Veri İhlalinden Sonra E-posta Adresinize Gerçekte Ne Olur

Adobe, LinkedIn, Yahoo, Facebook, Twitch, Equifax, Marriott — bunlar sadece manşetlere çıkan ihlaller. Hiç manşet olmayan binlercesi daha var. E-posta adreslerimizi, şifrelerimizi, bazen kredi kartı numaralarımızı ve ev adreslerimizi emanet ettiğimiz şirketlerin veritabanları çalındı ve satıldı. Ve neredeyse her durumda, e-posta adresi bu ganimetteki en değerli veri parçasıdır; çünkü dijital yaşamınızdaki her şeyin ana anahtarıdır.

Bir ihlal duyduklarında çoğu insanın tepkisi, o tek serviste şifresini değiştirip yoluna devam etmektir. Bu tepki mantıklıdır ama daha büyük resmi kaçırır. Bir ihlalin zararı, hacklenen serviste durmaz. Aylarca, bazen yıllarca süren biçimlerde dışarı doğru yayılır. Tüm zinciri anlamak, e-postanızı paylaşma konusundaki düşünme biçiminizi baştan değiştirir.

Bu yazı o zinciri ayrıntılı olarak ele alır — bir ihlalden hemen sonra ne olur, haftalar ve aylar sonra ne olur, e-posta adresiniz saldırganlar için özellikle neden bu kadar değerlidir ve bu konuda pratikte ne yapabilirsiniz. Amaç sizi korkutmak değil. Gerçek e-posta adresinizin gerçekte nerede var olması gerektiği konusunda daha akıllı kararlar verebilmeniz için size net bir tablo sunmaktır.

Sorunun Boyutu

Mekanizmaya girmeden önce, bu sorunun gerçekte ne kadar büyük olduğunu anlamak yardımcı olur. Güvenlik araştırmacısı Troy Hunt tarafından oluşturulan ücretsiz ihlal kontrol servisi Have I Been Pwned, şu anda binlerce ayrı veri ihlali genelinde 13 milyardan fazla ele geçirilmiş hesabı takip ediyor. Bu sayı 13 milyon değil. 13 milyar. Dünya yetişkin nüfusu yaklaşık 6,5 milyar kişi. Bu 13 milyar kaydın çoğu tekrardır — aynı e-posta birden fazla ihlalde görünür — ama ölçek yine de baş döndürücü.

Statista'nın spam e-posta trafiği verilerine göre, dünya genelinde gönderilen tüm e-postaların yaklaşık %45-50'si spamdır. Bu spamın önemli bir kısmı, veri ihlallerinden toplanan çalıntı e-posta listeleriyle besleniyor. Bu, sadece şanssız bireyleri etkileyen küçük bir sorun değil — birkaç yıldan fazla süredir bir e-posta adresine sahipseniz ve onu çevrimiçi servislere kayıt olmak için kullandıysanız, en az bir ihlalde görünmüş olma ihtimali gerçek anlamda yüksektir.

Devam etmeden önce şimdi bir durup kendi adresinizi Have I Been Pwned'de kontrol etmenizi öneririm. Sonuçlar bu yazının geri kalanını genellikle çok daha somut hissettirir. Çoğu insan e-postasını iki ile sekiz ihlal arasında listelenmiş bulur. Bazıları daha fazlasını bulur. Sizinki temiz çıkarsa harika — ama yine de neye karşı korunduğunuzu anlamak değerlidir.

Saldırganlar E-postanızla Ne Yapar — Tam Zincir

Çoğu ihlal haberinin gözden kaçırdığı şey şudur: tek bir ihlalin zararı bir anda olmaz ve tek bir saldırı türüyle sınırlı kalmaz. Her biri bir öncekinin mümkün kıldığı bir dizi olay vardır ve bu sırayı anlamak, sorunu soyut değil gerçek hissettiren şeydir.

1. Adım: İhlal Veritabanı Satılır

Büyük bir ihlalin ardından saatler veya günler içinde çalınan veriler karanlık web pazarlarında ortaya çıkar. Veritabanları toplu olarak alınıp satılır — bazen şaşırtıcı derecede küçük miktarlarda para karşılığında. Milyonlarca e-posta adresi ve karma (hash) şifre içeren bir dosya, birkaç yüz dolara satılabilir. Saldırganın bakış açısından bu, sadece üzerinde çalışılacak ham madde edinmektir.

2. Adım: Spam Kampanyaları Hemen Başlar

Bir ihlalin en anlık ve görünür etkisi, spamda ani bir artıştır. E-posta adresiniz toplu gönderim listelerine eklenir ve Federal Ticaret Komisyonu, her gün milyarlarca spam e-posta gönderildiğini tahmin etmektedir; çalıntı e-posta listeleri bunun başlıca kaynaklarından biridir. Kullandığınız bir servis bir ihlal duyurduktan günler veya haftalar sonra yeni bir spam dalgası fark edebilirsiniz. Bu bir tesadüf değil — adresiniz az önce yeni bir listeye düştü.

3. Adım: Kimlik Bilgisi Doldurma Saldırıları

İhlal şifreleri de içeriyorsa — karma hâlde olsa bile — tehdit önemli ölçüde artar. Kimlik bilgisi doldurucular denen otomatik araçlar, bir ihlaldeki e-posta + şifre kombinasyonlarını alır ve bunları düzinelerce veya yüzlerce başka serviste sistematik olarak dener. Netflix hesabınız. Amazon hesabınız. Bankanız. E-posta sağlayıcınızın kendisi. Troy Hunt, kimlik bilgisi doldurma saldırılarının hesap ele geçirmelerinin muazzam bir bölümünden sorumlu olduğunu kapsamlı biçimde belgelemiştir. Şifre yeniden kullanımı, bu saldırıyı bu kadar etkili kılan şeydir — birden fazla serviste aynı şifreyi kullanan kişiler özellikle savunmasızdır. Bu yüzden sadece etkilenen tek şifreyi değiştirmek yeterli değildir.

4. Adım: Hakkınızda Bilgi Sahibi Olan Hedefli Kimlik Avı

Genel kimlik avı e-postaları — "Hesabınızı doğrulamak için buraya tıklayın" — kolayca fark edilir. Ama daha sofistike bir saldırgan, ihlal verilerini kullanarak hakkınızda gerçekten bildiği şeylere atıfta bulunan hedefli mesajlar oluşturur. Hangi servisin müşterisi olduğunuzu bilir. Bazen kullanıcı adınızı, adınızı veya ödeme kartınızın son dört hanesini bilir. "Gerçek [servis adı] hesabınızın doğrulanması gerekiyor — kullanıcı adınız [gerçek kullanıcı adınız]" diyen bir kimlik avı e-postası, genel bir toplu gönderimden çok daha ikna edicidir. Bu tür saldırıya bazen hedefli kimlik avı (spear phishing) denir ve bunu mümkün kılan tam olarak ihlal verileridir.

5. Adım: Birden Fazla İhlal Genelinde Profil Oluşturma

İhlal verilerinin en sofistike kullanımı korelasyondur. Saldırganlar, bireylerin ayrıntılı profillerini oluşturmak için birden fazla ihlaldeki kayıtları birleştirir. E-postanız bir oyun forumu ihlalinde, bir fitness uygulaması ihlalinde ve bir çevrimiçi alışveriş ihlalinde mi görüldü? Artık biri, oyun oynadığınızı, ne sıklıkla egzersiz yaptığınızı, nereden alışveriş yaptığınızı ve kargo verilerinden yaklaşık konumunuzu bile biliyor olabilir. Electronic Frontier Foundation, veri toplamanın tek başına zararsız bilgi parçalarını çok daha müdahaleci bir şeye nasıl dönüştürdüğü konusunda kapsamlı yazılar yazmıştır. Bu profil oluşturma, daha hedefli kimlik avına, sosyal mühendisliğe ve aşırı durumlarda kimlik hırsızlığına zemin hazırlar.

Mevcut Maruziyetinizi Nasıl Kontrol Edersiniz

En iyi başlangıç noktası Have I Been Pwned'dir. E-posta adresinizi girin, bilinen ihlaller veritabanında arama yapar. Listelenen her ihlal için, ihlal edilen servisin adını, ihlalin tarihini ve hangi veri kategorilerinin ifşa edildiğini (e-posta, şifre, kullanıcı adı, isim, telefon numarası vb.) görürsünüz. Bu, verilerinizin tam olarak nerede ele geçirildiğini ve hangi belirli risklerin geçerli olduğunu size gösterir.

Önemli olan şu ki, Have I Been Pwned ücretsiz ihlal bildirim uyarıları sunar. E-posta adresinizi girer, onaylarsınız ve o andan itibaren e-postanız veritabanına eklenen herhangi bir gelecekteki ihlalde görünürse, hemen bir e-posta bildirimi alırsınız. Bu, mevcut en değerli ücretsiz güvenlik araçlarından biridir — sizi aylar sonra (eğer hiç öğrenirseniz) bir ihlal maruziyetini öğrenen birinden, günler içinde öğrenip hızla harekete geçebilen birine dönüştürür.

Sonuçlarınızı incelerken, şifre içeren ihlallere özellikle dikkat edin. Yukarıda açıklanan kimlik bilgisi doldurma saldırıları nedeniyle bunlar en yüksek riskli maruziyetlerinizdir. Özellikle o ihlaller için, aynı şifreyi kullandığınız her serviste o şifreyi değiştirdiğinizden emin olun — ve ardından bundan sonra bir şifre yöneticisi kullanarak şifreleri yeniden kullanmayı bırakın.

E-postanız Neden Bir İhlaldeki En Değerli Veridir

Üzerinde durmaya değer bir şey var: çalınan bir kredi kartı dakikalar içinde iptal edilebilir. Sızdırılmış bir şifre değiştirilebilir. Peki e-posta adresiniz? Yarı kalıcıdır. Onu yıllardır, belki de on yıllardır kullanıyorsunuz. Düzinelerce veya yüzlerce servis ona kayıtlıdır. Şifre sıfırlamalarınızın, banka bildirimlerinizin, iki faktörlü kimlik doğrulama kodlarınızın anahtarıdır. Çözmesi çok zor bir şekilde kimliğinize bağlıdır.

GDPR, AB vatandaşlarına, e-posta adresleri de dahil olmak üzere kişisel verilerinin silinmesini, onları elinde bulunduran herhangi bir servisten talep etme yasal hakkı verir. Uygulamada, artık birçok şirketin bunun için otomatikleştirilmiş sistemleri var ve yıllardır kullanmadığınız servisler için bile silme talebi gönderebilirsiniz. Ama GDPR silme talepleri yalnızca talebi alan şirketi etkiler — zaten satılmış veya üçüncü taraf ihlal veritabanlarına kopyalanmış verilere dokunmaz. E-postanız bir kez ortalıkta yayıldıktan sonra, hiçbir düzenleme onu geri getiremez. Önleme, tamamen güvenilir olan tek stratejidir.

OWASP'ın güvenlik rehberliği, e-posta adreslerinin şifrelerle aynı korumayı hak eden yüksek değerli veriler olduğunu sürekli olarak vurgular. Yine de çoğu insan e-posta adresini şifresinden çok daha az özenle paylaşır, çünkü e-posta adresleri daha az hassas hissettirir. Gerçeklik ise tam tersidir — e-postanız şifrenizden daha kalıcı, daha merkezi ve değiştirmesi daha zordur.

Saldırı Yüzeyi Sorunu

Gerçek e-posta adresinizi elinde bulunduran her servis potansiyel bir ihlal noktasıdır. E-postanızın internet genelindeki veritabanlarında bulunduğu yer sayısı arttıkça, çalınma fırsatları da artar. Matematiği düşünün: yıllar içinde 50 çevrimiçi servise kaydolduysanız ve her birinin yıllık ihlal yaşama olasılığı %2 ise (mevcut duruma dayalı muhafazakâr bir tahmin), bunlardan en az birinin belirli bir yılda ihlal edilme olasılığı çok yüksektir. Ne kadar çok servis, o kadar yüksek maruziyet.

Üç yıl önce ücretsiz bir şablon indirmek için kaydolduğunuz, bir kez kullanıp tamamen unuttuğunuz bir servis — bu hâlâ bir yerde aktif bir veritabanı kaydıdır. O şirket satın alınmış olabilir, bir güvenlik olayı yaşamış olabilir, maliyetleri karşılamak için e-posta listesini satmış olabilir. Verilerinizi girdiğinizden bu yana onlara ne olduğu konusunda hiçbir görünürlüğünüz yoktur.

İşte burada, önemli olmayan kayıtlar için bir geçici e-posta kullanmak denklemi kökten değiştirir. O şablon indirme sitesinin arkasındaki veritabanı iki yıl sonra ihlal edilirse, gerçek e-posta adresiniz onda bulunmaz. Kullanılan geçici adres artık mevcut değildir. Çalınacak bir şey, satılacak bir şey ve takip edilecek bir sonuçlar zinciri yoktur. Gerçek e-postanızın saldırı yüzeyi küçük kalır — yalnızca önemli, süregelen iletişimler için ona gerçekten ihtiyaç duyan servisler onu tutar.

E-postanız İhlal Edildiyse Ne Yapmalısınız

E-postanızın bir ihlalde göründüğünü keşfederseniz, işte kabaca öncelik sırasına göre pratik bir eylem dizisi:

1. Tam olarak hangi ihlalde göründüğünü kontrol edin Have I Been Pwned üzerinde ve hangi verilerin dahil olduğunu not edin (sadece e-posta mı, yoksa şifre, isim vb. de mi)
2. O serviste şifrenizi hemen değiştirin — ideal olarak bir şifre yöneticisi tarafından oluşturulan uzun ve benzersiz bir şeyle
3. Şifre yeniden kullanımını kontrol edin — aynı şifreyi başka bir yerde kullandıysanız, en hassas hesaplardan başlayarak (e-posta, bankacılık, herhangi bir finansal servis) her yerde değiştirin
4. Destekleyen tüm etkilenen hesaplarda iki faktörlü kimlik doğrulamayı etkinleştirin — saldırganlar şifrenize sahip olsa bile, ikinci faktör olmadan giriş yapamazlar
5. Have I Been Pwned üzerinde ihlal izleme kurun, böylece gelecekteki herhangi bir maruziyetten hemen haberdar olursunuz
6. Gelen kutunuzu dikkatle izleyin ihlal edilen servise atıfta bulunan kimlik avı girişimleri için — saldırganlar orada müşteri olduğunuzu biliyor ve bu bilgiyi kullanabilirler
7. Spamı e-posta sağlayıcınıza bildirin — çoğu e-posta servisi mesajları spam olarak işaretlemenize izin verir, bu da filtrelerinin daha fazlasını yakalamasını sağlar
8. Hesaba hâlâ ihtiyacınız olup olmadığını düşünün — ihlal edilen servisi artık kullanmıyorsanız, hesabınızı silmek verilerinizi onların veritabanından kaldırır

İleriye Dönük Daha İyi Alışkanlıklar Oluşturmak

Tüm bunlardan çıkan temel içgörü, e-postanızın saldırı yüzeyini azaltmanın elinizdeki en etkili önleyici tedbir olduğudur. Sadece ihlallerden sonra şifre değiştirmek değil, sadece iki faktörlü kimlik doğrulama kullanmak değil (ikisi de önemli olsa da) — gerçek e-posta adresinizin baştan nerede var olduğunu sınırlamak. Bir ihlal, ihlal edilen servise hiç verilmemiş verileri ifşa edemez.

Bunu uygulamanın pratik yolu katmanlı e-posta kullanımıdır. Gerçek e-posta adresiniz, ona gerçekten ihtiyaç duyan servislere gider: bankanız, işvereniniz, en yakın kişileriniz, düzenli olarak kullandığınız ve güvendiğiniz servisler. Diğer her şey için — indirme, web semineri, forum gönderisi, SaaS denemesi — tek kullanımlık bir adres gerçek e-postanızı denklemin dışında tutar. Proton Mail gibi gizlilik odaklı e-posta servisleri birincil e-postanız için düşünmeye değerdir ve SimpleLogin gibi takma ad servisleri, daha uzun vadeli ilişkiler için yönlendirme adreslerini yönetmenize yardımcı olabilir.

Gerçekten tek seferlik etkileşimler için bir geçici e-posta adresi en temiz çözümdür — kurulacak bir şey yoktur, hesap gerekmez, gerçek kimlik dahil değildir. O servis eninde sonunda ihlal edildiğinde (ve istatistiksel olarak birçok servis ihlal edilir), gerçek adresiniz basitçe onların veritabanında bulunmaz. Zincir başlayabilmeden önce ondan çıkmış olursunuz.

GDPR Haklarınız Hakkında Bir Not

AB'deyseniz (veya AB müşterilerine hizmet veren şirketlerle uğraşıyorsanız), GDPR size gerçek, uygulanabilir haklar verir. Verilerinizi elinde bulunduran herhangi bir şirketle iletişime geçebilir ve 17. madde ("unutulma hakkı") kapsamında silinmesini talep edebilirsiniz. Birçok şirketin artık otomatikleştirilmiş gizlilik talebi portalları var — şirket adını artı "gizlilik talebi" veya "veri silme" ile arayın. Bunu artık kullanmadığınız servisler için yapmak değerlidir; çünkü verilerinizi onların aktif veritabanından kaldırır ve bir gün ihlal edilirlerse maruziyetinizi azaltır.

Sınırlamalar gerçektir: bir silme talebi yalnızca şirketin şu anda elinde bulundurduğu veriyi etkiler. Zaten üçüncü taraflara satılmış, zaten ihlal veritabanlarına kopyalanmış veya zaten spam operatörlerinin elinde olan veriler bir GDPR talebiyle ulaşılamaz. Bu, e-postanızın gereksiz yere yayılmasını önlemenin, sonradan temizlemeye çalışmaktan çok daha etkili olmasının bir başka nedenidir.

Kapanış Düşünceleri

Tüm bunları anlamanın amacı sizi internet kullanımı konusunda paranoyaklaştırmak değildir. Amaç, e-posta adresinizi nerede paylaştığınıza dair verdiğiniz kararların gerçek, kalıcı sonuçları olduğunu ve alışkanlıklardaki küçük değişikliklerin zaman içinde maruziyetinizi anlamlı biçimde azaltabileceğini görmenize yardımcı olmaktır. Gerçek e-posta adresiniz değerlidir. Ona göre davranın. Onu yalnızca gerçekten hak eden servislere verin ve geri kalan her şeyi tek kullanımlık adreslerin emmesine izin verin.

Henüz yapmadıysanız, bugün Have I Been Pwned'de e-postanızı kontrol edin. İhlal uyarıları kurun. Ve bir dahaki sefere bir şey e-posta adresinizi istediğinde ve buna değip değmeyeceğinden emin olmadığınızda, gerçek adresinizi riske atmadan aynı işi görüp göremeyeceğini bir temp mail'in yapıp yapamayacağını düşünün.