Instagram Hesabım Çalındı: Dört Kurtarma Kapısı ve Doğru Sıra

Instagram hesabınızın çalınması çoğu zaman bir "kırma" olayı değil, bir kapının açık bırakılmasıdır: ya bir doğrulama kodu paylaşıldı, ya sahte bir giriş sayfasına şifre yazıldı, ya da yıllar önce izin verilen bir üçüncü taraf uygulama hâlâ hesaba bağlıydı. Bu yüzden kurtarma, "hangi yolu deneyeceğim" sorusuyla değil, "hangi kapı açık kaldı" sorusuyla başlar. Aşağıdaki rehber Meta'nın kurtarma akışındaki dört kapıyı, her birinin hangi durumda işe yaradığını, video selfie doğrulamasının neyi aradığını ve hesabı geri aldıktan sonra Türkiye'de hangi başvuru zincirinin izleneceğini anlatır.

Baştan söyleyelim: bu yazı bir hesaba izinsiz girmeyi değil, kendi hesabınızı platformun kendi kanallarından geri almayı anlatır. Instagram'ın resmî destek telefonu yoktur; "Meta destek" adıyla sizi arayan, mesaj atan veya kod isteyen hiçbir kişi ya da kurum meşru değildir.

İlk on dakika: hangi kapı açık kaldı?

Hesabın nasıl alındığını bilmek, hangi kurtarma yolunun işe yarayacağını belirler. Pratikte üç vektör var ve üçü farklı bir ilk hamle gerektirir.

Kod veya bağlantı paylaşımı. "Hesabınız askıya alınacak, doğrulayın" diyen bir DM, "arkadaşımın hesabını kurtarmama yardım et" diyen bir tanıdık ya da Instagram destek numarası gibi davranan bir hesap, sizden altı haneli kodu veya giriş bağlantısını ister. Kod bir kez verildiğinde oturum karşı tarafa geçer. Bu senaryoda cihazınızda kötü amaçlı yazılım olması gerekmez.

Sahte giriş sayfası. "Telif ihlali", "mavi tik başvurusu", "hesabınız kapatılacak" başlıklı bir bağlantı, Instagram'ın giriş ekranının birebir kopyasına götürür. Şifreyi oraya yazdığınız anda gerçek hesap bilgileri karşı tarafa geçer; sayfa sizi gerçek Instagram'a yönlendirdiği için hiçbir şey fark etmezsiniz. Bu vektörün izi genellikle e-posta kutunuzda durur: "e-posta adresiniz değiştirildi" bildirimi.

Eski bir yetkilendirme. Yıllar önce "kim takip etti" uygulaması, düzenleme aracı veya eski bir iş ortağının paneli için verdiğiniz erişim, uygulamanın kendisi kapansa bile token olarak yaşamaya devam edebilir. Bu vakalarda şifre değişse dahi saldırgan yeniden bağlanabilir; çünkü kullandığı şey şifre değil, verilmiş bir izindir.

Hangi vektör olursa olsun ilk ölçüm iki soruyla yapılır: hesaba bağlı e-posta ve telefon numarası hâlâ sizin kontrolünüzde mi, ve o e-posta kutusuna hâlâ erişebiliyor musunuz? E-posta sizdeyse kurtarma genellikle dakikalar içinde biter. E-posta da gittiyse sıra değişir: önce e-posta sağlayıcınız, sonra Instagram.

Birinci kapı: "e-posta adresiniz değiştirildi" bildirimi

Meta, hesabın e-posta adresi değiştiğinde eski adrese security@mail.instagram.com üzerinden bir bildirim gönderir. Bu e-postanın içinde değişikliği geri alma bağlantısı bulunur ve bu bağlantı süreli olduğu için işin en hızlı yolu buradan geçer. Bağlantıya kendi cihazınızdan, tarayıcıya adresi elle yazarak girin; e-postadaki bağlantıya başka bir uygulamanın içinden tıklamayın.

Bu adım çoğu vakada tek başına hesabı geri verir, çünkü e-posta adresi hâlâ sizin elinizdedir ve Instagram'ın gözünde "kanıtlanmış sahiplik" odur. İki ayrıntı önemli: bildirimi silmeyin (kanıt olarak saklayın), ve değişikliği geri aldıktan hemen sonra şifre ile iki adımlı doğrulamayı güncelleyin - aksi halde açık kalan kapıdan aynı senaryo tekrarlanır.

Bildirim hiç gelmediyse iki olasılık var: ya saldırgan önce e-posta kutusunu ele geçirip bildirimi sildi, ya da hesabın e-postası değiştirilmedi ve olay başka bir vektörden yürüdü (kod paylaşımı, oturum çalınması). İkinci durumda aşağıdaki giriş bağlantısı yolu daha olası sonuç verir.

İkinci kapı: giriş bağlantısı ve güvenlik kodu

Giriş ekranında "Şifremi unuttum" veya "Giriş yapmakla ilgili yardım al" yolundan hesabınıza bağlı kullanıcı adını, e-posta adresini ya da telefon numarasını girerek giriş bağlantısı veya güvenlik kodu isteyebilirsiniz. Kod e-posta veya SMS ile gelir; gelmiyorsa "Bu e-posta adresine veya telefon numarasına erişemiyorum" seçeneği bir sonraki kapıyı açar.

Burada en sık tıkanan nokta, saldırganın kullanıcı adını da değiştirmiş olmasıdır. Eski kullanıcı adıyla arama yaptığınızda hesap bulunamaz, çünkü artık o ad yok. Çözüm basit ama akıldan çıkar: profilinizin güncel bağlantısını bir arkadaşınızdan veya eski bir mesajlaşmadan alın, o bağlantıdaki güncel kullanıcı adını giriş formuna yazın. Kullanıcı adı değiştiyse profil fotoğrafı ve biyografi de değişmiş olabilir; arkadaşınızdan ekran görüntüsü isteyin.

Üçüncü kapı: instagram.com/hacked ve destek talebi

Ne bildirim ne giriş bağlantısı işe yaradıysa sıradaki durak instagram.com/hacked adresidir; adresi tarayıcıya elle yazın, DM veya yorumla gelen bağlantılara tıklamayın. Akış size hesabı bulmayı, ardından erişiminizi kaybettiğiniz noktayı seçtirmeyi ve sonunda yalnızca sizin erişebildiğiniz bir e-posta adresi vermenizi ister. Bu adres, kurtarma yazışmasının gideceği yerdir; bu yüzden kurumsal bir adres değil, kendi kontrolünüzdeki bir adres seçin.

Destek talebinde kimliğinizi kanıtlayan ayrıntılar belirleyici olur: hesabın açıldığı yaklaşık tarih, eski kullanıcı adları, hesabı açarken kullandığınız cihaz türü, daha önce bağlı olan telefon numarası ve varsa Meta Business ya da reklam hesabı bağlantısı. Bu bilgileri uydurmak yerine en doğru hatırladığınız haliyle yazın; tutarsız bilgi talebi yavaşlatır.

Dördüncü kapı: video selfie doğrulaması

Hesapta sizin yüzünüzü içeren fotoğraflar varsa Meta, kimlik doğrulaması için başınızı farklı yönlere çevirdiğiniz kısa bir video isteyebilir. Amaç, hesabın gerçek sahibiyle videodaki kişinin aynı olduğunu makineyle karşılaştırmaktır. Bu adım çoğu kişi için son ve en kritik kapıdır; başarısızlığın nedenleri teknik değil, çekim koşullarıyla ilgilidir.

Doğrulama reddedilirse aynı akıştan yeni bir video gönderebilirsiniz; her denemede koşulları düzeltmek, aynı videoyu tekrar göndermekten daha etkilidir. Hesapta hiç net yüz fotoğrafı yoksa video yolu tıkanır ve süreç yalnızca destek yazışmasıyla ilerler - bu, kurtarma süresinin saatler değil günler sürebileceği anlamına gelir.

Yan kapı: Facebook ve Accounts Center

Instagram hesabınız bir Facebook hesabına bağlıysa, Meta'nın Accounts Center yapısı iki hesabı tek kimlik altında tutar. Bu, kurtarmada iki yönlü bir kapı açar: Instagram'da oturum açamıyorsanız ama Facebook tarafı hâlâ elinizdeyse, Facebook ile giriş yapıp Instagram şifresini oradan sıfırlayabilirsiniz. Tersi de geçerlidir - Instagram sizdeyse ve bağlı Facebook hesabı da ele geçirilmişse, iki hesap arasındaki bağ saldırganın lehine çalışıyor demektir.

Bu yüzden kurtarma sırasında bağlı hesapları tek tek kontrol edin: Accounts Center altındaki bağlantılar, ortak e-posta adresi ve ortak telefon numarası. Saldırgan genellikle tek bir kredeleyle iki hesabı da almıştır; birini kurtarmak diğerini güvenceye almaz. Ortak e-posta ele geçirildiyse önce o e-postanın kendisini kurtarın, çünkü bütün sıfırlama bağlantıları oraya düşer.

İş hesabı, profesyonel hesap veya reklam hesabı yönetiyorsanız risk büyür: ele geçirilmiş hesap üzerinden reklam bütçesi harcanabilir, sayfa yöneticisi olarak başka kişiler eklenebilir, ödeme yöntemi değiştirilebilir. Bu nedenle kurumsal hesaplarda kurtarma ile eşzamanlı olarak reklam hesabının harcama limitlerini ve yönetici listesini kontrol etmek gerekir; maddi zarar buradan çıkar.

Hesaba hâlâ girebiliyorsanız: ilk yapılacak beş iş

Oturum hâlâ açıksa durum daha iyidir ama acele gerekir; saldırgan çoğu vakada sizi dışarı atmak için bekler. Sıra şu olmalı: şifreyi yalnızca orada kullanılan uzun ve benzersiz bir değerle değiştirin; Accounts Center'dan "nerede oturum açtınız" listesini açıp tanımadığınız her cihazı kapatın; iki adımlı doğrulamayı SMS yerine kimlik doğrulama uygulamasıyla açın ve varsa yedek kodları güvenli bir yere kaydedin; "Uygulamalar ve web siteleri" bölümünden tanımadığınız üçüncü taraf erişimlerini kaldırın; bağlı e-posta ve telefon numaralarını kontrol edip size ait olmayanları silin.

Bu beş adımın sırası önemlidir. Önce şifre değiştirip oturumları kapatmazsanız, açık bir token saniyeler içinde sizi yeniden dışarı atabilir. Önce üçüncü taraf erişimlerini kaldırmazsanız, şifre değişikliği hiçbir şey ifade etmez. İki adımlı doğrulamayı en sona bırakmak ise en sık yapılan hata: doğrulama açık değilse, saldırganın elindeki eski oturum yeniden bağlanmak için yeterli olur.

Kanıt ve Türkiye'de başvuru zinciri

Hesap üzerinden para istendi, sahte ilan verildi, reklam harcaması yapıldı veya özel fotoğraflar paylaşıldıysa olay artık yalnızca platformun konusu değildir. Kaydetmeniz gerekenler: ekran görüntüleri (tarih ve saat görünür), silinen veya değiştirilen gönderiler, hesaptan gelen mesajlar, reklam harcaması varsa işlem dökümü ve Meta ile yapılan yazışma. Kanıtı hesaptan bağımsız bir ortamda tutun ve değiştirilmediğini göstermek için karma (hash) değeriyle birlikte tarihini not edin.

Suç duyurusu Cumhuriyet Başsavcılığına veya kolluğun siber suçlar birimine yapılır. 5237 sayılı Türk Ceza Kanunu'nun 243. maddesi bilişim sistemine hukuka aykırı girmeyi, 244. maddesi sistemi engelleme ve verileri yok etmeyi düzenler; özel fotoğrafların yayılması ayrıca özel hayatın gizliliğini ihlal (m. 134) ve müstehcenlik (m. 226) hükümlerine konu olur. Bu tür bir içerik yayıldıysa 6284 sayılı Kanun kapsamında koruma tedbiri de talep edilebilir; ayrıca görüntülerin yeniden yayılmasını engellemek için StopNCII.org üzerinden hash bildirimi yapılabilir. İçerik hâlâ yayındaysa ve kaldırılması için platformun kendi kanalları sonuç vermediyse, 5651 sayılı Kanun kapsamında sulh ceza hâkimliğine erişim engeli talebiyle başvurulabilir; bu talep içeriğin kaldırılmasını değil erişiminin engellenmesini sağlar ve başvuruya URL, ekran görüntüsü ve içeriğin kişisel veri ya da özel hayat kapsamında olduğunu gösteren belgeler eklenir.

Maddi zarar varsa banka tarafı ayrı yürür: reklam harcaması veya dolandırıcılık ödemesi için aynı gün işlem itirazı başlatın ve dekontu saklayın. Sahte bir giriş sayfası ya da sahte bir uygulama üzerinden yürüyen olayda USOM'un ihbar kanalına bildirim vermek, aynı altyapının başka kullanıcılara ulaşmasını engelleyen süreci başlatır.

"Hesabınızı 24 saatte geri getiririz" diyenlere

Instagram'ın kimlik doğrulama katmanını sahibinin izni olmadan aşan bir yöntem yoktur; olduğunu söyleyen herkes ya platform formunu sizin yerinize doldurup bunu "hack" diye satar, ya ödeme alıp süreci hiç başlatmaz, ya da sizden aldığı bilgiyle başka bir hesaba erişmeye çalışır. Üçüncüsü en tehlikelisidir: kurtarma vaadiyle toplanan ekran görüntüleri, kimlik fotoğrafları ve kodlar, ikinci bir gaspın hammaddesidir.

Meşru bir çalışma neyi yapar? Hangi kapının açık kaldığını belirler (e-posta bildirimi, oturum kaydı, yetkilendirilmiş uygulamalar), kanıtı zaman damgalı biçimde düzenler, platformun kurtarma akışını doğru bilgiyle ve doğru sırayla yürütür, reddedilen bir başvuruda hangi kanıtın eksik olduğunu söyler ve gerekiyorsa hukuki süreç için teknik rapor hazırlar. Neyi yapmaz? Sizden kod istemez, şifre sormaz, kimlik doğrulamayı atlatmaz ve sonuç garantisi vermez. Kapsam ve yetkilendirme yazışması için etik hacker kiralama sayfası, hizmet kalemleri için hizmetler sayfası başlangıç noktası olabilir.

Geri alınamayanlar ve tekrarını önlemek

Kurtarılamayan şeyleri bilmek, vaatlere karşı en sağlam savunmadır. Meta, hesabınızın kim tarafından ve nereden açıldığını size söylemez; ele geçirme sırasında silinen gönderiler ve mesajlar, yedek yoksa geri gelmez; başkasının okuduğu DM'lerin okunup okunmadığını sonradan tespit etmenin bir yolu yoktur. Hesabı geri almak, olanları geri almak anlamına gelmez.

Tekrarını önlemek için kalıcı üç alışkanlık yeterli: her hesap için ayrı şifre ve bir parola yöneticisi; SMS yerine uygulama tabanlı iki adımlı doğrulama ve yedek kodların hesap dışında saklanması; üç ayda bir "nerede oturum açtınız" ve "uygulamalar ve web siteleri" listelerinin gözden geçirilmesi. Bunlara bir de kural ekleyin: kodu, giriş bağlantısını veya ekran görüntüsünü hiç kimseye - kendini Instagram, Meta ya da destek ekibi olarak tanıtan birine bile - göndermeyin.

Sonuç olarak doğru soru "hesabım çalınır mı" değil, "çalındığında hangi kapıdan girdiğini ne kadar hızlı anlarım" olmalı. Bu yazıdaki sıra, o soruyu tahmine bırakmamak için var.