Veri sızıntıları ve etik sınır
- Veri sızıntılarını yasal zeminde kontrol etmeyi, k-anonimlik yöntemini ve parola denemekten ayıran etik ile hukuki sınırı öğren.
- Meşru kullanım, kurumun kendi verisini kendi izniyle kontrol etmektir.
- Bu derste sızıntı kaynaklarını, sahiplik doğrulamasını ve kırmızı çizgileri öğrenirsin.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +55 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Bir veri sızıntısı, kurumun kayıtlarının izinsiz dışarı çıkmasıdır. İçinde e-posta adresi, parola özeti ve bazen kimlik bilgisi bulunur. Bu kümeler forumlarda ve arşivlerde dolaşır. Sızıntıya iki gözle bakarsın.
Birinci göz tekniktir. Sızıntının nasıl kontrol edildiğini, parolanın hiç gönderilmeden nasıl sınandığını ve parola tekrarının kurumu neden açtığını görürsün.
İkinci göz hukukidir. Aynı veriye bakan iki analistten birinin meşru iş yaptığı, öbürünün suç işlediği çizgiyi çizersin. Verinin açıkta durması onu serbest kılmaz. Açıkta olmak ile hukuka uygun olmak farklı şeylerdir.
İki yol: farkı sahiplik yaratır
Ayrımı net koy. Sızıntı verisini indirip içinde arama yapmak, kişisel veriyi işlemektir. Kurumun kendi alan adı için 'etkilendik mi' sorusunu sormak farklı bir iştir.
İkincisinde kurum kendi verisini sorgular ve hukuki dayanağı vardır. Have I Been Pwned adlı servis bu ikinci yolu kurumsallaştırır. Alan adı araması yalnız sahipliği doğrulanmış alan adı için çalışır.
Doğrulama iki yolla yapılır. Ya alan adına servisin verdiği bir DNS TXT kaydını eklersin, ya da admin, hostmaster, info, security veya webmaster gibi tanımlı bir kurumsal adrese gelen onay bağlantısını açarsın. Büyük alan adlarında sonuçları görmek genelde abonelik ister. Sonuç olay adını, tarihini ve sızan veri sınıflarını verir, ham parolaları vermez.
DOĞRU YOL 1. Alan adı sahipliğini DNS TXT kaydıyla doğrula 2. Yalnız kendi alan adın için sızıntı listesini iste 3. Etkilenen hesaplara parola sıfırlama zorunluluğu uygula YANLIŞ YOL 1. Sızıntı dosyasını indir 2. İçinde üçüncü kişileri ara 3. Bulunan parolaları giriş panelinde dene <-- TCK 243 ve 136
İki yolu satır satır karşılaştır. Doğru yolun ilk adımı sahipliği kanıtlamaktır ve sonuçları görme hakkını kurar. İkinci adım sorguyu kendi alan adınla sınırlar.
Üçüncü adım bulguyu korumaya çevirir. Yanlış yolun her adımı ise ayrı bir sınırı geçer. Dosyayı indirmek üçüncü kişilerin verisini kaydetmektir. İçinde arama yapmak o veriyi işlemektir.
Parolayı panelde denemek yetkisiz erişimdir. En sık hata ilk adımda yapılır. Analist 'yalnız doğrulamak için' dosyayı indirir ve çizgiyi daha başta geçer. Bir sızıntının kurumu etkileyip etkilemediğini öğrenmenin meşru yolu, doğrulanmış alan adı aramasıdır.
Etkinlik 1 / 6
Her davranışı yasal zeminine göre ayır.
Önce bir seçeneğe, sonra aşağıdaki uygun kutuya bas. İstersen seçeneği kutuya sürükleyip bırak. Yerini değiştirmek için aynı işlemi tekrarla.
0/6 seçenek yerleşti.
k-anonimlik: parolayı göndermeden kontrol
Bir parolanın sızıp sızmadığını, parolayı hiç göndermeden öğrenebilirsin. Yönteme k-anonimlik denir. Önce parolanın SHA-1 özetini alırsın. Sonra bu özetin yalnız ilk beş karakterini servise sorarsın.
Servis, o beş karakterle başlayan bütün özet soneklerini ve kaçar kez göründüklerini geri döner. Kalan eşleştirmeyi kendi bilgisayarında yaparsın. Servis senin hangi parolayı sorduğunu öğrenmez, çünkü ona yalnız kısa bir ön ek gider ve bu ön eki yaklaşık iki bin başka özet paylaşır. Aşağıdaki örnek en bilinen zayıf parolalardan birini, 'password' sözcüğünü sınar.
$ echo -n "password" | shasum -a 1 5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8 - # Servise yalnız ilk 5 karakter (5BAA6) gider, kalan sonek yerelde aranır $ curl -s "https://sizinti-servisi.example/range/5BAA6" | grep -i "1E4C9B93F3F0682250B6CF8331B7EE68FD8" 1E4C9B93F3F0682250B6CF8331B7EE68FD8:52372427
Komutları satır satır oku. echo -n sözcüğü satır sonu eklemeden yazar, shasum -a 1 de SHA-1 özetini çıkarır. -n'yi unutmak sık bir hatadır. Satır sonu da özete girer, bambaşka bir özet çıkar ve sonuç yanlış olur.
İkinci komut aralık sorgusudur. Adreste yalnız 5BAA6 ön eki gider. grep, gelen listede kalan 35 karakterlik soneki yerelde arar. Satırın sonundaki 52372427, bu parolanın sızıntı kümelerinde kaç kez göründüğüdür.
Sayı sıfırdan büyükse parola kullanılmamalıdır. Servis yanıta sayacı sıfır olan sahte kayıtlar da ekleyebilir. Buna yastıklama (padding) denir ve istemci Add-Padding başlığıyla ister. Böylece yanıtın boyutu sorulan ön eki ele vermez.
Kurumsal tarafta aynı yöntem toplu denetime de uyar. Servis aralık sorgusunu NTLM özetleriyle de kabul eder. Kimlik yönetimi ekibi, dizin hizmetindeki parola özetlerini sızıntı listesine karşı tarayabilir ve riskli hesapları sıfırlamaya alabilir.
Bu iş yalnız kurumun kendi hesapları için ve yazılı bir iç prosedürle yapılır. Sonuç da kişi listesi olarak değil, 'sızıntı listesinde görünen parolayı kullanan hesap sayısı' olarak raporlanır. Böylece kontrol mümkün olur, ama hiçbir parola kurum dışına çıkmaz. Kurumsal kullanımda bu tür yöntemleri tercih edersin.
Etkinlik 2 / 6
Doğru mu, yanlış mı?
k-anonimlik yönteminde parolanın tamamı sızıntı servisine gönderilir.
Parola tekrarı ve kimlik doldurma
Sızıntıların en yıkıcı etkisi parola tekrarıdır. Bir çalışan aynı parolayı hem dış bir siteye hem kurumsal panele yazdıysa, o sitenin sızıntısı kurumu da açar. Saldırgan sızan kullanıcı adı ve parola çiftlerini toplu halde başka sitelerde dener. Buna kimlik bilgisi doldurma (credential stuffing) denir ve MITRE ATT&CK onu T1110.004 olarak sayar.
Sızıntıların hepsi aynı ağırlıkta da değildir. Sıradan bir forum sızıntısı e-posta ve parola özeti taşır.
Bilgi hırsızı (stealer) zararlının topladığı kayıt ise tarayıcıdaki oturum çerezlerini de çalar. Çalınan çerez, kullanıcı zaten giriş yapmış gibi davranır ve çok adımlı doğrulamayı atlayabilir. MITRE bunu T1539 olarak listeler.
2026-09-14T02:11:03Z giris BASARISIZ [email protected] ip=203.0.113.45 2026-09-14T02:11:03Z giris BASARISIZ [email protected] ip=203.0.113.45 2026-09-14T02:11:04Z giris BASARISIZ [email protected] ip=203.0.113.45 2026-09-14T02:11:05Z giris BASARILI [email protected] ip=203.0.113.45
Kaydı satır satır oku. Dört deneme aynı adresten, iki saniye içinde geliyor. Her satırda başka bir kullanıcı adı var.
İnsan böyle yazmaz, bir liste otomatik deneniyor. İlk üç deneme başarısız, dördüncüsü başarılı. Son satır en önemlisidir.
e.demir hesabının parolası dış bir sızıntıda geçiyor ve kurumda da kullanılıyor. Tespit kuralı bu desenden çıkar: kısa sürede çok sayıda farklı kullanıcı adı, yüksek başarısızlık oranı ve aynı istemci. Müdahalede o hesabın parolasını sıfırlatır, açık oturumlarını kapatır ve çok adımlı doğrulamayı zorunlu kılarsın. Adresi engellemek de işe yarar, ama saldırgan çoğu zaman binlerce farklı adres kullanır.
Savunma önerisi bir standarda dayanır. NIST'in dijital kimlik kılavuzu SP 800-63B, Ağustos 2025'te yayımlanan dördüncü sürümünde yeni parolanın bir engel listesine karşı denetlenmesini zorunlu tutar. Bu liste sık kullanılan, tahmin edilebilir ve ele geçirilmiş parolaları içerir. Kılavuz, tek başına kullanılan parolanın en az 15, çok adımlı doğrulamanın parçası olan parolanın en az 8 karakter olmasını ister.
Kurumsal önerin bu cümlelere dayanır: sızıntı listesi kontrolü, çok adımlı doğrulama ve parola yöneticisi. Bilgi hırsızı şüphesinde parola sıfırlamak tek başına yetmez. Açık oturumları da iptal eder ve cihazı yeniden güvene alırsın. Hangi adımın ne zaman atılacağı olay müdahale planında yazılı olur.
Etkinlik 3 / 6
Doğru mu, yanlış mı?
Sızıntıda bulunan bir parolayı hedefin giriş sayfasında denemek, giriş yapılamazsa suç oluşturmaz.
Hukuki çerçeve
Sızıntı verisiyle çalışırken birkaç madde sınırı çizer. Bu maddeleri bilmek, bir talebin nerede suça döndüğünü hemen gösterir. Parola denemesi en keskin çizgidir. Sızıntıdan çıkan parolayı hedefin giriş sayfasında denemek, giriş başarısız olsa bile hukuka aykırıdır ve suça teşebbüs olarak yargılanabilir.
İkinci çizgi paylaşımdır. Raporuna gerçek bir kişinin parola özetini ya da kimlik numarasını koyduğun an veriyi yaymış olursun. Aktarmak için para almak da gerekmez, paylaşmak yeter.
TCK 135 Kişisel veriyi hukuka aykırı kaydetmek -> Sızıntı dosyasını indirip saklamak TCK 136 Kişisel veriyi başkasına vermek, yaymak -> Bulunan veriyi üçüncü tarafa iletmek TCK 243 Bilişim sistemine izinsiz girmek -> Sızan parolayı giriş panelinde denemek TCK 244 Sistemdeki veriyi bozmak, değiştirmek -> Ele geçirilen hesapta veri silmek KVKK 12 Veri güvenliği ve ihlal bildirimi -> İhlali en kısa sürede ilgilisine ve Kurula bildirmek
Tabloyu satır satır oku. TCK 135 kişisel veriyi hukuka aykırı kaydetmeyi cezalandırır. Sızıntı dosyasını 'yalnız bakmak için' indirip saklamak bu satıra düşer.
TCK 136 veriyi başkasına vermeyi, yaymayı ve ele geçirmeyi kapsar. TCK 243 bir bilişim sistemine hukuka aykırı girmeyi ve orada kalmaya devam etmeyi cezalandırır. TCK 244 ise sistemi bozmayı, verileri silmeyi ve değiştirmeyi kapsar.
Son satır bir suç değil, bir ödevdir. KVKK'nın 12. maddesi veri sorumlusuna teknik ve idari tedbir alma yükü verir. Kişisel veri kanuni olmayan yollarla başkalarınca ele geçirilirse, kurumun durumu en kısa sürede ilgilisine ve Kurula bildirmesini ister.
Etkinlik 4 / 6
Her kanun maddesini karşılık geldiği eylemle eşleştir.
Raporlama ve hazırlık
Meşru raporlamanın biçimi bellidir. Ham satırdan sayısal bulguya geçersin.
'ad.soyad@... : parola' biçimindeki bir kaydı rapora koymazsın. Onun yerine şunu yazarsın: kurumsal alan adına ait dört yüz on iki adres, üç ayrı olayda geçiyor, en yenisi 2025 Mart tarihli. Ardından öneriyi koyarsın: etkilenen hesaplarda parola sıfırlama, çok adımlı doğrulama ve tekrar kullanılan parolaların taranması. Zaman da hesaba girer.
Beş yıl önceki bir sızıntı bugün çoğu hesapta etkisizdir. Geçen ayki sızıntı ise acil müdahale ister. Tarihsiz bir uyarı gereksiz panik üretir.
Bir örnek üstünden yürü. Beyaz Vadi Lojistik için alan adı aramasını çalıştırdın ve sonuç dört yüz on iki adres döndü. Sahipliği DNS TXT kaydıyla doğruladığın için sonuçları görmeye hakkın var.
Önce bulguyu veri sınıfına göre ayırırsın. Yalnız e-posta ve parola özeti sızan bir olay ile oturum çerezi de sızan bir bilgi hırsızı kaydı aynı ağırlıkta değildir. Sonra tarihe bakarsın ve olayları en yeniden en eskiye dizersin.
En son önerini yazarsın. En yeni ve en ağır olaydaki hesaplara önce parola sıfırlatır, çok adımlı doğrulamayı açar ve gerekirse oturumları sonlandırırsın. Kendi notuna da yalnız olay adını, tarihini ve etkilenen adres sayısını yazarsın. Satır satır veriyi tutmazsın.
Etkinlik 5 / 6
Beyaz Vadi Lojistik'e sızıntı bulgusunu yazan kısa bir rapor paragrafı yaz. Ham veri koyma.
Kurum tarafında hazırlık da ölçülür. Sızıntı olduğunda kim haberdar edilir, hangi hesaplar önce kapatılır, müşterilere ne zaman bildirim gider. Bu soruların cevabı önceden yazılı değilse kurum sızıntıyı öğrendikten sonra günlerce karar arar. KVKK'nın istediği bildirim de bu bekleyişte gecikir.
Raporda hazırlık eksikliği de bir bulgudur ve çoğu zaman teknik açıktan daha kritiktir. Analistin kendi disiplini de aynı ölçüye bağlıdır. Kendi kurumunun sorusunu sorar, üçüncü kişilerin verisine dokunmaz ve rapora ham kayıt koymaz. Bu üç alışkanlık, sızıntı alanındaki kararların çoğunu önceden çözer.
Etkinlik 6 / 6
Bir kurum sana 'rakibimizin sızan müşteri listesini bulup getirin' diyor. Doğru yanıt hangisidir?
Derinleş:Parola kurallarının değişimi
Yıllarca güvenlik önerisi aynıydı: karmaşık bir parola seç, büyük harf ve simge kat, düzenli aralıklarla değiştir. NIST'in dijital kimlik kılavuzu SP 800-63B, Ağustos 2025'te yayımlanan güncel sürümünde bu iki kuralı da tersine çevirdi. Belge iki eski kuralı açıkça yasaklar.
Büyük harf, rakam ve simge gibi bileşim zorunlulukları getirilmemelidir; bunlar kullanıcıyı tahmin edilebilir kalıplara iter. Parolanın düzenli aralıklarla zorla değiştirilmesi de istenmemelidir. Değişim yalnız bir ele geçirme belirtisi varsa zorunludur.
Uzunluk tarafında yön nettir. Doğrulayıcının en az 64 karakterlik parolaları kabul etmesi önerilir, böylece kullanıcı akılda kalan uzun parola cümleleri seçebilir. Asıl ölçüt artık karmaşıklık değil, parolanın daha önce ele geçirilmiş olup olmadığıdır. Bu değişim, k-anonimlik gibi araçların neden önem kazandığını da açıklar.
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.