e-posta adreslerini sızdıran bir ihlal can sıkıcıdır, ancak parolaları ya da parola özetlerini sızdıran bir ihlal derhal harekete geçmeyi gerektirir. Aktif olarak kullandığınız her adres için kontrolü tekrarlayın; hâlâ size yönlendirilen eski adresleri de unutmayın, çünkü onlarla açılmış hesaplar da aynı ölçüde savunmasızdır.

Hazır oradayken ihlal bildirimlerine de kaydolun. Have I Been Pwned bir adresi kaydetmenize izin verir ve o adres yeni yüklenen bir ihlalde göründüğünde size e-posta gönderir; böylece unutabileceğiniz manuel bir kontrol, otomatik bir uyarıya dönüşür. Bildirim hizmeti, uyarıları etkinleştirmeden önce adresin denetiminizde olduğunu doğrular; yani başkalarına ait rastgele adreslere abone olamazsınız. Çoğu kullanıcı için değerin büyük kısmını bu tek adım sağlar: ihlaller sürekli keşfedilir ve bugün temiz görünen adres, gelecek ay yüklenen bir dökümde çıkabilir.

Mozilla Monitor (eski adıyla Firefox Monitor), aynı ihlal verisi üzerine kurulu sağlam bir ikinci seçenektir. Aynı adres sorgusunu, ücretsiz bir Mozilla hesabına bağlı sürekli izlemeyle birlikte sunar ve sonuçları her ihlal için adım adım çözüm önerileriyle gösterir. Her iki hizmeti de kullanmak hiçbir şeye mal olmaz ve birkaç dakika sürer. Kendi alan adınız varsa Have I Been Pwned ayrıca alan adı genelinde izleme sunar; bu, alan adınızdaki herhangi bir ihlalde görünen tüm adresleri bildirir ve işe yarar, çünkü info@ ya da contact@ gibi tahmin edilebilir adresler hiç görmediğiniz bir maruziyet biriktirir.

Adresinizi kontrol edebilir ve ihlal verilerinin nasıl işlendiğine dair tam açıklamayı resmi SSS sayfasında okuyabilirsiniz: Have I Been Pwned — Frequently Asked Questions ↗

Mozilla'nın ücretsiz izleme hizmeti sürekli uyarı ve çözüm rehberliği sağlıyor: Mozilla Monitor — free data breach monitoring ↗

Adresiniz Bir İhlalde Çıkarsa Ne Yapmalısınız?

Önce ihlale uğrayan hizmetteki parolayı değiştirin — ve daha da önemlisi, aynı ya da benzer parolayı kullandığınız diğer tüm hizmetlerde de değiştirin. Saldırganlar yeniden kullanımı varsayar ve sona bir rakam ya da ünlem eklemek gibi varyasyonlar otomatik tahmini durdurmaz. Sıra önemlidir: önce birincil e-posta hesabınızı güvene alın, çünkü diğer her şeyin kurtarma mekanizması odur. Gelen kutunuzu ele geçiren bir saldırgan, diğer hesaplarınızın çoğunun parolasını dilediği gibi sıfırlayabilir.

İkinci olarak, her hesap için benzersiz ve rastgele bir parola üreterek yeniden kullanım sorununu kökünden çözün; pratikte bu, bir parola yöneticisi kullanmak demektir. Bu tek değişiklik, gelecekteki ihlalleri zincirleme bir acil durumdan kontrol altındaki bir olaya dönüştürür: sızan bir parola tam olarak bir hesabı açar ve onu değiştirmek bir dakika sürer. Hizmetler passkey sunuyorsa doğrudan onları tercih edin. Passkey, cihazınıza bağlı kriptografik bir kimlik bilgisidir; hizmetin veritabanında sızabilecek ortak bir sır bulunmaz, dolayısıyla hizmetin ihlali saldırganın hesabınıza karşı yeniden kullanabileceği hiçbir şeyi açığa çıkaramaz. Hâlâ parola kullanan önemli her şeyde iki adımlı doğrulamayı etkinleştirin; tercihen SMS yerine bir kimlik doğrulama uygulamasıyla.

Üçüncü olarak, ifşa olan veriyi gerçekçi biçimde değerlendirin. Sızan bir parola değiştirilebilir; sızan bir e-posta adresi değiştirilemez. Adresiniz dolaşıma girdikten sonra süresiz olarak daha çok spam ve daha inandırıcı kimlik avı bekleyin. İhlale uğrayan hizmete atıfta bulunan e-postalara karşı özellikle temkinli olun; saldırganlar tam da bu tür hedefli yemler göndermek için ihlal listelerini kullanır. İhlal ödeme verisini açığa çıkardıysa hesap ekstrelerinizi izleyin ve kartı değiştirmeyi düşünün. Kimlik numarası gibi kimlik verisi açığa çıktıysa, ülkenizde mevcut olan sahtecilik uyarısı ya da kredi dondurma mekanizmalarını araştırın.

Takma Adlar ve Tek Kullanımlık Adreslerle Gelecekteki Maruziyeti Azaltmak

Yukarıdaki her şey tepkiseldir. İhlal hijyeninin önleyici sürümü, gerçek adresinizin en baştan kaç veritabanına girdiğini sınırlamaktır; çünkü hiç toplanmamış bir adres asla sızamaz. E-posta takma adları, süregelen ilişkiniz olan hizmetler için doğru araçtır: bir takma ad sağlayıcısı her hizmete kendi yönlendirme adresini verir, böylece bir ihlal yalnızca o takma adı açığa çıkarır ve siz de onu devre dışı bırakırsınız. Ele geçen adres ölür; gerçek gelen kutunuza dokunulmaz ve kimin sızdırdığını tam olarak bilirsiniz.

Tek seferlik etkileşimlerde — bir teknik doküman indirmek, bir indirim kodu almak, bir daha dönmeyeceğiniz bir hizmeti denemek — tek kullanımlık adres daha temiz bir çözümdür. PureTempMail gibi bir hizmetten alınan geçici gelen kutusu dakikalar ya da saatler yaşar, doğrulama e-postasını alır ve ardından tüm verisiyle birlikte sona erer. O hizmet yıllar sonra kaçınılmaz olarak ihlale uğradığında, döküm artık var olmayan ve sizinle hiçbir zaman bağlantılı olmamış bir adres içerir. Hiç vermediğiniz veri, bir ihlal sorgusu sonucunda asla çıkmayacağı garanti olan tek veridir.

Yapmamanız Gerekenler

Gerçekten kullandığınız bir parolayı rastgele bir "parola kontrol" sitesine asla yazmayın. Have I Been Pwned'in parola kontrolünü güvenli kılan şey yukarıda anlatılan k-anonimlik tasarımıdır ve saygın parola yöneticileri de aynı protokolü kullanır — ama parolanızı isteyen formuyla rastgele bir site, onu basitçe topluyor olabilir. Parola kontrol etmek istiyorsanız bunu doğrudan Have I Been Pwned üzerinden ya da parola yöneticinize veya tarayıcınıza gömülü sızıntı kontrolü özelliğiyle yapın; orada kontrol, parolanın kendisi iletilmeden özetlenmiş veri üzerinde gerçekleşir.

İhlale uğradığınızı duyuran istenmeyen e-postalara, özellikle bir giriş sayfasına bağlantı veren ya da ödeme talep edenlere karşı da aynı ölçüde şüpheci olun. Meşru ihlal bildirimleri parolanızı istemez ve Have I Been Pwned'in uyarıları sonuçları görmek için giriş yapmanızı asla istemez. İlgili bir dolandırıcılık türü, elinde utandırıcı materyal olduğunu iddia eder ve kanıt olarak gerçekten size ait sızmış bir parolayı gösterir; parola gerçektir, ama eski bir ihlal dökümünden gelir, cihazlarınıza erişimden değil. Son olarak, bu ücretsiz hizmetlerin zaten verdiği aynı kamuya açık ihlal verisini yeniden paketleyen ücretli "dark web taraması" ürünlerini geçin.

Gerçekçi Bir Rutin

İhlal maruziyeti bir kez düzeltilecek bir olay değil, sürekli yönetilecek bir arka plan koşuludur. Makul bir rutin kısadır: aktif adreslerinizi Have I Been Pwned üzerinde kontrol edin, orada ya da Mozilla Monitor'da bildirimlere abone olun, bir yönetici aracılığıyla benzersiz parolalara geçin, sunulan yerlerde passkey kullanın ve gerçek adresinizi yalnızca size uzun vadede ulaşması gereken hizmetlere verin. Takma adlar güvenilen ama bölümlenmiş orta alanı, tek kullanımlık adresler ise geçici olan her şeyi kapsar. Bu adımların hiçbiri zor değildir ve bir araya geldiklerinde bir sonraki ihlal haberini kişisel bir acil durumdan sıradan bir habere dönüştürür.

Gerçek adresinizi elinde tutan hizmet sayısını azaltmak en iyi uzun vadeli savunmadır. Pratik teknikleri tamamlayıcı bir yazıda ele alıyoruz: E-postanızı spamdan nasıl korursunuz