İki adımlı doğrulama olmadan şifre neden yetmiyor?
Şifreler üç yoldan ele geçer ve üçünde de sizin bir hata yaptığınızı fark etmeniz zordur. Birincisi veri sızıntısıdır: yıllar önce üye olduğunuz bir alışveriş ya da forum sitesinin veritabanı çalınır, aynı e-posta ve şifreyi bahis hesabınızda da kullanıyorsanız saldırgan yalnızca denemek zorundadır. İkincisi oltalama sayfasıdır: gerçek sitenin kopyasına şifrenizi kendi elinizle yazarsınız. Üçüncüsü cihazınızdaki zararlı yazılımdır.
İki adımlı doğrulama açıkken bu üç senaryoda da saldırganın elinde yalnızca bulmacanın yarısı kalır. Şifre doğru girilir, ekran kod ister, kod sizin telefonunuzdadır.
SMS, uygulama ve e-posta: hangisi ne kadar korur?
| Yöntem | Kod nereden gelir? | Zayıf noktası |
|---|---|---|
| SMS | Telefon numaranıza mesaj | SIM kopyalama, numara taşıma |
| Doğrulama uygulaması (TOTP) | Telefonunuzdaki uygulama üretir | Telefon kaybolursa yedek kod gerekir |
| E-posta | Kayıtlı e-posta adresinize | E-posta hesabı ele geçerse işe yaramaz |
Doğrulama uygulaması (TOTP, zamana dayalı tek kullanımlık şifre) kodu internet ya da operatör üzerinden almaz; kurulum sırasında okuttuğunuz karekoddaki gizli anahtarla telefonun içinde üretir. Araya girip yakalanacak bir mesaj yoktur. E-posta doğrulaması ise ancak e-posta hesabınızın kendisi ayrı bir şifre ve ayrı bir ikinci adımla korunuyorsa anlamlıdır. Aksi halde tek bir hesabı ele geçiren kişi hem şifre sıfırlama bağlantısını hem doğrulama kodunu aynı gelen kutusunda bulur.
SIM kopyalama riski nedir, nasıl fark edilir?
SIM kopyalamada (SIM swap) saldırgan, sizin adınıza mobil operatörü arayarak ya da sahte belgeyle başvurarak numaranızı kendi elindeki SIM karta taşıtır. O andan sonra size gelen tüm SMS'ler ona gider; banka ve bahis hesabı kodları da.
Belirtisi nettir: telefonunuz kapsama alanındayken aniden 'servis yok' der ve yeniden başlatmak düzeltmez. Böyle bir durumda beklemeyin, başka bir telefondan operatörünüzü arayın ve hattın sizin bilginiz dışında değiştirilip değiştirilmediğini sorun. Önlem olarak operatörünüzde SIM değişikliği ve numara taşıma işlemlerine ek parola ya da yalnızca mağazadan işlem kısıtı koyabiliyorsanız koyun. Asıl çözüm, kodun SMS ile gelmediği bir yönteme geçmektir.
Altı haneli kod tahmin edilebilir mi?
Pratikte hayır. Altı haneli bir kod 000000 ile 999999 arasında 1.000.000 farklı değer alabilir ve uygulamada her 30 saniyede bir değişir. Sistem bir kod süresi içinde üç deneme hakkı veriyorsa rastgele tutturma ihtimali 3 / 1.000.000, yani %0,0003 eder. Çoğu sistem birkaç hatalı denemeden sonra hesabı geçici olarak kilitler, bu yüzden denemeyi binlerce kez tekrarlamak da mümkün olmaz.
Saldırganlar bu yüzden kodu tahmin etmeye değil, sizden istemeye çalışır. 'Hesabınızda şüpheli işlem var, telefonunuza gelen kodu söyler misiniz' diyen kişi tam bunu yapıyordur. Kod yalnızca sizin giriş yaptığınız ekrana yazılır; telefonda, mesajda ya da sohbette kimseye söylenmez. Bu senaryonun ayrıntıları sahte müşteri temsilcisi yazısında var.
Yedek kodlar nerede saklanmalı?
Doğrulama uygulamasını kurarken size genellikle sekiz on adet tek kullanımlık yedek kod verilir. Telefonunuz kaybolduğunda, bozulduğunda ya da sıfırlandığında hesabınıza dönmenin yolu bunlardır. Kodları kaybederseniz kimlik belgeleriyle destek üzerinden kurtarma yapmanız gerekir ve bu günler sürebilir.
- Kâğıda yazıp evde, cüzdanınızdan ayrı bir yerde tutun.
- Şifre yöneticisi kullanıyorsanız oraya kaydedin; ama şifre yöneticisinin kendi ikinci adımı aynı telefona bağlıysa bir kâğıt kopya da bulundurun.
- Ekran görüntüsü olarak galeride, e-postada taslak olarak ya da kendinize attığınız bir mesajda saklamayın. Telefonu ya da e-postayı ele geçiren kişi oralara ilk bakar.
- Kullandığınız kodun üstünü çizin; her kod bir kez çalışır.
Telefon değiştirecekseniz eski cihazı sıfırlamadan önce doğrulama uygulamasını yeni cihaza taşıyın.
2FA bahis hesabında hangi sırayla açılmalı?
- Önce e-posta hesabınız. Bütün şifre sıfırlama bağlantıları oraya gider; e-posta korumasızsa diğer önlemler anlamsız kalır.
- Sonra bahis hesabınız. Ayar genellikle hesap ya da güvenlik menüsündedir. Uygulama seçeneği varsa onu, yoksa SMS'i seçin.
- Ardından ödeme araçlarınız. E-cüzdan, kripto borsası ve bankacılık uygulamanızdaki ikinci adımı da kontrol edin.
- Çekim onayını ayrıca açın. Bazı siteler girişten bağımsız olarak çekim talebinde de kod ister; seçenek varsa etkinleştirin.
Site iki adımlı doğrulama sunmuyorsa bunu bir eksik olarak not edin, o hesap için başka hiçbir yerde kullanmadığınız uzun bir şifre belirleyin ve bakiyeyi düşük tutun. Telefon tarafındaki diğer önlemler için mobil bahis güvenliği yazısına, hesabınıza izinsiz girildiğini düşünüyorsanız hesabım çalındı rehberine bakın.