E-posta Hesabı Güvenliği Nasıl Sağlanır?

E-posta güvenliği nedir, neden bu kadar önemli?

E-posta güvenliği, e-posta hesabınıza yalnızca sizin girebilmeniz ve gelen kutunuza düşen sahte iletilerin sizi kandıramaması demektir. Önemi şuradan gelir: bir sitede "şifremi unuttum" dediğinizde sıfırlama bağlantısı e-postanıza gider. E-postasını ele geçiren biri, bu bağlantılarla sosyal medya, alışveriş ve hatta bazı finans hesaplarınızın şifresini de değiştirebilir. Bu yüzden e-posta, korumanız gereken ilk hesaptır.

Aşağıdaki kontrol listesi Gmail ve Outlook (Hotmail) için yazıldı; başka bir sağlayıcı kullanıyorsanız aynı ayarları o sağlayıcının güvenlik sayfasında arayın.

E-posta güvenliği nasıl sağlanır? 8 adımlık kontrol listesi

1. Yalnızca e-postaya ait, uzun bir şifre kullanın

Google'ın uyarısına göre aynı şifreyi birden fazla sitede kullanmak güvenli değildir; bir sitedeki şifre ele geçirilirse başka sitelerdeki hesaplara girmek için kullanılabilir. E-posta şifreniz başka hiçbir yerde kullanılmamalı. En az 16 karakterlik rastgele bir şifreyi şifre üreticiyle oluşturup bir şifre yöneticisine kaydedin. Gmail'de şifre değiştirme adımları için Gmail şifre değiştirme rehberine bakın.

Şifreyi belirli aralıklarla zorla değiştirmek yerine, sızıntı veya şüpheli giriş olduğunda hemen değiştirin.

2. İki adımlı doğrulamayı açın (SMS'ten güçlü bir yöntemle)

İki adımlı doğrulama, şifreniz çalınsa bile saldırganın hesaba girmesini zorlaştırır. Google, kısa mesaj kodlarını hedef alan oltalama tekniklerine karşı daha güçlü bir ikinci adım seçmenizi öneriyor: güvenlik anahtarlarını en güvenli doğrulama adımı, Google istemlerini ise kısa mesaj kodlarından daha güvenli olarak tanımlıyor. Google hesabınızda geçiş anahtarı da oluşturabilirsiniz; Google'a göre geçiş anahtarları paylaşılamaz, kopyalanamaz ve bu yüzden kimlik avına karşı daha güvenlidir.

Gmail için adımlar Google hesabı iki adımlı doğrulama rehberinde. Microsoft hesabında da iki adımlı doğrulama açılabilir; Microsoft'a göre güvenilmeyen bir cihazdan her oturum açışınızda bir güvenlik kodu istenir.

Gazeteci, aktivist veya çevrim içi saldırılara açık biriyseniz Google'ın Gelişmiş Koruma Programı'na bakın. Google'a göre bu program güvenlik anahtarlarını zorunlu kılar ve güvenli olmayan uygulamaları engellemek gibi ek önlemler uygular.

3. Kurtarma telefonu ve e-postasını güncel tutun

Google'a göre kurtarma telefonu ve e-postası; başkasının hesabınızı izinsiz kullanmasını engellemeye, şüpheli etkinlikte sizi uyarmaya ve giriş yapamadığınızda hesabı kurtarmaya yarar. Microsoft da hesaba alternatif e-posta ve cep telefonu eklemenin, erişimi kaybettiğinizde hesabı daha hızlı geri almanızı sağladığını belirtiyor. Kullanmadığınız eski bir numara veya kapattığınız bir e-posta adresi kayıtlıysa hemen güncelleyin; aksi hâlde kurtarma kodları başkasına gidebilir.

4. Güvenlik Kontrolü ve son etkinlikleri inceleyin

• Gmail: Google Hesabınızda Güvenlik ve oturum açma bölümüne girin. "Son güvenlik işlemleri" panelinden Güvenlik işlemlerini incele'yi seçin; tanımadığınız bir işlem varsa Hayır, ben değildim'i seçip ekrandaki adımları izleyin. Aynı yerdeki Cihazlarınız > Cihazları yönet bölümünde tanımadığınız cihaz olup olmadığına bakın. Google'ın Güvenlik Kontrolü size kişiye özel öneriler de sunar.
• Outlook / Hotmail: Microsoft'a göre hesabınıza ne zaman ve nereden erişildiğini, başarılı girişler ve güvenlik sınamaları dahil account.live.com/activity adresindeki son etkinlik sayfasında görebilirsiniz.

5. Gizli yönlendirme ve filtre kurallarını kontrol edin

Hesaba giren saldırganlar çoğu zaman gelen postaların bir kopyasını kendi adreslerine yönlendiren veya banka uyarılarını otomatik silen kurallar bırakır. Google, ele geçirilen hesaplarda kendi ayarlamadığınız etiketleri, filtreleri ve yönlendirme kurallarını kaldırmanızı öneriyor.

• Gmail: Bilgisayarda sağ üstteki Ayarlar > Tüm ayarları göster'e girin. Yönlendirme ve POP/IMAP sekmesinde tanımadığınız bir yönlendirme adresi olmamalı. Filtreler ve Engellenen Adresler sekmesinde de kendi oluşturmadığınız filtreleri silin.
• Outlook.com: Microsoft, ele geçirilen hesaplar için ayarlardaki bağlı hesaplar, iletme ve otomatik yanıtlar bölümlerini kontrol etmenizi öneriyor. Gelen kutusu kurallarında tanımadığınız bir iletme kuralı olup olmadığına da bakın.

6. Hesabınıza erişimi olan uygulamaları temizleyin

"Google ile giriş yap" veya "Microsoft ile oturum aç" ile bağladığınız uygulamalar, verdiğiniz izne göre e-postanıza veya hesap bilgilerinize erişebilir. Google, hesap bilgilerinizi hangi uygulamaların kullanabildiğini incelemenizi ve gereksiz olanları kaldırmanızı öneriyor. Tanımadığınız veya artık kullanmadığınız her uygulamanın erişimini kaldırın.

7. Cihazınızı ve tarayıcınızı güncel tutun

Google ve Microsoft, işletim sisteminin, tarayıcının ve uygulamaların güncel tutulmasını öneriyor; güncel olmayan yazılımlar saldırılara açık olabilir. Tarayıcıya tanımadığınız eklenti kurmayın ve e-postanızı ortak kullanılan bilgisayarlarda açtıysanız oturumu mutlaka kapatın.

8. Sahte e-postalara karşı dikkatli olun

E-posta hesaplarının en sık ele geçirilme yolu oltalama (phishing) iletileridir. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) şu işaretlere dikkat çekiyor: acil ya da korkutucu dil, kişisel ve finansal bilgi istenmesi, güvenilmeyen kısaltılmış bağlantılar ve bir harfi değiştirilmiş alan adları. Google'ın önerileri de benzer:

• Gönderen adıyla e-posta adresinin eşleşip eşleşmediğine bakın.
• Bilgisayarda bağlantının üzerine gelip gerçek adresi kontrol edin; açıklama ile adres tutmuyorsa tıklamayın.
• Bir e-postadaki bağlantıdan açılan sayfa şifrenizi isterse girmeyin; siteye adresi kendiniz yazarak gidin.
• Google'dan geldiğini iddia eden bir güvenlik e-postasından şüphelenirseniz doğrudan myaccount.google.com/notifications adresine gidip son güvenlik etkinliklerine bakın.

Outlook.com'da ise Microsoft, oturum açarken adres çubuğunda login.live.com görmüyorsanız şifrenizi girmemenizi söylüyor. Outlook'un iletinin üstünde gösterdiği sarı ve kırmızı güvenlik çubuklarını da ciddiye alın; Microsoft'a göre kırmızı çubuk, iletinin güvenli olmayabilecek bir öğe içerdiği için engellendiğini gösterir.

Özellikle "şifrenizi sıfırlayın" görünümlü sahte iletiler yaygındır; ayırt etme yollarını sahte şifre sıfırlama e-postaları yazısında ayrıntılı anlattık.

E-posta güvenliği için yapılmaması gerekenler

• E-posta şifresini başka bir sitede kullanmak veya küçük değişikliklerle tekrar kullanmak.
• Şifreyi ya da size gelen doğrulama kodunu telefonda, mesajda veya e-postada birine söylemek. Google ve Microsoft şifrenizi e-postayla istemez.
• Beklemediğiniz ekleri, özellikle "fatura", "kargo" veya "ödeme" başlıklı dosyaları açmak.
• Oltalama iletisindeki "abonelikten çık" bağlantısına tıklamak. CISA, şüpheli iletideki hiçbir bağlantıya bu bağlantı dahil tıklamamanızı, iletiyi bildirip silmenizi öneriyor.
• Kimlik, pasaport veya kart fotoğraflarını e-posta kutusunda gereğinden uzun süre saklamak. Hesap bir gün ele geçirilirse saldırgan bu belgelere de ulaşır.
• Hassas bilgileri düz e-postayla göndermek. Yaygın e-posta hizmetleri iletileri uçtan uca şifrelemez; farkı uçtan uca şifreleme nedir yazısında anlattık.

E-posta güvenliği için hangi uygulama önerilir?

Tek bir "güvenlik uygulaması" e-postanızı korumaz; birkaç aracı birlikte kullanırsınız:

E-posta şifrenizi isteyen üçüncü taraf "e-posta koruma" uygulamalarına dikkat edin: e-postanıza tam erişim verdiğiniz her uygulama, hesabınıza giden yeni bir kapıdır.

Hesabınız ele geçirildiyse veya şüpheli e-posta aldıysanız

Hesabınıza başkasının girdiğinden şüpheleniyorsanız vakit kaybetmeden şifreyi değiştirin, tüm oturumları kapatın, iki adımlı doğrulama yöntemlerini ve kurtarma bilgilerini kontrol edin, ardından yönlendirme ve filtre kurallarına bakın. Giriş yapamıyorsanız yalnızca sağlayıcının resmi hesap kurtarma sayfasını kullanın; tüm adımlar hesabım hacklendi, ne yapmalıyım rehberinde.

Oltalama iletisini Gmail'de iletinin menüsündeki kimlik avını bildirme seçeneğiyle Google'a iletebilirsiniz. Türkiye'deki sahte siteler ve siber tehditler için Ulusal Siber Olaylara Müdahale Merkezi (USOM) ihbar kabul eder; USOM'un duyurusuna göre ihbar süreçleri artık Siber Güvenlik Başkanlığı'nın siberguvenlik.gov.tr adresi üzerinden yürütülüyor. Maddi zarar veya dolandırıcılık söz konusuysa savcılığa ya da emniyete de başvurabilirsiniz.

Kaynaklar: Google Hesabı Yardımı – Hesabınızı daha güvenli hale getirme, Google Hesabı Yardımı – Saldırıya uğramış hesabı güvenli hale getirme, Gmail Yardımı – Kimlik avı e-postalarını önleme ve bildirme, Gmail Yardımı – Otomatik yönlendirme, Microsoft Destek – Outlook.com hesabınızı koruma, Microsoft Destek – Outlook.com hesabım ele geçirildi, CISA – Recognize and Report Phishing (İngilizce), USOM – İhbar duyurusu.