X (Twitter) Hesabım Çalındı: Kurtarma Rehberi

X hesabınız ele geçirildiğinde kaybettiğiniz şey bir mesaj arşivi değil, size atfedilen bir geçmiş: yıllar içinde biriken paylaşımlar, o paylaşımların arkasındaki itibar ve o itibarın açtığı kapılar. Bu yüzden saldırganın ilk işi parolayı değiştirmek olmuyor, kitleye para istemek oluyor. Aşağıdaki sıra olayın kendisinin dayattığı sıradır: hangi durumda olduğunuzu ayırt etmek, kurtarma kanalını güvenliğe almak, platformun kendi iki yolundan birini kullanmak ve saldırganın açık bıraktığı kapıları kapatmak. Anlatılan adımların hiçbiri bir hesaba izinsiz girmeyi gerektirmiyor; hepsi sahipliği kanıtlayıp hesabı platformun kendi formlarından geri almaya dayanıyor. Yazıdaki bütün sayılar varsayımıyla birlikte veriliyor.

Sıranın neden önemli olduğu tek cümleyle şöyle: her adım bir sonrakinin kanıtını ya üretir ya tüketir. Saldırganın attığı sahte paylaşımı hemen silmek onu ortadan kaldırmıyor, elinizdeki tek kanıtı yok ediyor. Parolayı değiştirip oturumları kapatmamak saldırganı içeride bırakıyor ve yeni parolayı da öğrenmesini sağlıyor. Aynı şekilde, e-posta kutusu hâlâ saldırganın elindeyken sıfırlama istemek yeni parolayı doğrudan ona teslim etmek demek. Bu üç sıra hatası, kurtarma dosyalarının büyük bölümünün neden ilk turda reddedildiğini açıklıyor.

X hesabı neden mesaj kutusu değil, itibar hesabı

Bir mesajlaşma uygulamasında saldırgan yazışmalarınızı ister; X'te itibarınızı ister. Yıllardır ayakta duran bir kullanıcı adı ödünç alınmış bir güvendir: o hesap bir jeton duyurduğunda, çekiliş yaptığında veya acil yardım istediğinde insanlar para gönderecek kadar inanıyor. Bu yüzden X üzerindeki ele geçirmeler sessiz okuma değil, parasal dolandırıcılık ve taklit etrafında kümeleniyor ve ilk sahte paylaşım genellikle dakikalar içinde çıkıyor, günler sonra değil.

Ticari taraf da aynı hikâyenin parçası. Büyük kitleli hesaplar satılıyor, bağlı kurulum reklamı için kullanılıyor ya da sahibine geri satılmak üzere rehin tutuluyor. Üç durumda da zarar siz daha destek formunu ararken büyüyor; bu yüzden aşağıdaki sıra kolaylığa göre değil dakikaya göre düzenlendi.

Katman	Neden değerli	Saldırganın ilk hamlesi	Asıl savunma
Kullanıcı adı ve geçmiş	Yılların biriktirdiği güven; aranabilir, bağlantı verilebilir	Görünen ad, fotoğraf ve biyografi değiştirilir; sahte siteye bağlantı eklenir	Güçlü parola, passkey, parola sıfırlama koruması
Gelen kutusu	Tanıdıklara doğrudan ulaşma; kişisel veri	Kişi listesine kod veya para isteme mesajı	Oturum listesi ve bağlı uygulama denetimi
Bağlı reklam ve ödeme	Kayıtlı kart, harcama yetkisi	Kendi kampanyasına harcama, kart denemesi	Ayrı parola, harcama limiti, kart bildirimi
Doğrulanmış rozet	Devredilemez statü, kurumsal algı	Rozetli hesapla sahte duyuru, yatırım vaadi	İki adımlı doğrulama, platform politikası
Kullanıcı adının kendisi	Taklit edilemez adres, eski bağlantılar	Ad serbest kalırsa aynı ada benzeyen yeni hesap açılır	Kurtarma sonrası adı hemen geri alma

Üçüncü satır çoğu zaman en pahalı olan. Hesaba bağlı bir kart varsa saldırganın hesabı geri verme niyeti olmayabilir; hesabı bırakıp kartla harcama yapmak onun için daha kârlı. Bu yüzden ele geçirme şüphesinde ilk iş hesabı kurtarmaya çalışmak değil, bağlı ödeme yöntemini kapatmak. Sıra tersine çevrildiğinde hem para gidiyor hem de kurtarma sürecinde ödeme kaydına ihtiyaç duyulduğunda o kayıt artık geçersiz oluyor.

Üç durumu ayırmak: ele geçirme, kilit, devre dışı bırakma

Üçü dışarıdan birbirine benziyor, üçü farklı prosedürle çözülüyor. Yanlış prosedürü seçmek ihtiyaç duyduğunuz denemeyi harcıyor: yalnızca kilitlenmiş bir profile ele geçirilmiş diye başvurmak kilit olarak yanıtlanıyor, çünkü dosya o kuyruğa düşüyor. Platformun kendi yardım sayfaları da bu üç durumu ayrı başlıklarda ele alıyor.

Belirti	Hangi durum	Doğru yol	Yanlış yolun bedeli
Parola reddediliyor ama siz değiştirmediniz; e-posta veya telefon değişikliği bildirimi geldi; sizin yazmadığınız paylaşımlar var	Ele geçirme	Güvendiğiniz kanaldan sıfırlama, olmuyorsa ele geçirilmiş hesap formu	Kilidi çözmeye çalışmak, ele geçirme dosyasını kilit kuyruğuna sokar
Profil dışarıdan normal görünüyor, girişte doğrulama isteniyor, kilitlendi veya sınırlandı mesajı var	Kilit	Doğrulama akışını tamamla; kod gelmiyorsa destek isteği aç	Ele geçirme formu kilidi çözmez, kanıtı da dağıtır
Profil hesap yok diyor, arama sonuçları boş dönüyor	Devre dışı bırakma veya silme	Kendi işleminizse geri alma penceresini kullan; değilse destek	Yeni hesap açmak, eski kullanıcı adını kalıcı olarak kaybettirir
Parola çalışıyor ama sürekli başka cihazlardan atılıyorsunuz	Oturum savaşı; belirteç ele geçirilmiş olabilir	Önce tüm oturumları kapat, sonra parolayı değiştir	Sırayı çevirmek yeni parolayı saldırgana verir

Birinci satırdaki güçlü işaretlerden tek biri bile varsa, o andan itibaren durumu tam ele geçirme olarak kabul edin ve tanımadığınız ağlardan giriş denemeyi bırakın. Üst üste giriş denemesi hem hesabı kilitleyip ikinci bir sorun üretiyor hem de sıfırlama e-postasının hangi adrese gittiğini belirsizleştiriyor.

Dört giriş yolu ve her birinin bıraktığı iz

Her yol farklı bir iz bırakıyor ve iz, ilk yarım saatte hangi adımı atacağınızı belirliyor. Yanlış teşhis yanlış savunma demek: SIM swap mağduruna parola değiştirmesini söylemek hiçbir şeyi durdurmuyor, çünkü saldırgan artık telefon numarasının sahibi.

Yol	Nasıl işler	Bıraktığı iz	İlk doğru adım
Yeniden kullanılan parola	Başka bir siteden sızan parola denenir; otomatik kimlik doldurma araçları aynı parolayı yüzlerce sitede dener	Parola değişikliği bildirimi gelir, e-posta erişiminiz sizde kalır	Parolayı değiştir, aynı parolayı kullandığınız her hesapta değiştir
Oltalama	Sahte giriş sayfası, hesabınız kapatılacak e-postası, DM'den gelen doğrulama isteği	Kayıtlarda sizin girdiğiniz bir oturum görünür; tanımadığınız cihaz veya şehir; koddan söz edilir	Tüm oturumları kapat, bağlı uygulamaları iptal et
Bağlı uygulama izni	Üçüncü taraf bir uygulamaya hesap erişimi verilir; parola hiç görülmez	Parola değişse bile erişim sürer; haftalar sonra aynı hesap yeniden ele geçirilir	Bağlı uygulamaları iptal et, sonra parolayı değiştir
SIM swap	Operatörden numara devralınır, SMS kodları saldırgana gider	Telefon sinyali kesilir, hat yok durumu; SMS tek faktörse ikinci faktör tamamen düşer	Operatörü ara, hattı dondur; kurtarmayı e-posta kanalından yürüt
Oturum belirteci hırsızlığı	Çerez veya belirteç kopyalanır; cihazdaki kötü amaçlı yazılım, ortak bilgisayar veya sahte eklenti işin içindedir	Parola değişse bile oturum açık kalır; şifre değişikliği bildirimi gelmez	Tüm oturumları sonlandır, cihazı incele

Son satır en çok yanlış okunan. Parolayı değiştirdiğiniz hâlde hesap hâlâ saldırganda kalıyorsa ele geçirme parola üzerinden olmamış demektir: saldırganın elinde geçerli bir oturum belirteci var. Bu durumda tek etkili işlem diğer tüm oturumlardan çıkış işlevi. Aynı belirteç mantığı kurumsal posta hesaplarında da geçerli; kurumsal e-posta ele geçirme vakasında belirteç iptalinin neden ilk adım olduğu ayrıntılı anlatılıyor. Kişisel hesap tarafında aynı disiplinin genel çerçevesi hacklenen hesap kurtarma rehberinde duruyor.

E-posta, hesaptan önce gelir

X'te her parola sıfırlama hesaba bağlı posta kutusunda bitiyor. O kutu saldırganın elindeyse X parolasını sıfırlamak yeni parolayı aynı kişiye teslim etmek oluyor. Yani sıra tersten kuruluyor: önce kutu, sonra hesap.

Kontrol	Nasıl bakılır	Neden önce
Yönlendirme kuralları ve filtreler	Posta ayarlarında yönlendirme ve kural listesi; tanımadığınız adrese sessiz yönlendirme var mı	Sıfırlama e-postası sessizce dışarı çıkar ve siz hiçbir şey görmezsiniz
Kutunun kendi kurtarma adresi ve telefonu	Yalnızca X'te değil, posta sağlayıcısının güvenlik sayfasında	Kurtarma zinciri kutudan başlıyor; kutunun kurtarma adresi saldırgandaysa zincir kopuk
Aktif oturumlar	Posta sağlayıcısının cihaz listesi ve son girişler	Kutuda açık bir oturum varsa parola değişimi yetmiyor
Uygulama şifreleri ve üçüncü taraf erişimi	IMAP ve SMTP uygulama şifreleri, bağlı uygulamalar	Bu erişimler ana parola değişse de çalışmaya devam eder
E-posta değişim bildirimi	Gelen kutusu, spam ve sosyal veya tanıtım sekmeleri	Ele geçirmenin başladığı saati veren tek kayıt bu

Beşinci satır dosyanın en değerli kalemi. X, bir hesabın e-posta adresi değiştiğinde önceki adrese bildirim gönderiyor; yani değişikliği yapan siz değilseniz o bildirim elinize düşüyor, çoğu zaman spam klasörüne. Bildirimde saat var, saat ise kurtarma dosyasında en çok aranan şey. Bu e-postayı silmeyin, ham hâliyle arşivleyin; destek yazışmasında ve bir suç duyurusunda tarihî dayanak olarak kullanılıyor.

Posta kutusu da ele geçirilmişse sıra değişmiyor, sadece bir katman ekleniyor: önce kutunun kurtarma adresini güvene alın, sonra kutu parolasını değiştirin, sonra X'e dönün. Bu sıra atlandığında kurtarma başvurusunun yanıtı da saldırganın okuduğu bir adrese gidiyor ve mağdur kendisine yanıt verilmediğini sanıyor.

Yol A: hâlâ giriş yapabiliyorsan sıra

Giriş yapabiliyorsanız elinizde en değerli şey zaman: saldırganı dışarı atma ve ne yaptığını kayıt altına alma imkânı. Ama bu zaman yalnızca sıra doğruysa işe yarıyor, çünkü her adım bir öncekinin bıraktığı izi kullanıyor.

Adım	Ne yapılır	Neden bu sırada
1. Parolayı güvendiğiniz cihazdan değiştir	Başka yerde kullanmadığınız uzun ve tekil bir parola; ele geçirmenin olduğu ağdan değil	Yeni girişleri keser, mevcut oturumları kesmez
2. Diğer bütün oturumları kapat	Ayarlar ve gizlilik, Güvenlik ve hesap erişimi, Uygulamalar ve oturumlar, Oturumlar; diğer tüm oturumlardan çıkış	Saldırganın cihazı bu adımda düşer; parola değişimi tek başına bunu yapmaz
3. Bağlı uygulamaları iptal et	Aynı menüde bağlı uygulamalar; tanımadığınız her izni kaldır	Bağlı uygulama parola değişiminden sonra da çalışır; bir hafta sonra tekrar ele geçirmenin nedeni budur
4. Hesap alanlarını geri al	E-posta ve telefonu kendinize ait olanlara çevir; görünen ad, biyografi, site bağlantısı, sabitlenmiş paylaşım	Kurtarma kanalı sizde olmadan diğer adımlar kalıcı olmuyor
5. Parola sıfırlama korumasını aç	Sıfırlamanın e-posta veya telefon doğrulaması istemesini zorunlu kıl	Sonraki denemeyi sıfırlama formundan çıkarır
6. Güçlü ikinci faktör	Uygulama tabanlı kod veya donanım anahtarı; SMS yalnızca yedek kalsın	SIM swap, SMS tabanlı tek faktörü tamamen sıfırlar
7. Delili al, sonra sil	Sizin yazmadığınız her paylaşım ve DM için tarih, saat ve profil bağlantısı görünen ekran görüntüsü	Silinen içerik dosyadan düşer; kanıt sonradan üretilemiyor

Üçüncü adımın atlanması en sık tekrar eden hata. Parola değişip oturumlar kapatılmadığında saldırgan içeride kalıyor; bir hafta sonra yeni parolayla yeniden çıkış yaptırıldığında mağdur ikinci bir ele geçirme yaşadığını sanıyor, oysa olay hiç bitmemişti. Aynı şey bağlı uygulamalar için geçerli: bir kez verilen izin parola değişiminden etkilenmiyor.

Yedinci adımı sona bırakmanın nedeni hukuki. Sahte paylaşımı sildiğiniz anda platformun arayüzünde o içeriğe dair kanıt kalmıyor; paylaşımın saatini, kimin hesabından çıktığını ve hangi bağlantıyı taşıdığını sonradan yalnızca kendi arşivinizden gösterebiliyorsunuz. Bu yüzden silme işlemi en sona, dosya tamamlandıktan sonraya kalıyor. Oltalama tarafında da benzer bir sıra var; oltalama farkındalık programı hangi mesajın gerçek kanaldan geldiğini ayırt etmeyi öğretiyor.

Yol B: kilitliysen tek sıfırlama, sonra tek form

Giriş yapamıyorsanız iki alet var ve ikisi de tek kullanımlık sayılmalı: parola sıfırlama ve ele geçirilmiş hesap formu. Sıfırlama e-postası veya kodu kısa ömürlü; süresi geçen bağlantı yalnızca hata veriyor, bu yüzden isteği kutunuz açıkken yapın. Kodu aldıysanız aynı dakika içinde kullanın.

Form tarafında sonucu iki alan belirliyor ve platform ikisini de açıkça söylüyor: kullanıcı adı ve hesaba en son eriştiğiniz tarih. Tarih yaklaşık olabilir, uydurma olamaz; destek o tarihi hesabın kendi geçmişiyle karşılaştırıyor. Formu, hesaba bağlı olan adresten göndermek de kural: başka bir adresten gönderilen başvuru zinciri baştan kurmak zorunda kalıyor.

Alana yazılacak	Neden soruluyor	Yanlış cevabın bedeli
Kullanıcı adı	Dosyanın kimliği; bütün kayıtlar bu ada bağlanıyor	Benzer ada sahip başka hesap aranır, dosya yanlış hesaba bağlanır
Son erişim tarihi	Hesap geçmişiyle çapraz kontrol	Tutarsız tarih dosyayı sahip olmayan tarafına düşürür
Önceki e-posta adresi	Değişikliğin sizde olmadığını gösteren tek kalem	Boş bırakılırsa adresi ben değiştirdim varsayımı doğar
Hesabın açıldığı ay, yıl ve ülke	Kimlik doğrulaması	Yanlış ülke, otomatik reddin en sık nedeni
İlk tarihli arşiv veya ekran görüntüsü	Sahipliğin zamana yayılmış kanıtı	Yoksa dosya yalnızca beyana dayanır
Ücretli abonelik veya rozet makbuzu	Platformun kendi kaydıyla eşleşen ödeme	En güçlü tek kanıt; yoksa dosyanın ağırlığı yarıya iner

Başvuru sayısı konusunda tek bir kural var ve çoğu mağdur bu kuralı bilmediği için haftalar kaybediyor: tam bir başvuru, beş yarım başvurudan iyidir. Aynı sorun için art arda form göndermek dosyayı hızlandırmıyor; her yeni gönderim yeni bir dosya açıyor ve sırayı geriye atıyor. Aşağıdaki bölümde bunun sayısal karşılığı var.

Yanıt geldiğinde aynı dosya içinde cevap verin. Yeni bir başvuru açmak, eklediğiniz kanıtı da sıfırlıyor. Yanıt birkaç gün gecikirse spam klasörünü her gün kontrol edin; platformun yanıtı sıklıkla oraya düşüyor ve süre dolduğunda dosya sessizce kapanıyor.

Kanıt ağırlığı: yüz puanlık dosya

Destek ekipleri hiçbir eşik yayımlamıyor, o yüzden aşağıdaki ağırlıklar bir model: hangi kalemin ne kadar iş yaptığını görmek için. Amaç puan toplamak değil, eksik kalemi fark etmek. Toplam yüz üzerinden kuruldu ve her satırın gerekçesi yanında.

Kanıt	Ağırlık	Neden bu ağırlık
Ücretli abonelik veya rozet makbuzu	22	Platformun kendi ödeme kaydıyla eşleşiyor; taklit edilmesi en zor kalem
Önceki adrese gelen e-posta değişim bildirimi	18	Saat taşıyan tek kayıt; değişikliğin sizde olmadığını gösteriyor
Önceki e-posta adresinden açılmış başvuru	16	Yanıt o adrese gidiyor; adres sizdeyse sahiplik zinciri kapanıyor
Hesabın açıldığı ay, yıl ve ülke	14	Kimlik doğrulaması; hesap geçmişiyle çapraz kontrol edilebiliyor
Tarihli arşiv veya ekran görüntüsü	14	Sahipliğin zamana yayıldığını gösteriyor, tek kareye bağlı değil
Önceki telefon numarası	8	Kanıt değeri var ama numara devredilebilir olduğu için zayıf
Takipçi listesi, içerik dili, etkileşim geçmişi	8	Bağlam verir, tek başına sahiplik kanıtlamaz

Bu ağırlıklarla iki dosya arasındaki fark sayıya dönüşüyor. Elinde yalnızca ekran görüntüsü ve kullanıcı adı olan bir başvuru 22 puanda kalıyor. Aynı kişi eski adresten başvurup değişim bildirimini ve bir abonelik makbuzunu eklediğinde dosya 56 puana çıkıyor; tek eksik hesabın açılış tarihi olduğunda ise eşik aşılıyor. Bu yüzden ilk başvuruyu göndermeden önce on dakika ayırıp kalemleri tamamlamak, üç kez yeniden başvurmaktan hızlı.

Model puan	Beklenen akış	Not
70 ve üzeri	Tek inceleme turu, ek kanıt istenmeden sonuç	En yüksek olasılıklı bant
40 ile 69 arası	Bir ek tur; genellikle bir kalem daha istenir	Eksik kalem varsa yaklaşık dokuz gün gecikme
39 ve altı	Ret veya yanıtsız kalma	Yeni başvuru yerine aynı dosyaya kanıt ekleyin

Aritmetik: kod kırılmıyor, isteniyor

Kurtarma sürecindeki sayıları bilmek, hangi savunmanın gerçekten iş yaptığını gösteriyor. Aşağıdaki hesap tek bir varsayıma dayanıyor: saldırganın saniyede on milyar deneme yapabildiğini kabul ediyoruz. Bu, sızdırılmış bir parola özetini kendi donanımında kıran bir saldırgan için gerçekçi bir üst sınır; çevrimiçi bir giriş formunda ise hız bunun çok altında kalıyor, çünkü platform deneme sayısını sınırlıyor.

Parola uzunluğu	Kombinasyon sayısı	Ortalama kırma süresi
8 karakter	6,6 x 1015	3,8 gün
10 karakter	6,0 x 1019	95 yıl
12 karakter	5,4 x 1023	856 bin yıl
14 karakter	4,9 x 1027	7,7 milyar yıl

Tablo tek bir şeyi söylüyor: sekiz karakterlik bir parola, sızdığı anda bir hafta içinde açılan bir paroladır; on iki karakterlik bir parola ise pratikte açılmıyor. Hesap ele geçirmelerinin çoğu bu yüzden kırma ile değil, yeniden kullanım ve oltalama ile oluyor. Sekiz karakterin kırılması ile on iki karakterin kırılmaması arasındaki fark, aynı alışkanlığın iki farklı sonucu.

Doğrulama kodu denemesi	Tek pencerede olasılık	Yorum
5 deneme	0,0005%	Kodu tahmin etmek gerçekçi bir yol değil
10 deneme	0,001%	Aynı sonuç; deneme sayısı sınırlı
100 deneme	0,01%	Yüz pencere boyunca denemek de sonuç vermiyor

Altı haneli kodun uzayı bir milyon; beş denemede isabet olasılığı milyonda beş. Yani kodu kırmaya çalışmak anlamsız, kodun kendisi isteniyor. Saldırganın yaptığı şey bu yüzden matematik değil ikna: sizden kodu yazmanızı isteyen bir DM, bir arama veya sahte bir giriş sayfası. Buna karşı savunma da matematik değil, kural: hiçbir platform, hiçbir destek ekibi ve hiçbir yetkili sizden gelen kodu istemez.

Aynı parolanın kullanıldığı site sayısı	Yıllık sızma olasılığı	Anlamı
2 site	3,57%	Tek bir sızıntı iki hesabı birden açar
3 site	5,30%	Üç yılda bir kez yaşanacak bir olay
5 site	8,68%	On iki yılda bir kez değil, her on iki yılda bir
8 site	13,52%	Yedi yılda bir kez; ölçülen sızıntı hızıyla uyumlu

Üçüncü tablo, parola yöneticisinin neden lüks değil temel ihtiyaç olduğunu gösteriyor. Hesap başına yıllık sızma olasılığını yüzde 1,8 kabul ettik; bu, kamuya açık sızıntı duyurularının kabaca alt sınırı. Sekiz sitede aynı parolayı kullanan biri için yıllık risk yüzde 13,5; yani her yedi yılda bir hesabının bir yerden sızması beklenir. Parolalar tekil olduğunda bu zincir tek halkaya iniyor.

Son sayı, oturum belirteçlerinin neden paroladan daha kritik olduğunu açıklıyor. 128 bitlik bir belirtecin uzayı 3,4 x 10³⁸; aynı hızda ortalama deneme süresi 5,4 x 10²⁰ yıl. Bu sayı kırılamayacağını söylüyor, kopyalanabileceğini gizlemiyor. Belirteç kopyalandığında parola hiç devreye girmiyor; bu yüzden tüm oturumlardan çıkış, parola sıfırlamadan daha güçlü bir işlem.

SIM swap: ikinci faktörün sıfırlandığı yer

Türkiye'de numara taşıma ve hat devri işlemleri günlük hayatın parçası olduğu için SIM swap, sosyal mühendisliğin en verimli biçimi hâline geldi. Saldırgan sizin numaranızın sahibi olduğunda SMS ile gelen her kod ona gidiyor ve hesabın parolası ne kadar güçlü olursa olsun ikinci faktör düşüyor.

İkinci faktör	SIM swap	Oltalama	Oturum hırsızlığı	Yorum
SMS kodu	Tamamen düşer	Düşer; kod istenir	Etkisiz	Tek faktör olarak kullanılmamalı
Uygulama kodu	Direnir	Düşer; kod istenir	Etkisiz	Cihaz güvenliği şart
Donanım anahtarı veya passkey	Direnir	Büyük ölçüde direnir	Direnir	Alan adına bağlı olduğu için sahte sayfada çalışmaz
Yedek kodlar	Direnir	Direnir	Direnir	Çevrimdışı saklanırsa kurtarma planı olur

SIM swap şüphesinde sıra nettir: hattı dondurun, operatörden son işlemleri isteyin, kurtarmayı e-posta kanalından yürütün. Hattın ne zaman, hangi kanaldan ve hangi belgeyle devredildiği bilgisi hem platform dosyasında hem de bir suç duyurusunda işe yarıyor. Aynı saldırının aile bireyleri üzerinden işleyen biçimi ve operatör tarafında sorulacak sorular SIM swap rehberinde ayrıntılı duruyor.

Saldırgan beklerken ne yapıyor

Ele geçirmeden sonraki ilk saatlerde saldırganın amacı hesabı korumak değil, hesabı hızla paraya çevirmek. Bu yüzden davranışları öngörülebilir; öngörülebilir olduğu için de karşı hamlesi hazır.

Davranış	Bıraktığı iz	Karşı hamle
Kitleye kripto veya yatırım duyurusu	Sizin üslubunuzda olmayan, bağlantı ağırlıklı paylaşım; yorumlar kapatılmış	Paylaşımın ekran görüntüsünü al, sonra sil; başka kanaldan uyarı yayınla
DM ile kod veya para isteme	Tanıdıklarınızdan gelen kod ekran görüntüleri	Kişi listesinin ilk on kişisine doğrudan telefonla ulaş
Profil bağlantısını sahte siteye çevirme	Biyografide yeni adres, kısaltılmış bağlantı	Bağlantıyı arşivle, platforma bildir, alan adını barındırıcıya şikâyet et
Etkileşim şişirme ve takipçi ekleme	Ani takipçi artışı, yabancı dilde yanıtlar	Kurtarma sonrası toplu temizlik; hesabı satılabilir göstermeye çalışıyor
Posta kutusunu kilitleme	Posta sağlayıcısından gelen parola değişikliği bildirimi	Kutuyu önce güvene al; hesap kurtarma kutudan geçiyor
Hesabı dondurma veya silme tehdidi	Platformdan gelen devre dışı bırakma bildirimi	Geri alma penceresini kaçırmamak için günlük kontrol

Dördüncü satır, hesabın neden hâlâ ayakta tutulduğunu açıklıyor: satılabilir görünmesi gerekiyor. Bu da mağdur için bir fırsat; kurtarma sürecinde hesabın silinmemesi, içeriğin korunması anlamına geliyor.

İkinci dalga: hesabını kurtarırım diyenler

Ele geçirme mağdurunun en kırılgan olduğu an, saldırının bittiği an. Aynı kişiler ya da onların çevresi, mağdurun çaresizliğini ikinci bir gelir kapısına çeviriyor. Ortak desen şu: hız vaadi, ön ödeme ve sizden bir kimlik bilgisi isteği. Üçü birlikte göründüğünde konuşma bitmeli.

Teklif	Ele veren işaret	Hukuki karşılığı
Hesabınızı yirmi dört saatte kurtarırız, ödeme önce	Ön ödeme, sözleşme yok, sizden parola isteniyor	TCK 158/1-f; ayrıca hesaba erişme girişimi TCK 243 kapsamında
Destek ekibindeyim, son gelen kodu söyleyin	Kod istenmesi; gerçek destek kodu asla istemez	Oltalama; kişisel veri tarafında TCK 136 ve KVKK
Sizin adınıza formu ben açarım, bilgileri bana verin	Kimlik bilgisi toplama, ekran paylaşımı isteği	Dolandırıcılık; veri sorumlusu yükümlülükleri açısından KVKK md.12
Hesabı geri aldım, yeni parola şu	Hesabı sizin adınıza ele geçirme	Yetkisiz erişim; sahiplik sizde olsa da fiil suç

Bu noktada kendi sınırımızı da yazmak gerekiyor: meşru bir kurtarma çalışması hiçbir zaman sizin hesabınıza sizin kimlik bilgilerinizle giriş yapmaz. Kurumsal veya ticari hesaplarda iş, hesabın sahibinden alınan yazılı yetkiyle ve platformun kendi kanalları üzerinden yürür; kişisel hesapta ise yapılabilecek şey dosyayı kurmak, başvuruyu yazmak ve süreci takip etmektir. Hizmet kapsamımız hizmetler sayfasında bu çerçevede tanımlı.

Kurtarma sonrası ilk 72 saat

Hesap geri geldiğinde iş bitmiyor; ilk üç gün, saldırganın bıraktığı kapıların kapatıldığı dönem. Aşağıdaki sıra saatlere bölünmüş durumda, çünkü her kalemin bir son kullanma zamanı var.

Zaman	İşlem	Neden
0 ile 1 saat	Yeni parola, tüm oturumların kapatılması, bağlı uygulamaların iptali	Kurtarma sırasında girdiğiniz parola, ele geçirilmiş bir cihazda yazılmış olabilir
1 ile 3 saat	E-posta ve telefon doğrulaması, sıfırlama korumasının açılması	Kanal sizde değilse diğer bütün adımlar geçici
3 ile 6 saat	DM gönderilen kişilere tek tek haber	Paranın gitmesini durduran tek adım bu
6 ile 12 saat	Sahte paylaşımların kanıtlanması, sonra silinmesi, profilin yeniden kurulması	Silinen içerik dosyadan düşüyor; sıra bu yüzden kanıt önce
12 ile 24 saat	Ödeme yöntemleri, reklam harcaması, abonelik iptalleri	Kart ve reklam kalemleri burada görünür, iade talebi de burada başlar
24 ile 48 saat	Erişim geçmişinin okunması, giriş yolunun belirlenmesi	Sonraki deneme aynı kapıdan geliyor; kapıyı kapatmadan bitmiyor
48 ile 72 saat	Tek ve olgusal bir açıklama paylaşımı	İkinci dalga dolandırıcılığı bu açıklamayla zayıflıyor

Açıklama paylaşımının ölçüsü var: kimseyi suçlamayan, ne olduğunu ve neyin değiştiğini söyleyen üç cümle. Uzun ve duygusal bir metin, saldırganın ekran görüntüsü alıp yeniden dolaşıma sokacağı yeni bir malzeme üretiyor.

Ne kaybedilir, ne geri gelir

Kurtarma sonrası en sık sorulan soru takipçilerle ilgili. Cevap ölçülebilir: hesap sahibine döndüğünde takipçi ilişkileri yerinde kalıyor, çünkü bunlar hesabın kimliğine bağlı, içeriğine değil. Kaybedilen şey erişim ve güven; ikisi de farklı hızlarda toparlanıyor.

Ölçüt	Ele geçirme sırasında	Tipik toparlanma	Nasıl ölçülür
Takipçi sayısı	Genellikle yüzde 5'in altında kayıp	Kısmi ve kalıcı	Aylık net değişim
Gösterim ve erişim	Profil değişikliğiyle düşer	İki üç hafta, düzenli paylaşımla	Haftalık karşılaştırma
Etkileşim oranı	Ani düşüş, sonra kademeli	Üç dört hafta	Etkileşim bölü erişim
Güven, yorum kalitesi	Dolandırıcılık mesajından sonra bozulur	Tek açıklamayla hızlanır	Olumsuz yorum oranı

Buradaki dördüncü satır en yavaş toparlanan. İnsanlar takipçi listesinde kalmaya devam ediyor ama yorumlara şüpheyle bakıyor; bu yüzden kurtarma sonrası ilk haftalarda hesabın normal işleyişine dönmesi, sayısal toparlanmadan daha önemli. Tablodaki süreler bir model, platform verisi değil: kendi hesabınızın haftalık ölçümü her zaman bu ortalamadan daha doğru.

Türkiye tarafı: hangi madde, hangi kanıt, hangi süre

Hukuk tarafında en sık yapılan hata, tek bir fiil sanıp tek bir suç yazmak. Bir hesabın ele geçirilmesi Türk ceza hukukunda en az iki ayrı fiil üretiyor: sisteme giriş ve o hesap üzerinden yapılan dolandırıcılık. İkisi farklı maddelerde, farklı şikâyet rejimlerinde ve farklı zamanaşımıyla duruyor.

Madde	Fiil	Şikâyet rejimi	Pratik sonucu
TCK 243	Bilişim sistemine hukuka aykırı giriş	Şikâyete bağlı; failin ve fiilin öğrenilmesinden itibaren altı ay	Süre dar; başvuru ilk hafta içinde yapılmalı
TCK 244/2	Sistemdeki verileri değiştirme, silme, sistemi engelleme	Şikâyete bağlı	Parolanın değiştirilmesi bu maddeyi gündeme getiriyor
TCK 136	Kişisel verileri hukuka aykırı ele geçirme	Şikâyete bağlı	Kopyalanan yazışma veya fotoğraf varsa ayrı dosya
TCK 158/1-f	Bilişim sistemleri aracılığıyla nitelikli dolandırıcılık	Resen soruşturulur	Dört ile on yıl hapis; adli para cezası menfaatin iki katından az olamaz
5651 Ek md.4	Sağlayıcıya doğrudan başvuru	İdari yol	Sahte hesap ve bağlantı için platform dışı kanal
5651 md.9 ve 9-A	Erişimin engellenmesi; özel hayatın gizliliği ihlali	Yargı ve başvuru yolu	İçerik kaldırılmazsa devreye giriyor
KVKK md.12 ve 13	Veri güvenliği yükümlülüğü; ilgili kişi hakları	İdari	Platformdan yazılı bilgi talebi üretir

Yargıtay Ceza Genel Kurulu'nun 2015/118 esas ve 2019/148 karar numaralı kararı bu ayrımın dayanağı: bilişim sistemi aldatılamaz, aldatılan kişidir. Karar, hesabın ele geçirilmesiyle o hesap üzerinden kandırılan kişinin mağduriyetini ayrı fiiller olarak ele alıyor ve her biri için ayrı hüküm kurulması gerektiğini söylüyor. Pratikte bu, dilekçeye iki fiili ayrı ayrı yazmak demek: parolanın değiştirilmesi bir fiil, o hesaptan para istenmesi başka bir fiil.

Şikâyet yeri Cumhuriyet başsavcılığı; büyükşehirlerde siber suçlarla mücadele birimleri süreci hızlandırıyor. Dilekçede üç şey isteyin: platformdan ve erişim sağlayıcıdan IP ve abone kayıtlarının istenmesi, sahte hesapların ve bağlantıların tespiti, zararın belgelenmesi. Dosyaya ekleyeceğiniz kanıtlar aşağıdaki bölümdeki gibi kalıcı biçimde saklanmalı; çünkü savcılık aşamasında ekran görüntüsünün tek başına değeri düşük.

Delili kalıcı hâle getirmek

Kurtarma dosyasının kaderi, kanıtın ne kadar dayanıklı olduğuna bağlı. Ekran görüntüsü en kolay üretilen ve en kolay itiraz edilen kanıt; o yüzden onu tek başına bırakmamak gerekiyor.

Yöntem	Dayanıklılık	Neyi kanıtlar	Not
Ekran görüntüsü	Zayıf	İçeriğin o anda var olduğunu	Tarih, saat ve adres görünmeli; cihaz saati ayrıca not edilmeli
E-postanın ham kaynağı	Orta	Bildirimin gerçekten platformdan geldiğini	Başlıklarda kimlik doğrulama sonuçları görünür
Noter e-tespiti	Güçlü	İçeriğin belirli bir tarihte var olduğunu	Ücretli; tartışmalı dosyada belirleyici
Platform başvuru numarası	Orta ve güçlü	Başvuru zamanınızı ve platformun kaydını	Kuyruk pozisyonu için de tek dayanak
Banka veya ödeme dekontu	Güçlü	Zararın miktarını ve zamanını	Bloke talebi için de gerekli

Beş kalemi tek bir klasörde, tarih sırasıyla ve çevrimdışı bir kopyayla saklayın. Dosyanın işe yarayan kısmı içerik değil, zaman: hangi olay hangi dakikada oldu. Bu yüzden her kanıtın yanına kendi notunuzu düşün, ama notu kanıtın kendisiyle karıştırmayın.

KVKK tarafı: kendi veriniz ve platformun yükümlülüğü

Ele geçirme aynı zamanda bir veri koruma olayı. KVKK md.12 veri sorumlusuna teknik ve idari tedbir alma yükümlülüğü getiriyor, md.13 ise ilgili kişi olarak size verilerinizin işlenip işlenmediğini öğrenme, bilgi isteme, düzeltilmesini ve silinmesini talep etme hakkı veriyor. Bu hak, platformun kurtarma formunun yerine geçmiyor; ama yazılı bir yanıt üretiyor ve o yanıt dosyada kullanılabiliyor.

Pratikte bu, kurtarma başvurusundan bağımsız ikinci bir iz: hesabınıza hangi tarihte, hangi IP aralığından erişildiği bilgisini talep etmek. Bu talep reddedilirse KVKK'ya şikâyet yolu açılıyor. Kurumsal tarafta aynı yükümlülük daha ağır; çalışan verisi ve müşteri verisi işin içine girdiğinde bildirim süreleri devreye giriyor. Teknik tedbirlerin ve kanıt zincirinin kurumsal çerçevesi KVKK teknik tedbirler rehberinde anlatılıyor.

Hangi durumda profesyonel destek

Kişisel bir hesabın kurtarılması çoğu zaman sabır işi: doğru dosya, doğru kanal, kısa ve olgusal yazışma. Profesyonel desteğin anlamlı olduğu yer, hesabın gelir ürettiği durumlar: reklam geliri olan hesaplar, marka hesapları, kurumsal duyuru kanalları ve birden fazla hesabın aynı anda etkilendiği vakalar. Burada iş yükü dosyayı kurmak, başvuruyu yazmak, yanıtı takip etmek ve kurtarma sonrası sertleştirmeyi yapmak.

Sınırları da aynı netlikte yazmak gerekiyor. Hesabın sahibinden yazılı yetki olmadan hiçbir çalışma yürümez; hiçbir yöntem sizin kimlik bilgilerinizle hesaba giriş yapmayı içermez; platformun kendi kanalları dışında bir kaldıraç yoktur ve sonuç garantisi verilemez. Bu üç sınırı aşan her teklif, ikinci dalga dolandırıcılığın tarifine uyuyor. Kurumsal kapsam ve iletişim hizmet ve iletişim sayfalarında duruyor.

Önleme: altı önlem, yirmi dakika

Bu yazının maliyeti, kurtarma sürecinin maliyetiyle karşılaştırıldığında komik. Aşağıdaki altı kalem toplam yirmi dakika sürüyor ve ele geçirme yollarının çoğunu kapatıyor.

Önlem	Süre	Kapattığı risk	Atlanırsa
Parolaları yöneticiye taşı, her hesap için tekil parola üret	8 dakika	Yeniden kullanım zinciri	Tek sızıntı birden fazla hesabı açar
SMS doğrulamasını uygulama koduna veya passkey'e çevir	4 dakika	SIM swap	Numara devri hesabı açar
Bağlı uygulamaları üç ayda bir gözden geçir	3 dakika	Kalıcı uygulama erişimi	Parola değişimi erişimi kesmez
Parola sıfırlama korumasını aç	1 dakika	Sıfırlama formu üzerinden ele geçirme	Kanal doğrulaması olmadan sıfırlama
Posta kutusunun kurtarma adresini ve yönlendirmelerini denetle	2 dakika	Sessiz yönlendirme	Sıfırlama e-postası dışarı çıkar
Değişim bildirimlerini açık tut, kutuyu düzenli oku	2 dakika	Geç fark etme	Saat taşıyan tek kanıtı kaçırırsın

Parola üretiminde uzunluk karmaşıklıktan önce gelir: on iki karakterlik bir parola, sembol serpiştirilmiş sekiz karakterden belirgin biçimde güçlü. Yönetici kullanmayı sevenler için hazır bir başlangıç noktası güvenli parola rehberinde; aynı sayfa yedek kodların nerede saklanacağını da gösteriyor.

Kapanış: beş sayı

Bu yazıdan aklınızda kalması gereken beş sayı var. Sekiz karakterlik bir parola 3,8 günde kırılıyor; on iki karakterlik bir parola 856 bin yıl dayanıyor. Altı haneli bir kodun beş denemede tahmin edilme olasılığı yüzde 0,0005; yani kod her zaman istenir, kırılmaz. Sekiz sitede aynı parolayı kullanan biri için yıllık sızma olasılığı yüzde 13,5. Kilitli bir hesapta eksik bir kanıt kalemi yaklaşık dokuz gün, üç mükerrer başvuru ise yirmi yedi gün kaybettiriyor.

Bu sayıların hepsi tek bir davranışa çıkıyor: sırayı korumak. Önce posta kutusu, sonra oturumlar ve bağlı uygulamalar, sonra tek ve eksiksiz bir başvuru, sonra kanıt, en sonda temizlik. Hesabınız şu anda ele geçirilmişse ilk üç adımı bugün yapabilecek durumdasınız; geri kalanı bir hafta içinde tamamlanıyor. Hesabınız sağlamsa, yirmi dakika ayırıp yukarıdaki altı önlemi kapatmak, bu yazıyı okumanın tek kalıcı faydası.