Hacklenen Hesap Nasıl Kurtarılır? Adım Adım Kurtarma ve Yasal Sınırlar

Hacklenen bir hesabı geri almanın yolu, platformun güvenlik duvarını aşmaktan değil, hesabın gerçek sahibi olduğunuzu kanıtlayıp kurtarma adımlarını doğru sırayla çalıştırmaktan geçer. Bu rehber; ilk saatte erişimi kesmeyi, saldırganın hesabın içinde bıraktığı kalıcı izleri temizlemeyi, platformların kendi kurtarma süreçlerinde hangi kapının gerçekten açıldığını ve sonrasında hangi hukuki adımların atıldığını anlatır. Amaç başkasının hesabına girmeyi öğretmek değil; kendi hesabınızı geri alırken kanıtı, yetkiyi ve zaman çizelgesini korumaktır.

Kısa cevap: hesap kurtarma bir hacking işi değil, kanıt işidir

Ele geçirilmiş bir hesabın kurtarılmasında iki farklı iş birbirine karıştırılıyor. Birincisi teknik inceleme: hangi cihazdan, hangi oturumla, hangi yöntemle girildiğinin izini sürmek ve hesapta kalan art niyetli yapılandırmayı bulmak. İkincisi ise mülkiyet iddiasının ispatı: hesabın size ait olduğunu platformun kabul edeceği biçimde göstermek. Kurtarma süresini belirleyen neredeyse her zaman ikincisidir, çünkü platformun kimlik doğrulama sırası sizin hızınıza değil kendi prosedürüne göre işler.

Bu yüzden "48 saatte hesabını geri getiririz, iki adımlı doğrulamayı aşarız" diyen bir hizmetin vaadi teknik olarak değil hukuken imkânsızdır. Bir platformun kimlik doğrulama katmanını sahibinin izni olmadan aşan her yöntem, sahibi olduğunuz hesap için bile yetkisiz erişim sayılır. Türkiye'de 5237 sayılı Türk Ceza Kanunu'nun 243. maddesi bilişim sistemine hukuka aykırı girme suçunu, 244. maddesi ise sistemi engelleme, bozma veya verileri yok etme fiillerini düzenler; kanun, hesabın kime ait olduğuna göre değil, erişimin yetkilendirilmiş olup olmadığına bakar. Sizin adınıza açılmış bir hesabı üçüncü bir kişinin araçlarıyla zorlamak, "benim hesabım" savunmasıyla kapanan bir kapı değildir.

Buna karşılık meşru bir kurtarma çalışmasında yapılabilecekler azımsanmayacak kadar çok: kalıcı erişim izlerinin bulunması, oturum ve cihaz envanterinin çıkarılması, kanıtın zaman damgalı biçimde korunması, platform başvurusunun doğru kanıtla ve doğru dille yazılması, gerekiyorsa hukuki süreç için teknik rapor hazırlanması. Aşağıdaki sıra bu işlerin hangi sırayla yapılması gerektiğini anlatıyor.

İlk 60 dakika: erişimi kes, geri dönüş yollarını yeniden kur

Hesabın hâlâ açık olduğu her dakika saldırganın yeni bir kurtarma yolu eklemesi için fırsattır. Bu yüzden ilk iş hesabı incelemek değil, saldırganın erişimini kesmek ve sizin geri dönüş yolunuzu güvenceye almaktır.

Bu adımlar tamamlandığında hesap hâlâ sizde değilse, sıradaki iş platformun kurtarma sürecine başvurmaktır. Ama başvurmadan önce saldırganın ne yaptığını kaydetmek gerekir; çünkü platformun karar verirken kullandığı şey sizin anlatımınız değil, kanıtın tutarlılığıdır.

Saldırganın içeride bıraktığı beş iz

Hesabı geri aldıktan sonra ilk sevinçle işi bitmiş saymak en pahalı hata. Saldırganların önemli bir kısmı, fark edilmemek için hesabın içinde sessiz ve kalıcı yapılandırmalar bırakır. Aşağıdaki beş başlık, hesabı geri aldıktan sonra tek tek kontrol edilmesi gereken yerlerdir.

Platform süreçleri: hangi kapı gerçekten açılır

Kurtarma başvurusunun sonucu, büyük ölçüde doğru kanalın kullanılmasına bağlıdır. Bir platformun destek e-postasına yazılan duygusal bir mektup neredeyse her zaman otomatik yanıtla kapanır; aynı platformun kendi hesap kurtarma formunu eksiksiz doldurmak ise gerçek bir inceleme başlatır. Formu doldururken üç şeye dikkat edin: hesabın oluşturulma tarihine yakın bilgiler, hesaba bağlanmış eski bir telefon veya kurtarma adresi ve hesabın son dönemdeki gerçek kullanımına dair örnekler. Platformun sorduğu "son başarılı giriş tarihi" veya "son gönderdiğiniz iletinin konusu" gibi alanlar bir tahmin oyunu değil, sahiplik testidir.

İki adımlı doğrulama saldırganın kontrolündeki bir cihaza bağlıysa çoğu platformda hesap kurtarma formu geçici olarak kilitlenir ve kimlik doğrulama istenir. Bu aşamada bekleyen kullanıcıların çoğu süreci hızlandırmak için üçüncü taraflara başvuruyor; oysa yapılması gereken, platformun istediği belgeyi eksiksiz ve tutarlı biçimde sunmaktır. Kimlik belgesi, selfie doğrulaması ve hesap geçmişine dair sorular bu sürecin parçasıdır ve hiçbiri bir aracıyla hızlandırılamaz.

Kurumsal hesaplarda tablo farklıdır: alan adının ve çalışan hesaplarının sahibi kuruluş olduğu için kurtarma talebi kurumsal yönetici üzerinden yürür ve çalışanın kişisel telefonundan yapılan bir başvuru genellikle reddedilir. Kurumsal e-posta ele geçirildiğinde izlenecek sıra farklı olduğu için o senaryoyu BEC müdahale rehberinde ayrıca ele aldık. Hesabın nasıl ele geçirildiğine dair ilk şüpheleri değerlendirmek için telefonun ele geçirildiğine dair işaretler yazısındaki kontrol listesi başlangıç noktası olabilir.

Kanıt paketi: sonradan işe yarayacak kayıtlar

Bir hesap ele geçirildiğinde kanıt hızla kaybolur: oturum kayıtları döner, iletiler silinir, saldırganın bıraktığı yapılandırma temizlenir. Bu yüzden ilk saatlerde toplanan kayıtlar hem platform başvurusunda hem de sonraki hukuki süreçte belirleyici olur. Toplanması gerekenler sınırlı ve tekrarlanabilir bir liste:

• Tanımadığınız oturumların ve cihazların listelendiği, tarih ve saatin göründüğü ekran görüntüleri.
• Şüpheli giriş uyarılarının tam başlık satırları, yalnızca "bir uyarı aldım" notu değil.
• Değiştirilmiş kurtarma adresi, yönlendirme kuralı veya bağlı uygulama ekranlarının fotoğrafı.
• Şantaj veya tehdit içeren iletiler: metin, gönderen adresi, zaman damgası ve varsa ekler.
• Hesabın sahipliğini gösteren eski belgeler: kuruluş tarihli hoş geldin iletisi, eski fatura, kayıt onayı.
• Kurtarma başvurusunun kendisi: hangi tarihte, hangi formdan gönderildiği ve hangi yanıtla kapatıldığı.

Kanıtı toplarken iki kural geçerlidir. Birincisi, orijinali değiştirmeyin: ekran görüntüsünü kırpmak, tarih damgasını gizlemek veya iletiyi başka bir klasöre taşımak kanıtın değerini düşürür. İkincisi, kopyayı ayrı bir yerde tutun: hesaba erişimi olan bir saldırgan, aynı hesapta sakladığınız kanıtı da siler. Kayıtları şifreli bir arşivde, hesaptan bağımsız bir ortamda saklayın ve dosyaların değiştirilmediğini göstermek için bir karma (hash) değeri alın.

Şantaj ve tehdit: ödeme yapmak durumu düzeltmez

Hesabı ele geçiren kişi çoğu zaman bir şey ister: para, ek fotoğraf, daha fazla erişim. Bu tür iletilerde ödeme yapmak neredeyse hiçbir zaman dosyayı kapatmaz, çünkü ödeme yapan kişi ödemeye devam eden kişi olarak işaretlenir. Yapılması gerekenler daha sınırlı: iletiyi silmeyin, ekran görüntüsüyle ve başlık bilgisiyle kaydedin, platformun şantaj bildirim kanalına iletin, hesabın erişimini kesin ve tehdit bir suç unsuru taşıyorsa kolluk birimlerine veya cumhuriyet savcılığına başvurun. Türkiye'de bilişim suçlarına ilişkin başvurular kolluğun siber suç birimleri üzerinden yürütülür; başvuru sırasında hazırladığınız zaman çizelgesi ve kanıt dosyası süreci kısaltır.

Yaygın bir varyant, ele geçirilen hesaptaki kişisel görüntüleri yaymakla tehdit edilmesidir. Bu durumda ödeme yapmak yerine içeriğin yayılma ihtimalini azaltacak adımlar önce gelir: platformun acil kaldırma kanalları, hesabın geçici olarak dondurulması ve mümkünse içeriğin arama sonuçlarından çıkarılması için başvuru. Teknik kurtarma bu adımların yerine geçmez, onları tamamlar.

Profesyonel destek ne zaman gerekir?

Her hesap ele geçirilmesi bir uzman gerektirmez. Kişisel bir sosyal medya hesabında, kanıt toplandıktan ve erişim kesildikten sonra platformun kurtarma formu çoğu zaman yeterlidir. Uzman desteğinin gerçekten fark yarattığı durumlar şunlardır: kurumsal e-posta veya yönetim paneli gibi birden çok sisteme bağlı hesaplar, aynı saldırganın tekrar tekrar dönmesi, cihazda izleyici yazılım şüphesi, hukuki süreç için teknik rapor gerekliliği ve kurtarma sonrası kalıcı erişim izlerinin sistemli biçimde temizlenmesi.

Destek alırken sorulacak sorular işin niteliğini hızla ortaya çıkarır: kapsam yazılı mı, hangi hesaplar ve hangi cihazlar dahil, teslim edilecek çıktı nedir, kanıt nasıl saklanacak ve iş bitiminde silinecek mi, hangi adımlar platformun kendi süreçleriyle sınırlı olacak? Bu sorulara net cevap veremeyen bir hizmet, büyük olasılıkla platform formunu sizin yerinize doldurmaktan fazlasını vaat ediyordur. Meşru bir çalışma yetkisiz erişim aracı satmaz; kanıtı düzenler, incelemeyi yürütür ve süreci sizin adınıza doğru kanaldan ilerletir. Hizmet kapsamı ve çalışma biçimi için hizmetler sayfamız, yetkilendirme ve kapsam yazışması için etik hacker kiralama sayfası başlangıç noktası olabilir.

Kurtarma sonrası kalıcı sertleştirme

Hesabı geri almak bir olayın sonu, aynı olayın tekrarını engellemek ise ayrı bir iştir. En etkili önlem sıralaması basittir: parola yerine geçen anahtar (passkey) veya donanım anahtarı ile iki adımlı doğrulama; her hesap için ayrı ve uzun parola; kritik hesaplar için ayrı bir e-posta adresi; kurtarma kodlarının yazdırılıp hesaptan bağımsız saklanması; üç ayda bir oturum ve yetkili uygulama listesinin gözden geçirilmesi. Bu beş adım, ele geçirilme vakalarının büyük bölümünde saldırganın ilk kapıyı açmasını engeller.

Saldırganın sizi hedef alması bir olasılık hesabı değil, bir zaman meselesi olarak düşünülmeli. Bu yüzden asıl soru "hesabım ele geçirilir mi" değil, "ele geçirildiğinde ilk on dakikada ne yapacağımı biliyor muyum" olmalı. Bu yazıdaki sıra, o on dakikayı tahmine bırakmamak için var.