Eski telefon numaranızla hesaplarınıza hâlâ giriş yapabilirsiniz

Operatör değiştirdiğinizde normalde numaranızı da yanınızda götürürsünüz. İlginç olan, bunu yapmadığınızda ortaya çıkar. Yeni bir numara ile yeni bir sözleşme, iptal edilen ikinci bir SIM kart, kontörü biten bir ön ödemeli kart. Eski numara ortadan kaybolmaz. Operatöre geri döner ve er ya da geç başka birine verilir. Bu arada, Google hesabınızda, PayPal'da ve bankanızda giriş bilgisi olarak hâlâ kayıtlıdır.

Almanya'da numara hemen geri verilir

Burada yasal koruma süresi yoktur. Alman numaralandırma yasası olan Telekommunikations-Nummerierungsverordnung, bu durumu 9. maddenin 3. fıkrasında ele alır ve şöyle der: "Türetilmiş bir tahsis edilmiş numara, numaranın tahsis edildiği telekomünikasyon hizmetinin sağlanmasına ilişkin sözleşmenin sona ermesi üzerine asıl tahsis sahibine geri döner." Türetilmiş tahsis, operatörünüzün size kendi numara bloğundan bir numara vermiş olması anlamına gelir. Asıl tahsis sahibi, operatördür. Sözleşme bittiğinde numara geri döner. Burada bekleme süresine dair herhangi bir ifade yoktur.

Bir sağlayıcının gönüllü olarak ne kadar süre bekleyeceği, sağlayıcıya bağlıdır. Deutsche Telekom, kendi yardım forumunda bu sorunu dikkate değer bir açık sözlülükle açıklamaktadır. Orada, bloklamanın "sağlayıcıya bağlı olarak 1 ila 6 ay sürebileceği" belirtilmekte ve şöyle devam edilmektedir: "Bu numara tekrar serbest bırakıldığında, yeni birine verilir ve bu kişi bu sayede birçok verinize ve hesabınıza dolaylı olarak erişim sağlayabilir." Birkaç paragraf sonra yazı daha ayrıntılı hale geliyor. WhatsApp'ın aktif olmayan hesapları 45 gün sonra sildiği belirtiliyor, ancak "eski cep telefonu numaralarının bazı durumlarda 30 gün sonra tekrar serbest bırakılması" durumunda bunun pek bir faydası olmuyor.

ABD ile yapılan karşılaştırma rahatsız edici. Orada düzenleyici kurum olan FCC, tüketici hesapları için en az 45 gün, en fazla 90 gün süre öngörüyor. Almanya’da ise şu anda bu konuda herhangi bir düzenleme yok.

Bu bir kıtlık meselesi değil. Alman telekom düzenleme kurumu Bundesnetzagentur, ücretsiz numara bloklarına ilişkin genel bakışında, her biri bir milyon cep telefonu numarasından oluşan yaklaşık 430 blok listeliyor. Yıllık raporuna göre, 2025 yılının sonunda 106,4 milyon SIM profili aktif olarak kullanılıyordu. Bir numarayı yeniden tahsis eden herkes bunu ihtiyaçtan değil, operasyonel nedenlerle yapmaktadır.

ABD'de ne ölçüldü?

Bugüne kadar tek bir çalışmadan somut rakamlar elde edilmiştir ve bu çalışma ABD'de yapılmıştır. Princeton Üniversitesi'nden Kevin Lee ve Arvind Narayanan, Ağustos ve Eylül 2020'de Verizon ve T-Mobile'dan 259 adet serbestçe kullanılabilir numara satın almış ve bu numaralara hâlâ neyin bağlı olduğunu kontrol etmişlerdir.

Bunların 171’inde, yani yüzde 66’sında, önceki sahibine ait en az bir hesap Amazon, AOL, Facebook, Google, PayPal veya Yahoo’da hâlâ mevcuttu. İkinci bir denemede araştırmacılar, 200'den fazla geri dönüştürülmüş numarayı ele aldılar ve her birini bir hafta boyunca izlediler. Bu tek hafta içinde, yüzde 10'un biraz altında olan 19 numaraya güvenlikle ilgili mesajlar geldi. Bunlardan altısında, Apple, Google, Microsoft, Facebook ve WhatsApp'tan gelenler de dahil olmak üzere tek kullanımlık kodlar vardı.

Bu konuda iki uyarıda bulunmak gerekir. Bu ölçüm altı yıl öncesine ait ve iki ABD’li operatörü kapsıyor. Ne BSI’dan, ne bir üniversiteden, ne de bir tüketici derneğinden bu konuda Alman menşeli bir eşdeğeri bulunmuyor. Öte yandan araştırmacılar, etkilenen kişilere saygı göstererek mesajların içeriğini kasıtlı olarak okumadılar; yalnızca gönderenleri incelediler ve gerçek oranın muhtemelen daha yüksek olduğunu kendileri de belirtiyorlar.

Porting, yalnızca her veri ihlalinde neler olduğunu kontrol eder

Numaranıza ulaşmanın ikinci yolu bekleme süresinden değil, operatörden geçer. SIM değiştirme olayında birisi sizin kimliğinizi taklit eder ve numaranızı yeni bir karta aktarmasını sağlar.

Bu kontrolün nasıl yapıldığı, Alman telekom düzenleme kurumu Bundesnetzagentur tarafından kendi tüketici portalında açıklanmaktadır. Müşteriler, "eski ve yeni operatörlerdeki müşteri verilerinizin (ad, adres, doğum tarihi, taşınacak numara) birbiriyle uyumlu olduğundan" emin olmalıdır. Karşılaştırma bundan ibarettir. Dört ayrıntı; hiçbiri gizli değildir ve hepsi birlikte her büyük çaplı veri ihlalinde yer alır.

Dört büyük Alman operatörden hiçbiri, rezerve edilebilir bir numara taşıma kilidi sunmamaktadır. Mevcut olan tek şey, yardım hattı için bir şifre olup, bunun değeri büyük ölçüde değişiklik göstermektedir. o2’de bu kolay yol kaldırılmıştır. Doğum tarihi, adres veya banka bilgilerinin yeterli olup olmadığı sorulduğunda, şirket şu yanıtı vermektedir: “Maalesef bu mümkün değildir. 16 Şubat 2023’ten itibaren ya kişisel müşteri kodunuzu ya da mobil sözleşmenizin PUK kodunu girmeniz gerekecek." Deutsche Telekom’da müşteri şifresi isteğe bağlıdır ve olağan bilgilerin yerine geçmez, bunlara ek olarak kullanılır.

Bağlam açısından önemli: SIM kart değiştirme, Almanya’da yaygın bir olgu değildir. Telekom, 1&1 ve Telefónica, 2024 için kayda değer bir artış bildirmemiştir; federal polis teşkilatı BKA ile Aşağı Saksonya eyalet polisi de şu anda bu konunun büyük bir önemi olmadığını düşünmektedir. Önemli olan bunun ne sıklıkla gerçekleştiği değil, hedefli bir saldırı için gereken çabanın düşük kalmasıdır.

Neden tam da iki faktörlü oturum açma işlemleri bu durumdan etkileniyor?

Can sıkıcı olan kısım, olayın gidişatıdır. Hesabınızı daha güvenli hale getirmek için ikinci bir faktör kurarsınız ve bunu yaparken, önündeki şifreden daha zayıf bir yedek güvenlik önlemi oluşturmuş olursunuz.

Almanya'nın federal siber güvenlik kurumu BSI, 2FA yöntemlerine ilişkin değerlendirmesinde tam da bunu belirtmektedir. Tek faktörlü bir kurtarma mekanizmasının iki faktörlü kimlik doğrulamanın yerini alabileceği durumlarda, kurum bunu temel bir kritik sorun olarak nitelendiriyor ve saldırganların tam da bu zayıf noktayı hedef alabileceğini belirtiyor. İki yıldır size ait olmayan bir numaraya gönderilen kısa mesaj, işte böyle bir tek faktörlü mekanizmadır.

Burada silmek, eklemekten daha etkilidir

Güvenlik tavsiyelerinde içgüdüsel olarak bir şey daha ayarlamak istenir. Burada ise durum tam tersidir.

Paranızın, kimliğinizin veya e-posta kutunuzun bağlı olduğu hesapları gözden geçirin ve artık size ait olmayan tüm telefon numaralarını silin. Bu, Google, Apple, Microsoft, PayPal, Amazon, banka hesabınız ve yıllardır aklınıza bile gelmeyen ikincil e-posta adresinizi kapsar. Google’da bu girişleri “Güvenlik” bölümünde ve kimliğinizi doğrulama yöntemleri altında bulabilirsiniz; Apple’da ise hesap ayarlarında “Giriş ve Güvenlik” bölümünde.

Mümkün olan her yerde, ikinci faktör olarak SMS’in yerine bir kimlik doğrulama uygulaması veya geçiş anahtarı kullanın. Her ikisi de numaraya değil, cihaza bağlıdır. Bundan sonra birçok hizmette yedek numara olarak kayıtlı olan numarayı tamamen kaldırabilirsiniz.

Bir numarayı kullanmayı bırakacaksanız, şu sırayla hareket edin: önce her yerden oturumu kapatın, ardından numarayı iptal edin. Tersini yaparsanız, hesaplarınıza erişemez hale gelirken kodları başka biri alır.