Çoğumuzun kafasında "hesabım hacklendi" için bir tür alarm zili vardır: talep etmediğimiz bir şifre sıfırlama e-postası, tanımadığımız bir şehirden giriş yapıldığına dair bir mesaj, aniden kilitlenen bir hesap. Bu alarm zili, asıl tehdit birinin şifrenizi tahmin etmesi ya da kaba kuvvetle kırmaya çalışması olduğu dönemde mantıklıydı. Ama son dönemdeki olaylarda karşımıza çıkan erişim yöntemleri için neredeyse hiçbir işe yaramıyor; çünkü bu yöntemler zaten o alarmı tetiklememek üzere tasarlanmış durumda.

Son birkaç haftadan iki örnek bu düzeni gözler önüne seriyor. Malwarebytes, 3 Ağustos 2026'da yayımladığı bir raporda, kurbanların -bazen gerçek wa.me alan adı üzerinden- sözde bir "WhatsApp Web kurulumu" adımlarından geçirilip sonunda saldırganın cihazını kendi hesaplarına bağlayan bir kod girmelerine yol açan bir WhatsApp dolandırıcılığını belgeledi. Hiçbir yerde şifre girilmediği için ne bir şifre sıfırlama e-postası tetikleniyor ne de başarısız giriş uyarısı devreye giriyor. Saldırganın cihazı, hesabın bağlı cihazlar listesine sessizce eklenen bir başka giriş oluveriyor; tam okuma ve gönderme yetkisiyle. Saldırgan da bunu kurbanın kişilerine aynı dolandırıcılığı uygulamak için kullanıyor. Ayrı bir gelişmede Microsoft, "CaptiveCrunch" adını verdiği bir kampanya konusunda uyardı: bu kampanya otel ve konferans Wi-Fi'larındaki captive portal (karşılama) sayfalarını hedef alarak kullanıcıları, yalnızca şifreleri değil cihaz kodlarını ve OAuth token'larını da toplayan sahte giriş sayfalarına yönlendiriyor. Bu bilgiler, bir şifre değişikliğinde ortaya çıkacak türden "yeni giriş" bildirimini hiç tetiklemeden erişim sağlayan kimlik bilgileri.

Ortak nokta şu: her iki saldırı da şifrenin kendisi yerine oturum ve yetkilendirme mekanizmalarını hedef alıyor -bağlı cihazlar, OAuth izinleri, cihaz kodları. Hesabınızın yerleşik uyarı sistemi ön kapıyı gözlemek üzere tasarlanmıştı. Bu yöntemlerse o sistemin izlemediği bir yan kapıdan içeri giriyor.

Gerçekte ne yapılmalı

Gelmeyecek bir bildirimi bekleyemezsiniz. Bunun yerine, kendi bağlı cihazlarınızı ve yetkilendirdiğiniz uygulamaları kontrol etmeyi, tıpkı duman dedektörünüzün pillerini kontrol eder gibi düzenli bir alışkanlık haline getirin. İşte sırasıyla izlenecek somut bir kontrol listesi:

1. Mesajlaşma uygulamalarında bağlı/aktif cihazları kontrol edin

  • WhatsApp: Ayarlar → Bağlı Cihazlar. Tanımadığınız her şeye dokunun ve "Oturumu Kapat"a basın.
  • Telegram: Ayarlar → Cihazlar. Aynı mantık: şu anda fiziksel olarak elinizde olmayan her oturumu sonlandırın.
  • Signal: Ayarlar → Bağlı Cihazlar, aynı kontrolü yapın.

2. Ana hesaplarınızdaki aktif oturumları ve üçüncü taraf uygulama erişimlerini kontrol edin

  • Google: myaccount.google.com/security → "Cihazlarınız" ve "Hesap erişimi olan üçüncü taraf uygulamalar." Tanımadığınız her şeyin erişimini iptal edin ve özellikle aylar hatta yıllar önce erişim verip unuttuğunuz uygulamalara dikkat edin -eski bir izin, saldırgan için yeni bir izin kadar kullanılabilir.
  • Microsoft: account.microsoft.com/security → "Oturum açma etkinliği" ve "Uygulama izinleri."
  • Apple ID: Ayarlar → [adınız] → en altta yer alan cihaz listesini kontrol edin.
  • Facebook/Instagram: Ayarlar → "Nerede oturum açtınız" / "Aktif oturumlar" ve bağlı üçüncü taraf erişimleri için "Uygulamalar ve web siteleri."

3. Sizden şifre yerine bir kod girmenizi isteyen her akıştan şüphelenin

Meşru "bu cihazı bağla" akışları da kod kullanır -bu, tek başına bir alarm işareti değildir. Sizi durdurması gereken şey, bu isteğin tetikleyicisidir: eğer kod girme istemi bir kişinizden gelen mesaj ("bana oy ver," "şuna bak") yüzünden, herkese açık bir Wi-Fi captive portalı yüzünden ya da kendinizin başlatmadığı herhangi bir bağlantı yüzünden ortaya çıktıysa, aksi kanıtlanana kadar bunu düşmanca kabul edin. Bağlantıyı kapatın ve devam etmek yerine doğrudan uygulamaya ya da hesaba kendiniz gidin.

4. E-postanızın bilinen bir veri sızıntısında görünüp görünmediğini kontrol edin

Güvenlik araştırmacısı Troy Hunt tarafından işletilen Have I Been Pwned (haveibeenpwned.com), e-posta adresinizin bilinen veri sızıntılarında görünüp görünmediğini kontrol etmek için ücretsiz ve köklü bir hizmet -o kadar güvenilir ki ulusal hükümetler kendi alan adları için bunu kullanıyor (bu haftaki haberlere göre Nepal'in ulusal siber güvenlik merkezi bu hizmete katılan 47. hükümet oldu). Bağlı cihaz üzerinden yapılan bir ele geçirmeyi yakalamaz ama birincil e-posta adreslerinizde çalıştırmaya değer, hızlı ve ücretsiz bir kontrol; herhangi bir hesap sorunundan şüphelenip nereden başlayacağınızı bilmediğinizde atılacak ilk doğru adımdır.

5. Güvenilmeyen ağlarda -otel Wi-Fi'ı, konferans Wi-Fi'ı, havalimanı Wi-Fi'ı- captive portal sayfasının kendisi üzerinden hassas hiçbir yere giriş yapmayın

Bir otel ya da mekanın Wi-Fi giriş sayfası, internet erişimi vermeden önce bir yazılım güncellemesi, bir "güvenlik kontrolü" penceresi ya da bir Microsoft/Google girişi isterse dikkatli olun -önce bağlanın, ardından gerçek girişlerinizi ağın size sunduğu sayfa üzerinden değil, telefonunuzun mobil veri bağlantısı veya bir VPN üzerinden yapın.

Bunu takvime işleyin

Tek seferlik bir temizlik, bugünkü sorunu çözer ama gelecek çeyrekteki sorunu çözmez. Düzenli bir hatırlatıcı belirleyin -üç ayda bir makul bir sıklık olabilir, ya da zaten düzenli yaptığınız bir şeye bağlayın, mesela mevsim değişimi ya da tekrarlayan bir fatura- ve en önemli iki veya üç hesabınız için yukarıdaki 1. ve 2. adımları uygulayın: birincil e-postanız, en sık kullandığınız mesajlaşma uygulaması ve finansal işlemlerinize bağlı herhangi bir hesap. Menülerin nerede olduğunu bildikten sonra on beş dakikadan az sürer ve bu, sizi özellikle uyarmamak üzere tasarlanmış erişimleri yakalamanın tek güvenilir yoludur.