Sızan şifremi nasıl değiştirmeliyim?
Bir şifrenizin sızdığını öğrendiniz. Belki bir ihlal bildirimi geldi, belki verilerinizi kontrol ettiniz ve adınızı bir listede gördünüz. İlk refleks çoğu zaman panikle o hesaba girip şifreyi apar topar değiştirmek oluyor. Ama şifreyi "değiştirmek" ile "doğru değiştirmek" farklı şeyler; yanlış yapılırsa sızıntı kapanmış gibi görünür, oysa kapı hâlâ aralıktır. Sırayla yapalım.
Önce şunu düşünün: şifre nereden sızdı?
Bu, ilk ve en önemli soru. İki ihtimal var ve yapılacaklar buna göre değişir. Şifreniz kullandığınız bir servisin veri ihlalinden sızdıysa, sorun karşı taraftadır; sizin cihazınız temizdir, sadece şifreyi değiştirmeniz yeter.
Ama şifreniz cihazınıza bulaşan bir bilgi hırsızı yazılımdan sızdıysa, iş değişir. Bu durumda önce cihazınızı temizlemeniz gerekir — yoksa yeni koyduğunuz şifre de anında çalınır. Şüpheniz varsa (garip programlar, korsan yazılım kurmuş olmak, çok sayıda hesabın aynı anda sızması), şifreleri değiştirmeden önce cihazın güvenliğinden emin olun.
Doğru sırayla değiştirin
Her şeyi aynı anda halletmeye çalışmayın; önem sırasına göre gidin:
- Önce e-postanız. E-posta, diğer hesaplarınızın şifre sıfırlama kapısıdır. O güvenli değilse, geri kalan hiçbir şey güvenli değildir.
- Sonra para ve kimlik. Bankacılık, ödeme uygulamaları, e-Devlet.
- Ardından sosyal medya ve diğerleri.
En kritik adım: aynı şifreyi kullandığınız her yer
Burası, insanların en çok atladığı ve saldırganların tam olarak beklediği nokta. Diyelim şifreniz bir alışveriş sitesinden sızdı. Saldırganlar o şifreyi orada denemekle kalmaz; aynı e-postayla girdiğiniz diğer bütün hesaplarda tek tek dener. Aynı şifreyi başka yerlerde de kullandıysanız, sadece sızan hesabı değiştirmek işe yaramaz — asıl tehlike diğerlerindedir.
Bu yüzden: sızan şifreyi hangi hesaplarda kullandıysanız, hepsini değiştirin. Hangi hesaplar olduğunu hatırlamıyorsanız, bu zaten şifre tekrarının ne kadar riskli olduğunun kanıtıdır.
Sık yapılan hata: eski şifrenin "biraz değiştirilmiş" hali
Sifre2023'ü Sifre2024 yapmak ya da sonuna bir ünlem eklemek gerçek bir değişiklik değildir. Saldırganlar sızan şifrelerin bu tür varyasyonlarını da otomatik olarak dener. Yeni şifre, eskisiyle akrabalığı olmayan, tamamen yeni ve o hesaba özel bir şey olmalı.
Onlarca hesaba benzersiz şifre üretmek elle imkânsız olduğu için, bu tam da bir şifre yöneticisinin devreye gireceği andır: her hesaba rastgele, benzersiz şifre üretir ve sizin adınıza hatırlar.
Şifreyi değiştirdikten sonra kapıyı da kilitleyin
Değiştirmek tek başına yetmez; birkaç adım daha:
- İki adımlı doğrulamayı açın. Böylece şifre yeniden sızsa bile hesaba girilemez. Nasıl açılacağını ayrı bir rehberde anlattık.
- Diğer oturumları kapatın. Çoğu serviste "tüm cihazlardan çıkış yap" seçeneği vardır. Saldırgan hesabınızda açık bir oturum bıraktıysa, bu onu anında atar.
- Yetkisiz değişiklikleri kontrol edin. Kurtarma e-postası/telefonu değiştirilmiş mi, tanımadığınız bir yönlendirme kuralı ya da bağlı uygulama eklenmiş mi? Saldırganlar geri dönebilmek için bunları arkada bırakır.
Bir süre tetikte olun
Bilgileri sızan kişiler, o bilgilerle size özel, inandırıcı oltalama mesajları alabilir: "hesabınız ele geçti, şu bağlantıdan doğrulayın" gibi. Sızıntı sonrası gelen bu tür mesajlara karşı ekstra şüpheci olun.
Özetle
Sızan bir şifreyi doğru değiştirmek, tek bir tıktan fazlasıdır: kaynağı anlamak, doğru sırayla ilerlemek, aynı şifreyi kullandığınız her yeri kapatmak ve arkasından iki adımlı doğrulamayla kilitlemek. Bunu bir kez düzgün yaptığınızda — ve her hesaba benzersiz şifre kullanmaya geçtiğinizde — bir sonraki sızıntı sizin için bir felaket değil, sadece küçük bir bakım işi olur.