E-posta Adresim Sızıntıda mı? Nasıl Kontrol Edilir?
E-posta adresinin veri sızıntısında olup olmadığı nasıl kontrol edilir: Have I Been Pwned kullanımı, ihlal bildirimleri, sızıntı sonrası yapılacaklar ve sürekli koruma.
Kısa cevap
E-posta adresinizin sızan veri tabanlarında olup olmadığını en hızlı ve güvenilir biçimde kontrol etme yolu, haveibeenpwned.com sitesidir: adresinizi yazın, site bilinen tüm veri ihlalleriyle karşılaştırıp hangi sitelerden ve hangi yıl sızdığınızı listeler. Sorgu ücretsizdir ve adresiniz saklanmaz; sonuçta bir ihlal görmeniz hesabınızın kesinlikle ele geçirildiği anlamına gelmez, sadece şifrenizin (ve sızan diğer bilgilerin) saldırganların eline geçmiş olabileceğini gösterir. Sızıntı bulunduğunda yapılacaklar sıralıdır: o sitedeki şifreyi değiştirin, aynı şifreyi kullandığınız her hesabın şifresini değiştirin ve iki adımlı doğrulamayı açın. 'Notify me' aboneliğiyle yeni bir sızıntıda otomatik e-posta uyarısı alabilirsiniz.
Veri ihlalleri artık haber olmaktan çıktı, rutin haline geldi: sosyal ağlardan alışveriş sitelerine kadar her yıl milyarlarca kayıt sızıyor. E-posta adresi bu sızıntıların ortak paydasıdır; saldırganlar sızan adres-şifre eşleşmelerini diğer sitelerde otomatik dener. Sızıp sızmadığınızı bilmek, karanlıkta mı yoksa hazırlıklı mı olduğunuzu belirler.
Have I Been Pwned ile Kontrol
haveibeenpwned.com, güvenlik araştırmacısı Troy Hunt’ın yıllardır sürdürdüğü bağımsız bir veri ihlali arşividir. Kontrol için yapmanız gereken tek şey e-posta adresinizi ‘pwned?’ kutusuna yazmak: site, adresinizi yüzlerce bilinen ihlalle karşılaştırır ve sonuç sayfasında hangi sitelerden, hangi tarihlerde sızdığınızı listeler. Sorgu ücretsizdir, kayıt istemez ve adresinizi üçüncü taraflara satmaz. ‘Pwned Passwords’ bölümünde ise bir şifrenin bilinen ihlallerde geçip geçmediğini kontrol edebilirsiniz — şifre sunucuya gönderilmeden.
Sonuçları Nasıl Okumalı?
Listede bir ihlal görmek panik sebebi değildir; Türkiye’deki aktif internet kullanıcılarının büyük bölümü en az bir ihlalde yer alır. Önemli olan üç şeydir: hangi site sızdı (şifreyi o sitede değiştirin), ne sızdı (şifre, telefon, doğum tarihi, kimlik numarası — farklı riskler) ve hangi yıl (o tarihten beri şifreyi değiştirmediyseniz risk günceldir). Sızıntı, şifrenizin zayıf olduğu anlamına da gelmez; site tarafındaki güvenlik açığından kaynaklanır.
Sızıntı Sonrası Yapılacaklar
Sıralı ilerleyin. Bir: sızan sitede şifreyi değiştirin — giriş yapamıyorsanız ‘şifremi unuttum’ akışını siz kullanın, saldırgan sizden önce kullandığını görürseniz hesabı kurtarma süreciyle geri alın. İki: aynı şifreyi başka sitelerde kullanıyorsanız o hesapların şifrelerini de değiştirin; tekrarlanan şifre, tek ihlalin çok hesaba yayılmasının bir numaralı yoludur. Üç: e-posta, banka ve sosyal medya hesaplarında iki adımlı doğrulamayı açın. Dört: kimlik numarası gibi kişisel bilgiler sızdıysa beklenmedik aramalara ve SMS’lere karşı daha temkinli olun.
Sürekli Takip: Bildirim Aboneliği
Tek seferlik sorgu yeterli değildir; yeni ihlaller her hafta ortaya çıkar. Have I Been Pwned’ın ‘Notify me’ hizmetine kayıt olursanız, adresiniz yeni bir sızıntıda yer aldığında otomatik e-posta alırsınız. Chrome ve Edge’in şifre yöneticileri ile Apple’ın iCloud Anahtar Zinciri de kayıtlı şifreleri ihlal veri tabanlarıyla düzenli karşılaştırır ve ‘şifre denetimi’ raporlarında sizi uyarır. Şifre yöneticisi kullanıyorsanız bu denetim raporunu ayda bir gözden geçirmek yeterli alışkanlıktır.
Sızıntıya Karşı Zihniyet
Sızıntıyı tamamen önleyemezsiniz — kontrolü size ait olmayan sunucularda olan verileri yönetemezsiniz. Ama sonucunu kontrol edebilirsiniz: benzersiz şifreler, iki adımlı doğrulama ve ihlal bildirimleri üçlüsü, sızan veriyi işlevsiz hale getirir. Sızıntı haberlerindeki ‘hesaplarınızı kapatın’ paniklerine kapılmayın; doğru yanıt, o hesabın savunmasını güçlendirmektir.
Sık sorulan sorular
Sızıntıda çıktım, hesabım hemen hacklenir mi?
Hayır; sızıntı, bilginin saldırgan veri tabanlarına karıştığı anlamına gelir, hesabınızın otomatik ele geçirildiğini değil. Risk, sızan şifreyi başka sitelerde tekrarlıyorsanız artar — saldırganlar 'şifremi unuttum' akışlarıyla bu eşleşmeyi otomatik dener. Şifre benzersizse ve iki adımlı doğrulama açıksa sızıntı sizi pratikte etkilemez.
Sorgu için şifremi girmek güvenli mi?
E-posta sorgusu için yalnızca adres yeterlidir; şifre girilmez. 'Pwned Passwords' bölümü şifreyi kontrol ederken bile şifreyi sunucuya göndermez: sadece parolanın SHA-1 özetinin ilk birkaç karakteri gönderilir ve eşleşme cihazınızda tamamlanır. Yani hiçbir durumda gerçek şifreniz iletilmez.
Sızıntı listemde eski bir ihlal var, önemli mi?
Evet, önemli olabilir: kullanıcılar eski şifreleri başka sitelerde yeniden kullanır ve saldırganlar bu alışkanlığı bilir. İhlalin yılı şifreyi o tarihten beri değiştirmediyseniz daha kritiktir. En doğru yaklaşım, listelenen her sitede şifreyi güncellemek ve 2FA'yı açmaktır.
Gmail, sızıntıları kendisi bildiriyor mu?
Evet; Google, Gmail hesaplarınızı sızan veri tabanlarıyla karşılaştırır ve 'Şifre Denetimi' ile Hesabım > Güvenlik bölümünde ihlal uyarıları gösterir. Apple da iCloud anahtar zincirinde kayıtlı şifreler için 'Güvenlik Önerileri'nde sızıntı bildirir. Bunlar Have I Been Pwned verilerini benzer biçimde kullanır; yine de bağımsız sorgu yapmak faydalıdır.
