SIM swap nedir? SMS 2FA neden zayıf kalır ve kripto hesaplarını nasıl riske atar?

Telefon numarası, pek çok hesap için “kimlik anahtarı” gibi davranır: giriş bildirimleri, şifre sıfırlama bağlantıları, SMS doğrulama kodları ve operatör işlemleri aynı yere bağlanır. SIM swap ise saldırganın bu bağı ele geçirerek, sizin adınıza SMS alabilmesini ve numara tabanlı doğrulamaları geçebilmesini hedefler. Bu yazıda SIM swap’ın ne olduğu, SMS ile iki faktörlü doğrulamanın (SMS 2FA) neden kırılgan kabul edildiği ve özellikle kripto borsa hesabı kullananların hangi pratik adımlarla risklerini düşürebileceği net bir akışla ele alınır.

Okudukça şunları öğreneceksiniz: SIM swap saldırısı nasıl ilerler, “sim kart kopyalama” diye konuşulan senaryolar gerçekte neye benzer, saldırı erken nasıl anlaşılır, telefon numaranız ele geçirilirse ilk 60 dakikada hangi adımlar gerçekten işe yarar, SMS 2FA yerine hangi yöntemler daha dayanıklıdır, authenticator uygulaması (TOTP) ve donanım güvenlik anahtarı (YubiKey gibi) neyi çözer ve hangi hatalar çoğu hesabın ele geçirilmesine kapı aralar.

SIM swap nedir? Telefon numarası neden hedef olur?

“SIM swap nedir?” sorusunun en sade yanıtı şudur: Telefon hattınız, sizden bağımsız şekilde başka bir SIM karta veya eSIM profiline geçirilir ve böylece SMS ile gelen doğrulama kodları, aramalar ve bazı bildirimler saldırganın kontrolüne kayar. Bu süreçte saldırganın hedefi telefonunuzu fiziksel olarak çalmak olmak zorunda değildir; asıl değer, numaranın “hesap kurtarma” ve “giriş doğrulama” akışlarında kimlik gibi kullanılmasından gelir. Birçok servis, şifre sıfırlama için 6 haneli SMS kodu gönderir ve bu kodlar genellikle 30–120 saniye içinde geçerliliğini yitirir; SIM swap gerçekleştiğinde bu kısa pencere, saldırgan için yeterli olabilir.

Kripto borsa hesabı kullananlar açısından numara daha da cazip bir hedeftir. Çünkü borsalarda sık giriş yapılır, cihaz değiştirme ve IP değişimi sık olur; güvenlik sistemi şüpheli aktivitede ek doğrulamaya gider. Eğer bu ek doğrulama SMS ile çalışıyorsa, saldırgan hem hesabı ele geçirmek hem de para çekim onaylarını aşmak için numarayı bir “kilit açıcı” gibi kullanır. Üstelik borsa hesapları çoğu kullanıcı için e-postaya bağlıdır; e-posta ele geçirilirse, SMS 2FA ikinci bariyer gibi görünür ama numara ele geçirilince iki bariyer de aynı kapıya çıkar.

SIM swap çoğu zaman “sim kart kopyalama nedir?” ifadesiyle karıştırılır. Kopyalama denince birebir çoğaltma akla gelir; pratikte en yaygın senaryo, operatör tarafında hattın başka bir cihaza taşınmasıdır. Yani mesele, SIM’in elektronik olarak klonlanmasından ziyade, operatör süreçlerinin istismar edilmesidir. Bu ayrım önemlidir: savunma, yalnızca telefona antivirüs kurmakla değil; operatör hesabı, e-posta hesabı ve borsa güvenlik ayarlarını birlikte sertleştirmekle güçlenir.

SIM swap saldırısı nasıl ilerler? Saldırı zinciri

“SIM swap saldırısı nedir?” sorusunu gerçek hayatta anlamanın en iyi yolu, bunu bir zincir olarak düşünmektir. Saldırgan genellikle önce hedef seçer ve temel bilgileri toplar: ad-soyad, doğum tarihi, kimlik doğrulamada sorulabilecek parçalar, sık kullanılan e-posta adresi, sosyal medya paylaşımları, veri sızıntılarında yer almış eski şifreler gibi. Bu aşamada amaç, operatör müşteri hizmetleri veya mağaza işlemlerinde sorulabilecek doğrulama sorularını geçecek bir profil oluşturmaktır. Burada kritik nokta şu: tek bir bilgi parçası nadiren yeterlidir; 3–5 küçük parçanın birleşimi saldırgana “inandırıcı” bir hikâye kurma alanı açar.

İkinci aşama, hattın taşınması veya SIM değişimi sürecini tetiklemektir. Bu noktada operatör süreçleri, güvenlik halkasının zayıf olduğu yer olabilir: bazı işlemler telefonla yapılabilir, bazıları mağazada kimlik kontrolüyle yapılır, bazıları da eSIM aktivasyonu gibi hızlı akışlara sahiptir. Saldırganın burada hedefi, sizin hattınızın o anda sizin cihazınızdan düşmesini sağlamaktır. Bu olduğunda siz genellikle “şebeke yok”, “acil aramalar” gibi sinyaller görürsünüz. Bazı vakalarda bu durum 5–15 dakika sürer, bazılarında saatlere uzar; ama saldırgan için ilk 10 dakika çok değerlidir çünkü aynı anda e-posta ve borsa giriş akışlarını çalıştırır.

Üçüncü aşama, hesap ele geçirme (account takeover) ve kalıcılık kurmadır. SIM swap tek başına para kaybettirmez; saldırganın hedefi, e-postaya “şifre sıfırlama” başlatmak, borsaya giriş yapmak, 2FA’yı devre dışı bırakmak için doğrulama istemek ve para çekim adreslerini değiştirmektir. En riskli senaryolardan biri “gizli kalıcılık”tır: saldırgan sadece para çekmekle kalmaz, cihazlar listesine kendi cihazını ekler, API anahtarı oluşturur veya kurtarma e-postasını değiştirir. Böylece siz hattı geri alsanız bile, hesap içinde bir arka kapı kalabilir. Bu yüzden müdahale, sadece hattı geri almak değil; hesapların içindeki tüm güvenlik ayarlarını sıfırdan gözden geçirmek demektir.

SMS 2FA nedir, hangi noktalardan kırılır?

“SMS 2FA nedir?” sorusu, iki faktörlü doğrulamanın ikinci faktörünün SMS ile gelen tek kullanımlık kod olmasıdır. Teoride iki faktör, “bildiğin bir şey” (şifre) + “sahip olduğun bir şey” (telefon) gibi çalışır. Pratikte ise SMS, telefonun kendisinden çok telefon numarasına bağlıdır; numara operatör tarafında taşınabilir, yönlendirilebilir veya kısa süreliğine kontrol dışına çıkabilir. Bu yüzden “SMS ile iki faktörlü doğrulama güvenli mi?” sorusuna verilen dürüst cevap, “tek başına yeterince dayanıklı değil” olur.

SMS doğrulama neden riskli? Birincisi, operatör süreçleri insan ve süreç hatasına açıktır. İkincisi, SMS taşıma altyapıları, tasarım gereği birden çok ara bileşenden geçer ve uçtan uca şifreleme hedefiyle kurulmamıştır. Üçüncüsü, SMS kodu girilen her yerde “oltalama” riski vardır: sahte bir giriş sayfası, sizden hem şifreyi hem de 6 haneli SMS kodunu isteyebilir; kodun geçerliliği kısa olsa da saldırgan aynı anda gerçek sisteme girip kodu kullanabilir. Bu tip senaryolarda SMS 2FA, kullanıcıyı korumak yerine saldırgana “tam paketi” teslim eden bir araca dönüşebilir.

SMS 2FA’nın zayıf kalmasının bir başka nedeni kurtarma akışlarıdır. Birçok platform, “telefon numaram değişti” veya “telefonuma erişemiyorum” gibi durumlar için alternatif kurtarma adımları sunar. Bu adımlar çoğu zaman e-posta, güvenlik soruları veya destek ekibi üzerinden ilerler. Eğer e-posta da zayıfsa (aynı şifre, zayıf 2FA, eski cihaz oturumu açık), SMS 2FA’yı “güçlü sanmak” kullanıcıyı rehavete iter. Güvenlik, tek bariyer değil; birbirini tamamlayan 3–4 katmandan oluşur: güçlü şifre + phishing’e dayanıklı 2FA + sağlam kurtarma planı + para çekim kısıtları.

SIM kart dolandırıcılığı ve operatör üzerinden sosyal mühendislik

“SIM kart dolandırıcılığı” dendiğinde akla çoğu zaman dramatik hikâyeler gelir; gerçek hayatta ise çoğu vaka, sıradan müşteri işlemlerinin kötüye kullanılmasıyla başlar. Saldırganlar genellikle “hattım bozuldu”, “telefonum kayboldu”, “yurtdışındayım, acil hattım lazım” gibi aciliyet duygusu yaratan gerekçelerle süreci hızlandırmaya çalışır. Savunma tarafı için önemli olan, bu tür gerekçelerin ayrıntıları değil; operatörde hangi güvenlik kontrollerinin devrede olduğudur. Müşteri hesabında işlem şifresi, hat kilidi, numara taşıma engeli (port-out lock), ek doğrulama PIN’i gibi seçenekler varsa, bu seçenekleri aktive etmek riski somut biçimde azaltır.

“Operatör üzerinden dolandırıcılık” vakalarında ikinci risk, kişisel verilerin farklı kaynaklardan birleştirilmesidir. Bir veri sızıntısından ad-soyad ve adres, başka bir yerden doğum tarihi, sosyal medyadan okul bilgisi, bir e-ticaret fişinden telefon numarası gibi parçalar toplanabilir. Bu parçaların her biri tek başına masum görünebilir; fakat 5 parça birleşince doğrulama sorularını geçmeye yetecek bir profil oluşur. Bu yüzden güvenlikte “fazla paylaşım” maliyetlidir: doğum tarihi, anne kızlık soyadı gibi kimlik doğrulamada kullanılabilecek verileri herkese açık tutmak saldırganın işini kolaylaştırır.

Bu noktada “mitos vs gerçek” ayrımı, yanlış güvenlik varsayımlarını kırmak için işe yarar. İnsanlar çoğu zaman “telefon bende, numaram da bende” diye düşünür; SIM swap bunun tam tersi bir risk olduğunu gösterir: telefon sizde kalsa bile numaranız kısa süreliğine sizden bağımsız bir yere taşınabilir. Savunma, operatör hesabı güvenliğiyle başlar, e-posta ve borsa ayarlarıyla tamamlanır.

SIM swap nasıl anlaşılır? Erken uyarı işaretleri

“SIM swap nasıl anlaşılır?” sorusunun yanıtı, birkaç somut sinyali aynı anda takip etmeyi gerektirir. En tipik işaret, aniden şebeke kaybıdır: telefonunuz “servis yok” der, arama yapamazsınız veya sadece acil aramalar çalışır. Bu durum bazen bulunduğunuz yerdeki kapsama probleminden kaynaklanabilir; farkı anlamanın pratik yolu şudur: aynı yerde başka bir cihaz aynı operatörde çekiyorsa, sizdeki kesinti “hesap/hat olayı” olma ihtimalini yükseltir. İkinci güçlü işaret, “SIM değişti”, “numara başka bir cihazda etkinleştirildi” benzeri bildirimlerdir; bu bildirimler bazı operatör uygulamalarında veya e-posta/SMS ile gelebilir.

Üçüncü işaret, peş peşe gelen güvenlik uyarılarıdır. E-posta hesabınızdan “şifre sıfırlama talebi” veya “yeni cihazdan giriş” bildirimi, borsadan “para çekim adresi eklendi” uyarısı, sosyal medya hesabınızdan “telefon numaran doğrulandı” bildirimi gibi uyarılar art arda gelebilir. Bu uyarılardan biri tek başına tesadüf olabilir; ama 3 uyarı 10 dakika içinde geliyorsa, hesabınızın zincirleme hedef alındığını varsaymak daha doğru olur. Burada kritik refleks, “ben yapmadım” hissi doğduğu anda beklememek ve süreçleri hemen durdurmaktır.

Dördüncü işaret, SMS’lerin gelmemesi veya doğrulama kodlarının sürekli başarısız olmasıdır. Örneğin, normalde 5 saniyede gelen kod, 2 dakika boyunca gelmiyorsa ve aynı anda şebeke gidip geliyorsa, bu bir “numara yönlendirme/taşıma” belirtisi olabilir. Beşinci işaret ise destek kanallarında görülen anormalliklerdir: operatör uygulamasında hesabınıza yeni bir eSIM profili eklenmiş görünmesi, borsada oturum açma geçmişinde sizden farklı ülkeler/IP’ler gibi. Bu işaretleri düzenli kontrol etmek, bir olay anında panik yerine planla hareket etmenizi sağlar.

Telefon numarası ele geçirildi: İlk 60 dakikada yapılacaklar

“Telefon numarası ele geçirildi ne yapmalıyım?” sorusunda zaman, para kadar değerlidir. İlk 60 dakikayı 3 parçaya bölmek işe yarar: ilk 10 dakika (hasarı durdurma), 10–30 dakika (kritik hesapları kilitleme), 30–60 dakika (kalıcılığı temizleme). İlk 10 dakikada hedef, hattı geri almak değil; saldırganın devam etmesini engellemektir. Eğer e-posta hesabınıza hâlâ erişiminiz varsa, hemen şifreyi değiştirin ve mümkünse phishing’e dayanıklı bir yöntemle 2FA’yı yükseltin. Aynı anda borsalarda “para çekimlerini dondur” veya “hesabı kilitle” gibi seçenekler varsa aktif edin; yoksa destek ekibiyle acil kanaldan iletişim kurun. Bazı borsalar, doğrulama süreci açıldığında para çekimi için 24 saatlik bekleme uygular; bu pencereden faydalanmak için hızlı bildirim şarttır.

10–30 dakika aralığında operatör tarafına odaklanın: müşteri hizmetlerini arayın ve “hattım izinsiz taşınmış olabilir” şeklinde olayı güvenlik vakası olarak kaydettirin. Görüşme sırasında hesap doğrulama adımlarını sakin biçimde tamamlayın; amaç hattı geri almak ve yeni bir SIM/eSIM aktivasyonunu engellemektir. Aynı anda bankacılık uygulamalarınız varsa, mobil bankacılığa giriş yapıp cihazlar listesi ve bildirim ayarlarını kontrol edin; bazı bankalarda “SIM değişikliği” durumunda ek güvenlik tetiklenir. Ayrıca, numara üzerinden bağlı olan mesajlaşma uygulamalarında (örneğin doğrulama SMS’i ile çalışan servisler) hesabın başka cihazlarda açılıp açılmadığını kontrol edin. Burada 2–3 hesabı kurtarmak, diğerlerini kurtarmak için kaldıraç yaratır.

30–60 dakikada hedef, kalıcılığı temizlemektir: e-posta hesabında “yönlendirme kuralları”, “oturum açık cihazlar”, “uygulama erişimleri” gibi alanları tarayın; borsada “API anahtarı”, “para çekim adresleri”, “güvenilen cihazlar” listesini sıfırlayın; mümkünse “kurtarma kodları” üretip güvenli bir yerde saklayın. Şifreleri değiştirirken aynı şifreyi farklı hesaplarda kullanmayın; en az 14–16 karakterlik, benzersiz bir parola ve parola yöneticisi kullanmak, saldırganın ikinci denemelerini zorlaştırır. Bu süreçte “hemen yeni numara alayım” refleksi bazı durumlarda işleri karıştırabilir; önce mevcut numaranın kontrolünü netleştirmek, sonra gerekiyorsa numara değişimi planlamak daha temiz ilerler.

Kripto borsa hesabı güvenliği: SMS doğrulamayı kapatmak

Kripto borsalarında riskin büyüme nedeni, işlemlerin geri döndürülemezliğidir: para çekimi gerçekleştiğinde yanlış adrese giden varlığı geri almak çoğu zaman mümkün olmaz. Bu yüzden “borsa 2FA güvenliği” denince ilk hedef, SMS doğrulamayı kapatmak ve daha dayanıklı bir doğrulama yöntemine geçmektir. “SMS 2FA yerine ne kullanılır?” sorusunda pratik sıralama şudur: mümkünse passkey veya donanım güvenlik anahtarı; değilse TOTP tabanlı authenticator; son çare olarak SMS. SMS’i tamamen kapatamıyorsanız, en azından para çekimi için SMS yerine farklı bir ikinci faktör talep eden borsa ayarlarını seçin.

Birçok borsada hesap güvenliği “katmanlı” kurulur. Örneğin: (1) girişte TOTP zorunlu, (2) para çekimde ek doğrulama, (3) yeni cihaza girişte e-posta onayı, (4) çekim adresi beyaz liste, (5) para çekim bekleme süresi. Burada en yüksek etkiyi yaratan iki ayar, çekim adresi beyaz liste ve bekleme süresidir. Beyaz liste açıksa, saldırgan anında yeni bir adrese çekim yapamaz; adres eklediyse bile 24–48 saatlik bekleme devreye girebilir. Bu süre, SIM swap yaşasanız bile müdahale için zaman kazandırır.

“Sim swap kripto hesabı” vakalarında sık görülen hata, sadece borsa hesabına odaklanıp e-posta hesabını zayıf bırakmaktır. Oysa borsa şifresi çoğu zaman e-postadan sıfırlanır ve borsa bildirimleri e-postaya gelir. Bu yüzden borsa güvenliğini yükseltirken e-postayı da aynı anda güçlendirin: e-posta için passkey veya uygulama tabanlı 2FA, kurtarma e-postası ve telefon numarası ayarlarını gözden geçirmek, cihaz oturumlarını temizlemek ve yönlendirme kurallarını kapatmak kritik adımlardır. Güvenlikte “en zayıf halka” prensibi çalışır; en zayıf halka e-posta ise borsa ne kadar güçlü olursa olsun zincir kırılır.

Authenticator uygulaması ve TOTP: Nasıl çalışır, nasıl kurtarılır?

“Authenticator uygulaması nedir?” sorusunun cevabı, SMS yerine cihazınızda üretilen tek kullanımlık kodları kullanmanızdır. En yaygın standart TOTP’dir: “TOTP nedir?” denince, paylaşılan bir gizli anahtar üzerinden 30 saniyede bir değişen kod üretme mekanizması akla gelir. Google Authenticator nedir, Microsoft Authenticator nedir gibi soruların özünde de aynı prensip yatar: SMS hattından bağımsız bir ikinci faktör. Bu bağımsızlık, SIM swap riskini doğrudan düşürür çünkü saldırgan hattınızı alsa bile TOTP kodu hâlâ sizin cihazınızda kalır.

TOTP’nin güçlü yanı, ağ üzerinden taşınmaması; zayıf yanı ise kurtarma planı gerektirmesidir. Telefonunuz kaybolursa veya bozulursa, TOTP kodlarına erişim de kaybolabilir. Bu yüzden kurulumda 2 kritik adım önemlidir: (1) borsanın verdiği kurtarma kodlarını (genellikle 8–12 adet tek kullanımlık kod) güvenli bir yerde saklamak, (2) mümkünse authenticator’ı yedekleme özelliği olan bir yöntemle yönetmek. “Yedekleme” derken amaç, ekran görüntüsü almak değildir; ekran görüntüsü cihaz galerisine düşer ve risk yaratır. Daha güvenli yaklaşım, offline saklama (şifreli bir kasada) veya güvenli bir parola yöneticisinde, uygun biçimde saklamadır.

Kurulum sırasında yapılan bir başka kritik hata, aynı TOTP tohumunu birden çok kişiye veya cihaza kontrolsüz yaymaktır. Evet, yedek cihaz fikri mantıklı görünebilir; fakat her kopya, saldırı yüzeyini büyütür. Pratik bir denge şu olabilir: 1 ana cihaz + 1 yedek kurtarma planı (kurtarma kodları veya donanım anahtarı). Ayrıca TOTP kullanırken borsanın “para çekim onayı” akışını da kontrol edin: bazı borsalar girişte TOTP ister, çekimde yine e-posta onayı ister. E-posta zayıfsa, TOTP tek başına “tam çözüm” değildir; bu yüzden e-postayı da aynı düzeye yükseltmek gerekir.

Donanım güvenlik anahtarı ve passkey: YubiKey ne işe yarar?

“Donanım güvenlik anahtarı nedir?” sorusunun kısa cevabı, hesabınıza girişte fiziksel bir anahtarla kriptografik doğrulama yapmanızdır. “YubiKey nedir?” gibi örneklerde bu anahtar USB/NFC ile çalışır; giriş yaptığınızda anahtara dokunmanız gerekir. Bu yaklaşım, SMS ve TOTP’ye kıyasla oltalamaya daha dayanıklıdır çünkü doğrulama, ziyaret ettiğiniz alan adıyla kriptografik olarak bağlanır. Yani sahte bir site, doğru anahtarı ikna edip doğrulama alamaz; bu, phishing’e karşı büyük avantajdır.

Passkey kavramı da benzer çizgide ilerler. Passkey, cihazınızın güvenli donanımında (telefon, bilgisayar) saklanan anahtar çiftleriyle çalışır; yüz tanıma, parmak izi veya cihaz kilidi ile onay verirsiniz. SIM swap perspektifinden bakınca, passkey’in artısı numaradan bağımsız olması ve çoğu senaryoda “kod yazma” ihtiyacını kaldırmasıdır. Kod yazma kalkınca, saldırganın “kodu soran” sahte sayfa kurması da etkisizleşir. Bu yüzden “sms doğrulama kapatma” hedefinde en güvenli sıçrama, passkey veya donanım anahtarıdır.

Donanım anahtarı kullanırken iki konuya dikkat edilir: yedek anahtar ve kurtarma akışı. Tek anahtar kullanıp kaybederseniz, hesabınıza siz de giremeyebilirsiniz. Pratikte 2 anahtar yaklaşımı yaygındır: biri günlük kullanım için, diğeri kasada yedek. Ayrıca borsa veya e-posta sağlayıcınız, donanım anahtarını desteklemiyorsa, en azından e-posta hesabında bu yöntemi devreye almak bile büyük fark yaratır; çünkü e-posta, borsaya giden kapıların çoğunu açan anahtar rolündedir.

2FA yöntemleri karşılaştırma: Güvenlik vs kullanılabilirlik

“2FA yöntemleri karşılaştırma” yaparken tek bir “en iyi” yoktur; ancak saldırı türlerine göre daha dayanıklı seçenekler vardır. SMS 2FA, kurulumu kolay olduğu için yaygındır; ama SIM swap ve phishing karşısında kırılgandır. TOTP (authenticator) daha güçlüdür çünkü operatörden bağımsızdır; yine de phishing ile kod çalınabilir ve cihaz kaybında kurtarma planı şarttır. Donanım güvenlik anahtarı ve passkey ise phishing’e daha dayanıklıdır; buna karşılık kurulum ve yedekleme disiplin ister. Bu karşılaştırmayı yaparken sadece “giriş güvenliği” değil, “kurtarma güvenliği” de önemlidir: saldırganlar çoğu zaman direkt giriş yerine kurtarma akışını hedefler.

Kullanılabilirlik tarafında da net bir tablo vardır. SMS 2FA: her yerde çalışır gibi görünür ama roaming, gecikme, SIM değişimi ve operatör sorunlarında (örneğin 2–5 dakikalık SMS gecikmeleri) kullanıcıyı kilitleyebilir. TOTP: çevrimdışı çalışır ve 30 saniyelik döngüyle hızlıdır; fakat telefon sıfırlanırsa hazırlıksız kullanıcıyı zor durumda bırakır. Passkey/donanım anahtarı: en hızlı ve pratik olabilir, çünkü bir dokunuşla onay verir; fakat desteklemeyen platformlarda kullanılamaz ve bazı kullanıcılar yedek anahtar disiplinini atlayabilir.

Bu yüzden karar verirken “risk profili” değerlendirmesi işe yarar: borsada sürekli büyük tutar tutuyor musunuz, sık cihaz değiştiriyor musunuz, numara taşıma/operatör değişimi yapıyor musunuz, e-postanız kritik mi, kullandığınız borsada çekim beyaz listesi var mı? Aşağıdaki karar matrisi, kendi durumunuzu hızlı puanlamanıza yardımcı olur.

Operatör ve cihaz tarafında savunma: PIN, kilit, eSIM, yedek hat

SIM swap’a karşı savunma sadece uygulama ayarlarıyla bitmez; operatör hesabı da güvenlik yüzeyidir. Operatörlerin çoğu, müşteri hesabına bir işlem PIN’i veya ek doğrulama şifresi ekleme seçeneği sunar. Bu PIN, özellikle numara taşıma ve SIM değişimi gibi kritik işlemlerde devreye girecek şekilde ayarlanabiliyorsa, saldırganın “hikâye kurarak” ilerlemesini zorlaştırır. Bir diğer etkili katman, “numara taşıma engeli” veya “hat kilidi” benzeri özelliklerdir: bu tip kilitler açılmadan hat başka bir operatöre taşınamaz veya SIM değişikliği tetiklenemez. Bazı kullanıcılar bu ayarları “işimi zorlaştırır” diye kapatır; oysa işin zorlaşması, saldırganın da işinin zorlaşması demektir.

eSIM kullanıyorsanız, eSIM aktivasyon süreçlerini özellikle ciddiye alın. eSIM, pratiklik sağlar; fakat hız, kontrol noktaları zayıfsa risk yaratabilir. Savunma tarafında yapılabilecekler: operatör hesabına güçlü bir parola koymak, operatör uygulamasında biyometrik kilidi açmak, hesap giriş bildirimlerini aktif etmek, hat üzerinde yetkili değişiklik olduğunda anında uyarı almak ve mümkünse mağaza işlem zorunluluğu gibi seçenekleri değerlendirmek. Ayrıca cihaz tarafında da temel hijyen önemlidir: SIM PIN’i (cihaz açılışında sorulan PIN) her şeyi çözmez ama cihaz çalınırsa hattın anında kullanılmasını zorlaştırabilir.

Yedek hat yaklaşımı, özellikle yüksek risk profili olan kullanıcılar için işe yarar: kripto hesaplarında kullanılan numarayı gündelik paylaşımdan ayırmak, numaranın veri sızıntılarında dolaşma ihtimalini azaltır. Bu, “gizli numara” fetişi değil; saldırı yüzeyini küçültme stratejisidir. Ayrı bir numara kullanıyorsanız, bu numarayı sosyal medyada, kargo fişlerinde veya kolay erişilen üyeliklerde paylaşmamak daha tutarlıdır. Burada amaç %100 görünmezlik değil; saldırganın zinciri tamamlaması için gereken maliyeti yükseltmektir.

Anti-phishing, e-posta sertleştirme ve hata avcısı: Tam koruma paketi

SIM swap çoğu zaman tek başına gelmez; phishing ve e-posta zafiyetleriyle birleştiğinde etkisi büyür. Bu yüzden “anti phishing kodu nedir?” sorusu, borsalarda görülen önemli bir korumaya işaret eder: borsadan gelen e-postalara özel bir anti-phishing kodu eklenir ve siz bu kodu görmeden e-postaya güvenmezsiniz. Bu, sahte e-postaları ayırt etmede pratik bir filtredir. Yine de tek başına yeterli değildir; e-postada phishing’e dayanıklı 2FA (passkey veya donanım anahtarı) ve oturum güvenliği (bilmediğiniz cihazlardan çıkış, yönlendirme kurallarını kapatma) birlikte uygulanmalıdır. Ayrıca şifre yöneticisi kullanmak, sahte alan adlarında otomatik doldurmayı engellediği için phishing riskini düşürür.

Cihaz hijyeni de zincirin parçasıdır. Telefonunuzda ve bilgisayarınızda güncellemeleri geciktirmemek, özellikle tarayıcı ve işletim sistemi yamalarını 7–14 gün içinde yüklemek, bilinen açıkların otomatik istismar edilmesini zorlaştırır. Borsa girişlerini mümkünse tek bir “temiz tarayıcı profili” ile yapmak, gereksiz eklentileri kaldırmak ve her oturumdan sonra cihazlar listesini kontrol etmek iyi bir rutindir. Ayrıca kripto varlık yönetiminde “tek sepet” yaklaşımı risklidir: borsada tutulan miktarı sınırlamak, farklı platformlara bölmek ve uzun vadeli saklamayı soğuk cüzdanda yapmak, tek bir hesap ele geçirme olayının etkisini düşürür.

Şimdi, en sık yapılan hataları “hata + sonuç + önlem” formatında netleştirelim. Bu liste, SIM swap ve hesap ele geçirme riskini pratikte en hızlı azaltan müdahale noktalarını gösterir.

SIM swap riski, “tek bir ayar” ile biten bir konu değildir; numara, e-posta ve borsa aynı zincirin halkalarıdır. En hızlı kazanım, SMS 2FA’dan çıkıp TOTP’ye veya mümkünse passkey/donanım anahtarına geçmektir; aynı anda e-postayı güçlendirmek ve para çekim kısıtlarını açmak zinciri ciddi biçimde sertleştirir. Bugün tek bir adım atacaksanız, borsa ve e-posta hesaplarınızda SMS doğrulamayı kapatıp phishing’e daha dayanıklı bir ikinci faktöre geçin; ardından çekim beyaz liste ve bekleme ayarlarını aktive edin.

SSS

SIM swap saldırısı nedir?
Telefon numaranızın izniniz dışında başka bir SIM/eSIM’e taşınmasıyla SMS ve arama trafiğinin saldırgana kayması ve bu yolla hesap doğrulamalarının aşılmaya çalışılmasıdır.

SMS ile iki faktörlü doğrulama güvenli mi?
SMS 2FA, kurulumu kolay olsa da operatör süreçleri, phishing ve numara kontrolünün devredilebilir olması nedeniyle daha kırılgan kabul edilir; mümkünse TOTP, passkey veya donanım anahtarı tercih edilir.

SIM swap nasıl anlaşılır?
Aniden şebeke kaybı, “SIM değişti” benzeri uyarılar, peş peşe şifre sıfırlama bildirimleri, SMS’lerin gelmemesi ve hesaplarda tanımadığınız cihaz/giriş kayıtları önemli erken işaretlerdir.

Telefon numaram ele geçirildiyse ilk ne yapmalıyım?
Beklemeden e-posta ve borsa hesaplarını kilitlemeye çalışın, şifreleri değiştirin, borsada para çekimlerini dondurun veya destekle acil iletişime geçin ve operatörü güvenlik vakası olarak arayıp hattı geri almak için süreci başlatın.

SMS 2FA yerine ne kullanılır?
En dayanıklı seçenekler passkey ve donanım güvenlik anahtarıdır; destek yoksa TOTP tabanlı authenticator uygulamaları güçlü bir alternatiftir. Kurtarma kodlarını güvenle saklamak da planın parçasıdır.

İç Linkler

• Bitcoin Nedir (2025)
• Halving
• Bitcoin Kaç TL
• Stablecoin
• Altcoin
• İngiltere Kripto Düzenlemesi 2027
• HashKey IPO
• Hot vs Cold Wallet
• Seed Phrase
• Dolandırıcılıklar Sözlüğü

© bitcoinkactl.com