Sosyal Medya Hesaplarını Güvenli Hale Getirme

Sosyal medya hesabı ele geçirildiğinde kaybedilen şey yalnızca bir profil değil: mesaj geçmişi, bağlı reklam hesapları, iş yazışmaları ve çoğu zaman aynı e-posta adresine bağlı diğer servisler de risk altına giriyor. Bu yüzden hesap güvenliği tek bir ayarın açılmasıyla değil, birbirini yedekleyen katmanların doğru sırayla kurulmasıyla sağlanır. Aşağıda bu katmanları iki ana başlıkta ele alıyoruz: kimlik doğrulamanın matematiği ve hesabı çevreleyen erişim yüzeyinin daraltılması.

Kimlik doğrulama katmanını doğru kurmak

Saldırıların büyük bölümü sofistike açıklardan değil, yeniden kullanılan şifrelerden ve zayıf ikinci faktörlerden besleniyor. Dolayısıyla ilk yatırım burada yapılmalı.

Şifre uzunluğu mu, karmaşıklığı mı?

Kaba kuvvet denemelerine karşı direnç, karakter çeşitliliğinden çok karakter sayısına bağlıdır. Basit bir karşılaştırma mantığı şu: her eklenen karakter, olasılık uzayını kullanılan alfabenin büyüklüğü kadar çarpar. 8 karakterlik "P@ss19!" tarzı bir şifre, sözlük tabanlı kurallarla (harf–sayı ikamesi, sonuna ünlem) saniyeler içinde denenebilirken, dört rastgele kelimeden oluşan 22 karakterlik bir parola cümlesi aynı yöntemlere karşı çok daha dirençlidir. Pratik kural seti:

• En az 14–16 karakter hedefleyin; kritik hesaplarda 20+ tercih edin.
• Kelime kombinasyonlarını rastgele seçin; şarkı sözü, adres, doğum yılı gibi tahmin edilebilir kaynaklardan almayın.
• Aynı şifreyi ikinci bir yerde kullanmayın. Sızıntı listeleri, "kullanıcı adı + şifre" çiftlerini otomatik olarak onlarca serviste dener (credential stuffing).
• Şifreleri bir parola yöneticisinde tutun. Tarayıcıya kaydetmek pratik ama cihaz paylaşımında zayıf halka olur; yerel dosyalarınızı korumakla ilgili şifreleme yaklaşımları bu konuda faydalı bir tamamlayıcıdır.

İki faktörlü doğrulamada yöntemler eşit değildir

İkinci faktör açmak tek başına yeterli değil; hangi ikinci faktörü seçtiğiniz saldırı yüzeyini belirliyor. Yöntemleri karşılaştırmalı bakmak gerekir:

Kritik fark şu: TOTP kodları alan adına bağlı değildir, yani sahte bir giriş sayfası kodu isteyip anında kullanabilir. Donanım anahtarları ve geçiş anahtarları ise doğrulamayı alan adına bağladığı için, sahte site doğru imzayı üretemez. İşletmesi olan, marka hesabı yöneten veya reklam bütçesi bağlı bir profiliniz varsa bu ayrım tek başına yatırımı haklı çıkarır.

Yedek kodlar ve kurtarma senaryosu

İki faktörlü doğrulamayı açan kullanıcıların en sık yaptığı hata, telefonu kaybettiğinde ne olacağını planlamamak. Kurulum sırasında verilen yedek kodları çevrimdışı ve şifreli bir yerde saklayın; ekran görüntüsü olarak galeriye bırakmak, telefonu kaybettiğinizde kodları da kaybetmeniz anlamına gelir. İkinci bir doğrulama yöntemi (örneğin hem uygulama hem donanım anahtarı) tanımlamak, kurtarma sürecinin destek ekibine kalmasını önler.

Erişim yüzeyini daraltmak

Şifre ve ikinci faktör kapıyı kilitler; ancak pencereler açık kalabilir. Hesabınıza dolaylı erişim veren üç alan düzenli denetim ister.

Bağlı uygulamalar ve oturumlar

Yıllar içinde onay verdiğiniz test uygulamaları, analitik araçları ve "hangi karaktere benziyorsun" tarzı eğlence servisleri, hâlâ profilinize yazma yetkisiyle bağlı olabilir. Üç aylık bir rutin öneriyorum:

1. Güvenlik ayarlarında bağlı uygulamalar listesini açın, tanımadığınız veya artık kullanmadığınız her erişimi iptal edin.
2. Aktif oturumlar bölümünde cihaz, konum ve son erişim zamanını kontrol edin; şüpheli olanı kapatın ve ardından şifreyi değiştirin.
3. Yetki kapsamına bakın: yalnızca profil okuma isteyen bir araç ile mesaj gönderme yetkisi isteyen bir araç aynı risk sınıfında değildir.

Cihaz ve ağ tarafındaki zayıf halkalar

Hesap güvenliğinin sınırı, oturum açtığınız cihazın temizliğidir. Tarayıcıya yerleşen zararlı bir eklenti oturum çerezini kopyalayabilir; bu durumda şifreniz ne kadar uzun olursa olsun saldırgan doğrulamayı atlar. Bu nedenle tarayıcı eklentilerini azaltmak, bilgisayarda düzenli zararlı yazılım kontrolü yapmak ve işletim sistemi güncellemelerini geciktirmemek doğrudan hesap güvenliği konusudur. Ev ağında yönetici şifresini varsayılan bırakmamak, halka açık Wi-Fi'de kritik hesapl