E-Posta Hesabı Şifresi Sıfırlandı Ama Ben Yapmadım

Bir sabah e-postanıza giriş yapmaya çalıştığınızda "Şifreniz değiştirildi" bildirimiyle karşılaşıyorsunuz — oysa siz böyle bir işlem yapmadınız. Bu durum panik yaratır; ancak paniklemeden önce neyin gerçekten tehlikeli olduğunu, neyin ise otomatik bir sistem davranışı olduğunu anlamanız gerekir.

Bu Durum Neden Yaşanır?

E-posta hesabı şifresinin kullanıcı müdahalesi olmadan sıfırlanması birden fazla nedene bağlı olabilir. Bu nedenlerin bir kısmı zararsız iken bir kısmı ciddi güvenlik ihlalini işaret eder. En sık karşılaşılan senaryolar şunlardır:

• Yetkisiz erişim girişimi: Saldırgan, "şifremi unuttum" akışını kullanarak ya da kurtarma e-postanıza veya telefon numaranıza erişerek şifreyi sıfırlamıştır.
• Yönetici tarafından zorunlu sıfırlama: Kurumsal ortamlarda BT ekibi; parola politikası süresi dolduğunda, şüpheli aktivite tespit edildiğinde veya toplu politika güncellemesinde şifreleri zorla sıfırlayabilir.
• Kimlik sağlayıcı (IdP) otomasyonu: Microsoft Azure AD / Entra ID ve Google Workspace gibi platformlar belirli güvenlik koşulları oluştuğunda (risk skoru yükselmesi, sızdırılan kimlik bilgisi tespiti vb.) otomatik parola sıfırlama politikaları uygular.
• Veri ihlali sonrası önlem: Servis sağlayıcı, kimlik bilgilerinizin dark web'de göründüğünü tespit ettiğinde hesabınızı korumak için şifreyi sıfırlayabilir.
• Üçüncü taraf uygulama veya OAuth token sorunu: Bağlı bir uygulama yetkisini kötüye kullandıysa platform hesabı askıya alıp şifreyi sıfırlayabilir.

İlk Yapılacaklar: Paniklemeden Önce Kontrol Listesi

Şifrenizin sıfırlandığına dair bir bildirim aldıysanız ya da hesabınıza giremiyorsanız aşağıdaki adımları sırasıyla izleyin:

1. Bildirimi doğrulayın: Sıfırlama e-postası gerçekten servis sağlayıcınızdan mı geliyor? Gönderen adresini ve DKIM imzasını kontrol edin. RFC 6376 kapsamında tanımlanan DKIM (DomainKeys Identified Mail), mesajın gerçekten iddia edilen alan adından gönderildiğini kriptografik olarak doğrular. E-postanın başlığındaki DKIM-Signature alanı sahte bildirimleri ayırt etmenin en güvenilir yoludur.
2. Oturum açma geçmişini inceleyin: Hesabınıza erişebildiğiniz sürece son oturum açma IP adresleri ve konumlarını gözden geçirin. Google Workspace'te Güvenlik > Son Etkinlik, Microsoft 365'te Oturum Açma Günlükleri bölümü bu bilgileri sunar.
3. Aktif oturumları sonlandırın: "Diğer tüm oturumlardan çıkış yap" seçeneğini kullanarak yabancı cihazları hesaptan atın.
4. Yeni ve güçlü bir şifre belirleyin: NIST SP 800-63B kılavuzuna göre en az 15 karakter, öngörülemeyen bir parola seçin; aynı parolayı farklı servislerde kullanmayın.
5. 2FA/MFA'yı etkinleştirin: SMS tabanlı tek kullanımlık şifreler (OTP) yerine donanım anahtarı (FIDO2/WebAuthn) veya kimlik doğrulayıcı uygulama tercih edin.
6. BT/yöneticinize bildirin: Kurumsal bir hesapsa olayı kayıt altına almaları için mutlaka bilgilendirin.

Saldırı mı, Otomasyon mu? Nasıl Ayırt Edilir?

Hesabınıza gerçekten yetkisiz erişim sağlanıp sağlanmadığını anlamak için aşağıdaki tablodaki kriterlere bakın:

Saldırı Onaylandıysa: Teknik Adımlar

Hesabınıza gerçekten izinsiz giriş yapıldığından eminseniz hız önceliklidir. Saldırgan hesapta kaldığı her dakika ek veri sızdırabilir, kötü amaçlı e-posta gönderebilir veya diğer hesaplarınıza sıçrayabilir.

E-posta yönlendirme kurallarını kontrol edin. Saldırganların en sık başvurduğu kalıcılık yöntemi, gelen tüm e-postaları gizlice harici bir adrese yönlendirmektir. Gmail'de Ayarlar > Filtreleme ve Yönlendirme, Outlook'ta Posta > Kurallar bölümünü inceleyin; tanımadığınız kuralları silin.

OAuth uygulama izinlerini gözden geçirin. Hesabınıza bağlı üçüncü taraf uygulamaların listesini çıkarın. RFC 6749 kapsamında tanımlanan OAuth 2.0 çerçevesinde yetkisiz bir uygulama, şifrenizi bilmeden hesabınıza sürekli erişim sağlayabilir. Tanımadığınız uygulamaların erişimini iptal edin.

SPF, DKIM ve DMARC kayıtlarını doğrulayın. Kurumsal bir alan adı kullanıyorsanız saldırganın alan adınız adına sahte e-posta gönderip göndermediğini kontrol edin. RFC 7208 (SPF), RFC 6376 (DKIM) ve RFC 7489 (DMARC) standartları bu denetimin temelini oluşturur. MXToolbox veya Google Admin Toolbox gibi araçlarla DNS kayıtlarınızı doğrulayabilirsiniz.

Parolayı doğrudan güvenilir bir cihazdan değiştirin. Şifre değiştirmek için kullandığınız cihazın temiz olduğundan emin olun; kötü amaçlı yazılım içeren bir cihazdan yapılan sıfırlama, yeni şifreyi de tehlikeye atar. Gerekirse güncel antivirüs taraması yapın veya farklı bir cihaz kullanın.

Kurumsal Ortamlarda Ek Dikkat Noktaları

Microsoft 365 ve Google Workspace ortamlarında şifre sıfırlamaları yalnızca bireysel hesabı değil, kuruluşun tamamını etkileyen olayların habercisi olabilir. Microsoft Entra ID'nin "Identity Protection" modülü, sızdırılan kimlik bilgisi tespitinde kullanıcıyı otomatik olarak kilitler ve yöneticiye "Risky User" uyarısı gönderir. Bu uyarıyı ciddiye alın: Microsoft'un kendi belgelerine göre kimlik bilgisi saldırıları, iş e-postası ele geçirme (BEC) vakalarının büyük çoğunluğunun başlangıç noktasıdır.

Google Workspace'te "Şüpheli Giriş Denemeleri" raporunu (Admin Console > Raporlar > Güvenlik) düzenli aralıklarla inceleyin. IETF'nin e-posta kimlik doğrulama mimarisini açıklayan RFC 5321 (SMTP), meşru servis sağlayıcıların e-postalarının nasıl yapılandırıldığını anlamanıza yardımcı olur; sahte sıfırlama bildirimlerini bu bilgiyle tespit edebilirsiniz.

Olay günlüklerini en az 90 gün saklamanız, yasal zorunluluklar açısından da kritik önem taşır. GDPR kapsamında kişisel veri ihlali yaşandıysa 72 saat içinde yetkili otoriteye bildirim yapma yükümlülüğünüz bulunmaktadır.

Önleyici Tedbirler: Bir Daha Yaşamamak İçin

Şifre sıfırlama olayı geçtikten sonra benzer bir durumu önlemek için aşağıdaki uzun vadeli tedbirleri alın:

• Parola yöneticisi kullanın: Bitwarden, 1Password veya benzeri araçlarla her hesap için benzersiz ve güçlü parolalar oluşturun. Aynı parolanın birden fazla serviste kullanılması, credential stuffing saldırılarının işe yaramasının temel sebebidir.
• FIDO2/Passkey'e geçin: Mümkün olduğunca şifresiz kimlik doğrulamaya geçin. FIDO2 standartı, kimlik avı (phishing) saldırılarına karşı şifreye dayalı tüm yöntemlerden üstün koruma sağlar.
• Kurtarma bilgilerinizi güncel tutun: Kurtarma e-postası ve telefon numarasının size ait ve erişilebilir olduğunu periyodik olarak doğrulayın.
• Güvenlik anahtarlarını (recovery codes) güvenli saklayın: 2FA cihazınıza erişimi kaybettiğinizde hesabı kurtarmanın tek yolu olabilir.
• DMARC politikasını "reject" moduna alın: Kurumsal alan adınızda p=reject politikası, alan adınız adına gönderilen sahte e-postaların alıcıya ulaşmasını engeller.

Sık Sorulan Sorular