Çok faktörlü kimlik doğrulama (MFA) bir zamanlar dijital güvenliğin sarsılmaz kalesi olarak görülüyordu. Ancak siber saldırganlar, kullanıcıları yüzlerce bildirimle bıktıran “MFA Fatigue” veya oturum çerezlerini doğrudan çalan AiTM (Adversary-in-the-Middle) gibi gelişmiş yöntemlerle bu duvarları aşmayı başardı. Artık sadece bir MFA yöntemine sahip olmak yeterli değil; bu yöntemin modern saldırı tekniklerine karşı dirençli olması gerekiyor.
Bu rehberde, dijital varlıklarınızı korumak için zayıf halkaları nasıl eleyeceğinizi ve savunmanızı nasıl modernize edeceğinizi adım adım açıklıyoruz.
Rehber Detayları
- Gereken Süre: 45 – 60 Dakika
- Zorluk Seviyesi: Orta segment (Teknik yapılandırma gerektirir)
- Gerekli Araçlar: Yönetici yetkisine sahip hesaplar, FIDO2 uyumlu donanım anahtarı (opsiyonel), Kimlik doğrulama uygulaması.
Modern MFA Atlatma Yöntemlerini Anlamak
Savunmanızı güçlendirmeden önce, karşı karşıya olduğunuz tehditleri tanımanız gerekir. Modern saldırganlar artık şifre kırmakla vakit kaybetmiyor, bunun yerine kimlik doğrulama akışını manipüle ediyorlar.
- MFA Fatigue (Onay Bombardımanı): Saldırgan, kurbanın telefonuna gece gündüz onay bildirimi gönderir. Kullanıcı, hatayla veya bıkkınlıkla bir kez “Onayla” butonuna bastığında saldırgan içeri sızar.
- Adversary-in-the-Middle (AiTM): Saldırgan, gerçek giriş sayfası ile kullanıcı arasına sahte bir sayfa yerleştirir. Kullanıcı MFA kodunu girdiğinde, saldırgan bu kodu ve oturum çerezini (session token) gerçek zamanlı olarak çalar.
- SIM Swapping: Sosyal mühendislik yoluyla kurbanın telefon numarasının başka bir SIM karta taşınmasıdır. Bu yöntemle SMS tabanlı tüm doğrulama kodları doğrudan saldırgana gider.
Adım 1: Phishing-Resistant (Kimlik Avına Dayanıklı) MFA’ya Geçiş
SMS kodları ve standart “Evet/Hayır” onay bildirimleri artık güvenli kabul edilmiyor. En üst düzey koruma için FIDO2 protokolüne dayalı yöntemlere geçmelisiniz.
- Donanım Anahtarı Kullanın: YubiKey veya Google Titan gibi fiziksel güvenlik anahtarlarını edinin. Bu cihazlar, yalnızca fiziksel olarak bilgisayara takılı olduklarında ve doğru alan adıyla (domain) eşleştiklerinde çalışır. Bu, AiTM saldırılarını %100’e yakın oranda engeller.
- Biyometrik Doğrulamayı Aktifleştirin: Windows Hello veya Apple FaceID/TouchID gibi cihaz tabanlı biyometrik verileri kullanın. Bu yöntemler, özel anahtarı (private key) cihazın güvenli bölmesinde saklar ve dışarı sızmasını engeller.
- SMS ve Sesli Aramayı Devre Dışı Bırakın: Eğer platform destekliyorsa, SMS ile kod gönderme özelliğini tamamen kapatın. Bunun yerine authenticator uygulamalarını veya donanım anahtarlarını öncelikli hale getirin.
Adım 2: Conditional Access (Koşullu Erişim) Politikalarını Yapılandırma
Koşullu erişim, girişi sadece kullanıcı adı ve şifreye değil, girişin yapıldığı “şartlara” bağlar. Microsoft 365 veya Google Workspace panellerinizde şu kuralları uygulayın:
- Coğrafi Kısıtlama (Geo-Blocking): Eğer şirketiniz veya siz sadece Türkiye sınırları içerisinde faaliyet gösteriyorsanız, diğer tüm ülkelerden gelen giriş taleplerini otomatik olarak engelleyin.
- IP Beyaz Listesi: Kritik yönetim panellerine erişimi sadece evinizdeki veya ofisinizdeki statik IP adresleri üzerinden gerçekleştirilecek şekilde kısıtlayın.
- Cihaz Uyumluluğu: Sadece güncel işletim sistemine sahip ve antivirus yazılımı aktif olan “kayıtlı” cihazların sisteme girmesine izin verin. Root edilmiş veya jailbreak yapılmış telefonların MFA uygulamasını çalıştırmasını engelleyin.
Adım 3: ‘MFA Fatigue’ ve Sosyal Mühendisliğe Karşı Önlemler
Onay bombardımanına maruz kaldığınızda zihinsel yorgunluk bir güvenlik açığına dönüşür. Bunu önlemek için teknik bir bariyer oluşturun.
- Sayı Eşleştirme (Number Matching) Özelliğini Açın: Microsoft Authenticator gibi uygulamalarda bu ayarı aktifleştirin. Giriş ekranında bir sayı belirir ve bu sayıyı telefondaki uygulamaya manuel olarak yazmanız istenir. Bu, rastgele “Onayla” butonuna basılmasını imkansız hale getirir.
- Konum Bilgisini Zorunlu Kılın: Onay bildiriminde giriş talebinin hangi şehir ve cihazdan geldiğini gösteren ayarları açın. Eğer siz İstanbul’dayken talep başka bir şehirden geliyorsa, tek tıkla “Ben Değilim” diyerek hesabı kilitleyin.
- Raporlama Kültürü Oluşturun: Şüpheli bir doğrulama talebi aldığınızda bunu sadece reddetmekle kalmayın, sistem yöneticinize veya platformun güvenlik merkezine “Şüpheli Etkinlik” olarak raporlayın.
Adım 4: Oturum ve Çerez Güvenliğini Sağlama
MFA başarılı olsa bile, saldırganlar oturum çerezlerinizi (session token) çalarak MFA’yı bypass edebilir. Bu riski minimize etmek için:
- Kısa Süreli Oturumlar: Oturum sürelerini (token lifetime) mümkün olduğunca kısa tutun. Bankacılık uygulamalarında olduğu gibi, 15-30 dakika işlem yapılmadığında oturumun otomatik olarak kapanmasını sağlayın.
- Tarayıcı Güvenliği: Tarayıcınızda “çerez temizleme” alışkanlığı edinin veya hassas işlemler için her zaman gizli sekme kullanın. Güvenilir olmayan tarayıcı eklentilerini sisteminizden kaldırın.
- EDR ve Antivirus: Cihazınızda gelişmiş bir uç nokta koruma çözümü (EDR) kullanın. Bu yazılımlar, tarayıcı belleğinden çerez çalmaya çalışan malwereları gerçek zamanlı olarak tespit edebilir.
Troubleshooting: Ne Yapmalı?
Soru: Telefonumu kaybettim ve donanım anahtarım yok, ne yapmalıyım?
- Cevap: Her zaman kurulum sırasında verilen “Yedek Kodları” (Backup Codes) güvenli ve fiziksel bir yerde saklayın. Eğer bu kodlara erişiminiz yoksa, hesap sağlayıcınızın kimlik doğrulama birimiyle iletişime geçin.
Soru: Sürekli sayı eşleştirme bildirimi alıyorum, saldırı altında mıyım?
- Cevap: Evet, şifreniz muhtemelen saldırganın eline geçmiş durumdadır. İlk yapmanız gereken şey şifrenizi güçlü ve benzersiz olanla değiştirmektir. MFA sizi koruyor ancak kapı (şifre) hala açık.
Soru: MFA kullanmama rağmen hesabıma girildi, bu nasıl mümkün?
- Cevap: Muhtemelen bir AiTM saldırısına maruz kaldınız ve aktif oturum çerezleriniz çalındı. Tüm cihazlardaki oturumları kapatın (Sign out from all sessions) ve hemen donanım anahtarı tabanlı MFA’ya geçin.
Sonuç
Geleneksel MFA yöntemleri, gelişen siber tehditler karşısında tek başına yeterli koruma sağlamamaktadır. 2026 standartlarında bir güvenlik için FIDO2 uyumlu donanımlar, sıkı koşullu erişim politikaları ve sayı eşleştirme gibi akıllı özellikler bir tercihten ziyade zorunluluktur. Dijital savunmanızı bugün güncelleyerek gelecekteki karmaşık saldırılara karşı hazır hale gelin!