İnternet Bankacılığı Şifresi Nasıl Olmalı?

İnternet bankacılığı şifresi nedir?

İnternet bankacılığı şifresi, bankanızın internet şubesine ve mobil uygulamasına girerken müşteri numaranız veya T.C. kimlik numaranızla birlikte yazdığınız gizli şifredir. Bankacılık Düzenleme ve Denetleme Kurumu'nun (BDDK) yönetmeliği parolayı kimlik doğrulamada kullanılan, gizli harf, rakam ve/veya özel işaretlerden oluşan karakter dizisi olarak tanımlar. Uygulamada Türkiye'deki birçok banka yalnızca rakamlardan oluşan kısa bir şifre kullanır.

İki bankanın resmi sayfasından örnek:

• Garanti BBVA: İnternet bankacılığı parolası 6 karakterden oluşur, yalnızca rakam içerir ve son 3 parolanızdan farklı olmalıdır. Aynı parola mobil ve internet bankacılığında geçerlidir.
• Türkiye Finans: "Dijital Şifre" adını verdiği şifre, tüm dijital kanallarında geçerli, 6 haneli ve tamamen sayısaldır; mobil şube, internet şubesi ve müşteri iletişim merkezinde kullanılır.

Kendi bankanızın kuralı farklı olabilir. Harf de kabul eden bir banka kullanıyorsanız uzun bir şifre seçmek her zaman avantajlıdır. Kaynaklar: Garanti BBVA, Türkiye Finans.

Mobil bankacılık şifresi nedir, dijital şifre ne demek?

Mobil bankacılık şifresi çoğu bankada internet bankacılığı şifresiyle aynı şifredir; bazı bankalar bu ortak şifreye "dijital şifre" ya da "dijital parola" der. Bir de kart şifresi (PIN) vardır: ATM'de ve POS cihazında kullandığınız, çoğunlukla 4 haneli şifre. Bunlar ayrı şifrelerdir ve farklı olmalıdır. Kart şifresi seçimini kredi kartı ve banka kartı şifresi yazımızda anlatıyoruz.

6 haneli bir şifre nasıl güvende kalıyor?

Altı rakamla yalnızca 1.000.000 farklı şifre yazılabilir. Bu, e-posta şifresi için çok az olurdu. Bankacılıkta ise şifre tek başına yeterli değildir, çünkü yönetmelik iki önlemi zorunlu tutar:

• İki bileşenli doğrulama: BDDK'nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği'nin 34. maddesine göre bankalar, hesap bilgisini görüntülemek gibi işlemler dahil, müşterilerine birbirinden bağımsız en az iki bileşenli bir kimlik doğrulama uygulamak zorundadır. Bileşenler bildiğiniz (şifre), sahip olduğunuz (mobil uygulama, SMS ile gelen tek kullanımlık şifre) ve biyometrik (parmak izi, yüz) sınıflarından farklı ikisinden seçilir.
• Deneme sınırı: Aynı maddeye göre başarısız denemeler belli bir sayıyı aşınca ek güvenlik önlemleri alınır, denemeler sürerse erişim engellenir. Saldırgan bir milyon şifreyi tek tek deneyemez.

Bu yüzden 6 haneli şifrenin gücü, tahmin edilememesine bağlıdır. Doğum tarihiniz 150390 ise dolandırıcı onu ilk denemede yazar; rastgele 6 rakamı ise birkaç denemede bulma şansı yok denecek kadar azdır.

İnternet bankacılığı şifresi nasıl olmalı?

TBB'nin dolandırıcılık rehberi şifrenin doğum tarihi gibi kolay tahmin edilebilecek bilgilerden oluşturulmamasını ister; Garanti BBVA da doğum tarihi, T.C. kimlik, telefon ve müşteri numarası gibi rakam dizilerini saymaktadır. Bunlardan yola çıkarak şu kuralları uygulayın:

• Kişisel sayı yok: Doğum tarihi veya yılı, evlilik yıl dönümü, T.C. kimlik ve telefon numarasının parçaları, plaka, kapı numarası.
• Kalıp yok: 123456, 654321, 111111, 121212, 112233, 159753 gibi tuş takımında şekil çizen diziler. Bunlar herkesin ilk denediği şifrelerdir; en çok kullanılan şifre listelerinin başında yer alırlar.
• Kart şifresiyle aynı olmasın: ATM'de başkasının görebildiği PIN, mobil bankanızın anahtarı olmamalı.
• Başka yerde kullanılmasın: TBB, aynı şifreyi birden fazla bankada kullananların dolandırıcılık anında diğer bankalarını da araması gerektiğini hatırlatıyor. Her bankaya ayrı şifre verin.
• Rastgele seçin: PIN üretici aracımızda hane sayısını 6'ya getirin; araç 1234, 0000, 1212, yıl ve tarih gibi tahmin edilmesi kolay sayıları ayıklar ve tarayıcınızda çalışır, ürettiği sayıları hiçbir yere göndermez.

Bankanız harf ve özel karakter de kabul ediyorsa 6 haneyle yetinmeyin. En az 12, mümkünse 16 karakterlik rastgele bir şifreyi şifre üreticimizle oluşturup bir şifre yöneticisinde saklayabilirsiniz.

İnternet bankacılığı şifresi nasıl değiştirilir?

Menü adları bankadan bankaya değişse de işlem genellikle aynı yoldan yapılır:

1. Bankanızın resmi mobil uygulamasını açın ya da internet şubesine bankanın resmi sitesindeki giriş düğmesinden girin. TBB, arama motorundan veya bir SMS ya da e-postadaki bağlantıdan geldiyseniz bilgilerinizi yazmadan önce adres çubuğundaki adresi kontrol etmenizi öneriyor.
2. Oturum açtıktan sonra ayarlar, güvenlik veya şifre işlemleri bölümüne gidin.
3. Mevcut şifrenizi, ardından yeni şifrenizi iki kez yazın. Banka onay için telefonunuza tek kullanımlık şifre gönderebilir.
4. Yeni şifreyi eskisiyle ilgisi olmayan rakamlardan seçin; 482915 yerine 482916 gibi bir değişiklik şifre değiştirmek sayılmaz.

Şifrenizi unuttuysanız giriş ekranındaki "şifremi unuttum" veya "şifre al" seçeneğini kullanın. Yöntemler bankaya göre değişir; örneğin Garanti BBVA mobil uygulama ve internet bankacılığının yanında şube, çağrı merkezi, yeni kimlik kartının NFC ile okutulması ve görüntülü görüşme seçeneklerini sayıyor. BDDK yönetmeliği uzaktan şifre sıfırlamada da iki bileşenli doğrulama arar; kart PIN'iniz bu aşamada bildiğiniz unsur olarak kullanılabilir.

Şifreyi ne sıklıkla değiştirmeli?

Bazı bankalar belirli aralıklarla şifre değişikliği ister; TBB'nin rehberi de düzenli değişikliği önerir. Bankanızın kuralı neyse ona uyun. Bunun dışında şifreyi mutlaka hemen değiştirmeniz gereken durumlar şunlardır: şifreyi birine söylediyseniz, bir SMS veya e-postadaki bağlantıdan açılan sayfaya yazdıysanız, telefonunuza zararlı bir uygulama yüklediğinizden şüpheleniyorsanız ya da bilmediğiniz bir giriş bildirimi aldıysanız.

İnternet bankacılığı şifresi bloke oldu: ne yapmalıyım?

Şifre birkaç kez yanlış girildiğinde bankalar erişimi durdurur. Ziraat Bankası'nın sıkça sorulan sorular sayfası, şifresini unutan veya şifresi bloke olan kullanıcıların giriş ekranındaki şifremi unuttum bağlantısından yeni şifre oluşturabileceğini söylüyor. Diğer bankalarda da yol benzerdir: uygulamadan yeni şifre almak veya çağrı merkezini aramak.

Blokeyi kendiniz yaratmadıysanız durum farklıdır. Birisi şifrenizi deniyor olabilir. Bu durumda:

• Bankanızı kartınızın arkasındaki veya resmi sitesindeki numaradan kendiniz arayın. SMS'teki numarayı aramayın.
• Hesap hareketlerinizi, tanımlı cihazları ve kayıtlı alıcıları kontrol edin.
• Yeni şifreyi daha önce hiç kullanmadığınız rakamlardan seçin.

"Hesabınız bloke oldu, açmak için tıklayın" diyen SMS'ler en yaygın dolandırıcılık mesajlarındandır. Bankadan geldiği görünse bile bağlantıya tıklamayın; örnekleri SMS dolandırıcılığı yazımızda topladık.

Şifreyi kimseyle paylaşmayın: dolandırıcıların senaryoları

TBB'nin "Dolandırıcılık Eylemleri ve Korunma Yöntemleri" rehberindeki vakaların ortak noktası, şifrenin çalınmaması, müşterinin kendisi tarafından söylenmesidir. Dolandırıcılar kart aidatı iadesi, işlem iptali, kredi onayı, hatta emniyet veya savcılık adına arayarak şifreyi ve telefona gelen kodu ister. Kimi zaman görüşmeyi "sesli yanıt sistemine" aktarıp şifrenizi tuşlamanızı söylerler.

TBB'nin bu konudaki uyarısı nettir: bankanız sizi arayarak işlem onayı için şifrenizi tuşlamanızı, paylaşmanızı veya mobil onay vermenizi istemez. Telefona gelen tek kullanımlık şifreyi de kimseye okumayın; ayrıntılar tek kullanımlık şifre (OTP) yazısında. Şifrenizi paylaştığınızı fark ederseniz TBB'nin önerdiği sırayla hareket edin: bankanızı hemen arayın, şifrelerinizi değiştirin, aynı şifreyi kullandığınız diğer bankaları da arayın.

Kaynaklar: BDDK yönetmeliği (mevzuat.gov.tr), TBB Güvenlik, Ziraat Bankası SSS.

Bankanın sunduğu ek güvenlik ayarlarını kullanın

İyi bir şifre tek başına her şeyi çözmez. BDDK yönetmeliği bankaların müşterilerine erişim kısıtlamaları, günlük işlem limitleri ve güvenli alıcılar listesi gibi ek önlemler sunmasını şart koşar. Kontrol etmeye değer ayarlar:

• Günlük para transferi ve internet alışverişi limitleri.
• Bankanızın sunduğu erişim kısıtlamaları ve güvenli alıcılar listesi.
• Uygulamanın yalnızca sizin telefonunuzda tanımlı olması; tanımadığınız cihazları kaldırmak.
• İşlem bildirimleri: her transfer ve giriş için SMS veya bildirim almak.

Yönetmeliğe göre mobil uygulamasını etkinleştirmiş müşterilere oturum açma ve işlem onayı için SMS ile kod gönderilemez (ilk kurulum ve uygulamanın kullanılamadığı durumlar hariç). SIM kartını değiştiren veya numara taşıyan müşterilerde de değişiklik teyit edilmedikçe SIM karta dayalı doğrulama 90 gün boyunca kullanılamaz. SMS doğrulamanın zayıf yanlarını SMS ile doğrulama güvenli mi yazısında anlatıyoruz.