Veri sızıntısı aslında nedir

Bir sızıntıdan aslında ne çıkar

Veri sızıntısı denince akla gelen yaygın görüntü, parolaların okunabilir düz metin hâlinde dökülmesidir. Genelde olan bu değildir ve gerçek daha rahatlatıcı da değildir.

Neredeyse her zaman çıkan üç şey vardır: e-posta adresi, kullanıcı adı ve parolanın özeti. Özet, paroladan üretilen ve doğrudan geri dönüş yolu olmayan, anlamsız görünen bir dizedir; servis parolanızı saklamaz, bir dahaki sefere karşılaştırabilmek için o dizeyi saklar. Bu üçünün yanında servisin tuttuğu her şey de gelir: telefon numarası, adres, doğum tarihi, sipariş geçmişi, IP adresi ve bazen mesajların metni.

Özete sahip olmak, saldırganın parolanıza sahip olmadığı anlamına gelir. Henüz sahip olmadığı anlamına gelir. Parola kısa ya da yaygınsa, aynı özeti üreten bir dizeyi tahmin etmek saniyelik bir iştir ve servis özetlerini eski bir yöntemle ürettiyse daha iyi parolalar bile dayanmaz.

Daha az söylenen ikinci bir kısım da var: bir sızıntının verisi diğerlerininkiyle birleştirilir. E-posta birinden, telefon numarası bir başkasından, adres bir üçüncüsünden. Hiçbiri tek başına önemli değildir ve birlikte bir dosyadırlar; bir dolandırıcılık mesajını genel bir metinden adınızı ve sipariş numaranızı bilen bir mesaja çeviren de o dosyadır.

Üç yıl önce sızmış bir parola neden hâlâ tehlikeli

Bir sızıntı yayımlandığında bitmez. Asıl o zaman başlar ve sonrasında gelenler hiçbir zaman habere konu olmaz.

O veriyle yapılan başlıca şeyin bir adı var: kimlik bilgisi doldurma. E-posta ve parola çiftleri alınır ve otomatik olarak düzinelerce başka serviste denenir. Hiçbir şey tahmin edilmez ve hiçbir açığa gerek yoktur; aynı parolayı başka bir yerde kullandıysanız o hesap da açılır. Dikkat edin, ikinci servis yanlış bir şey yapmadı. İkisini birbirine bağlayan köprü parola tekrarıdır, başka bir şey değil.

İkinci şey daha yavaş ve en az onun kadar gerçek: özetler zaman geçtikçe yeniden kırılır. Donanım her yıl daha ucuz ve daha hızlı oluyor, dolayısıyla 2015'te kırılması pahalı olan bir parola bugün pahalı değil. Yani eski bir sızıntının verisi zamanla daha az değil daha değerli hâle gelir.

Üçüncüsü de önceki bölümün anlattığı şey: veri birleştirilir ve hedefli kimlik avına dönüştürülür. Hangi mağazadan alışveriş yaptığınızı ve ne kadar ödediğinizi bilen bir mesaj, dolandırıcılığa dair her genel uyarıyı geçer.

Yani bir sızıntıyı duyduktan sonra sorulacak doğru soru, o şirketin ne kadar kötü davrandığı değildir. Aynı parolanın başka nerede yaşadığıdır.

Parolanızın sızdığını hiçbir yere göndermeden nasıl anlarsınız

Have I Been Pwned adında, sızmış verilerden bir külliyat toplamış ve e-postanızın ya da parolanızın onun içinde olup olmadığını sormanıza izin veren bir servis var. Aklı başında herkes bunun ikinci yarısına, parolanızın sızıp sızmadığını öğrenmek için onu bir siteye yazmanın delilik olduğunu söyleyerek tepki verir. Bu tamamen doğrudur ve olan şey bu değildir.

Nasıl çalıştığı şöyle. Parola kendi cihazınızda bir özete çevrilir; bilgisayarınızdan henüz hiçbir şey çıkmadı. Sonra o özetin yalnızca ilk beş karakteri gönderilir. Servis, o beş karakterle başlayan her sızmış özeti geri döndürür ve son eşleştirme sizin makinenizde yapılır.

7 Eylül 2026'da tam olarak bunu çalıştırdık. Dünyanın en yaygın parolalarından biri için servis 1.978 satır döndürdü. Yani o isteği izleyen biri bile söz konusu parolanın o 1.978 taneden biri olduğunu bilir, hangisi olduğunu bilmez; parolanın kendisi cihazdan hiç çıkmadı.

Onun için geri gelen cevap da bakmaya değer bir sayı. password dizesi sızmış parola kümesinde 52.372.427 kez görülmüş. 123456 dizesi 210.461.208 kez. Bunlar kişi sayısı değil, o parolanın toplanmış sızıntılar boyunca kaç kez göründüğünün sayısıdır ve tek bir şeyi anlamaya yeter: bir saldırganın kullandığı her tahmin listesi buradan başlar.

Olumsuz cevap hakkında bir not. Bir parola bulunmazsa, bu onun bu servisin elindeki veride olmadığı anlamına gelir. Parolanın iyi olduğu anlamına gelmez ve hiç sızmadığı anlamına da gelmez; henüz kamuya açılmamış bir sızıntı hiçbir listede yoktur.

Bir sızıntıdan sonra ne yapmalı, bu sırayla

Çoğu kişi, sızıntı yaşayan serviste parolasını değiştirerek tepki verir. Bu gereklidir ve yeterli değildir; daha da önemlisi en kolay adımdır, dolayısıyla genelde atılan tek adım olur.

Gerçekten işe yarayan sıranın dört adımı var.

Birinci adım budur: sızıntı yaşayan servisteki parolayı değiştirin. İkinci adım asıl iştir ve en çok zamanı alır: aynı parolayı ya da onun yakın bir akrabasını kullandığınız her yerde onu değiştirin. Bir hesabın on hesaba dönüştüğü yer burasıdır ve çoğu kişinin yorulup durduğu yer de burasıdır.

Üçüncü adım iki adımlı doğrulamadır ve banka hesabından değil e-posta hesabından başlar. Sebebi, e-postanın ana anahtar olmasıdır: diğer her servisteki parolamı unuttum düğmesi aynı posta kutusuna teslim eder, dolayısıyla e-postanıza sahip olan kişi, parolalarını bilmeye hiç ihtiyaç duymadan geri kalanını kurtarır.

Dördüncü adım sabırdır. Birkaç hafta boyunca doğru bilgiyle açılıp sonra bir şey isteyen mesajlara dikkat edin; ilk bölümün birleştirilmiş verinin ürettiğini anlattığı şeyin ta kendisi.

Ve yapmayacağınız bir şey, çünkü yaygın ve faydasız: parolayı aynı parolanın bir varyasyonuyla değiştirmek. Sonuna bir rakam eklenmiş bir parola, aynı çiftlerin aynı listesine karşı hiçbir koruma kurmaz; o listeler bu örüntüyü de dener.

Benzersiz bir parola felaketi neden bir zahmete çevirir

Yukarıdaki her şey tek bir sonuca varıyor ve o sonuç tek bir cümle: her servisin parolası yalnızca o servise aitse, o servisin sızıntısı tam olarak bir hesabı açar ve işiniz bir parola değişikliğidir. Parolalar tekrar ediliyorsa, aynı sızıntı o parolayı barındıran hesap sayısı kadar hesabı açar.

Bu iki durum arasındaki fark, on dakika ile on gün arasındaki farktır ve parolanın ne kadar güçlü olduğuyla hiçbir ilgisi yoktur. Üç serviste tekrarlanmış çok güçlü bir parola, o üçünden biri sızdığında, benzersiz zayıf bir paroladan daha kötü iş görür.

Şimdi de konum, çünkü insanların takıldığı yer burası: evet, bir parola yöneticisi olmadan benzersiz parolalar tutmak gerçekçi olarak mümkün değil ve evet, parola yöneticisi bütün yumurtaların tek sepette olması demek. Bu itiraz gerçek ve onu geçiştirmiyoruz. Ama takası bütün olarak görün: takasın diğer tarafı parola tekrarıdır ve o da bütün yumurtaların tek sepette olması demektir, şu farkla ki on ayrı şirketten herhangi biri o sepeti kırabilir. Tek bir ana parola ve bir ikinci faktörle açılan şifreli bir kasa daha güvenli yerdir ve bunu tarafsız bir olgu olarak değil bir konum olarak söylüyoruz.

Bu tartışmanın sonraki aşaması, benzersiz olmayı hak eden bir parola kurmak ve o ikinci faktörü açmaktır; ikisi de güvenlik izleğinin diğer derslerinde ele alınıyor.

Bir siteniz varsa bu dersin bir yarısı daha var. Veri sızıntısı yalnızca başka servislerin başına gelen bir şey değildir; sizin veritabanınız da aynı e-posta ve özet satırlarını tutar ve tam olarak aynı değeri taşır. O tarafı sertleştirmek, site güvenliği başlığı altında yaptığımız iştir.