Sosyal medya hesap güvenliği: 2FA, oltalama ve üçüncü taraf erişimi

Bir sunucuyu internete açan her sistem yöneticisi ilk iş olarak parola ile girişi kapatır, anahtar tabanlı kimlik doğrulamaya geçer ve kimlerin oturum açtığını loglardan izler. Aynı disiplin sosyal medya hesaplarına nadiren uygulanır; oysa bir işletmenin Instagram ya da Facebook hesabı da müşteri iletişimi, satış ve itibar açısından kritik bir sistemdir. Bu yazıda hesap güvenliğini bir altyapı yöneticisinin bakış açısıyla ele alıyoruz: tehdit modeli, iki adımlı doğrulama yöntemlerinin karşılaştırması, oltalamanın teknik izleri ve dış hizmet sağlayıcılarla çalışırken uygulanması gereken en az yetki ilkesi.

Tehdit modeli: Hesaplar nasıl ele geçiriliyor

Sosyal medya hesaplarına yönelik saldırıların büyük kısmı birkaç bilinen yöntemle yürür:

• Parola doldurma (credential stuffing): Başka bir siteden sızmış e-posta ve parola çiftleri, otomatik araçlarla sosyal medya giriş sayfalarında denenir. Aynı parolayı birden çok yerde kullanmak bu saldırıyı mümkün kılar.
• Oltalama: Sahte telif ihlali uyarıları, “doğrulama rozeti başvurunuz onaylandı” mesajları ya da hesabın kapatılacağını söyleyen e-postalar, kullanıcıyı gerçeğine benzeyen bir giriş sayfasına yönlendirir.
• SIM değiştirme: Saldırgan, operatörü kandırarak kurbanın numarasını kendi SIM kartına taşır ve SMS ile gelen kodları ele geçirir.
• Oturum çerezi hırsızlığı: Bilgisayara bulaşan bilgi çalıcı zararlılar, tarayıcıdaki açık oturum çerezlerini kopyalar; bu durumda parola ve ikinci adım hiç sorulmadan oturuma girilebilir.
• Aşırı yetkili üçüncü taraf erişimi: Hesaba bağlanmış eski uygulamalar, tarayıcı eklentileri veya şifresi paylaşılmış dış kişiler.

Bu listeye bakınca savunmanın tek bir ayarla bitmediği görülür; katmanlı düşünmek gerekir.

İki adımlı doğrulama: Yöntemler eşit değil

Meta, Facebook Yardım Merkezi’ndeki iki faktörlü kimlik doğrulama sayfasında ikinci adım için üç yöntem sayar: güvenlik anahtarı, üçüncü taraf kimlik doğrulama uygulamalarından alınan kodlar ve SMS ile gönderilen kodlar. Aynı sayfa, telefonunuza erişemediğiniz durumlar için kurtarma kodları oluşturulabildiğini de belirtir. Bu üç yöntemin güvenlik düzeyi ise birbirinden farklıdır.

SMS, hiç olmamasından iyidir ama SIM değiştirme saldırısına açıktır. Doğrulama uygulamaları (TOTP), cihazda üretilen ve genellikle 30 saniyede yenilenen kodlarla bu riski ortadan kaldırır; yine de kullanıcı kodu sahte bir sayfaya kendi eliyle yazarsa, gerçek zamanlı aracı sunucu kullanan bir oltalama kiti kodu anında asıl siteye iletebilir. Güvenlik anahtarları (FIDO2/WebAuthn) ise kimlik doğrulamayı alan adına bağlar; anahtar, sahte bir alan adına imza üretmez. Oltalamaya karşı dayanıklı olan tek seçenek budur.

Pratik öneri şöyle özetlenebilir: Kritik işletme hesaplarında güvenlik anahtarı, diğerlerinde doğrulama uygulaması kullanın; SMS’i yalnızca yedek olarak bırakın. Kurtarma kodlarını parola yöneticisinde ya da çevrimdışı bir ortamda saklayın, ekran görüntüsü olarak galeride tutmayın.

Oltalamayı teknik olarak tanımak

Oltalama sayfaları görsel olarak kusursuz olabilir; ayırt edici olan teknik ayrıntılardır. Adres çubuğundaki alan adını karakter karakter okuyun: benzer görünen harflerle kayıt edilmiş alan adları (homograf saldırıları), uzun alt alan adlarının içine gizlenmiş marka isimleri ve kısaltılmış linkler sık görülen tuzaklardır. Platformun resmi bir uyarısı varsa aynı bilgiye uygulamanın kendi ayarlar ve bildirim ekranlarından da ulaşabilmeniz gerekir; yalnızca e-postada ya da doğrudan mesajda var olan bir “son uyarı” şüphelidir. Instagram, güvenlik ayarlarında son dönemde gönderdiği resmi e-postaları listeleyen bir bölüm sunar; gelen bir e-postanın gerçek olup olmadığını oradan karşılaştırabilirsiniz.

Şifre paylaşmamak ve oturum hijyeni

Kurumsal hesapta en sık yapılan hata, ajans ya da çalışanla şifre paylaşmaktır. Meta’nın işletme araçları, kişilere şifre vermeden rol bazlı erişim tanımlamaya izin verir; erişim, kişi ayrıldığında tek tıkla geri alınır. Parolalar bir parola yöneticisinde, her servis için benzersiz ve uzun tutulmalıdır.

Bunun yanında hesap merkezindeki “giriş yapılan yerler” listesini düzenli kontrol edin, tanımadığınız oturumları sonlandırın ve hesaba bağlı uygulamalar ile web siteleri listesinden artık kullanmadıklarınızın erişimini kaldırın. Bir sunucudaki eski SSH anahtarlarını temizlemek neyse, bu da odur.

Üçüncü taraf hizmet alırken en az yetki ilkesi

İşletmeler analiz, planlama ya da takipçi ve etkileşim gibi büyüme hizmetleri için dış sağlayıcılarla çalışabilir. Burada sorulacak soru basittir: Bu hizmet işini yapmak için hangi veriye ihtiyaç duyar? Takipçi, beğeni ya da izlenme hizmeti yalnızca herkese açık bir tanımlayıcıya, yani kullanıcı adına veya gönderi linkine ihtiyaç duyar. Şifre, doğrulama kodu veya “hesabınızla giriş yapın” üzerinden geniş yetki isteyen bir sağlayıcı, işinin gerektirdiğinden fazlasını talep ediyordur. Örneğin Toade sipariş için şifre istemez; kullanıcı adı ya da link yeterlidir. Ödeme tarafında ise TLS sertifikasının doğru alan adına ait olduğunu, kart ödemesinde bankanın 3D Secure ekranının açıldığını ve satıcının tüzel kişiliğinin faturada yazdığını kontrol edin. Hizmeti kullanmak için tarayıcı eklentisi ya da masaüstü uygulaması kurmanızı şart koşan sağlayıcılara, hesabınızın açık olduğu cihazda yer açmayın.

Özetle sosyal medya hesabı da diğer sistemleriniz gibi yönetilmeli: benzersiz parola, oltalamaya dayanıklı ikinci adım, düzenli oturum denetimi ve yalnızca gerektiği kadar yetki. Bu dört katman yerindeyse hesabınız, saldırganların çoğu için zahmetli bir hedef hâline gelir.