Şirketlerin bilgi güvenliği politikaları, parola standartları, olay müdahale prosedürleri, yedekleme planları ve güvenlik ekipleri var.
Peki ailelerin?
Çoğumuz banka hesaplarımızı, kimlik bilgilerimizi, aile fotoğraflarımızı, özel yazışmalarımızı, sağlık bilgilerimizi ve hatta evimizin fiziksel güvenliğini etkileyebilecek sistemleri birkaç telefon ve çevrimiçi hesap üzerinden yönetiyoruz. Buna rağmen evde bir siber olay yaşandığında ne yapılacağını çoğu zaman olay gerçekleştikten sonra düşünmeye başlıyoruz.
Reid Hoffman’ın 9 Eylül 2026’da yayımladığı “Your family needs a cybersecurity plan” yazısının bence en önemli mesajı tam olarak burada: saldırı yüzeyi artık yalnızca şirket sistemleri değil; yüzümüz, sesimiz, ilişkilerimiz, alışkanlıklarımız ve birbirimize duyduğumuz güven de saldırı yüzeyinin bir parçası.
Yapay zekâ ile ses ve görüntü taklidinin ucuzlaması, oltalama saldırılarının kişiselleştirilmesi ve saldırganların çok daha büyük ölçekte otomasyon kullanabilmesi nedeniyle “sesini tanıdım”, “görüntülü aradı” veya “benim hakkımda birçok şey biliyordu” artık tek başına güvenilir kimlik doğrulama yöntemleri değil.
Bu nedenle aileler için de küçük ama işleyen bir siber güvenlik planı oluşturmanın zamanı geldi.
Siber güvenlik paranoya değil, protokoldür
İyi güvenlik her şeyden şüphelenmek değildir.
İyi güvenlik, şüphelenmek zorunda kalacağınız anda ne yapacağınızı önceden belirlemektir.
Şirketlerin olay müdahale prosedürlerini saldırı başladıktan sonra yazmamasının nedeni de budur. Kriz anı sağlıklı karar vermek için kötü bir zamandır.
Aynı prensibi eve uyarlayabiliriz.
Bir aile siber güvenlik planının şu altı soruya cevap vermesi yeterli:
Neyi koruyoruz? Kimlerden ve hangi senaryolardan koruyoruz? Hangi kurallara uyuyoruz? Bir şeylerin ters gittiğini nasıl anlayacağız? Olay olduğunda ne yapacağız? Sonrasında nasıl toparlanacağız?
Bunlar aslında NIST Cybersecurity Framework 2.0’ın Govern, Identify, Protect, Detect, Respond ve Recover fonksiyonlarının ev ölçeğine indirgenmiş hali.
1. GOVERN — Önce aile kurallarını belirleyin
Teknik kontrollerden önce birkaç basit kural belirlemek en büyük risklerin önemli bölümünü ortadan kaldırabilir.
Bizim ailede uygulanabilecek örnek bir politika şu olabilir:
Kural 1 — Para + aciliyet = dur ve doğrula
Bir yakınınız sizi arayıp:
- acilen para isterse,
- yeni bir IBAN gönderirse,
- kredi çekmenizi isterse,
- kripto para göndermenizi isterse,
- “kimseye söyleme” derse,
aradaki kişi gerçekten o kişi gibi görünse veya sesi tamamen aynı olsa dahi işlem yapılmaz.
Telefon kapatılır ve kişi daha önceden bilinen başka bir iletişim kanalından aranır.
FTC de özellikle aciliyet, finansal risk ve gizlilik içeren aramalarda görüşmenin sonlandırılmasını ve kurumun veya kişinin bağımsız bir kanaldan doğrulanmasını öneriyor.
Kural 2 — Hiç kimseye doğrulama kodu verilmez
SMS kodu, mobil bankacılık doğrulaması, authenticator kodu veya parola:
Telefonda kimseyle paylaşılmaz.
Arayan kişi banka çalışanı, polis, savcı, teknik destek veya aileden biri olduğunu iddia etse bile kural değişmez.
Kural 3 — Gelen telefon üzerine uygulama kurulmaz
“Telefonunuzda virüs var”, “hesabınızı güvenceye alacağız” veya “ekranınızı görmemiz gerekiyor” gibi gerekçelerle gelen bir görüşme üzerine:
- AnyDesk,
- TeamViewer,
- RustDesk,
- benzeri uzaktan erişim uygulamaları
kurulmamalıdır.
Kural 4 — Kimlik doğrulama için görüntü ve sese güvenilmez
Aile içinde yalnızca yüz yüze bilinen bir güvenlik kelimesi veya doğrulama cümlesi belirlenebilir.
Ancak bu tek güvenlik mekanizması olmamalıdır.
Daha güçlü model:
Güvenlik kelimesi + bilinen başka kanaldan geri arama.
Sorulacak doğrulama sorusu da annenizin kızlık soyadı, doğum yeri, evcil hayvan ismi gibi internette bulunabilecek bilgilerden oluşmamalıdır.
Hoffman’ın yazısındaki “internette bulunmayan bir aile kelimesi belirleyin” önerisi tam olarak bu yeni deepfake tehdidine karşı geliştirilmiş basit bir kontrol.
Kural 5 — Şüphelenmek ayıp değildir
Aile içinde özellikle çocuklara ve yaşlılara şu mesaj verilmelidir:
“Bir şey yaptıysan saklama; hemen söyle.”
Çünkü saldırganların en güçlü araçlarından biri teknik kabiliyet değil, mağdurun utanmasını veya korkmasını sağlayarak olayı gizletmektir.
2. IDENTIFY — Ailenizin “kritik varlıklarını” bulun
Her hesabın değeri aynı değildir.
Örneğin bir yemek sipariş hesabının ele geçirilmesiyle ana e-posta hesabınızın ele geçirilmesinin etkisi aynı olmaz.
Ben ev kullanıcıları için hesapları üç seviyeye ayırmayı tercih ediyorum.
| Seviye | Hesaplar | Öncelik |
|---|---|---|
| Tier 0 — Root Accounts | Ana e-posta, parola yöneticisi, Apple/Google/Microsoft hesabı | Kritik |
| Tier 1 — Kimlik ve Finans | Bankacılık, e-Devlet, GSM operatörü, yatırım hesapları | Çok yüksek |
| Tier 2 — Dijital yaşam | Sosyal medya, alışveriş, oyun, streaming vb. | Normal |
Özellikle ana e-posta hesabı önemlidir.
Çünkü onlarca farklı servisteki “Parolamı unuttum” sürecinin son noktası çoğu zaman e-posta hesabınızdır.
Dolayısıyla saldırgan ana e-postanızı ele geçirdiğinde aslında diğer hesaplarınıza yönelik bir account recovery hub elde etmiş olabilir.
Aynı nedenle parola yöneticiniz de kritik varlıktır.
Bu hesaplarda mümkün olan en güçlü kimlik doğrulama yöntemini kullanmak gerekir.
3. PROTECT — Teknik asgari standardınızı oluşturun
Ev için yüzlerce güvenlik kontrolüne ihtiyacımız yok.
Yaklaşık on kontrol çok büyük fark yaratır.
Parolaları ezberlemeyi bırakın
Her hesap için:
uzun + benzersiz + rastgele parola
kullanın.
Bunu insan hafızasıyla yönetmeye çalışmak yerine güvenilir bir parola yöneticisi kullanın.
CISA da uzun ve benzersiz parolalarla birlikte parola yöneticisi kullanımını temel güvenlik uygulamaları arasında gösteriyor.
Aynı parolanın farklı sitelerde kullanılması özellikle tehlikelidir.
Çünkü saldırganların bir servisten sızdırılan kullanıcı adı/parola çiftlerini başka servislerde otomatik olarak denediği credential stuffing saldırıları oldukça yaygındır.
MFA kullanın; mümkünse SMS’ten daha güçlüsünü
Çok faktörlü kimlik doğrulama artık opsiyonel görülmemeli.
Ancak bütün MFA yöntemleri eşit değildir.
Genel sıralama kabaca şöyle düşünülebilir:
FIDO güvenlik anahtarı / passkey → authenticator → SMS → yalnızca parola
CISA, FIDO/WebAuthn tabanlı yöntemleri phishing-resistant MFA olarak değerlendiriyor ve SMS tabanlı doğrulamadan mümkün olduğunca daha güçlü yöntemlere geçilmesini öneriyor.
NIST de passkey’lerin klasik parolalara kıyasla oltalamaya karşı önemli avantaj sağladığını belirtiyor.
Özellikle Tier 0 hesaplarda passkey veya phishing-resistant MFA kullanılmasını öneririm.
Recovery mekanizmalarını kontrol edin
Çok kişinin unuttuğu bölüm burasıdır.
Google, Apple, Microsoft ve diğer kritik hesaplarda:
- kurtarma telefonu,
- kurtarma e-postası,
- kayıtlı cihazlar,
- recovery code’lar
kontrol edilmelidir.
Eski telefon numarası veya artık kullanılmayan bir e-posta adresi yıllarca hesap üzerinde kalmamalıdır.
Recovery kodlarının bir kopyasının çevrimdışı ve güvenli bir yerde tutulması da mantıklıdır.
Telefon ve bilgisayarları güncel tutun
İşletim sistemleri, tarayıcılar ve uygulamalar için mümkün olduğunca:
otomatik güncelleme
etkinleştirilmelidir.
CISA’nın bireyler için öne çıkardığı dört temel davranış da oldukça basittir:
oltalamayı tanı, güçlü parola kullan, MFA etkinleştir ve yazılımları güncel tut.
Telefonlarda ayrıca:
- güçlü ekran kilidi,
- biyometrik doğrulama,
- cihaz bulma özelliği,
- uzaktan silme,
- cihaz şifreleme
aktif olmalıdır.
Yedek alın
Telefonun kaybolması veya fidye yazılımı saldırısı aile fotoğraflarının da kaybolması anlamına gelmemeli.
Önemli fotoğraf ve belgelerin en azından:
bulut + ikinci bir bağımsız kopya
şeklinde saklanması oldukça güçlü bir başlangıçtır.
Yedeğin varlığı kadar gerektiğinde geri yüklenip yüklenemediği de önemlidir.
4. DETECT — Bir şeylerin ters gittiğini erken fark edin
Ev ortamında SIEM kurmamıza gerek yok.
Ama elimizde oldukça iyi “sensörler” var.
Kritik hesaplarda:
- yeni cihaz girişi,
- parola değişikliği,
- yeni MFA yöntemi eklenmesi,
- yeni kart işlemi,
- para transferi,
- SIM veya operatör değişikliği
bildirimleri açık olmalıdır.
Beklemediğiniz bir doğrulama bildirimi geldiğinde:
“Yanlışlıkla geldi” diye onaylamayın.
Bu bir saldırganın parolanızı zaten bildiğine dair ilk sinyal olabilir.
Bankacılık uygulamalarındaki anlık işlem bildirimleri de aynı nedenle önemli bir kontrol mekanizmasıdır.
5. RESPOND — Olay olduğunda ne yapacağız?
En kritik bölüm budur.
Olay sırasında sıfırdan karar vermek yerine küçük bir aile playbook’u oluşturabiliriz.
Şüpheli telefon / WhatsApp / görüntülü arama
DUR → KAPAT → BAĞIMSIZ KANALDAN DOĞRULA
Para göndermeyin.
Kod paylaşmayın.
Uygulama kurmayın.
Gelen numarayı geri aramak yerine daha önce kayıtlı numarayı kullanın.
Hesap ele geçirildiyse
Mümkünse temiz ve güvendiğiniz başka bir cihazdan:
- Parolayı değiştirin.
- Tüm aktif oturumları sonlandırın.
- MFA yöntemlerini kontrol edin.
- Eklenmiş bilinmeyen cihazları kaldırın.
- Recovery e-posta ve telefonlarını kontrol edin.
- Aynı parola başka yerde kullanıldıysa onları da değiştirin.
Özellikle ana e-posta hesabı ele geçirildiyse diğer kritik hesapları da potansiyel olarak risk altında kabul edin.
Banka hesabında yetkisiz işlem varsa
Önce bankanın resmî kanallarından iletişime geçin.
Türkiye’de Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığı, izinsiz internet bankacılığı kullanımında bankayla iletişim kurulmasını, ilgili kayıtların temin edilmesini ve deliller korunacağı için cihazların hemen formatlanmamasını tavsiye ediyor. Adli süreç için polis merkezi, Cumhuriyet Başsavcılığı veya Siber Suçlarla Mücadele Şube Müdürlüğüne başvuru yapılabileceğini de belirtiyor.
Dolayısıyla önemli bir kural daha:
Panikle cihazı sıfırlamayın ve delilleri yok etmeyin.
6. RECOVER — Sadece saldırganı çıkarmak yetmez
Olay kapandıktan sonra şu soruyu sormak gerekir:
Saldırgan içeri nasıl girdi?
Örneğin parola oltalama ile çalındıysa yalnızca parolayı değiştirmek problemi tamamen çözmeyebilir.
Aynı parola başka hesaplarda var mı?
E-posta yönlendirme kuralı oluşturuldu mu?
Yeni recovery adresi tanımlandı mı?
OAuth üzerinden kötü niyetli bir uygulamaya yetki verildi mi?
SIM kart veya telefon numarası üzerinde değişiklik yapıldı mı?
Amaç yalnızca hesabı geri almak değil, kalıcılık mekanizmalarını temizlemek ve aynı olayın tekrarını engellemektir.
Yapay zekâ çağında yeni aile dolandırıcılığı modeli
Deepfake’ler burada oyunu gerçekten değiştiriyor.
Eskiden:
“Oğlunuz kaza yaptı.”
deniyordu.
Artık teorik olarak:
oğlunuz sizi kendi sesiyle arayabilir.
Daha ileri senaryolarda görüntülü görüşme bile tek başına güvenilir kanıt olmayabilir.
Hoffman’ın verdiği Hong Kong örneği bu nedenle dikkat çekici: Bir şirket çalışanı, üst düzey yöneticileri ve çalışma arkadaşlarını gördüğünü düşündüğü bir video konferans sonrasında yaklaşık HK$200 milyon transfer etti; görüşmedeki diğer kişilerin sahte görüntüler olduğu daha sonra ortaya çıktı.
Bu dünyada güven modeli değişiyor.
“Tanıdığım kişiyi gördüm”
yerine:
“İşlemi önceden belirlediğimiz prosedüre göre doğruladım.”
dememiz gerekiyor.
Yapay zekâyı savunmada da kullanabiliriz
Şüpheli bir mesajı, e-postayı veya senaryoyu yapay zekâya inceletmek oldukça faydalı olabilir.
Örneğin:
“Bu mesajda sosyal mühendislik veya dolandırıcılık göstergeleri görüyor musun?”
diye sorabilirsiniz.
Ancak burada da başka bir güvenlik prensibi devreye giriyor:
Analiz için kullandığınız sisteme gereksiz kişisel veya hassas veri göndermeyin.
Kimlik numaraları, banka bilgileri, parolalar, OTP’ler veya özel belgeler mümkünse tamamen kaldırılmalı veya maskelenmelidir.
AI bir güvenlik analisti gibi kullanılabilir.
Sır kasası gibi değil.
20 dakikalık aile siber güvenlik kontrolü
Bu yazıyı okuduktan sonra yapılacak en değerli şey teoriyi biraz azaltıp uygulamaya geçmek olabilir.
Ailenizle yaklaşık 20 dakikada şu başlangıç seviyesine gelebilirsiniz:
- Ana e-posta hesaplarında MFA’yı etkinleştirin.
- Apple/Google/Microsoft hesaplarının recovery bilgilerini kontrol edin.
- Aynı kullanılan kritik parolaları değiştirin.
- Bir parola yöneticisi belirleyin.
- Telefonlarda otomatik güncelleme ve cihaz bulmayı açın.
- Bankacılık işlem bildirimlerini etkinleştirin.
- Aile için internette bulunmayan bir doğrulama kelimesi belirleyin.
- “Para + aciliyet = telefonu kapat ve geri ara” kuralında anlaşın.
- “OTP/parola kimseyle paylaşılmaz” kuralını netleştirin.
- Aile fotoğrafları ve kritik belgelerin yedeğini kontrol edin.
Hepsini aynı gün yapmak zorunda değilsiniz.
Güvenlik bir defalık proje değil, sürekli risk yönetimi sürecidir.
Sonuç: Güveni kaldırmıyoruz, güveni doğrulanabilir hale getiriyoruz
Aile siber güvenliği insanların birbirinden şüphelenmesi anlamına gelmemeli.
Tam tersine iyi tasarlanmış güvenlik protokolleri, insanların kriz anında birbirlerine güvenmeye devam edebilmesini sağlar.
Yapay zekâ dünyasında saldırganlar sesimizi, yüzümüzü, yazı tarzımızı ve çevrimiçi kimliğimizin başka parçalarını giderek daha başarılı biçimde taklit edebilir.
Ama saldırganın bilmediği ve kontrol edemediği şeyler hâlâ oluşturabiliriz:
önceden belirlenmiş kurallar, bağımsız doğrulama kanalları, güçlü kimlik doğrulama, sınırlı erişim ve iyi hazırlanmış olay müdahale planları.
Kurumsal bilgi güvenliğinde yıllardır kullandığımız temel prensip aslında evde de geçerli:
Bir olayın hiç gerçekleşmeyeceğini varsaymak yerine, gerçekleştiğinde etkisinin ne kadar sınırlı kalacağını tasarlayın.
Belki de artık her evin bir güvenlik operasyon merkezine ihtiyacı yok.
Ama her ailenin küçük bir siber güvenlik programına ihtiyacı var.