2FA'ya rağmen hesap ele geçirildi: çalınan bir çerez yeterli

Antivirüs, işlemin başarılı olduğunu bildirir. Kötü amaçlı yazılım bulundu, kaldırıldı, her şey temiz. İki gün sonra Google hesabınız spam göndermeye başlar ve cihaz listesinde size ait olmayan bir bilgisayar görünür. İki faktörlü kimlik doğrulama başından beri açıktı.

Burada yaşanan olaya "oturum ele geçirme" denir; yani halihazırda çalışmakta olan bir oturumun ele geçirilmesidir. Saldırganın ne şifrenize ne de ikinci faktörünüze ihtiyacı vardır. Tek ihtiyacı, bir sonraki ziyaretinizde hiçbir şey yazmanıza gerek kalmaması için oturum açtıktan sonra tarayıcınızın sakladığı küçük dosyadır. Bu dosya, oturum çereğidir.

Google, kendi Chromium blogunda bunu açıkça anlatıyor: Hırsızlık, oturum açıldıktan sonra gerçekleşiyor ve bu nedenle iki faktörlü kimlik doğrulamayı atlatıyor. Ayrıca, kötü amaçlı yazılım kaldırıldıktan sonra bile çerezler çalışmaya devam ettiği için antivirüs yazılımlarıyla bu sorunu ortadan kaldırmak zordur.

Hırsızlık nasıl gerçekleşir?

Başlangıçta neredeyse her zaman bir "infostealer", yani kimlik bilgilerini toplamak için oluşturulmuş bir program vardır. Bu program, kırılmış bir yazılım, tahrif edilmiş bir yükleyici veya bir ek aracılığıyla bilgisayara ulaşır. Bilgisayara girdikten sonra, tarayıcının çerezlerini sakladığı dosyaları okur. Saldırgan daha sonra çerezi kendi tarayıcısına aktarır ve siteyi açar. Hizmet, geçerli ve oturum açılmış bir oturum gördüğünde başka bir şey sormaz.

Bu pazarın ne kadar büyük olduğu, güvenlik firması Flashpoint’in 11 Mart 2026’da yayınladığı Küresel Tehdit İstihbarat Raporu’nda ortaya konuyor. Flashpoint, 2025 yılı için bilgi hırsızlığı yazılımlarıyla enfekte olmuş 11,1 milyondan fazla makine ve bunlardan çalınan 3,3 milyar kimlik bilgisi ve bulut jetonu saymaktadır. Oturum çerezleri bu sayının içinde bile yer almamaktadır.

Bunun bize ne kadar yakın olduğu, Operation Endgame operasyonu ile ortaya çıktı. 24 Haziran 2026'da Europol, Almanya'nın da katılımıyla bilgi hırsızları StealC ve Amadey'e ve SocGholish dağıtım ağına yönelik bir operasyon düzenlendiğini bildirdi. 326 sunucu ve 142 alan adı devre dışı bırakıldı ve 27 milyon set kimlik bilgisi kurtarıldı. Mağdurlar, diğer kanalların yanı sıra Have I Been Pwned aracılığıyla bilgilendirildi.

İkinci faktör yanlış yerde yer alıyor. Bir SMS kodu, bir uygulama uyarısı ve bir güvenlik anahtarı, oturum açan kişinin kimliğini doğrular. Çerez, bu kontrolün başarıyla geçildiğinin kanıtı olarak ancak daha sonra oluşturulur. Kanıtı elinde bulunduran kişinin kontrolü tekrar geçmesi gerekmez. Google’ın Gelişmiş Koruma Programı bile bu durumu değiştirmez. Google’a göre, oturumu açık tutan kullanıcılardan güvenlik anahtarı tekrar istenmeyebilir. Hesaplarınızı doğru şekilde nasıl güvence altına alacağınız konusu “Sadece bir şifre yeterli değildir” başlıklı yazıda ele alınmaktadır.

Tarayıcılar bu konuda ne yapıyor?

Windows’ta Chrome, Temmuz 2024’teki 127. sürümden itibaren Çerezleri Uygulamaya Bağlı Şifreleme (App-Bound Encryption) ile şifrelemekte ve anahtarı uygulamaya bağlamaktadır. Google, bu yöntemin sınırını kendisi de belirtmektedir: Yükseltilmiş ayrıcalıklarla çalışan kötü amaçlı yazılımlar bu korumayı aşabilir. Bu, hırsızlığı daha maliyetli hale getirir, ancak tamamen engellemez.

Asıl ilerleme, kısaca DBSC olarak adlandırılan "Device Bound Session Credentials" (Cihaza Bağlı Oturum Kimlik Bilgileri) teknolojisidir. Tarayıcı, özel anahtarı cihazdan asla dışarı çıkmayan bir anahtar çifti oluşturur. Windows'ta bu anahtar, anakart üzerindeki güvenlik yongası olan TPM'de bulunur. Hizmet, tarayıcının bu anahtarı hâlâ elinde tutup tutmadığını düzenli olarak sorgular. Başka birinin bilgisayarındaki bir çerez, bu sorguyu geçemez.

Web siteleri için bu teknoloji Chrome 145 sürümünden beri kullanılabilir durumda. Google, 9 Nisan 2026 tarihinde Windows üzerinde Chrome 146 ile bu özelliği kendi hizmetlerinde etkinleştirdi ve 25 Mayıs 2026 tarihinden itibaren Workspace hesapları ve kişisel Google hesapları için kullanıma sunmaya başladı; kullanıcıların bu özelliği etkinleştirmeleri gerekmiyor. İki sınırlama hâlâ mevcuttur. W3C spesifikasyonuna göre, saldırgan hâlâ cihazda bulunuyorken DBSC erişimi engellemez. Ayrıca her web sitesinin bu sürece aktif olarak katılması gerekir; bu nedenle koruma öncelikle Google hizmetlerinde devreye girer.

Firefox, bu konuda birçok kişinin sandığından daha kötü durumdadır. Çerez veritabanı, diskte şifrelenmemiş olarak bulunur. Mozilla’nın hata izleme sistemindeki 56788 numaralı hata kaydı 25 yıl önce açılmış, 2000 yılında WONTFIX olarak kapatılmış ve iki yıl önce yeniden açılmıştır. Bu kayıt P3 önceliğine sahiptir ve kimseye atanmamıştır. Total Cookie Protection bu durumu değiştirmez; bu, izleme korumasıdır.

Şu anda yapabileceğiniz şeyler

Önemli olan sıradır. Kötü amaçlı yazılım bulaşması durumunda, Almanya Federal Bilgi Güvenliği Ofisi (BSI) şu sırayı belirler: önce sistemi yeniden yükleyin, ardından şifreleri değiştirin. Bunu tersine yapan ve bulaşmış bilgisayarda yeni şifreyi giren herkes, bilgisayarı doğrudan ele geçirilir.

Ardından, çoğu kişinin atladığı adım gelir. Yeni bir şifre, geçerli bir çerezi elinde bulunduran bir saldırganı mutlaka uzaklaştırmaz. Açık oturumları ayrı ayrı sonlandırmanız gerekir.

Google: myaccount.google.com, Güvenlik bölümü, "Tüm cihazları yönet". Her oturum ayrı olarak listelenir; cihaza dokunun ve oturumu kapatın. Google, tüm cihazlar için tek bir düğme sunmaz.

Microsoft: account.microsoft.com, gelişmiş güvenlik seçenekleri, "Her yerden oturumu kapat". Microsoft'a göre oturum kapatma işlemi 24 saate kadar sürebilir ve Xbox bu işlemden hariç tutulur.

Apple: account.apple.com, Cihazlar bölümü, cihazı seçin, "Hesaptan kaldır". Birisi hala o cihazda oturum açmışsa, cihaz tekrar görünür.

Geçiş anahtarlarının ne yaptığı ve ne yapmadığı

Geçiş anahtarları, şifrenin halefi olarak görülür ve BSI bunları çok güvenli bir kimlik doğrulama yöntemi olarak nitelendirir. Bu doğrudur, ancak yine de sadece oturum açma işlemini kapsar. Bir geçiş anahtarı, birinin sizin adınıza oturum açmasını engeller. Ancak, halihazırda açık olan oturumunuzu birinin ele geçirmesini engellemez. Oturum açma işleminin kendisinin saldırıya açık kaldığı, Pass-the-Passkey saldırısıyla ortaya konmuştur.

Gerçek tablo rahatsız edicidir. Google, 9 Nisan 2026 tarihli güvenlik blogunda, kötü amaçlı yazılım cihaza yerleştiğinde, hiçbir işletim sisteminde yalnızca yazılımla çerez hırsızlığını önlemenin güvenilir bir yolunun olmadığını yazmaktadır. DBSC’nin değiştirdiği şey, çalınan verilerin kullanım ömrüdür. Çalınan çerez, artık yalnızca oluşturulduğu makinede kullanılabilir.

Bu durum her yerde geçerli hale gelene kadar, bu rahatsız edici durum devam edecektir. Korsan yazılım kullanmayın, yalnızca orijinal kaynaktan indirme yapın ve herhangi bir şüphe durumunda önce sistemi yeniden yükleyin, ardından oturumları sonlandırın. Bu sırayla.