TikTok Hesap Güvenliği: Ele Geçirme Yolları ve Kurtarma

TikTok hesabı ele geçirildiğinde mağdurun ilk hissi "şifrem nasıl bulundu" oluyor; oysa vakaların çoğunda şifre hiç kırılmıyor. Hesap, sizin yerinize giriş yapılarak alınıyor: bir oltalama bağlantısı, bir SIM swap, bir oturum belirteci veya yıllardır taşınan bir parola. Bu yazı dört yolu ayırıyor, her birinin bıraktığı izi gösteriyor ve kurtarma başvurusunu neyin kabul ettirdiğini maddelerle anlatıyor. Sayıların hepsi varsayımıyla birlikte yazılı.

Hesabı değerli yapan şey sizin videolarınız değil, eriştiği şeyler: takipçi kitlesi, reklam hesabına bağlı ödeme yöntemi, mesaj kutusundaki kişisel veriler ve doğrulanmış rozet. Saldırgan için en kısa yol hesabı satmak, en kârlı yol ise hesapla reklam harcaması yapmak veya kitleye dolandırıcılık mesajı göndermek. Bu yüzden ele geçirme sonrası ilk saatlerde yapılan her işlem, hesabın kendisinden çok bağlı hesapları ve ödeme yöntemlerini korumayı hedefliyor.

Hesap neden hedef: değer zinciri

Bir TikTok hesabının değeri dört ayrı katmanda toplanıyor ve saldırgan hangi katmana ulaştığına göre farklı davranıyor. Takipçi kitlesi doğrudan bir kitle; mesaj kutusu ise o kitleye ulaşmanın anahtarı. Reklam hesabı parasal değer; doğrulanmış rozet ise güven. Her katmanın savunması farklı, ama hepsi aynı giriş kapısından korunuyor.

Katman	Neden değerli	Ele geçirilince ilk ne olur	Asıl savunma
Takipçi kitlesi	Doğrudan erişim; satılabilir	Hesap adı ve profil değiştirilir, link eklenir	Güçlü parola ve passkey
Mesaj kutusu	Kitleye birebir ulaşma; kişisel veri	Kitlesel dolandırıcılık mesajı	Oturum kontrolü ve cihaz listesi
Reklam hesabı	Kayıtlı ödeme yöntemi, harcama yetkisi	Kendi kampanyasına harcama, kart denemesi	Ayrı parola, harcama limiti, kart bildirimi
Doğrulanmış rozet	Güven; taklit edilemez statü	Rozetli hesapla sahte duyuru, yatırım vaadi	2FA ve platformun doğrulama politikası

Üçüncü satır en pahalı olan. Hesaba bağlı bir kart varsa, saldırganın hesabı geri verme niyeti olmayabilir; hesabı bırakıp kartla harcama yapmak onun için daha kârlı. Bu yüzden ele geçirme şüphesinde ilk yapılacak şey hesabı kurtarmaya çalışmak değil, bağlı ödeme yöntemini kapatmak. Sıra tersine çevrildiğinde hem para gidiyor hem de hesap kurtarma sürecinde ödeme kaydına ihtiyaç duyulduğunda o kayıt artık geçersiz oluyor.

Ele geçirmenin dört yolu ve ayırt edici izleri

Dört yolun her biri farklı bir iz bırakıyor ve iz, ilk yarım saatte hangi adımı atacağınızı belirliyor. Yanlış teşhis, yanlış savunma demek: SIM swap mağduruna parola değiştirmesini söylemek hiçbir şeyi durdurmuyor, çünkü saldırgan artık telefon numarasının sahibi.

Yol	Nasıl çalışır	Bıraktığı iz	İlk doğru adım
Parola yeniden kullanımı	Başka bir siteden sızan parola denenir	Şifre değişikliği bildirimi gelir; e-posta erişimi sizde kalır	Parolayı değiştir, o parolayı kullandığın tüm sitelerde değiştir
Oltalama (DM, e-posta, sahte giriş sayfası)	Kullanıcı kendi kodu ve parolasını verir	Oturum açma bildirimi tanıdık olmayan cihazdan gelir; 2FA kodu istenmiş olur	Oturumları sonlandır, cihaz listesini temizle
SIM swap	Hat operatöründen numara devralınır, SMS kodları saldırgana gider	Telefon sinyali kesilir, "hat yok" durumu; operatör SMS'i gelir	Operatörü ara, hattı dondur, numara geri al
Oturum belirteci hırsızlığı	Çerez veya belirteç kopyalanır; parola hiç kullanılmaz	Parola değişse bile oturum açık kalır; şifre değişikliği bildirimi gelmez	Tüm oturumları sonlandır, cihazı incele

Dördüncü satır en çok yanlış anlaşılan. Parolayı değiştirdiğiniz hâlde hesap hâlâ saldırganda kalıyorsa, ele geçirme parola üzerinden olmamış demektir; saldırganın elinde geçerli bir oturum belirteci var. Bu durumda yapılacak tek etkili işlem "tüm cihazlardan çıkış" işlevini kullanmak. Pek çok platform bu işlevi ayarlar menüsünde "güvenlik" başlığı altında tutuyor ve kullanıldığında eski belirteçler geçersiz oluyor. Aynı mantık kurumsal e-posta ele geçirmelerinde de geçerli; kurumsal e-posta vakasında belirteç iptalinin nedeni ayrıntılı anlatılıyor.

İlk 60 dakika: sıra önemli

Ele geçirme şüphesinde ilk saatte yapılan işlemlerin sırası, sonucu belirliyor. Aşağıdaki tablo, dakika dakika ne yapılacağını gösteriyor. Sıra rastgele değil: önce saldırganın erişimini kesen adımlar, sonra delil toplayan adımlar geliyor.

Dakika	İşlem	Neden bu sırada
0-10	Tüm cihazlardan çıkış, parola değişimi	Erişimi kesmeden atılan her adım saldırgan tarafından izlenebilir
10-20	Bağlı e-posta ve telefonun güvenliğini kontrol et	Hesap kurtarma bu iki kanaldan yapılıyor; ikisi de sizde olmalı
20-30	Ödeme yöntemini kaldır, harcama limitini sıfırla	Reklam hesabı üzerinden para çıkışı dakikalar içinde başlıyor
30-40	Ekran görüntüsü ve e-posta başlığı delili topla	Sonradan "ne zaman bildirildi" sorusuna kanıt gerekir
40-50	Platforma kurtarma başvurusu aç	Başvuru sırası; erken açılan dosya öne alınıyor
50-60	Takipçilere tek bir kanaldan bilgi ver	Hesaptan giden dolandırıcılık mesajını durduran tek şey bu

Son satır ticari olarak en çok ihmal edilen. Hesabınızdan çıkan bir dolandırıcılık mesajı, sizin takipçinizde gerçek bir zarar üretiyor ve o zararın sorumluluğu tartışmaya açılıyor. Aynı kitleye ulaşan ikinci bir kanalınız varsa (başka bir hesap, e-posta listesi, site) tek bir duyuru hem zararı sınırlıyor hem de sonraki hukuki süreçte "makul önlem alındı" savunmasını kuruyor.

Parola entropisi: hangi parola gerçekten direniyor

Parola tartışması genellikle "uzun olsun" cümlesinde kalıyor; oysa belirleyici olan uzunluk değil, karakter havuzuyla birlikte hesaplanan entropi. Aşağıdaki tablo, çevrimdışı kırma hızı saniyede 10 milyar deneme varsayımıyla ortalama kırma süresini gösteriyor. Bu hız, ele geçirilmiş bir veritabanındaki hash'ler için gerçekçi; çevrimiçi denemede platformun hız sınırı devreye girdiği için süreler çok daha uzun.

Uzunluk	Karakter havuzu	Entropi	Ortalama kırma süresi
8	Küçük harf	37,6 bit	21 saniye
8	Harf + rakam	41,4 bit	4,7 dakika
8	Tam set (büyük/küçük harf, rakam, işaret)	52,4 bit	7 gün
10	Tam set	65,5 bit	171 yıl
12	Tam set	78,7 bit	1,5 milyon yıl
14	Tam set	91,8 bit	13 milyar yıl

Tablodaki en öğretici satır üçüncüsü: sekiz karakterlik karmaşık bir parola, bugünün donanımıyla bir haftada kırılıyor. "Büyük harf ve işaret koydum" diyen bir parola, sekiz karakterde yeterli değil. Buna karşılık on karakterlik tam set 171 yıl demek; yani bir karakterlik artış, kırma süresini iki katından fazla değil, yirmi binden fazla kat artırıyor. Pratik kural: kişisel hesaplarda en az 12 karakter veya dört kelimelik bir parola cümlesi, ve her hesapta farklı.

Aynı parolayı birden fazla sitede kullanmak

Parola yeniden kullanımı, tek bir sitenin sızmasını diğer bütün hesaplara taşıyor. Aşağıdaki tablo, yıllık sızma olasılığı yüzde 1,8 olan bir model altında, aynı parolayı N sitede kullanmanın yıllık ele geçirilme olasılığını gösteriyor. Model basit; ama büyüklük mertebesini doğru veriyor.

Aynı parolayı kullandığınız site sayısı	Yıllık ele geçirilme olasılığı	Yorum
2	%3,6	İki siteden biri sızarsa hesap gider
3	%5,3	Bir sızma, üç hesabı birlikte açar
5	%8,7	Beş yılda bir kez, birden fazla hesap
8	%13,5	Sekiz yılda bir kez kesin sayılabilir

Bu tablonun asıl mesajı şu: TikTok hesabınızın parolası başka bir yerde kullanıldıysa, o hesabın güvenliği artık TikTok'un değil, en zayıf sitenin güvenliğine bağlı. Ele geçirme sonrası yapılacak ilk iş bu yüzden yalnızca TikTok parolasını değiştirmek değil, aynı parolayı kullandığınız bütün hesapları listeleyip sırayla değiştirmek. Bu liste genellikle beklenenden uzun çıkıyor ve asıl iş orada.

İki adımlı doğrulama: SMS, uygulama kodu, passkey

2FA "açık mı kapalı mı" sorusu yanlış soru; hangi türünün açık olduğu belirleyici. Üç türün direnci birbirinden çok farklı ve fark, saldırganın hangi kanalı ele geçirmesi gerektiğinde ortaya çıkıyor.

Tür	Neye dayanır	Hangi saldırıya dayanır	Nerede kırılır
SMS kodu	Telefon numarası	Parola sızması, oltalama	SIM swap, numara devri, operatör sosyal mühendisliği
Uygulama kodu (TOTP)	Cihazdaki gizli anahtar	SIM swap, numara devri	Anahtarın kopyalandığı oltalama, cihaz ele geçirme
Passkey / donanım anahtarı	Cihazdaki özel anahtar, alan adına bağlı	Oltalama, SIM swap, kod isteme	Yalnızca cihazın fiziksel ele geçirilmesi

Üçüncü satırın neden bu kadar güçlü olduğu teknik bir ayrıntıda: passkey, doğrulama sırasında hangi alan adına giriş yaptığınızı kriptografik olarak kontrol ediyor. Sahte bir giriş sayfasında kod üretilmiyor, çünkü o sayfanın alan adı anahtarla eşleşmiyor. Oltalama bu yüzden passkey karşısında çalışmıyor - kullanıcı kandırılsa bile anahtar konuşmuyor.

Altı haneli kodun aritmetiği de savunmayı açıklıyor: bir milyon olasılık, otuz saniyelik pencere, beş deneme hakkı. Tek pencerede doğru kodu tutturma olasılığı yüzde 0,0005; on pencere boyunca denese bile yüzde 0,005. Yani kod tahmin edilerek kırılmıyor; kod, kullanıcıdan isteniyor. Bu tek cümle, bütün oltalama savunmasının özeti: kod hiç kimseye, hiçbir koşulda söylenmez - destek ekibi olduğunu söyleyen kişiye bile.

Oturum belirteçleri: parola değişse bile açık kalan kapı

Giriş yaptığınızda platform size bir oturum belirteci veriyor; tarayıcı her istekte bu belirteci gönderiyor ve parola bir daha sorulmuyor. Belirteç 128 bit rastgele üretildiğinde tahmin edilmesi matematiksel olarak imkânsız: saniyede 10 milyar deneme yapan bir sistemle ortalama 1,1 x 10^21 yıl gerekir. Yani bu kapı kırılarak değil, kopyalanarak açılıyor.

Kopyalama yolları sınırlı ve hepsi kullanıcı davranışına bağlı: sahte giriş sayfası, zararlı tarayıcı eklentisi, ele geçirilmiş cihaz, bir bağlantıyla çalışan kötü amaçlı betik. Bu yüzden hesabınızda "tüm cihazlardan çıkış" işlemi, parola değişiminden daha kritik. Parola değişimi yeni girişleri engelliyor, belirteç iptali mevcut girişleri kesiyor. İkisi birlikte yapılmadığında saldırgan içeride kalıyor ve bir sonraki parolayı da öğreniyor.

"Giriş yapılan cihazlar" ekranı ne gösterir, ne göstermez

Bu ekran en çok yanlış okunan yer. Gösterdiği şey, oturumun en son görüldüğü cihaz ve yaklaşık konum; göstermediği şey, o oturumun hangi yöntemle açıldığı. Aşağıdaki tablo, ekranda gördüğünüz üç tip kaydın gerçekte ne anlama geldiğini ayırıyor.

Ekranda görünen	Gerçek anlamı	Ne yapılmalı
Tanımadığınız şehirde bir cihaz	VPN, mobil ağ geçidi veya gerçekten yabancı oturum	Önce kendi VPN/mobil kullanımınızı kontrol edin, sonra iptal edin
Kendi cihazınız, tanımadığınız zaman	Arka planda açık kalmış oturum veya belirteç kopyası	Cihazı inceleyin, oturumu iptal edin
Web tarayıcısı kaydı	Masaüstü oturumu; genellikle sizin	Kullanmıyorsanız iptal edin

Bir ayrıntı: konum bilgisi IP adresinden türetildiği için mobil ağlarda yüzlerce kilometre sapabiliyor. Yalnızca konuma bakıp panik yapmak, kendi oturumunuzu iptal edip saldırganınkini bırakmak gibi bir sonuç üretebiliyor. Doğru okuma, cihaz adı, tarayıcı ve zaman üçlüsünü birlikte değerlendirmek.

Kurtarma başvurusu: kabulü belirleyen altı kalem

Kurtarma süreci bir form değil, bir kanıt yarışı. Platformun amacı hesabı gerçek sahibine vermek; bunu yaparken de hesabı başkasına vermemek. Bu iki hedef aynı anda korunduğu için başvurunuzun kabulü, sunduğunuz kanıtın niteliğine bağlı. Aşağıdaki altı kalem, dosyanın ağırlığını oluşturuyor.

#	Kalem	Nereden bulunur	Eksikse
1	Kayıt tarihi ve kayıt yöntemi	Hoş geldin e-postası, ilk bildirim	Hesabın sizin olduğu kanıtlanamaz
2	Kayıtlı e-posta ve telefon (değişim öncesi)	Eski e-posta kutusu, operatör kaydı	Kurtarma kanalı saldırganda kalır
3	Son başarılı girişin zamanı ve cihazı	Giriş bildirimleri, cihaz listesi ekran görüntüsü	Ele geçirme anı belirsizleşir
4	Ödeme veya reklam kaydı	Kart ekstresi, reklam faturası	Ticari hesaplarda kabul şansı düşer
5	Hesabın özgün içeriği	Kendi arşiviniz, cihaz galeriniz	Sahte sahiplik iddiaları ayırt edilemez
6	Başvuru öncesi erişim kesme kanıtı	Oturum iptali ve parola değişimi ekran görüntüsü	"Hesap hâlâ saldırganda mı" sorusu açık kalır

Beşinci kalem en çok küçümsenen. Platform, hesabın gerçek sahibini içerikle doğruluyor: yayınlanmamış taslaklar, silinmiş videoların orijinalleri, cihazda duran ham dosyalar. Bu yüzden hesabı kaybettiğinizde telefonunuzu sıfırlamayın, galeriyi yedekleyin. Sıfırlama, kurtarma dosyanızın en güçlü kanıtını yok ediyor.

Başvuru reddedilirse: turlar ve süre aritmetiği

İlk başvurunun reddedilmesi olağan; süreç genellikle üç turda çözülüyor. Her tur, eksik bir kanıt kaleminin tamamlanmasını bekliyor ve her tur bir inceleme süresi ekliyor. Aşağıdaki tablo, bu gecikmeyi görünür kılıyor.

Durum	Ek süre	Kümülatif	Ne yapılmalı
Eksiksiz başvuru	-	İnceleme süresi	Bekleyin, aynı dosyaya yeni başvuru açmayın
Bir kalem eksik	1 tur	72 saat	Eksik kalemi tamamlayıp aynı dosyaya ekleyin
Üç kalem eksik	3 tur	9 gün	Hepsini birlikte gönderin; parça parça göndermek tur sayısını artırır
Yeni başvuru açmak	Kuyruk başa döner	Belirsiz	Kesinlikle yapılmaz; dosya numarası kaybolur

Son satır en sık yapılan hata. Mağdur her reddedilmede yeni başvuru açıyor, her yeni başvuru kuyruğun sonuna düşüyor ve süreç aylara yayılıyor. Doğru yöntem tek dosya, tek numara ve o dosyaya eklenen kanıtlar. Ayrıca her başvurunun tarih ve saatini saklamak gerekiyor; sonraki hukuki süreçte "şu tarihte bildirdim" cümlesinin arkasında kayıt olması gerekiyor. Aynı disiplin hesap kurtarma sürecinin genel akışında da geçerli.

TikTok'a özgü dolandırıcılık kalıpları

Platformun kendi diline uyarlanmış dolandırıcılık kalıpları var ve hepsi aynı şeyi istiyor: kod veya ödeme. Aşağıdaki tablo, en sık görülen dört kalıbı ve ayırt edici cümlesini gösteriyor.

Kalıp	Nasıl başlar	Ayırt edici cümle	Gerçek
"Hesabınız doğrulanacak"	DM veya sahte destek e-postası	"Rozet için kodu bize iletin"	Doğrulama kodu hiçbir zaman paylaşılmaz
"Hediye/coin kazandınız"	Yorum veya sahte kampanya sayfası	"Küçük bir doğrulama ödemesi yapın"	Ödeme isteyen hiçbir kampanya gerçek değil
"İş ortağı programı"	Sahte panel bağlantısı	"Panele giriş yapın, kazancınızı görün"	Giriş sayfası sahte; amaç parola ve kod
"Hesabınız ihlal nedeniyle kapatılacak"	Sahte uyarı bildirimi	"İtiraz için buradan giriş yapın"	Bildirimler uygulama içinde gelir, e-postada link gelmez

Dördüncü satır, oltalamanın en verimli biçimi çünkü korkuyla çalışıyor. Kural basit: bildirim uygulama içinden gelmiyorsa, linke tıklamadan önce uygulamayı açıp aynı uyarının orada olup olmadığına bakın. Uyarı yoksa o e-posta saldırıdır. Bu kontrolün maliyeti on saniye, faydası hesabın tamamı. Kurumsal tarafta aynı kalıbın çalışan eğitimiyle nasıl kırıldığı oltalama farkındalık programı yazısında anlatılıyor.

İşletme ve reklam hesapları: para orada

Kişisel hesaplarda saldırganın hedefi kitle; işletme hesaplarında hedef doğrudan para. Reklam hesabı ele geçirildiğinde saldırgan kendi kampanyasını açar, bütçeyi yükseltir ve harcama sizin kartınızdan çıkar. Aşağıdaki tablo, işletme hesabı savunmasının dört satırını gösteriyor.

Kontrol	Neden gerekli	Ne kadar sürede kurulur	Kurulmazsa
Reklam hesabına ayrı parola ve passkey	Kişisel hesap ele geçirilirse para kanalı açık kalır	10 dakika	Tek ele geçirme iki kayıp üretir
Harcama limiti ve bütçe uyarısı	Harcamanın fark edilme süresini kısaltır	5 dakika	Fark edilene kadar bütçe tükenir
Kart bildirimi ve tek kullanımlık sanal kart	Kart denemelerini anında görürsünüz	15 dakika	Kart bilgisi sızarsa sınır yok
En az iki yönetici, tek kişiye bağlı olmayan erişim	Hesap kaybında iş durmaz	20 dakika	Tek kişinin hesabı kaybolursa marka kapanır

Dördüncü satır kurumsal tarafta en çok ihmal edilen ve en pahalı olan. Reklam hesabının tek yöneticisi izne çıktığında ya da hesabını kaybettiğinde kampanyalar duruyor; hesap kurtarma süreci ise günler alıyor. İkinci bir yönetici eklemek teknik olarak beş dakikalık iş, kurulmadığında ise günlerce süren gelir kaybı.

Delil: neyi saklamalı, ne kadar süre

Ele geçirme sonrası hukuki süreç, elinizdeki kayıtlarla yürüyor. Aşağıdaki tablo, saklanması gereken altı kalemi ve saklama biçimini gösteriyor. Hepsi aynı gün toplanabilir; toplanmadığında geri getirilemez.

Delil	Nasıl saklanır	Neyi kanıtlar	Saklama süresi
Giriş bildirimi e-postaları	Ham dosya (.eml), ekran görüntüsü değil	Ele geçirme anı ve kaynak IP	Dosya kapanana kadar
Cihaz listesi ekran görüntüsü	Tarih görünen tam ekran	Yetkisiz oturumun varlığı	Dosya kapanana kadar
Şifre değişikliği bildirimi	Ham e-posta	Değişikliğin sizin elinizden çıkmadığı	Dosya kapanana kadar
Kart ekstresi ve reklam faturası	PDF, banka onaylı	Maddi zarar	10 yıl
Kurtarma başvuru numaraları	Metin dosyası, tarih ve saatle	Bildirim zamanı	Dosya kapanana kadar
Hesaptan çıkan dolandırıcılık mesajları	Alıcıların ekran görüntüleri	Üçüncü kişilere zarar	Dosya kapanana kadar

Birinci satırdaki ayrım kritik: ekran görüntüsü bir görüntüdür, ham e-posta ise başlık bilgilerini taşır. Başlıkta gönderim zamanı, sunucu zinciri ve bazen kaynak IP bulunur; bunlar sonradan üretilemeyecek veriler. Ekran görüntüsü alırken tarih ve saatin görünmesine de dikkat etmek gerekiyor, aksi hâlde görüntünün ne zaman alındığı tartışmalı oluyor.

Türkiye'de hukuk: hangi madde, hangi talep

Hesap ele geçirme Türkiye'de tek bir suç tipine girmiyor; olay örgüsüne göre iki-üç madde birlikte uygulanıyor. Aşağıdaki tablo, en sık kullanılan hükümleri ve hangi durumda devreye girdiklerini gösteriyor.

Hüküm	Kapsam	Ne zaman devreye girer
TCK md. 244/2	Bilişim sistemine girme ve orada kalma	Yetkisiz erişim; sistemde kalmanın kendisi suç
TCK md. 136	Kişisel verileri hukuka aykırı ele geçirme	Mesaj ve kişisel verilerin kopyalanması
TCK md. 158/1-f	Bilişim sistemlerinin araç olarak kullanılmasıyla nitelikli dolandırıcılık	Hesaptan dolandırıcılık mesajı gönderilmesi, para istenmesi
6698 sayılı Kanun (KVKK)	Kişisel verilerin korunması; md. 12 teknik tedbirler	Veri sorumlusu sıfatıyla platforma başvuru

Uygulamada dosya genellikle 244/2 üzerinden açılıyor, dolandırıcılık mesajı gönderildiyse 158/1-f ekleniyor. Mağdurun yapması gereken şey, olayı tek bir başlık altında anlatmak yerine tarih ve saatle sıralamak: hangi saatte hangi bildirim geldi, hangi saatte hangi işlem yapıldı, hangi saatte başvuru açıldı. Bu sıralama, hangi maddenin uygulanacağını savcılığın belirlemesini kolaylaştırıyor.

Hesaptan yayınlanan içerik zarar veriyorsa ayrı bir yol var: platformun kendi kaldırma mekanizması ve gerekli hâllerde içeriğin kaldırılmasına ilişkin yargı yolu. Bu yolun işlemesi için içeriğin kendisinin delil olarak saklanması gerekiyor; kaldırıldıktan sonra talep edilecek bir içerik kalmıyor. Aynı disiplin, veri ihlali sonrası kanıt toplamada da geçerli; KVKK teknik tedbirler rehberinde hangi kaydın hangi iddiayı taşıdığı tablo hâlinde veriliyor.

Yasal sınır: bu yazının yapmadığı şey

Bu metin savunma tarafını anlatıyor ve bilerek bazı şeyleri anlatmıyor: bir hesabın parolasını ele geçirme, oltalama sayfası kurma, oturum belirteci toplama, bir başkasının hesabına erişim. Bunların hiçbiri "kurtarma" değil, ayrı bir suç. Türkiye'de bir hesaba yetkisiz erişim, hesabın kime ait olduğundan bağımsız olarak TCK md. 244 kapsamında suç.

Bir sınır daha var: başkasının hesabını "test etmek" için izin almak. Bir arkadaşınızın veya müşterinizin hesabında deneme yapmak, yazılı izin olsa bile platformun kullanım şartlarını ihlal ediyor ve hesabın kapatılmasına yol açabiliyor. Kurumsal tarafta bu iş yazılı kapsam ve onayla, platformun izin verdiği yollarla yapılıyor; sızma testi sözleşmelerindeki kapsam maddeleri tam olarak bunun için var.

Sık sorulan sorular

TikTok hesabım çalındı, ilk ne yapmalıyım? Sıra önemli: önce tüm cihazlardan çıkış ve parola değişimi, sonra bağlı e-posta ile telefonun kontrolü, ardından ödeme yönteminin kaldırılması. Bu üç adım ilk on dakikada yapılmalı. Parola değiştirip oturumları iptal etmemek, saldırganı içeride bırakıyor; çünkü parola değişimi yeni girişi engeller, mevcut oturumu kesmez.

Telefonuma kod gelmiyor, ne oluyor? Bu tablo genellikle SIM swap işaretidir: numaranız başka bir SIM'e taşınmış ve SMS kodları oraya gidiyor. Yapılacak iş operatörü aramak, hattı geçici olarak dondurmak ve numaranın ne zaman, hangi kanalla devredildiğini sormak. Bu süreçte hesap kurtarma için SMS yerine e-posta kanalını kullanın.

Parolamı değiştirdim ama hesap hâlâ saldırganda, neden? Saldırganın elinde geçerli bir oturum belirteci var; belirteç 128 bit rastgele üretildiği için tahmin edilerek bulunmaz, kopyalanmış olması gerekir. Çözüm "tüm cihazlardan çıkış" işlevi. Bu işlem yapılmadığında saldırgan içeride kalır ve yeni parolayı da öğrenir.

2FA açık ama hesap yine de çalındı, nasıl? Kod istenmiş olabilir. Altı haneli kodun tahminle kırılma olasılığı tek pencerede yüzde 0,0005; yani kod kırılmıyor, kullanıcıdan isteniyor. Destek ekibi, doğrulama ekibi veya iş ortağı olduğunu söyleyen hiç kimseye kod verilmez. Passkey kullanılıyorsa bu saldırı çalışmıyor, çünkü anahtar alan adına bağlı.

Kurtarma başvurum reddedildi, yeniden başvurmalı mıyım? Hayır. Yeni başvuru kuyruğun sonuna düşer ve dosya numarası kaybolur. Doğru yöntem aynı dosyaya eksik kanıtı eklemek: kayıt tarihi, değişim öncesi e-posta ve telefon, son giriş zamanı, ödeme kaydı, hesabın özgün içeriği. Üç eksik kalem yaklaşık dokuz gün gecikme demek; hepsini birlikte göndermek tur sayısını azaltıyor.

Hesabımı kimseye söylemedim, nasıl bulundu? Parola başka bir siteden sızmış olabilir. Aynı parolayı iki sitede kullanmak yıllık yüzde 3,6, sekiz sitede kullanmak yüzde 13,5 ele geçirilme olasılığı üretiyor. Bu yüzden ele geçirme sonrası yalnızca TikTok parolasını değil, aynı parolayı kullandığınız bütün hesapları değiştirmek gerekiyor.

Hesabımı geri almak için ücret isteyen biriyle çalışmalı mıyım? Platformun kendi kurtarma akışı dışında hiçbir yöntem yok; ücret karşılığı hesap kurtardığını söyleyenler ya sizin açacağınız başvuruyu sizin adınıza açıyor ya da bilgilerinizi topluyor. Gerçek bir destek süreci sizden ödeme değil, delil ister.

Hesabımdan dolandırıcılık mesajı gitti, sorumlu muyum? Hesabın yetkisiz ele geçirildiğini kanıtlayan kayıtlar sorumluluğu büyük ölçüde değiştiriyor: giriş bildirimleri, cihaz listesi ve şifre değişikliği kayıtları. Bu yüzden olay sonrası ilk iş bu kayıtları saklamak. Kayıt yoksa "hesap benim kontrolümdeydi" iddiası karşı tarafta güçleniyor.

Yirmi dakikalık sertleştirme listesi

Ele geçirme yaşanmadan önce yapılabilecek işlemlerin toplamı yirmi dakika. Aşağıdaki tablo, her adımın süresini ve neyi kapattığını gösteriyor. Sıralama önemli değil; hepsi birbirini tamamlıyor.

Adım	Süre	Kapattığı risk	Atlarsanız
Parolayı parola yöneticisine taşı, her hesap için tekil üret	8 dk	Yeniden kullanım zinciri	Tek sızma tüm hesapları açar
SMS 2FA'yı uygulama koduna veya passkey'e çevir	4 dk	SIM swap	Numara devri hesabı açar
Kayıtlı e-postayı ve telefonu doğrula, yedek kanal ekle	3 dk	Kurtarma kanalı kaybı	Hesap kurtarılamaz hâle gelir
Cihaz listesini gözden geçir, tanımadıklarını iptal et	2 dk	Eski oturumlar	Yıllar önceki belirteç açık kalır
Reklam hesabına harcama limiti ve kart bildirimi	3 dk	Parasal kayıp	Harcama fark edilene kadar sürer

İkinci satır Türkiye'de ayrıca önemli, çünkü SIM swap vakaları burada bilinen bir saldırı kalıbı ve hat devri operatör tarafında sosyal mühendislikle yapılıyor. SMS kodunu bırakmak, hesabın güvenliğini operatörün müşteri temsilcisinin dikkatine bağlamak demek. Aynı zincirin nasıl işlediği SIM swap yazısında ayrıntılı anlatılıyor; hesap güvenliği tarafında alınacak tek ders, SMS'i bir doğrulama yöntemi olarak değil, bir yedek olarak görmek.

Ele geçirme sonrası toparlanma: ne ölçülür

Hesap geri alındıktan sonra iş bitmiyor; kitle ve erişim tarafında ikinci bir süreç başlıyor. Aşağıdaki tablo, bu süreçte bakılması gereken dört metriği ve tipik davranışlarını gösteriyor. Süreler gözleme dayalı bir model, platform garantisi değil.

Metrik	Ele geçirme sırasında	Geri kazanım	Ölçüm yöntemi
Erişim (gösterim)	Profil değişikliğiyle düşer	2-3 hafta, düzenli yayınla	Haftalık gösterim karşılaştırması
Etkileşim oranı	Ani düşüş, sonra kademeli toparlanma	3-4 hafta	Etkileşim / erişim oranı
Takipçi sayısı	Kayıp genellikle yüzde 5'in altında	Kalıcı kısmi kayıp	Aylık net değişim
Güven (yorum ve DM kalitesi)	Dolandırıcılık mesajı sonrası bozulur	Tek bir açıklama yayınıyla hızlanır	Olumsuz yorum oranı

Üçüncü satır, mağdurların beklediğinden iyi haber: hesap ele geçirildiğinde takipçi kaybı genellikle sanıldığı kadar büyük olmuyor, çünkü kitle hesabı değil içeriği takip ediyor. Asıl kayıp erişimde ve güvende. Bu yüzden toparlanma planı, içerik takvimini değiştirmek yerine aynı ritmi korumak üzerine kurulmalı; ani konu değişikliği algoritmik olarak da olumsuz sonuç veriyor. Dijital izlerin bu süreçte nasıl okunduğu OSINT yazısındaki yasal sınırlar bölümüyle birlikte değerlendirilmeli: kendi hesabınızı incelemek serbest, başkasınınkini değil.

Kapanış: iki cümlelik özet

Hesap ele geçirilmesi çoğu vakada parolanın kırılmasıyla değil, parolanın sizden alınmasıyla oluyor; bu yüzden savunma, daha karmaşık parola yazmakla değil, parolayı hiç kullanılmayacak hâle getirmekle kuruluyor. Aynı mantık kurtarma tarafında da geçerli: hesabı geri alan şey duygu değil, tarih ve saat taşıyan kayıt.

Elinizde bir olay varsa sıra net: erişimi kes, ödeme kanalını kapat, delili ham hâliyle sakla, tek bir başvuru numarası üzerinden ilerle. Bu dördü yapıldığında teknik ayrıntıların çoğu zaten kendiliğinden çözülüyor; yapılmadığında en iyi analiz bile dosyayı kurtarmıyor. Kripto varlık da söz konusuysa aynı disiplinin zincir tarafındaki karşılığı kripto iz sürme raporu yazısında tablo tablo kuruluyor.