SMS Doğrulamayı Neden Artık Güvenlik Önlemi Saymıyorum
32 yıldır bu sektördeyim ve bir teknoloji trendinin ne zaman "modası geçti" değil, ne zaman "tehlikeli hale geldi" diye ayrım yapmayı öğrendim. SMS ile gelen doğrulama kodu (OTP) tam olarak bu ikinci kategoriye girdi. Artık sadece eskimiş bir yöntem değil, kurumsal risk defterine yazılması gereken aktif bir açık.
Bunu daha önceki yazımda daha akademik, rapor diliyle ele almıştım. Bu sefer masanın diğer tarafından, yani bu riski üstlenmek zorunda kalan, gece yarısı "hesabım ele geçirildi" telefonunu alan taraftan anlatmak istiyorum.
Neden Hâlâ SMS'e Güveniyoruz?
Basit: kolay, ucuz ve kullanıcı hiçbir şey öğrenmek zorunda kalmıyor. 2000'lerin başında cep telefonu "herkeste olan ve kişiye özel tek cihaz" olduğu için bir kimlik doğrulama unsuru olarak benimsendi. O kararın alındığı dönemde makul bir mühendislik kısayoluydu. Bugün aynı kararı savunmak mühendislik değil, ihmal.
Sorunun kökü teknik: SS7, yani mobil şebekelerin arkasındaki sinyalleşme protokolü, 1970'lerde "ağa giren herkes güvenilirdir" varsayımıyla tasarlandı. O günlerde operatör sayısı azdı, hepsi devlet tekeliydi. Bugün binlerce operatör, MVNO ve SMS toplayıcı bu ağa erişiyor ve protokolün kendi içinde ne kimlik doğrulama ne şifreleme var. Bir saldırgan, zayıf denetimli bir ülkedeki operatör erişimini kiralayarak dünyanın herhangi bir yerindeki hattın SMS trafiğine müdahale edebiliyor. Kurbanın telefonuna dokunmasına bile gerek yok.
Bunu bir altyapı mimarı gözüyle söylüyorum: SS7'yi "yama ile düzeltilebilir" bir zafiyet olarak görmek yanlış. Bu, protokolün DNA'sında olan bir tasarım sorunu. Yamalanamaz, sadece etrafından dolaşılabilir.
Teknik Değil, İnsan Katmanındaki Kırılma
SS7 saldırısı sofistike bir şey, ama gerçek hayatta karşılaştığım vakaların büyük kısmı çok daha sıradan bir yoldan ilerliyor: SIM Swapping.
Süreç dört adımda özetlenebilir ve hiçbirinde ileri düzey bir hackleme yok:
Bilgi toplama — Sızıntı veritabanları, sosyal medya, hedefli oltalama. Anne kızlık soyadı, doğum tarihi gibi "güvenlik sorusu" malzemesi toplanıyor.
Operatör manipülasyonu — Saldırgan çağrı merkezini arayıp "telefonumu kaybettim" diyor, yeni SIM'e hattı taşımasını istiyor.
İç tehdit — Bu kısmı hafife almayın. Saldırıların ezici çoğunluğu, teknik açıktan değil, ya sosyal mühendislikle kandırılan bir müşteri temsilcisinden ya da doğrudan rüşvet alan bir operatör çalışanından geçiyor. Yeraltı forumlarında bir numara için birkaç yüz dolarlık rüşvet teklifleri dolaşıyor.
Hesap ele geçirme — Hat aktive olduğu an, saldırgan bankacılık ve e-posta hesaplarında "şifremi unuttum" akışını başlatıyor. OTP artık onun elinde.
Bunu okuyunca "bizim operatörümüzde bu kadar kolay olmaz" diye düşünüyorsanız, İngiltere'de vaka sayısının bir yılda on kata yakın arttığını, tek bir saldırıda on milyonlarca dolarlık kripto varlığın buharlaştığını hatırlatayım. Saldırganlar zayıf halkayı buluyor, biz de her zaman o zayıf halka olmadığımızdan emin olmalıyız.
"SIM Bloke" Her Zaman Yeterli Değil
Bankacılık sektöründeki arkadaşlarımla konuştuğumda hep aynı güven var: "Bizde SIM Bloke mekanizması var, operatör SIM değişikliğini bildiriyor, biz OTP'yi durduruyoruz." Doğru, ama bu iki yerde çöküyor:
Saldırgan kurbanın kimlik bilgilerini ele geçirmişse, çağrı merkezini arayıp blokeyi kendisi kaldırtabiliyor. Sosyal mühendislik burada da devrede.
SIM Bloke sadece Türk bankacılık ekosistemi için çalışıyor. Gmail, iCloud, Instagram, yurt dışı borsalar bu sinyali dinlemiyor. Yani saldırgan SIM'i ele geçirdikten sonra bankaya giremese bile, e-posta hesabınızdan başlayıp bulut yedeklerinize, kripto cüzdanlarınıza kadar her şeye ulaşabiliyor.
Yargıtay 11. Hukuk Dairesi'nin yerleşik içtihadı da bu yükü büyük ölçüde bankalara ve operatörlere yüklüyor: banka sadece SMS şifresiyle yetinemez, davranışsal analiz ve anomali tespiti gibi ek katmanlar kurmakla yükümlü. Ama bir CTO olarak hukuki sorumluluğun kime ait olduğunu beklemek stratejim olamaz — zarar zaten oluyor, itibar zaten yıpranıyor.
NIST Zaten Kararını Verdi
ABD Ulusal Standartlar ve Teknoloji Enstitüsü, SP 800-63B dokümanında SMS'i "RESTRICTED" (kısıtlanmış) statüsüne koydu. Gerekçesi teknik olarak tartışmasız:
Doğrulama, fiziksel bir cihaza değil, yönlendirilebilir/taşınabilir bir numaraya bağlı.
SMS trafiği şifresiz iletiliyor, SS7 dinlemesine tamamen açık.
SMS; VoIP servisleri veya web tabanlı SMS alıcıları üzerinden de okunabildiği için "cihaz sahipliği" iddiasını kanıtlamıyor.
Bunu duyduğumda şaşırmadım. Yıllardır SOC ekiplerine söylediğim şey aynıydı: SMS bir doğrulama kanalı değil, düşük güvenilirlikli bir sinyal olarak ele alınmalı.
Peki Ne Kullanmalıyız?
Burada net konuşayım, çünkü bu konuda çok fazla yarı doğru bilgi dolaşıyor:
TOTP uygulamaları (Google Authenticator, Authy vb.) SMS'ten çok daha güvenli çünkü kod cihaz üzerinde üretiliyor, SIM kopyalansa bile saldırganın eline geçmiyor. Ama gerçek zamanlı oltalama (kullanıcıyı sahte giriş sayfasına yönlendirip anlık olarak kodu çalma) hâlâ mümkün. Yani TOTP bir ara istasyon, nihai çözüm değil.
FIDO2 / donanım anahtarları (YubiKey vb.) şu an bildiğim en sağlam çözüm. Mantığı basit ama güçlü: anahtar, imzalamadan önce tarayıcıdaki domaini kontrol ediyor. Sahte bir sitedeyseniz, anahtar işlemi donanım seviyesinde reddediyor. Kullanıcı kandırılabilir ama anahtar kandırılamıyor, çünkü özel anahtar cihazın güvenli çipinden hiçbir zaman dışarı çıkmıyor.
CTO Masasından Somut Aksiyon Listesi
Bireysel tavsiye vermek kolay ("SMS 2FA'yı kapatın, SIM PIN koyun, port freeze talep edin") ama benim asıl derdim kurumsal tarafta. Bir teknik operasyon lideri olarak şu anda masamda olması gereken üç madde şu:
FIDO2/WebAuthn'u yol haritasına, "gelecek" değil "bu çeyrek" başlığı altına koyun. Kritik sistemlere erişimde (özellikle yönetici ve finans yetkisi olan hesaplarda) SMS'i kapatın, donanım anahtarına geçin.
SMS'i "güvenilir" değil "düşük seviyeli sinyal" olarak sınıflandırın. Şüpheli coğrafi konum veya cihaz değişikliği tespit edildiğinde SMS onayı tek başına yeterli sayılmamalı; ek biyometrik veya davranışsal doğrulama devreye girmeli.
Müşteri hizmetleri / çağrı merkezi süreçlerinizi denetleyin. SIM Swapping saldırılarının büyük kısmı teknik açıktan değil, insan katmanından geçiyor. Eğer sizin operatörünüz veya çağrı merkeziniz "anne kızlık soyadı" ile kimlik doğruluyorsa, bu zaten kırılmış bir kapı demektir.
Dijital kimlik güvenliğinde asıl paradigma değişimi şurada: güvenliği "ulaşılabilirlik" üzerine kurulmuş bir ağda (GSM) değil, "doğrulama" üzerine kurulmuş bir protokolde (FIDO2) aramalıyız. Telefon numaranız sizi tanımlamıyor artık, kriptografik anahtarınız tanımlıyor.
Yorumlar