Infostealer Nedir? 2FA Açıkken Hesabım Nasıl Çalındı?

Infostealer nedir sorusunun kısa cevabı şu: bilgisayarına bulaşıp tarayıcında kayıtlı şifreleri ve oturum çerezlerini toplayan, sonra bunları saldırgana gönderen zararlı yazılım. 2FA açıkken hesabın çalındıysa ilk şüphelenmen gereken şeylerden biri budur. Saldırgan yalnız şifreni değil, giriş yaptıktan sonra oluşan çerezi de alır ve kod sormadan içeri girer. Bu yüzden bulaşan cihazı ağdan ayırır, temiz bir cihazdan bütün oturumları kapatır ve şifreleri değiştirirsin.

Infostealer nedir, neleri çalar?

Infostealer, Türkçede bilgi hırsızı zararlı yazılım demektir. Fidye yazılımı gibi ekrana mesaj çıkarmaz, dosyalarını kilitlemez. Sessizce çalışır, işine yarayan veriyi toplar ve saldırganın sunucusuna yollar. Microsoft, korsan yükleyicilerde bu zararlının kurulum sırasında görünmediğini, program açıldıktan sonra sessizce çalıştığını yazıyor. İngilizce kaynaklarda "cookie stealer" diye geçen çerez hırsızları da aynı ailedendir ve özellikle oturum çerezlerine odaklanır.

Microsoft'un Lumma adlı bilgi hırsızı üzerine Mayıs 2025 analizi, bu tür bir yazılımın neleri hedeflediğini tek tek sayıyor. Tablo o listeyi ve saldırganın her veriyle ne yapabileceğini özetliyor:

Ölçek küçük değil. Microsoft, yalnız bu ailenin 16 Mart ile 16 Mayıs 2025 arasında dünya genelinde 394 binden fazla Windows bilgisayara bulaştığını açıkladı.

Toplanan veri "stealer log" adıyla toplu hâlde dolaşır ve yıllarca işe yarar. Google'ın Mandiant ekibi Haziran 2024'te, Snowflake müşterilerine yönelik saldırılarda kullanılan şifrelerin çoğunun eski bilgi hırsızı bulaşmalarından geldiğini ve bazılarının 2020'ye uzandığını yazdı. Etkilenen hesaplarda çok adımlı doğrulama yoktu. Yalnız tuş vuruşlarını kaydeden yazılımla farkını keylogger nedir yazısında, benzer kavramları siber güvenlik sözlüğünde bulabilirsin.

2FA açıkken hesabım nasıl çalındı?

İki adımlı doğrulama giriş anını korur. Infostealer ise girişten sonrasını hedefler. Sen şifreni ve kodunu bir kez girersin, site karşılığında tarayıcına bir oturum çerezi bırakır. Sonraki her istekte yalnız bu çereze bakar. Çerezin nasıl çalıştığını çerez nedir yazısında anlattık.

Oturum çerezi çalınması şöyle işler: bilgi hırsızı çerezi kopyalayıp saldırgana gönderir, saldırgan da onu kendi tarayıcısına yükler. Site karşısındakini sen sanır. Google'ın Chrome ekibi bunu açıkça yazıyor: bu tür çerez hırsızlığı girişten sonra olduğu için iki adımlı doğrulamayı atlatır. MITRE ATT&CK de sitelerin girişten sonra oturum çerezini kimlik kanıtı olarak kullandığını ve çalınan çerezin bazı çok adımlı doğrulama yöntemlerini aşmaya yarayabildiğini belirtiyor.

Gerçek bir örnek var. Google'ın Tehdit Analiz Grubu Ekim 2021'de YouTube içerik üreticilerini hedefleyen bir kampanyayı anlattı. Saldırganlar sahte sponsorluk teklifiyle oyun, VPN ya da fotoğraf düzenleyici "demosu" gönderdi. Demo aslında çerez hırsızıydı. Ele geçen kanallar ya satıldı ya da kripto dolandırıcılığı yayınına çevrildi.

Neyin çalındığını bilmek, ne yapacağını belirler:

Şifremi değiştirdim, yine girdiler: neden?

Bu durumda genellikle şu beş nedenden biri vardır:

1. Açık oturum kapanmadı. Şifre değişikliğinin oturumları kapatıp kapatmadığı hizmete göre değişir. Google, şifre değişince doğrulama için kullandığın cihazlar gibi birkaç istisna dışında her yerden çıkış yapıldığını söylüyor. Microsoft ise kurumsal hesaplar için oturum anahtarlarının şifre sıfırlamaya ek olarak ayrıca iptal edilmesini öneriyor ve iptalden sonra bile kısa ömürlü erişim anahtarının bir saate kadar geçerli kalabileceğini yazıyor. Bu yüzden şifre değiştirmekle yetinme, "tüm cihazlardan çık" seçeneğini ayrıca kullan.
2. Zararlı hâlâ bilgisayarında. Yeni şifreyi aynı bilgisayarda yazdıysan o da çalınmış olabilir.
3. E-postan ele geçirildi. Saldırgan şifre sıfırlama bağlantılarını alıyorsa her değişiklikten sonra yeniden girer. Yönlendirme kurallarını ve kurtarma bilgilerini kontrol et. Hesabıma başkası girdi mi yazısı bu kontrolü adım adım anlatıyor.
4. Başka hesapların şifresi de çalındı. Tarayıcıdaki bütün kayıtlı şifreler gittiyse yalnız bir hesabı değiştirmek yetmez.
5. Saldırgan kendine kapı bıraktı. Kendi telefonunu kurtarma numarası yapmış, kendi doğrulayıcısını eklemiş ya da hesabına bir uygulama bağlamış olabilir. Güvenlik ayarlarındaki her kaydı tek tek kontrol et.

Infostealer nasıl bulaşır?

Bilgi hırsızı çoğunlukla senin çalıştırdığın bir dosyayla ya da yapıştırdığın bir komutla gelir. Google'ın Chrome ekibine göre saldırganlar kullanıcıyı birden fazla uyarıyı geçmeye ikna eder. En sık yollar şunlar:

• Crack ve korsan program: Microsoft, Lumma'nın dosya paylaşım sitelerindeki korsan yükleyicilere gömülü dağıtıldığını yazıyor. Ayrıntısı crack program zararlı mı yazısında.
• Hile, mod ve "bedava eşya" dosyaları: Mantık crack ile aynıdır, kaynağı belirsiz bir programı çalıştırmanı ister. Antivirüsü kapatmanı isteyen her dosya kırmızı bayraktır.
• Sahte CAPTCHA (ClickFix): Sayfa "robot olmadığını doğrula" der ve Win+R ile açılan kutuya bir komut yapıştırmanı ister. Microsoft Ağustos 2025'te bu yöntemle en sık yüklenen zararlının bir bilgi hırsızı olduğunu yazdı. Gerçek bir doğrulama ekranı senden komut çalıştırmanı istemez.
• Sahte indirme sayfası ve arama reklamı: Microsoft, popüler program adıyla ya da "Chrome güncellemesi" diye arama yapanlara sahte reklam gösterildiğini anlatıyor. Programı yalnız üreticinin kendi sitesinden indir.
• Sahte iş birliği teklifi: İçerik üreticilerine sponsorluk bahanesiyle demo dosyası gönderilir.
• Şifreli arşiv ve e-posta eki: Google, antivirüs taramasından kaçabildiği için şifreli arşivlere karşı dikkatli olmanı öneriyor. Microsoft acil görünen otel rezervasyonu ve iptal e-postalarını da sık kullanılan yemler arasında sayıyor.

Infostealer bulaştığını nasıl anlarsın?

Bilgisayar yavaşlamayabilir, ekranda da bir şey görmeyebilirsin. İşaretler genellikle hesaplarında çıkar:

• Aynı gün birden fazla hesaptan "yeni cihazdan giriş" uyarısı gelmesi.
• 2FA açıkken, sana kod sorulmadan hesabına girilmiş olması.
• Sosyal medya ya da oyun hesabından senin göndermediğin bağlantılar gitmesi.
• Kripto cüzdanından tanımadığın bir adrese aktarım yapılması.
• Kısa süre önce crack, hile ya da bir sayfanın istediği komutu çalıştırmış olman.

Dışarıdan da kontrol edebilirsin. haveibeenpwned.com, e-posta adresinin sahibi olduğunu doğruladıktan sonra adresinin hangi sitelere ait stealer log kayıtlarında göründüğünü ücretsiz gösteriyor. Troy Hunt'ın Şubat 2025'te bu siteye eklediği tek bir stealer log yığını 284 milyon benzersiz e-posta adresini kapsıyordu. Ayrıntılar şifrem sızdırıldı mı yazısında.

Antivirüsün zararlıyı bulup silmesi işi bitirmez. Google, çalınan çerezlerin zararlı tespit edilip silindikten sonra da çalışmaya devam ettiğini vurguluyor. Temizlik cihazını kurtarır, hesaplarını değil.

Infostealer bulaştıysa ilk 1 saatte ne yapmalısın?

Sıra önemli. Önce sızıntıyı durdur, sonra oturumları kapat ve şifreleri değiştir, en son cihazı temizle:

1. Şüpheli bilgisayarı internetten ayır. Wi-Fi'ı kapat ya da kabloyu çek. Bu cihazda hiçbir hesaba girme.
2. Temiz bir cihaza geç. Telefonun ya da güvendiğin başka bir bilgisayar olabilir.
3. E-postadan başla. Tüm cihazlardan çık, şifreyi değiştir, kurtarma telefonunu, kurtarma adresini ve yönlendirme kurallarını kontrol et. E-posta, diğer hesapların anahtarıdır.
4. Parayla ilgili hesaplara geç. Tarayıcıda kart kayıtlıysa bankanı resmî müşteri hizmetleri numarasından ara ve kartı kapattır. İzinsiz işlem varsa itiraz et.
5. Kripto cüzdanını taşı. Cüzdan o bilgisayardaysa temiz cihazda yeni bir cüzdan oluştur ve varlığını oraya aktar. Eski kurtarma ifadesini bir daha kullanma.
6. Diğer hesaplarda aynı üçlüyü uygula. Tüm oturumlardan çık, şifreyi değiştir, 2FA ayarlarını gözden geçir. Tarayıcında şifresi kayıtlı olan her siteyi bu listeye ekle.
7. Bilgisayarı temizle. En güvenli yol, belgelerini yedekleyip işletim sistemini sıfırdan kurmaktır. Google da saldırıya uğrayan hesaplar için cihazı fabrika ayarlarına döndürmeyi bir seçenek olarak anıyor. Yedeğe program ya da kurulum dosyası alma.
8. Para çıktıysa şikâyette bulun. Kayıtları ve ekran görüntülerini sakla. En yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına başvur. Seni zararlıya götüren sahte siteyi de USOM'a bildir.

Dolandırıcılıkla birleşen hesap çalınmalarında genel akış için hesabım çalındı, ilk 1 saat rehberine de bak.

Valorant, Steam ya da Roblox hesabım 2FA açıkken nasıl çalındı?

Oyun hesabında da mantık aynıdır. Oyun istemcisi ya da tarayıcı seni hatırladığı sürece bu hatırlama bilgisi çalınabilir. Şüpheli bilgisayarı kullanmadan, temiz bir cihazdan platformun kendi ayarıyla bütün oturumları kapat. Oyuna dönmeden önce bilgisayarı temizle:

• Riot (Valorant, LoL): Riot'un çok adımlı doğrulama sayfasına göre hesap sayfasında Login Management kartını bulup LOG OUT EVERYWHERE düğmesine basmak tüm cihazlardan çıkış yapar ve güvenilir cihaz durumunu da kaldırır. "30 gün hatırla" kutusunu yalnız kendi cihazında işaretle. Kurtarma adımları Valorant ve Riot hesabım çalındı yazısında.
• Steam: Steam Guard ayarlarında diğer bütün cihazların yetkisini kaldırma seçeneği bulunur. Ayrıntısı Steam hesabım çalındı yazısında.
• Roblox ve diğerleri: Hesap ayarlarının güvenlik bölümünde diğer oturumlardan çıkış seçeneğini ara. Roblox için Roblox hesabım çalındı yazısına bak.

Bu adlar Ekim 2026 itibarıyla geçerli, ama menüler güncellemelerle değişebilir. Yolu her zaman platformun kendi yardım sayfasından doğrula. Para karşılığı hesabını geri alacağını söyleyen kişiler tuzaktır, bunu hesap kurtarma dolandırıcılığı yazısında anlattık.

Infostealer'dan nasıl korunursun?

Tek bir ayar yetmez, ama birkaç alışkanlık riski çok düşürür:

• Kaynağı belirsiz program çalıştırma. Crack, hile ve "ücretsiz premium" dosyaları en kolay giriş kapısıdır.
• Hiçbir siteye komut yapıştırma. Win+R, PowerShell ya da Terminal'e kopyala yapıştır isteyen sayfayı kapat.
• Uyarıları geçme. Tarayıcı ya da Windows "bu dosya tehlikeli olabilir" diyorsa dur. Google, Chrome'da Gelişmiş Güvenli Tarama'yı açmanı öneriyor.
• Günlük işler için yönetici olmayan hesap kullan. Google, Windows'taki çerez korumasının zararlı yönetici yetkisi alamadığında daha iyi çalıştığını söylüyor.
• Kurtarma ifadesini ve kimlik fotoğrafını bilgisayarda düz dosya olarak saklama. Bilgi hırsızları cüzdan dosyalarını ve belgeleri de toplar.
• Passkey ve doğrulayıcı uygulamayı yine kullan. Passkey ve güvenlik anahtarı oltalamaya dayanıklıdır, sahte siteye kod kaptırmanı engeller. Ama bunlar girişi korur, oturum çerezini değil. Ayrıntı passkey nedir yazısında.

Tarayıcılar çerez hırsızlığına karşı ne yapıyor?

Google Temmuz 2024'te Chrome 127 ile Windows'ta çerezleri uygulama kimliğine bağlı şifrelemeye başladı. Böylece aynı kullanıcı hesabında çalışan sıradan bir programın çerezleri çözmesi zorlaştı. Google, zararlının yönetici yetkisiyle çalışarak ya da Chrome'a kod enjekte ederek bunu aşabileceğini kabul ediyor. Bu yöntemlerin güvenlik yazılımlarınca daha kolay yakalandığını da ekliyor. Ayrıca hesap tarafında çalınmış çerezlerin kullanımını işaretlemeye çalışıyor.

Nisan 2024'te duyurduğu ikinci yöntem, oturumu cihaza bağlamak (Device Bound Session Credentials, DBSC). Tarayıcı bir anahtar çifti üretir, özel anahtar cihazdan zor çıkarılacak biçimde saklanır ve site oturum boyunca bu anahtarı kontrol eder. Çalınan çerez başka bir bilgisayarda kısa sürede işe yaramaz hâle gelir. Chrome bu korumayı 2026'nın başında Windows sürümünde kullanıma açtı ve anahtarı TPM adlı güvenlik yongasında saklıyor. Google, Mayıs 2026'da Windows'taki Chrome'da kişisel Google hesaplarının da bu korumayı kullanabildiğini duyurdu. Yine de her sitenin bunu ayrıca desteklemesi gerekir, bu yüzden her hesabın böyle korunduğunu varsayma. Koruma olsa bile zararlı, bulaştığı bilgisayarın içinden işlem yapabilir. Cihaz temizliği yine şart.

Savunma tarafında bu izlerin nasıl arandığını merak ediyorsan laboratuvarda bellek analiziyle bir bilgi hırsızının izini sürdüğün bir görev var.

Kaynaklar

• Google Chromium: Cihaza bağlı oturumlarla çerez hırsızlığına karşı mücadele (Nisan 2024)
• Google Online Security Blog: Chrome çerezlerinin Windows'ta korunması (Temmuz 2024)
• Microsoft Security Blog: Lumma Stealer dağıtım teknikleri ve yetenekleri (Mayıs 2025)
• Google Tehdit Analiz Grubu: YouTube içerik üreticilerini hedefleyen çerez hırsızlığı kampanyası (Ekim 2021)
• MITRE ATT&CK: T1539 Web oturum çerezi çalma