Çerez Hırsızlığı ve Oturum Ele Geçirme Tehdidine Karşı Kapsamlı Savunma Rehberi

Web uygulamalarının temelini oluşturan HTTP protokolü, özü itibarıyla durumsuz (stateless) bir yapıya sahiptir. Bu durum, sunucunun art arda gelen iki istek arasında herhangi bir bağ kuramaması anlamına gelir. Bu mimari zorunluluğu aşmak adına, siz kullanıcı adınızı, parolanızı ve ardından mobil uygulamanızdan aldığınız tek kullanımlık doğrulama kodunu başarıyla girdiğinizde, sunucu tarayıcınıza kriptografik olarak imzalanmış benzersiz bir dizge teslim eder. 'Oturum çerezi' veya 'oturum belirteci' olarak adlandırılan bu dijital veri paketi, her yeni sayfaya tıkladığınızda arka planda sunucuya otomatik olarak iletilir. Sunucu bu anahtarı gördüğü anda 'Bu kullanıcı az önce tüm doğrulama aşamalarını başarıyla tamamladı' diyerek kapıyı sonuna kadar açar.

Tehdit tam da bu noktada başlar: Kötü amaçlı bir aktör, kullanıcı parolasını kaba kuvvetle tahmin etmek ya da otuz saniye geçerliliği olan TOTP kodunu yakalamak için uğraşmaz. Bunun yerine, doğrudan cihazınıza sızarak veya bir ortadaki adam (MitM) kurgusu yaratarak tarayıcınızın yerel depolama alanında saklanan geçerli oturum çerezini kopyalar. Saldırgan bu çerezi kendi tarayıcısına içe aktardığında, web servisinin gözünde kimliği doğrulanmış meşru kullanıcı haline gelir. Çünkü oturum çerezi, giriş işleminin zaten başarıyla yapıldığının nihai kanıtı kabul edilir; dolayısıyla sistem ikinci faktör onayını bir kez daha sormaz.

Bu durum, 2FA teknolojisinin işe yaramadığı anlamına gelmez; yalnızca koruma kalkanının hangi aşamada devreye girdiğini anlamak gerektiğini gösterir. İki adımlı doğrulama, kapıdaki kilidi güçlendirir; ancak oturum hırsızlığı, kapıyı açıp içeri girmiş birinin cebinden anahtarlığı çalmaya benzer. Bir web oturumunuzun aniden sonlandığını, tanımadığınız cihazlardan erişim yapıldığına dair bildirimler aldığınızı veya profil ayarlarınızın bilginiz dışında değiştiğini fark ettiğiniz anda, salt parola değiştirmenin yetmeyeceğini bilmeli, platformun oturum sonlandırma ve acil güvenlik protokollerini hızla işletmelisiniz.

Modern internet tarayıcıları, günlük işlerimizi kolaylaştıran güçlü uzantı ekosistemlerine sahiptir. Ancak bu uzantılar çoğu zaman kullanıcıların farkında olmadan onayladığı geniş yetkilerle çalışır. Örneğin basit bir PDF dönüştürücü, ekran görüntüsü alma aracı veya tema eklentisi, kurulum sırasında 'Ziyaret ettiğiniz tüm web sitelerindeki verileri okuma ve değiştirme' izni isteyebilir. Bu izin, söz konusu eklentinin tarayıcının çerez deposuna (Cookie Jar) doğrudan erişebilmesi ve oturum belirteçlerinizi uzaktaki bir komuta kontrol sunucusuna sessizce aktarabilmesi için yeterlidir.

Siber saldırganlar, popüler ve güvenilir geliştiricilerin elindeki zararsız eklentileri satın alarak veya geliştirici hesaplarını ele geçirerek bu uzantılara gizli arka kapılar ekleme yolunu sıklıkla tercih etmektedir. Kullanıcı açısından hiçbir anormallik gözükmez; tarayıcı güncellemeyi otomatik olarak indirir ve güvenilir kabul edilen bir eklenti bir gecede bilgi hırsızına dönüşür. Uzantıların arka plandaki network trafiğini denetlemek ortalama bir kullanıcı için güç olduğundan, oturum çerezleri saatler içinde binlerce kilometre uzaktaki yabancı sunuculara çoktan aktarılmış olur.

Bu riski sınırlandırmak için tarayıcınızdaki eklenti listesini düzenli olarak denetlemeli, yalnızca kurumsal olarak doğrulanmış ve mutlak surette ihtiyaç duyduğunuz uzantıları barındırmalısınız. Eklentilerin erişim izinlerini 'Tüm sitelerde' yerine 'Tıklandığında' veya 'Yalnızca belirli sitelerde' çalışacak şekilde daraltmak kritik bir savunma adımıdır. Şayet kullandığınız bir eklentinin aniden alışılmadık izinler talep ettiğini görürseniz veya tarayıcınız beklenmedik yönlendirmeler yapmaya başlarsa, eklentiyi derhal kaldırıp ilgili tarayıcı profilinde açık olan tüm hesaplardan acil çıkış yapmalı ve güvenlik panellerinden aktif oturumları düşürmelisiniz.

Geleneksel kimlik avı (phishing) sayfaları, kurbanın parolasını çalmayı amaçlayan basit web formlarından ibaretti. Ancak günümüzün gelişmiş saldırı altyapıları, Evilginx benzeri ters vekil sunucu çerçeveleri kullanarak bu süreci bütünüyle otomatikleştirmiştir. Bu senaryoda saldırgan, kurbanı hedef servisin birebir kopyası gibi görünen ancak aracı bir sunucu üzerinden çalışan bir bağlantıya yönlendirir. Kullanıcı adını, parolasını ve hatta telefonuna gelen ya da doğrulama uygulamasında üretilen 2FA kodunu bu aracı sayfaya girer.

Ters vekil sunucu, kullanıcının girdiği her veriyi anlık olarak gerçek platforma (örneğin e-posta sağlayıcınıza veya kod deponuza) iletir. Gerçek platform bu bilgileri doğrular ve başarılı girişin ardından meşru oturum çerezini üretir. Ancak bu çerez kullanıcıya dönmeden önce aradaki saldırgan sunucu tarafından kopyalanır ve veri tabanına kaydedilir. Kullanıcı gerçek platforma sorunsuz biçimde giriş yaptığını sanırken, saldırgan da aynı oturumun birebir kopyasını arka planda eline geçirmiş olur.

Bu gelişmiş saldırı modeline karşı standart TOTP kodları yetersiz kalabilir; zira kod girildiği saniyede geçerlidir ve saldırgan tarafından anında kullanılmıştır. Bu noktada FIDO2 ve Passkey gibi donanım tabanlı, etki alanı bağlama (domain binding) özelliğine sahip modern kimlik doğrulama standartları devreye girer. Passkey protokolü, oturum açma isteğini doğrudan tarayıcının adres çubuğundaki alan adıyla kriptografik olarak eşleştirdiği için, ters vekil sunucunun taklit ettiği sahte alan adına anahtarı asla teslim etmez. Şüpheli bir bağlantıya tıkladığınızı fark ettiğinizde yapmanız gereken ilk iş, gerçek platformun resmi destek sayfasına giderek çalınan oturumu derhal hükümsüz kılmaktır.

Bilgisayarlara veya mobil cihazlara sızan bilgi hırsızı zararlılar (Infostealer), oturum verilerine ulaşmak için tarayıcıların yerel dosya sistemini hedefler. Chromium veya Gecko tabanlı popüler web tarayıcıları, oturum çerezlerini ve yerel depolama verilerini işletim sisteminin belirli dizinlerindeki SQLite veritabanlarında saklar. Her ne kadar bu veriler işletim sisteminin sunduğu DPAPI veya benzeri şifreleme mekanizmalarıyla korunuyor olsa da, cihazda çalışan bir zararlı yazılım genellikle kullanıcının oturum açtığı yetki seviyesinde çalıştığı için bu şifrelemeyi kolaylıkla çözebilir.

Kullanıcıların 'Beni Hatırla' veya 'Oturumu Açık Tut' seçeneklerini işaretlemesi, oturum çerezlerinin ömrünü haftalarca, hatta aylarca uzatır. Bu durum, cihaza aylar sonra bulaşabilecek bir zararlının bile tek bir tarama ile onlarca platformun canlı oturumunu tek bir arşiv dosyası halinde saldırgana göndermesine zemin hazırlar. Özellikle korsan yazılımlar, güvenilmeyen oyun yamaları veya e-posta ekinde gelen sahte fatura belgeleri ile yayılan bu zararlılar, birkaç saniye içinde yerel çerez depolarını boşaltıp kendilerini sistemden silebilirler.

Söz konusu riski en aza indirmek için hassas hesaplarda asla 'Oturumu Açık Tut' seçeneği kullanılmamalı, iş bittiğinde tarayıcı penceresini kapatmak yerine açıkça 'Çıkış Yap' (Log Out) butonuna basılmalıdır. Bu eylem, sunucuya çerezin geçersiz kılınması talimatını iletir. Ayrıca tarayıcı ayarlarından 'Tarayıcı kapatıldığında üçüncü taraf çerezleri ve site verilerini temizle' kuralı aktif hale getirilmelidir. Cihazınızda infostealer şüphesi doğduğunda, temiz bir başka cihaz üzerinden tüm hesaplarınızın erişim yetkilerini sıfırlamalı ve etkilenen sistemi derinlemesine zararlı yazılım temizliğine ya da temiz bir kuruluma tabi tutmalısınız.

Oturum güvenliğini sağlamanın en temel ayaklarından biri, kullandığınız çevrim içi servislerin sunduğu 'Aktif Oturumlar' ve 'Bağlı Cihazlar' panellerini düzenli olarak kontrol etmektir. Google, Apple, Microsoft, GitHub ve benzeri küresel altyapılar, hesabınıza erişim sağlayan her tarayıcı ve istemci için coğrafi konum, IP adresi, işletim sistemi türü ve son işlem tarihi gibi telemetri verilerini kayıt altına alır.

Ancak bu verileri incelerken sahte ipuçlarına karşı dikkatli olunmalıdır. Çerez çalan saldırganlar, yakalanmamak için kurbanın bulunduğu ülkedeki ve hatta şehirdeki konut tipi vekil sunucuları (residential proxy) kiralayarak oturumu açabilir. Bu nedenle konum bildirimine ek olarak tarayıcı sürüm numarası, oturumun oluşturulma saati ve kullanılan istemci adı da titizlikle incelenmelidir. Örneğin, sizin yalnızca Linux üzerinde Firefox kullandığınız bir senaryoda listede görünen bir Windows Chromium oturumu, yüzde yüzlük bir sızıntı göstergesidir.

Şüpheli bir giriş tespit edildiğinde yapılması gereken ilk eylem, ilgili paneldeki 'Diğer Tüm Oturumları Kapat' (Sign out of all other sessions) komutunu tetiklemektir. Bu komut, sunucu tarafındaki tüm aktif belirteçleri geçersiz kılarak saldırganın elindeki kopyalanmış çerezi çöp haline getirir. Eğer panel üzerinden oturum sonlandırma çalışmıyorsa veya saldırgan erişim haklarını kısıtladıysa, derhal sağlayıcının resmi 'Yetkisiz Erişim / Hesap Kurtarma' akışı başlatılmalıdır.

Güçlü bir güvenlik mimarisine sahip platformlar, çalınan oturum çerezlerinin yaratacağı tahribatı öngörerek 'Kademeli Doğrulama' (Step-Up Authentication) mekanizmasını devreye sokar. Bu tasarımda, oturum çerezi kullanıcının platformda gezinmesine, mesajları okumasına veya standart içerikleri görüntülemesine izin verse dahi, yüksek riskli eylemler söz konusu olduğunda ek bir güvenlik duvarı örülür.

Örneğin hesabınıza kayıtlı birincil e-posta adresini değiştirmek, kurtarma telefonunu güncellemek, yeni bir API anahtarı türetmek veya yüklü miktarda finansal transfer gerçekleştirmek istediğinizde, sistem sizden parolanızı yeniden girmenizi ya da authenticator uygulamanızdaki TOTP kodunu tekrar onaylamanızı talep eder. Kademeli doğrulama sayesinde, elinde yalnızca kopyalanmış bir çerez bulunan saldırgan bu kritik eşikleri aşamaz ve hesabın mülkiyetini bütünüyle devralacak adımları atamaz.

Kullandığınız platformların güvenlik politikalarını incelerken bu özelliğin bulunup bulunmadığına dikkat etmelisiniz. Şayet bir servis, hiçbir ek kimlik doğrulama sormadan yalnızca tek bir tıklamayla şifre veya e-posta değişikliğine müsaade ediyorsa, o servisteki varlıklarınız çerez hırsızlığına karşı savunmasız demektir. Bu gibi eksikliklerle karşılaştığınızda, platformun destek birimlerine güvenlik önerisinde bulunabilir ya da hassas verilerinizi bu tür zayıf halkalardan daha korunaklı altyapılara taşımayı düşünebilirsiniz.

Birçok kullanıcı, günlük eğlence, sosyal medya takibi, kurumsal işler ve kritik bankacılık işlemlerinin tümünü aynı tarayıcı penceresinde, tek bir profil altında yürütür. Bu tekil yapı, açılan şüpheli bir sekmedeki zararlı betiğin veya indirilen şüpheli bir dosyanın, aynı tarayıcı havuzunda bulunan en kritik hesapların oturum çerezlerine erişebilmesine olanak tanır. Oysa tarayıcı tabanlı izolasyon teknikleri, bu bulaşma zincirini tamamen kırabilir.

Modern tarayıcılar bağımsız kullanıcı profilleri oluşturulmasına imkan tanır. Örneğin 'Günlük Gezinti' adında eklentilerin serbestçe kullanıldığı bir profil oluştururken; 'Kritik Hesaplar' adında hiçbir uzantının bulunmadığı, çerezlerin her oturum sonunda silindiği ve yalnızca e-posta, kimlik yöneticisi gibi temel servislerin açıldığı ayrı bir profil yapılandırabilirsiniz. Firefox kullanıcıları için 'Multi-Account Containers' gibi mekanizmalar, sekmeler arası çerez izolasyonunu doğrudan sekme düzeyinde sağlayarak çerezlerin birbirine sızmasını teknik olarak imkansız kılar.

Bu izolasyon disiplinini uygulamak, olası bir çerez sızıntısının hasar alanını daraltır. Bir oyun platformundan veya forumdan sızdırılan oturumunuz, hiçbir zaman iş e-postanızı veya dijital kimlik anahtarlarınızı tehlikeye atmaz. Eğer izolasyon uyguladığınız profillerden birinde yetkisiz bir etkinlik hissederseniz, sadece o profili silebilir, diğer dijital varlıklarınızı riske atmadan hedefe yönelik bir temizlik ve kurtarma süreci yürütebilirsiniz.

Oturum belirteçlerinizin ele geçirildiğini anladığınız an—örneğin bilginiz dışında gönderilen e-postalar, eklenen yeni yetkili cihazlar veya oturum kapatma bildirimleri gördüğünüzde—hızlı ve planlı hareket etmek hayati önem taşır. İlk yapılması gereken eylem, saldırıya uğradığından şüphelendiğiniz bilgisayar veya telefonun internet bağlantısını (Wi-Fi ve kablolu ağ) derhal kesmektir. Bu, cihazda çalışan bir zararlının yeni veri transferi yapmasını ve oturumları yenilemesini engeller.

İkinci adımda, kesinlikle temiz olduğuna emin olduğunuz ikincil bir cihaz (örneğin güncel bir mobil telefon veya başka bir bilgisayar) üzerinden hesaplarınıza erişmelisiniz. Öncelikli olarak birincil e-posta hesabınızın parolasını değiştirin. Çoğu modern kimlik sağlayıcısında ana parola değiştirildiği anda, sunucu tarafında o hesaba bağlı tüm oturum çerezleri otomatik olarak iptal edilir (revocation). Parola değişiminin ardından derhal güvenlik ayarlarına gidip 'Tüm diğer oturumları kapat' seçeneğini uygulayın ve yetkilendirilmiş üçüncü taraf uygulamalar (OAuth bağlantıları) listesini baştan aşağı tarayarak şüpheli her türlü erişim iznini iptal edin.

Son aşamada, 2FA yöntemlerinizi gözden geçirin; eğer yedek kurtarma kodlarınız cihazda depolanıyorsa, bu kodları iptal edip yenilerini üretin. Saldırganın hesap üzerinden herhangi bir finansal işlem yapması veya hesap ayarlarını kilitlemesi ihtimaline karşılık, ilgili servisin resmi müşteri destek ekibiyle derhal 'Hesap Güvenlik İhlali' başlığı altında irtibata geçin. Destek kaydı açarken yetkisiz işlemlerin başladığı saat aralığını, tanımadığınız cihaz/IP bilgilerini ve meşru hesap sahibi olduğunuzu kanıtlayan doğrulama belgelerini hazır bulundurmanız sürecin hızlanmasını sağlayacaktır.

Güvenlik kararları yalnızca tek bir özelliğe bakılarak verilmez. Kullanılan cihazlar, hesap kurtarma seçenekleri, günlük kullanım kolaylığı ve olası saldırı senaryoları birlikte değerlendirilmelidir.

Bir yöntemi seçmeden önce hangi hesabı koruduğunuzu ve erişimi kaybettiğinizde ne yapacağınızı yazılı olarak belirleyin.

Resmi servis adresini kullanın, gizli anahtarı paylaşmayın, kurtarma kodlarını güvenli bir yerde saklayın ve yeni cihazı eskisini silmeden önce test edin.

Şüpheli bir giriş veya beklenmeyen doğrulama isteği görürseniz parolanızı resmi siteden değiştirin ve aktif oturumları gözden geçirin.

Kod çalışmıyorsa önce doğru hesabı, cihaz saatini ve servis tarafındaki güvenlik ayarlarını kontrol edin. Sorunu çözmek için gizli anahtarınızı veya kurtarma kodlarınızı başka bir kişiye göndermeyin.

Her hesabın resmi yardım ve kurtarma akışını ayrıca incelemek, tek bir uygulamaya bağımlı kalmaktan daha güvenli bir yaklaşımdır.