Bilgilerin bir veri sızıntısında mı? Nasıl öğrenilir, ne yapılmalı

Bir alışveriş sitesinin, bir oyun platformunun ya da bir kurumun veritabanı sızdırıldığında, oradaki e-posta adresleri, telefon numaraları ve bazen şifreler internette satılmaya ya da ücretsiz paylaşılmaya başlar. Çoğu zaman bundan haberin olmaz. Bu yazıda, bilgilerinin bir sızıntıda yer alıp almadığını nasıl öğreneceğini ve öğrendiğinde hangi sırayla ne yapman gerektiğini anlattık.

Sızıntı neden seni ilgilendiriyor?

Tek başına bir e-posta adresinin sızması çok tehlikeli görünmeyebilir. Asıl sorun, sızan bilgilerin bir araya getirilmesidir:

• Şifre denemeleri: Sızan e-posta ve şifre eşleşmeleri, otomatik programlarla binlerce başka sitede denenir. Aynı şifreyi birden fazla yerde kullanıyorsan, hiç ilgin olmayan bir sitenin hatası e-postanı ya da banka hesabını tehlikeye atabilir.
• İnandırıcı dolandırıcılık: Adın, telefonun ve aldığın bir ürün bilindiğinde, sana gelen sahte "kargo" ya da "iade" mesajı çok daha gerçekçi görünür. Bu mesajları nasıl ayırt edeceğini sahte mesajlar yazımızda anlattık.
• Kimlik bilgileri: T.C. kimlik numarası, doğum tarihi ve anne kızlık soyadı gibi bilgiler, adına işlem yapılmaya çalışılırken kullanılabilir.

Bilgilerin sızmış mı? Nasıl öğrenilir

Birkaç güvenilir ücretsiz yol var. Hiçbiri şifreni yazmanı istemez; sadece e-posta adresinle arama yapılır.

1. Have I Been Pwned (haveibeenpwned.com): Güvenlik araştırmacısı Troy Hunt'ın yürüttüğü, yüzlerce sızıntının kaydını tutan bir hizmettir. E-posta adresini yazdığında, adresinin hangi sızıntılarda yer aldığını ve o sızıntıda hangi bilgilerin (şifre, telefon, adres gibi) bulunduğunu gösterir. Gelecekteki sızıntılar için e-posta bildirimine de kaydolabilirsin.
2. Mozilla Monitor: Firefox'un yapımcısı Mozilla'nın ücretsiz hizmetidir; aynı veri kaynağını kullanır ve yeni bir sızıntıda seni haberdar eder.
3. Tarayıcının ve telefonun şifre kontrolü: Google Şifre Yöneticisi'ndeki "Şifre Kontrolü" ve iPhone'daki Şifreler uygulamasının (eski iOS sürümlerinde Ayarlar → Şifreler) güvenlik önerileri, kayıtlı şifrelerinden sızıntılarda görülenleri ve birden fazla yerde kullandıklarını listeler.

Sızıntıda adın çıktıysa: adım adım

1. O sitedeki şifreni değiştir. Sızıntı eskiyse büyük ihtimalle site önlem almıştır, ama şifren hâlâ eskisiyse değiştir.
2. Aynı şifreyi kullandığın her yeri değiştir. En önemli adım budur. Önce e-posta hesabın, sonra bankacılık, e-Devlet ve sosyal medya. Her hesap için farklı bir şifre kullanmanın en kolay yolu bir şifre yöneticisidir; nasıl çalıştığını şifreler yazımızda anlattık.
3. İki adımlı doğrulamayı aç. Şifren ele geçse bile hesabına girişte telefonundaki ikinci adım gerekir. E-posta hesabından başla; diğer hesapların şifreleri e-postayla sıfırlanabildiği için en kritik hesap odur.
4. Gelen mesajlara karşı birkaç hafta daha dikkatli ol. Sızan bilgilerle hazırlanmış kişisel mesajlar genelde sızıntıdan hemen sonra yoğunlaşır.
5. Hesap hareketlerini kontrol et. Banka ve kart hareketlerinde tanımadığın bir işlem olup olmadığına bak, varsa hemen bankanı ara.

Kimlik bilgilerin sızdıysa

Türkiye'de kimlik bilgilerinin kötüye kullanılmasının en yaygın yolları, adına telefon hattı ya da kredi açtırmaya çalışmaktır. İkisini de kendin kontrol edebilirsin:

• Adına kayıtlı hatlar: e-Devlet'te Bilgi Teknolojileri ve İletişim Kurumu'nun hat sorgulama hizmetiyle adına kayıtlı tüm mobil hatları görebilirsin. Tanımadığın bir hat varsa ilgili operatöre başvur.
• Adına açılmış krediler: Kredi kayıtlarını gösteren Findeks raporuyla adına açılmış kredi ya da kart olup olmadığını görebilirsin.

Şirketin sana haber vermesi gerekmez mi?

Gerekir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'na göre bir şirket, işlediği kişisel verilerin kanuni olmayan yollarla başkalarının eline geçtiğini öğrendiğinde bunu en kısa sürede hem ilgili kişilere hem de Kişisel Verileri Koruma Kurulu'na bildirmek zorundadır. Kurul, kendisine bildirilen ihlallerin bir kısmını kendi sitesinde "Veri İhlali Bildirimleri" başlığı altında yayımlar. Bir şirketten bilgilerin hakkında açıklama istemek ise kanunun sana tanıdığı bir haktır; nasıl yapılacağını KVKK yazımızda anlattık.

Kısa özet

Sızıntılar, senin kontrolünde olmayan yerlerde olur. Senin kontrolünde olan, bir sızıntının etkisini küçültmektir: her hesapta farklı şifre, önemli hesaplarda iki adımlı doğrulama ve beklenmedik mesajlara karşı biraz şüphe. Bu üçü birlikteyken, adının bir sızıntı listesinde geçmesi çoğu zaman sadece bir şifre değiştirme zahmeti olarak kalır.