E-postam ve Şifrem Sızdırıldı mı? Nasıl Kontrol Edilir?

Veri sızıntısına yakalanmak çoğu zaman senin hatan değildir. Üye olduğun bir site saldırıya uğrar, veritabanı çalınır ve senin e-postan da içindedir. Asıl risk, o sitede kullandığın şifreyi başka yerlerde de kullanmandır. Have I Been Pwned'ın 5 Ekim 2026 itibarıyla gösterdiği tablo bunun ölçeğini anlatıyor: 1.039 sızıntı ve 17,8 milyar sızmış hesap kaydı.

E-postam sızdırıldı mı, nasıl kontrol ederim?

En hızlı kontrol, haveibeenpwned.com sitesine e-posta adresini yazmaktır; site adresinin hangi sızıntılarda göründüğünü ve hangi verilerin açığa çıktığını listeler. Have I Been Pwned (HIBP), güvenlik araştırmacısı Troy Hunt'ın 2013'ten beri yürüttüğü ücretsiz bir servistir.

1. Tarayıcına haveibeenpwned.com adresini kendin yaz. E-postayla gelen "sızıntı kontrol" bağlantılarını kullanma.
2. E-posta adresini kutuya yaz ve "Check" düğmesine bas.
3. Sonuç ekranında her sızıntının adını, tarihini ve sızan veri türlerini oku. Örneğin e-posta, şifre, telefon, doğum tarihi ya da IP adresi.
4. "Notify Me" bölümünden adresini kaydet. Gelecekte adresin yeni bir sızıntıda çıkarsa e-postayla haber alırsın.
5. Hassas sızıntıları görmek için "Dashboard" ile giriş yap. Bu sızıntılar yalnız adresin sahibi olduğunu doğrulayan kişiye gösterilir.

HIBP'nin SSS sayfasına göre site e-posta adreslerini yüklerken yanlarına şifre yüklemez ve aramaları kaydetmez. Sitedeki 89 hassas sızıntı da yetişkin siteleri gibi, adının görünmesi bile zarar verebilecek kayıtlardır.

Aynı veriyi kullanan ikinci bir kapı da Mozilla Monitor'dür. Monitor, 2018'de Firefox Monitor adıyla HIBP ile ortaklıkla başladı. Ücretsiz sızıntı izleme sunar ve yeni bir sızıntıda seni uyarır.

Şifremi siteye göndermeden sızdırılıp sızdırılmadığını nasıl öğrenirim?

HIBP'nin Pwned Passwords servisi, şifreni tam olarak göndermeden kontrol eden k-anonimlik yöntemini kullanır. Tarayıcın şifrenin SHA-1 özetini kendi tarafında çıkarır ve sunucuya yalnız ilk 5 karakterini gönderir.

Sunucu, aynı 5 karakterle başlayan yaklaşık 800 özetin geri kalanını ve her birinin kaç kez görüldüğünü döndürür. Karşılaştırma senin cihazında yapılır. Sunucu, aradığın şifrenin bu yüzlerce aday arasından hangisi olduğunu bilemez. HIBP'nin API belgesine göre 00000 ile FFFFF arasında 1.048.576 olası önek vardır ve her biri sonuç döndürür.

Mantık şöyle işler:

şifre (yalnız cihazında)   -> SHA-1 özeti: 21BD12DC183F740EE76F...
sunucuya giden             -> 21BD1
sunucudan dönen            -> ~800 sonek ve her birinin görülme sayısı
eşleşme kontrolü           -> yine senin cihazında

Bu yöntemi 2018'de Cloudflare'den Junade Ali önerdi. HIBP'nin sayfasına göre servis bugün ayda 18 milyardan fazla isteğe yanıt veriyor. ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) de SP 800-63B rehberinde yeni şifrelerin sızmış şifre listelerine karşı kontrol edilmesini öneriyor.

Bir uyarı: Sonuç "bulunamadı" çıkarsa şifren güçlü demek değildir. Yalnız bu veritabanında görülmemiştir. Özetleme ile şifrelemenin farkını merak ediyorsan hashing rehberine bak.

Hangi sızıntı kontrol aracı ne işe yarar?

Her araç farklı bir soruyu cevaplar; e-postanın sızıntısını, tek bir şifrenin durumunu ya da kayıtlı tüm şifrelerini. Aşağıdaki tablo neyi kontrol ettiklerini ve karşılığında ne paylaştığını gösteriyor.

Google ve Apple kayıtlı şifrelerimi nasıl denetler?

Şifrelerini Chrome ya da iPhone'a kaydediyorsan ayrıca bir siteye gitmene gerek yok; iki sistem de kayıtlı şifreleri bilinen sızıntılarla karşılaştırır.

Google Şifre Güvenliği için:

1. Bilgisayarda Chrome'u aç.
2. Sağ üstteki üç noktaya tıkla, "Şifreler ve otomatik doldurma" > "Google Şifre Yöneticisi"ni seç.
3. Sol menüden "Kontrol"e tıkla.
4. Chrome kullanmıyorsan passwords.google.com adresine git ve "Şifre Güvenliği'ne git" > "Şifreleri kontrol et"i seç.

Google sonuçları üç başlıkta verir: güvenliği ihlal edilmiş, yeniden kullanılan ve zayıf şifreler. Google'ın yardım sayfasına göre Google hesabının şifresi güvensiz görünürse, bu aracı hiç açmasan da şifreni değiştirmeni ister.

iPhone ve Mac'te iOS 18 ile gelen Parolalar uygulamasını aç ve "Güvenlik" bölümüne gir. Apple'a göre uygulama, kolay tahmin edilen, birden çok hesapta kullanılan ya da bilinen sızıntılarda görülen parolalar için uyarı verir. Apple'ın güvenlik belgesi, en sık sızan parolaların listesinin cihazda tutulduğunu yazıyor. Böyle bir parolan varsa uyarı dışarıya hiç sorgu gitmeden gelir.

Tarayıcım ya da parola yöneticim "şifren sızdı" diyorsa ne yapmalıyım?

Bu uyarı, kayıtlı şifrenin bilinen bir sızıntı listesinde bulunduğunu söyler; o şifreyi hemen değiştir. Uyarının kaynağı önemlidir. Tarayıcının ya da parola yöneticinin kendi ekranında çıkan uyarı gerçektir. E-postayla ya da SMS ile gelen "şifreniz sızdı, buraya tıklayın" mesajı ise çoğu zaman oltalamadır.

Parola yöneticileri bu kontrolü uzun süredir yapıyor. Örneğin 1Password, Pwned Passwords verisini Şubat 2018'de ürününe ekledi. Haziran 2018'de Watchtower özelliğine HIBP sızıntı aramasını da getirdi. Uyarı aldığında şu sırayı izle:

1. Uyarıdaki siteyi bağlantıya tıklamadan, adresi kendin yazarak aç.
2. Şifreyi değiştir ve yenisini parola yöneticine ürettir.
3. Aynı şifreyi kullandığın başka hesap varsa onları da değiştir.
4. Uyarıyı kapatıp geçme. Google'da uyarıyı "Uyarıyı kapat" ile gizleyebilirsin ama sorun ortadan kalkmaz.

Türkiye'deki veri sızıntılarını nereden takip ederim?

Türkiye'de şirketlerin bildirdiği veri ihlalleri, Kişisel Verileri Koruma Kurumu'nun (KVKK) sitesindeki Veri İhlali Bildirimleri sayfasında kamuoyuna duyurulur. Dayanak, 6698 sayılı Kanun'un 12. maddesinin 5. fıkrasıdır.

Bu fıkraya göre veriler kanuna aykırı yollarla ele geçirilirse veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirir. Kurul da gerekirse bunu kendi sitesinde ilan edebilir. Liste canlı bir kaynaktır. Örneğin yalnız 30 Eylül 2026 tarihinde dokuz yeni duyuru yayımlandı. Üye olduğun bir şirketin adını görürsen duyurudaki veri türlerini oku ve aşağıdaki adımları uygula.

Bir şirketin verini nasıl işlediğini öğrenmek de hakkındır. KVKK'nın 13. maddesine göre şirkete yazılı başvurabilirsin; şirket en geç 30 gün içinde ücretsiz cevap vermek zorundadır. 14. maddeye göre başvurun reddedilir, cevap yetersiz kalır ya da hiç gelmezse Kurul'a şikâyet edebilirsin. Bunun için cevabı öğrendiğin tarihten itibaren 30 gün, her hâlde başvurudan itibaren 60 gün içinde başvurman gerekir. Şirket tarafının 72 saatlik bildirim yükümlülüğünü KVKK veri ihlali yazımızda anlattık.

Infostealer günlüğü ve combo list nedir?

Infostealer günlüğü (stealer log), bilgisayarına bulaşan bilgi hırsızı yazılımın tarayıcıya yazdığın e-postaları, şifreleri ve site adreslerini topladığı kayıttır. Combo list ise farklı sızıntılardan derlenmiş e-posta ve şifre çiftlerinin listesidir.

Fark önemlidir. Combo list'te çıkman eski bir sitenin sızıntısından gelebilir. Stealer log'da çıkman ise cihazının bir dönem zararlı yazılım taşıdığını gösterir. Troy Hunt'ın aktardığı, Avustralya'nın siber güvenlik kurumu ASD'nin vaka örneğinde bulaşma, gerçek sanılan sahte bir Notepad++ yükleyicisiyle olur. Korsan yazılım ve "crack" dosyaları da bilinen bulaşma yollarındandır.

HIBP'ye yüklenen bazı büyük kayıtlar şunlar:

• ALIEN TXTBASE, Şubat 2025: Telegram'da dağıtılan 23 milyar satırlık stealer log; 284 milyon benzersiz e-posta.
• Synthient, Kasım 2025: yaklaşık 2 milyar e-posta ve 1,3 milyar benzersiz şifre içeren credential stuffing verisi. Şifrelerin 625 milyonu HIBP'de ilk kez görülüyordu.
• June 2026 Stealer Logs, Haziran 2026: 56,3 milyon e-posta adresi.
• Collection #1, Ocak 2019: 772,9 milyon adreslik, eski ama en bilinen combo list örneklerinden biri.

Bu listeler "credential stuffing" saldırısının yakıtıdır. Saldırgan, sızan e-posta ve şifre çiftlerini otomatik araçlarla başka sitelerde dener. Aynı şifreyi kullandığın her hesap bu yüzden risk altındadır.

Şifrem sızdırıldıysa adım adım ne yapmalıyım?

Adresin bir sızıntıda çıktıysa önce o sitedeki şifreni, sonra aynı ya da benzer şifreyi kullandığın her hesabı değiştir. Stealer log'da çıktıysan sıralama değişir: önce cihazı temizle.

1. Stealer log'da göründüysen bilgisayarını ve telefonunu tara. Temizlemeden belirlediğin yeni şifre de çalınır. Telefon için telefonum hacklendi mi rehberini izle.
2. Sızıntının yaşandığı sitedeki şifreni değiştir.
3. Aynı şifreyi kullandığın her yeri değiştir. Önce e-posta, sonra banka, e-Devlet ve sosyal medya.
4. "Şifre123" yerine "Şifre124" gibi küçük değişiklik yapma. Saldırganlar bu kalıpları da dener.
5. İki adımlı doğrulamayı aç. Uygulama tabanlı kodlar ya da geçiş anahtarı SMS'ten daha sağlamdır.
6. Açık oturumları kapat. Google için myaccount.google.com > Güvenlik ve oturum açma > Cihazlarınız > Tüm cihazları yönet yolunu izle.
7. Sızıntıda kart bilgisi varsa bankanı ara ve kartını yenilet.
8. Sızıntıda telefon ya da adres varsa oltalama mesajlarına hazırlıklı ol. Dolandırıcılar sızıntıyı bahane edip "hesabınız askıya alındı" diye yazar.
9. Adresini HIBP'nin "Notify Me" servisine ya da Mozilla Monitor'e kaydet.

Her hesaba benzersiz şifre vermenin pratik yolu bir parola yöneticisidir. Nasıl seçileceğini parola yöneticisi rehberinde anlattık. İki adımlı doğrulama türlerinin karşılaştırması da 2FA rehberinde.

Eski şifremi yazan şantaj e-postası gelirse ne yapmalıyım?

"Şifren şu, bilgisayarına girdim, seni kameradan kaydettim" diyen e-postalar, eski bir sızıntıdan aldıkları şifreyi kanıt gibi gösterir. Çoğu toplu gönderilir. Ellerindeki tek "kanıt" genelde o eski şifredir.

1. Ödeme yapma ve cevap verme.
2. E-postada yazan şifreyi hâlâ kullanıyorsan her yerde değiştir.
3. Adresini HIBP'de kontrol et; şifrenin hangi sızıntıdan geldiğini çoğu zaman bulursun.
4. E-postayı spam olarak işaretle.
5. Sende gerçekten görüntü olduğunu kanıtlayan bir şey varsa ya da tehdit sürerse savcılığa ya da emniyetin siber birimine başvur.

Bundan sonra ne yapmalısın?

Sızıntıyı kontrol ettin ve şifrelerini değiştirdin; sıradaki adım, şifrelerin nasıl saklandığını anlamak. Ücretsiz Siber Güvenlik Temelleri yolunda parolaların neden özetlenip tuzlandığını uygulamalı öğrenirsin. Siber terimleri arkadaşlarınla oynayarak pekiştirmek istersen Parola oyununu dene. TUZ ve ÇEREZ gibi kartların her birinin bir gündelik, bir de siber anlamı var.

Kaynaklar

• Have I Been Pwned: Who's Been Pwned ve SSS, 5 Ekim 2026.
• Have I Been Pwned: Pwned Passwords ve API v3 belgesi.
• Troy Hunt: ALIEN TXTBASE stealer log'ları, Şubat 2025.
• Troy Hunt: 2 milyar e-posta adresi ve Synthient verisi, Kasım 2025.
• Google Hesabı Yardım: Güvenliği ihlal edilmiş şifreleri değiştirme.
• Apple Destek: Parolalar uygulamasını kullanma ve Password Monitoring.
• KVKK: Veri İhlali Bildirimleri ve 6698 sayılı Kanun.