2FA Nedir? İki Aşamalı Kimlik Doğrulama ile Kurumsal Hesaplarınızı Korumak
Çevrimiçi güvenliğiniz için sadece şifre yeterli mi? Bu yazımızda iki aşamalı kimlik doğrulama sistemlerinin önemini ve çalışma mantığını anlatacağız.
Kurumsal sistemlere yönelik saldırıların önemli bir bölümü, karmaşık bir zafiyetin istismar edilmesinden değil, çalınmış ya da tahmin edilmiş bir parolanın olduğu gibi kullanılmasından doğuyor; bu nedenle kimlik doğrulama katmanı, güvenlik bütçeleri içinde geri dönüşü en yüksek başlıklardan biri olarak değerlendirilebilir. Türkiye’deki tablonun yoğunluğunu görmek için BTK verilerine bakmak yeterli olabilir: USOM koordinasyonunda faaliyet gösteren 14 sektörel ve 2 bin 401 kurumsal SOME bünyesindeki 8 bin 393 uzman, 2025 yılı sonu itibarıyla 101 bin 500’ü aşkın zararlı bağlantıyı tespit ederek erişime kapattı ve aynı yıl 6 bin 805 siber güvenlik bildirimi ilgili kurumlara iletildi.
Bu bağlantıların büyük kısmı, kullanıcıyı gerçeğine benzeyen bir giriş ekranına yönlendirerek kimlik bilgisi toplamayı hedefliyor. Parolanın tek başına taşıdığı riskin ne kadar somut olduğunu ise düzenleyici tarafın raporları gösteriyor; Kişisel Verileri Koruma Kurumu’nun 2025 faaliyet raporuna göre yıl içinde toplam 328 veri ihlali bildirimi yapıldı, bunların 105’i sonuçlandırıldı ve 51’i kamuoyuna ilan edildi. İki aşamalı kimlik doğrulama, tam olarak bu noktada devreye girerek ele geçirilmiş bir parolanın tek başına işe yaramaz hale gelmesine katkı sunabilir.
İki Aşamalı Kimlik Doğrulama Nasıl Çalışır?
2FA, bir kullanıcının kimliğini birbirinden bağımsız iki ayrı kanıtla doğrulama yaklaşımını ifade eder ve buradaki asıl mesele, iki adımın olması değil, bu adımların farklı kategorilerden gelmesidir. Saldırganın parolayı ele geçirmesi durumunda bile ikinci bileşene ulaşamıyor olması, hesabın korunmasını sağlayan temel mantığı oluşturur. Kimlik doğrulama faktörleri genellikle üç kategoride toplanabilir:
- Bildiğiniz bir şey: Parola, PIN kodu veya kurum içinde tanımlanmış gizli bir doğrulama bilgisi olabilir.
- Sahip olduğunuz bir şey: Kimlik doğrulayıcı uygulama, FIDO2 güvenlik anahtarı, akıllı kart ya da kuruma kayıtlı bir mobil cihaz bu gruba girebilir.
- Size ait olan bir şey: Parmak izi, yüz tanıma veya ses gibi biyometrik veriler bu kategoride değerlendirilebilir.
Hangi 2FA Yöntemi Ne Kadar Koruma Sağlayabilir?
Yöntemlerin tamamı aynı seviyede koruma sunmadığı için, kurumsal tarafta seçim yapılırken tehdit modelinin dikkate alınması yerinde olabilir. Aşağıdaki tablo, yaygın yöntemlerin dayanıklılık farkını özetlemektedir:
Aynı kategoriden iki bileşen istendiğinde, örneğin parolanın ardından bir güvenlik sorusu sorulduğunda, gerçek anlamda iki faktörlü bir doğrulamadan söz etmek güçleşir; çünkü her iki bilgi de aynı sızıntıda birlikte ele geçirilmiş olabilir.
| Yönetim | Direnç Seviyesi | Zayıf Kaldığı Senaryo |
| SMS ile tek kullanımlık kod | Düşük | SIM swap, şebeke seviyesinde dinleme, aradaki adam saldırıları |
| Uygulama tabanlı kod (TOTP) | Orta | Gerçek zamanlı yönlendiren oltalama kitleri |
| Push bildirimi onayı | Orta | Onay yorgunluğu (prompt bombing) saldırıları |
| FIDO2 / passkey / donanım anahtarı | Yüksek | Zayıf yedek yöntemlerin açık bırakılması |
Temel seviyedeki 2FA’nın bile ölçülebilir bir fark yarattığını Microsoft’un araştırması ortaya koyuyor; şirketin verilerine göre çok faktörlü kimlik doğrulama, hesap ele geçirme saldırılarının yüzde 99,2’sinden fazlasını engelleyebiliyor. Bu oran, hiçbir ikinci faktörün bulunmadığı bir yapıya kıyasla oldukça güçlü bir başlangıç noktası sunar.
Kimlik doğrulamanın tek başına bırakıldığı senaryolarda ise doğrulanan kullanıcının hangi cihazdan bağlandığı çoğu zaman görünmez kalabilir. SASE platformu içindeki Cihaz Durum Kontrolü (DPC) özelliği, doğrulanmış bir kullanıcının bağlandığı cihazın işletim sistemi güncelliğini ve güvenlik durumunu değerlendirerek erişim kararını yalnızca kimliğe değil, cihazın sağlığına da bağlayabilir.
Saldırganlar İki Aşamalı Doğrulamayı Nasıl Aşabiliyor?
2FA’nın yaygınlaşması, saldırgan tarafında da bir uyum sürecini beraberinde getirdi ve bugün doğrulamayı kırmak yerine doğrulamanın etrafından dolaşan tekniklerin öne çıktığı bir dönemden geçiliyor. Aradaki adam (AiTM) yaklaşımında saldırgan, kullanıcıyı gerçek giriş sayfasına aktaran bir vekil sunucu konumlandırır; kullanıcı parolasını ve doğrulama kodunu eksiksiz girer, oturum gerçekten açılır ve saldırgan yalnızca üretilen oturum çerezini kopyalayarak hesaba yerleşir. Bu yöntem, kimlik doğrulama gerçekten tamamlandığı için hiçbir SMS, uygulama kodu ya da push bildiriminin devre dışı bırakılmasına ihtiyaç duymaz.
Saldırı ekonomisinin ne kadar olgunlaştığını gösteren bir başka gösterge, bu kitlerin hizmet olarak satılıyor olmasıdır. 2025 yılının ortasına gelindiğinde tek bir oltalama platformunun, Microsoft’un engellediği oltalama hacminin yüzde 62’sini oluşturduğu raporlandı. Kurumsal tarafta sıkça karşılaşılan diğer aşma yöntemleri şu şekilde sıralanabilir:
- Kullanıcı onay verene kadar arka arkaya push bildirimi gönderen onay yorgunluğu saldırıları
- Operatör üzerinden numaranın devralınmasıyla gerçekleşen SIM swap girişimleri
- Yardım masasını sosyal mühendislikle ikna ederek doğrulama yöntemini sıfırlatma denemeleri
- Kullanıcıya zararlı bir uygulamaya kalıcı yetki verdiren OAuth onay saldırıları
Bu tablo, kimlik doğrulamanın tek seferlik bir kapı kontrolü olarak değil, süreklilik arz eden bir değerlendirme olarak kurgulanması gerektiğine işaret ediyor. ZTNA çözümü, her erişim talebini kullanıcı kimliği, cihaz durumu, konum ve zaman gibi bağlamsal verilerle yeniden değerlendirerek çalınmış bir oturumun sınırsız hareket alanı bulmasını zorlaştırabilir; Alarm Merkezi ise alışılmadık konumlardan gelen girişleri erken aşamada görünür kılabilir. Tehditler sürekli değişir ve gelişir; bu nedenle güvenlik sistemlerinizin de bu değişime göre aksiyon alabilmesi gerekir.
Türkiye’de 2FA Yalnızca Bir Tercih mi?
Belirli sektörlerde iki bileşenli doğrulama, iyi uygulama olmanın ötesinde mevzuat gereği haline gelmiş durumdadır. 15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete’de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik uyarınca bankaların, elektronik bankacılık hizmetlerinde müşterilerine birbirinden bağımsız en az iki bileşenden oluşan bir kimlik doğrulama mekanizması uygulaması ve kimlik doğrulama verilerinin gizliliğini sağlayacak önlemleri alması gerekmektedir.
Bankacılık dışındaki kurumlar için ise KVKK’nın veri güvenliğine ilişkin teknik ve idari tedbir yükümlülüğü belirleyici olabilir; bir ihlal incelemesinde erişim kayıtlarının bütünlüğü ve kimlik doğrulamanın yeterliliği doğrudan sorgulanabilecek başlıklar arasında yer alır. Erişim izlerinin düzenli biçimde tutulması gereken senaryolarda 5651 sayılı yasaya uygun loglama çözümü, kimin hangi kaynağa ne zaman eriştiğinin belgelenmesini kolaylaştırabilir.
İşletmeler İçin Uygulama Yol Haritası
- Yönetici, finans ve BT hesapları gibi ayrıcalıklı kullanıcılardan başlanarak oltalamaya dirençli yöntemlere geçiş planlanabilir.
- SMS tabanlı doğrulama, mümkün olan yerlerde uygulama tabanlı veya donanım tabanlı yöntemlerle değiştirilebilir.
- Güçlü yöntem tanımlandıktan sonra zayıf yedek seçeneklerin açık bırakılmaması, kurgunun bütünlüğü açısından önem taşıyabilir.
- Oturum süreleri kısaltılarak çalınmış bir çerezin kullanılabilir kaldığı süre daraltılabilir.
- Yardım masası sıfırlama süreçleri için ek kimlik teyidi adımları tanımlanabilir.
- Kullanıcılara beklenmedik doğrulama bildirimlerini raporlama alışkanlığı kazandırılabilir.
Kaynakça
Sıkça Sorulan Sorular
En çok okunanlar
