Güvenlik·
2 Haziran 2026
E-posta hesabınıza veya kurumsal uygulamanıza giriş yapılmaya çalışıldığına dair bir bildirim aldıysanız, bu uyarıyı görmezden gelmeyin. "Login attempt from new location" mesajı; hesap güvenliğinizin tehdit altında olabileceğini gösteren kritik bir sinyaldir ve doğru adımları atmak için dakikalar içinde harekete geçmeniz gerekir.
Modern e-posta sistemleri ve kurumsal uygulamalar, her başarılı veya başarısız giriş denemesini coğrafi konum, IP adresi ve cihaz parmak izi gibi verilerle karşılaştırarak analiz eder. Microsoft 365, Google Workspace ve benzeri platformlar bu analizi gerçek zamanlı olarak yapar; bilinenin dışında bir konumdan veya daha önce tanınmayan bir cihazdan giriş denemesi geldiğinde hesap sahibine otomatik bildirim gönderir.
Bu mekanizmanın teknik altyapısı OAuth 2.0 (RFC 6749) ve OpenID Connect protokolleri üzerine kuruludur. Kimlik doğrulama sunucusu, erişim talebini değerlendirirken talep edilen kapsamı (scope), kullanılan istemci kimliğini ve bağlantının geldiği IP bloğunu çapraz doğrular. IP bloğu daha önce hiç oturum açılmamış bir coğrafyaya işaret ediyorsa risk skoru yükselir ve kullanıcıya uyarı iletilir.
Uyarının gerçek bir tehdidi mi yoksa meşru bir erişimi mi temsil ettiğini anlamak için aşağıdaki kontrol listesini sırasıyla uygulayın.
İlk yapmanız gereken, uyarı e-postasının gerçekten hizmet sağlayıcınızdan gelip gelmediğini teyit etmektir. Kimlik avı (phishing) saldırıları sıklıkla bu tür güvenlik bildirimlerini taklit eder. E-postanın başlık bilgilerini (header) inceleyerek gönderenin SPF, DKIM ve DMARC kayıtlarını kontrol edin. RFC 7208 (SPF), RFC 6376 (DKIM) ve RFC 7489 (DMARC) standartları bu doğrulama sürecinin temelini oluşturur. Güvenilir bir e-posta istemcisi bu kayıtları otomatik denetler; ancak kendiniz de MXToolbox veya Google Admin Toolbox gibi araçlarla başlık analizini gerçekleştirebilirsiniz.
Bildirimin içinde yer alan IP adresi, konum ve zaman bilgilerini not edin. Ardından ilgili platformun güvenlik loglarına erişin:
Tespit edilen konumun bir VPN çıkış noktası, iş seyahati veya yeni bir ofis bağlantısı olup olmadığını değerlendirin. Eğer giriş denemesi size aitse ve yalnızca sistem tarafından tanınmayan bir konumdan kaynaklanıyorsa, söz konusu konumu güvenilir (trusted) olarak işaretleyebilirsiniz. Ancak girişin sizden kaynaklanmadığından eminseniz bir sonraki adıma geçin.
Yetkisiz bir erişim girişimi söz konusuysa şifrenizi dakika geçirmeden güncelleyin. NIST SP 800-63B kılavuzuna göre güçlü bir parola en az 15 karakterden oluşmalı, rastgele bir karakter kombinasyonu içermeli ve daha önce ihlale uğramış listelerle karşılaştırılmalıdır. Have I Been Pwned veri tabanı bu karşılaştırma için yaygın kullanılan bir referans kaynaktır.
Şifre değişikliğinin ardından tüm etkin oturumları zorla kapatın. Microsoft 365'te bu işlem "Revoke refresh tokens" komutuyla gerçekleştirilir; Google Workspace'te ise kullanıcı hesabı yönetim panelinden "Oturumu sıfırla" seçeneği kullanılır. Bu adım, saldırganın elde etmiş olabileceği geçerli oturum belirteçlerini (session token) geçersiz kılar.
MFA (Multi-Factor Authentication), yetkisiz erişimi önlemede en etkili katmanlardan biridir. Microsoft'un kendi araştırmalarına göre MFA, otomatik kimlik bilgisi saldırılarının yüzde 99'undan fazlasını engeller. TOTP (Time-based One-Time Password, RFC 6238) veya FIDO2/WebAuthn standardına uygun donanım anahtarları tercih edilmesi önerilir. SMS tabanlı doğrulama, SIM swap saldırılarına karşı daha kırılgan olduğundan ikincil seçenek olarak değerlendirilmelidir.
Kurumsal bir ortamda çalışıyorsanız güvenlik olayını derhal IT departmanına veya CISO'ya raporlayın. NIST SP 800-61 olay müdahale kılavuzu, bu tür şüpheli erişim denemelerinin kayıt altına alınmasını ve gerekiyorsa adli analiz (forensic investigation) sürecinin başlatılmasını önerir.
| Senaryo | Risk Seviyesi | Önerilen Eylem | Aciliyet |
|---|---|---|---|
| Tanıdık konum, yeni cihaz | Düşük | Cihazı güvenilir olarak ekleyin | Düşük |
| VPN veya iş seyahati | Düşük | Konumu onaylayın, log tutun | Düşük |
| Yabancı ülkeden giriş denemesi | Orta | Şifre değiştirin, MFA aktif edin | Orta (24 saat) |
| Birden fazla başarısız deneme | Yüksek | Hesabı kilitleyin, IT'ye bildirin | Acil (hemen) |
| Başarılı oturum + şüpheli konum | Kritik | Oturumları sonlandırın, şifre + MFA değiştirin, IT'ye bildirin | Acil (hemen) |
Reaktif müdahalenin ötesinde, bu tür uyarıların tekrarlanmaması için kalıcı güvenlik katmanları oluşturmanız gerekir. Aşağıdaki önlemler hem bireysel kullanıcılar hem de IT yöneticileri için geçerlidir.
Microsoft Azure AD veya Google BeyondCorp üzerinden koşullu erişim kuralları tanımlayarak belirli coğrafi bölgelerden veya risk puanı yüksek cihazlardan gelen erişimleri otomatik olarak engelleyebilir ya da ek doğrulama adımına zorlayabilirsiniz. Bu yaklaşım Zero Trust mimarisinin temel bileşenlerinden birini oluşturur.
Microsoft Sentinel, Splunk veya Elastic SIEM gibi araçlar, oturum açma olaylarını otomatik olarak analiz ederek anormal davranış örüntülerini tespit eder. MITRE ATT&CK çerçevesinin T1078 (Valid Accounts) ve T1110 (Brute Force) taktikleri bu tür izleme kurallarının tasarımında sıkça başvurulan kaynaklardır.
Yönetici hesapları için Microsoft PIM (Privileged Identity Management) veya benzeri çözümler kullanarak "just-in-time" erişim modeli uygulayın. Bu sayede yönetici yetkileri yalnızca aktif görev süresince geçerli olur ve kalıcı yüksek yetkili hesapların ele geçirilme riski minimize edilir.
Farklı platformlarda güçlü ve tekrar kullanılmayan parolalar oluşturmak ve güvenle saklamak için kurumsal parola yöneticisi çözümlerini (1Password Teams, Bitwarden Business, Keeper Enterprise) değerlendirin. Aynı parolanın birden fazla serviste kullanılması, bir servisten sızdırılan kimlik bilgilerinin diğer hesaplara sıçramasına (credential stuffing) zemin hazırlar.
Kimlik doğrulama saldırıları yalnızca doğrudan giriş denemeleriyle sınırlı değildir. Saldırganlar zaman zaman kurumunuzun e-posta altyapısını taklit ederek kullanıcıları sahte giriş sayfalarına yönlendirir. Bu noktada RFC 5321 ile tanımlanan SMTP protokolü tek başına yeterli koruma sağlamaz; e-posta kimlik doğrulama mekanizmalarının eksiksiz uygulanması gerekir.
SPF (RFC 7208), yalnızca yetkili sunucuların kurumunuz adına posta gönderebileceğini DNS kayıtlarıyla beyan eder. DKIM (RFC 6376), mesajın içeriğinin iletim sırasında değiştirilmediğini kriptografik imzayla kanıtlar. DMARC (RFC 7489) ise bu iki mekanizmayı birleştirerek alıcı sunuculara uyumsuz mesajlar için ne yapılacağını (quarantine veya reject) bildirir ve domain sahibine raporlama sağlar. Google Postmaster Tools ve Microsoft SNDS (Smart Network Data Services) bu raporları görselleştirerek alan adınız üzerindeki olası sahtekârlık girişimlerini izlemenize olanak tanır.
Hayır. Uyarıların önemli bir kısmı VPN kullanımı, iş seyahati veya yeni bir cihazdan yapılan meşru girişlerden kaynaklanır. Önemli olan, bildirimdeki konum ve zaman bilgisini kendi erişim alışkanlıklarınızla karşılaştırmanızdır. Eğer giriş denemesi size aitse sistemi güvenilir konum olarak güncelleyip devam edebilirsiniz. Şüphe duyduğunuz her durumda ise ek doğrulama adımlarını atlamayın.
Gerçek bir saldırı söz konusuysa görmezden gelmek saldırgana zaman kazandırır. Yetkisiz erişim elde eden bir kişi e-posta kutunuzdaki gizli bilgilere ulaşabilir, kurumsal sistemlere sıçrayabilir ve hatta kimliğinizi taklit ederek diğer çalışanlarınıza sosyal mühendislik saldırısı düzenleyebilir. Bu nedenle her uyarıyı ciddiye alıp en az doğrulama adımını uygulamak kurumsal güvenlik politikasının bir parçası olmalıdır.
Evet, ancak bu risk çok daha düşüktür. MFA'yı atlama yöntemleri arasında SIM swap ile SMS kodunu ele geçirme, gerçek zamanlı phishing proxy araçları (Evilginx2, Modlishka gibi) ve kullanıcı onay manipülasyonu (MFA fatigue) sayılabilir. Bu nedenle SMS yerine TOTP veya FIDO2 donanım anahtarı kullanmak ve oturum açma bildirimlerini anlık takip etmek ek bir güvenlik katmanı sağlar.
Küçük işletmeler veya bireysel kullanıcılar için hizmet sağlayıcınızın resmi destek kanalı ilk başvuru noktasıdır. Microsoft 365 kullanıcıları admin.microsoft.com üzerinden destek talebi açabilir; Google Workspace kullanıcıları ise support.google.com/a adresine başvurabilir. Bu süreçte ekran görüntüsü ve e-posta başlıkları (header) gibi delilleri saklamanız olayın çözümünü hızlandırır.
Gizli klasöre iletme kuralı eklenmiş olması, gönderilen e-postalar klasöründe sizin yazmadığınız mesajların bulunması, parola değişiklik bildirimi almanız veya kayıtlı kurtarma e-posta/telefon numarasının değiştirilmiş olması hesabın ele geçirildiğine işaret eden güçlü göstergelerdir. Bu durumda oturumları derhal sonlandırın ve kurtarma sürecini hizmet sağlayıcının resmi kanalından başlatın.
Microsoft 365 ortamlarında Microsoft Defender for Identity ve Azure AD Identity Protection ürünleri risk tabanlı uyarıları merkezi olarak toplar ve SIEM sistemlerinize iletebilir. Google Workspace'te Alert Center bu işlevi üstlenir. Güvenlik operasyon merkezi (SOC) olan organizasyonlar için SOAR platformlarıyla otomatik yanıt playbook'ları oluşturmak müdahale süresini önemli ölçüde kısaltır.
IP adresinin coğrafi konumunu AbuseIPDB, Shodan veya ipinfo.io gibi araçlarla sorgulaabilirsiniz. Ancak bu adresler çoğunlukla VPN, Tor çıkış noktası veya proxy sunucusu olduğundan gerçek saldırganın konumunu kesin biçimde tespit etmek mümkün olmayabilir. Adli analiz gerekiyorsa bu süreci yasal yetkisi bulunan kurumlarla (kolluk kuvvetleri, siber güvenlik firmaları) koordineli yürütmeniz gerekir.
Evet. "Yeni konumdan giriş denemesi" bildirimi görünümündeki phishing e-postaları, kullanıcıyı sahte bir giriş sayfasına yönlendirerek kimlik bilgilerini çalmayı hedefler. Bu nedenle e-postadaki herhangi bir bağlantıya tıklamadan önce gönderen adresini, DKIM imzasını ve bağlantı URL'sini dikkatlice doğrulayın. Şüphe duyduğunuzda ilgili platforma doğrudan tarayıcı adres çubuğundan erişin.
Büyük ölçüde engelleyebilir. Azure AD Conditional Access veya Google BeyondCorp Enterprise, yüksek riskli konumlardan gelen oturumları otomatik olarak bloke edebilir ya da ek doğrulamaya zorlayabilir. Ancak mükemmel bir koruma yoktur; saldırganlar kurumun bulunduğu ülkedeki bir proxy sunucusunu kullanarak coğrafi filtreyi aşmaya çalışabilir. Bu nedenle koşullu erişim, MFA ve davranış analitiğinin birlikte kullanımı en sağlam savunma katmanını oluşturur.
Connect365, kurumsal e-posta altyapınız üzerinde SPF, DKIM ve DMARC kayıtlarının doğru yapılandırılmasını sağlar; böylece alan adınızın taklit edilmesini önler. Bunun yanı sıra gönderim itibarı ve kimlik doğrulama uyumu izlenerek olası güvenlik açıkları proaktif biçimde raporlanır. Hesap güvenliği uyarılarıyla ilgili danışmanlık almak için Connect365 destek ekibiyle iletişime geçebilirsiniz.
Reklamsız, KVKK uyumlu; kurulum ve geçiş ücretsiz, mailleri biz taşırız.
Kurulum + migrasyon ücretsiz. KVKK uyumlu, Türkiye'de barındırma. 7/24 Türkçe destek.
Kampanya 30 Haziran'a kadar geçerlidir.