On yılı aşkın süredir geleneksel siber güvenlik ilkesi şuydu: "Herhangi bir 2FA, hiç 2FA olmamasından iyidir." Bu ifade, düşük çaba gerektiren toplu kimlik bilgisi doldurma (credential stuffing) saldırıları için geçerliliğini korusa da, SMS tabanlı iki faktörlü kimlik doğrulama feci bir tek hata noktasına (SPOF) dönüşmüştür. Büyük ölçekli karanlık ağ kişisel tanımlanabilir bilgi (PII) sızıntıları, güvenliği ihlal edilmiş telekomünikasyon operatör bayileri ve Evilginx gibi otomatik Ortadaki Saldırgan (AiTM) ters proxy araçları nedeniyle SMS 2FA sahte bir güvenlik hissi sunar. Bu teknik rapor, SMS doğrulamasının nasıl engellendiğini ve güvenlik duruşunuzun neden derhal TOTP ve FIDO2 anahtarlarına geçiş gerektirdiğini ayrıntılarıyla incelemektedir.
01. SMS Güvenliği Yanılsaması & Tarihsel Miras
2000'li yılların başında, kullanıcı için sıfır sürtünme sunması sebebiyle SMS tabanlı doğrulama çevrim içi tüketici güvenliğinde baskın standart haline geldi. Kullanıcıların özel kriptografik uygulamalar yüklemesine veya donanım anahtarları satın almasına gerek yoktu. Bir cep telefonuna sahip olunduğu sürece, 4 ila 6 haneli bir doğrulama kodu doğrudan kullanıcının cebine ulaştırılabiliyordu.
Bununla birlikte, Kısa Mesaj Servisi (SMS) protokolü ilk olarak 1980'lerde Avrupa Telekomünikasyon Standartları Enstitüsü (ETSI) tarafından GSM standardizasyonu kapsamında resmileştirildi. Asla kriptografik sırları taşımak veya bir kimlik doğrulama protokolü olarak hizmet etmek üzere tasarlanmamıştı. SMS mesajları uçtan uca şifrelemeden yoksundur, kaynak kimlik doğrulamasına sahip değildir ve kullanıcının etkin web tarayıcısı oturumuna yönelik herhangi bir kriptografik kanal bağlaması (channel binding) barındırmaz.
Telekom operatörleri, metin mesajlarını cihazı tutan kişinin kimliğine göre değil, o anda bir baz istasyonuna kayıtlı olan International Mobile Subscriber Identity (IMSI) değerine göre yönlendirir. SMS 2FA'ya güvendiğinizde dijital kimliğiniz kriptografi ile değil; yerel bir telefon bayisindeki en düşük maaşlı müşteri hizmetleri temsilcisi tarafından korunur.
02. Saldırı Vektörü 1: SIM Kopyalama Mekaniğinin Derinlemesine İncelemesi
SIM Kopyalama (SIM swapping, SIM ele geçirme veya numara taşıma dolandırıcılığı olarak da bilinir), yüksek net değere sahip kripto sahiplerine, şirket yöneticilerine ve sistem yöneticilerine saldıran hedefli tehdit aktörlerinin tercih ettiği silahtır. Saldırganın hedefin cihazına fiziksel olarak erişmesi gerekmez.
SIM Kopyalama Saldırı Yaşam Döngüsü:
Saldırganlar, kurbanın Sosyal Güvenlik Numarası (SSN), tam adı, doğum tarihi, ev adresi ve birincil hücresel operatörünü elde etmek için karanlık ağ sızıntı veri tabanlarından toplanan verileri satın alır.
Saldırgan, kurban gibi davranarak "kayıp veya hasarlı SIM" bahanesiyle operatör destek hattını arar ve basit doğrulama sorularını başarıyla yanıtlar. Alternatif olarak siber suç örgütleri, yetkisiz her bir SIM değişimi için bayi çalışanlarına 500 ila 1.000 dolar rüşvet verir.
Operatör, kurbanın MSISDN telefon numarasını saldırganın SIM kartına aktarır. Kurbanın telefonunun hücresel bağlantısı anında kesilerek "Servis Yok" veya "Yalnızca Acil Aramalar" durumuna geçer. Çoğu kurban bunun geçici bir şebeke arızası olduğunu varsayarak en kritik 10 dakikalık müdahale penceresini heba eder.
Telefon numarasını ele geçiren saldırganlar; Gmail, Microsoft, Telegram, Binance ve çevrim içi bankacılık üzerinde şifre sıfırlama talepleri gönderir. Gelen her SMS OTP kodu doğrudan saldırganın tek kullanımlık telefonuna ulaşarak anında tam hesap kontrolü sağlar.
- Jack Dorsey (Twitter CEO'su): Ağustos 2019'da bilgisayar korsanları bir AT&T bayisini hedef alarak Dorsey'nin SIM kartını kopyaladı ve ele geçirilen telefon numarasını Twitter'ın eski SMS'ten tweet'e ağ geçidi (Cloudhopper) üzerinden hakaret içerikli tweetler paylaşmak için kullandı.
- ABD Menkul Kıymetler ve Borsa Komisyonu (SEC) X Hesabı (2024): Saldırganlar, SEC'in resmi hesap kurtarma cep telefonu numarasında yetkisiz bir SIM kopyalama işlemi gerçekleştirdi, Spot Bitcoin ETF'lerinin onaylandığını sahte bir şekilde duyurdu ve küresel piyasalarda yüz milyonlarca dolarlık kaldıraçlı işlemin tasfiyesine yol açtı.
03. Saldırı Vektörü 2: SS7 & Hücresel Protokol İstismarı
SIM kopyalama insan faktöründeki zaaflara dayanırken, Signaling System No. 7 (SS7) güvenlik açıkları küresel telekomünikasyon yönlendirmesindeki yapısal kusurları istismar eder.
1975 yılında tasarlanan SS7; dünya çapındaki yüzlerce telekom şirketi arasında arama kurulumunu, numara çevirisini, SMS iletimini ve uluslararası dolaşımı (roaming) yönetir. En önemlisi, SS7 kör bir güven modeli üzerine kurulmuştur: SS7 omurgasına bağlı herhangi bir telekomünikasyon sağlayıcısının meşru ve yetkili olduğu varsayılır.
Bu durum, hasım istihbarat teşkilatlarının veya gelişmiş suç örgütlerinin kurbanın hiçbir şeyden şüphelenmesine yol açmadan uluslararası sınırlar ötesinde bankacılık ve kripto OTP kodlarını gizlice ele geçirmesine olanak tanır. LTE Diameter protokol yükseltmelerine rağmen, eski SS7 ile geriye dönük uyumluluk kalıcı bir risk oluşturmaya devam etmektedir.
04. Saldırı Vektörü 3: Gerçek Zamanlı AiTM Oltalama (Evilginx Çerçevesi)
Pek çok kullanıcı hatalı bir şekilde: "SIM kartım kopyalanmadığı sürece SMS kodlarım güvendedir." diye düşünür. Bu varsayım, Evilginx 3.0, Modlishka ve Muraena gibi modern Adversary-in-the-Middle (AiTM) ters proxy araçları karşısında tamamen çöker.
Geleneksel kimlik bilgisi toplama yöntemleri sahte statik giriş formları kullanırdı. Günümüzün saldırgan ters proxy'leri ise canlı ve şeffaf aracılar olarak çalışır:
Statik şifreleri çalar. 2FA etkinse saldırgan 60 saniyelik süre içinde geçerliliğini yitiren OTP kodunu tekrar kullanamadığı için anında başarısız olur.
Kullanıcı ile meşru sunucu arasındaki canlı trafiği iletir. Kullanıcı SMS kodunu girdiğinde proxy bunu anında iletir, kimlik doğrulamasını tamamlar ve kimliği doğrulanmış oturum çerezlerini ve OAuth yetki belirteçlerini çalar.
login.example.com yerine login.examp1e.com adresine girdiğini ayırt edemez. Buna karşılık FIDO2/WebAuthn kimlik doğrulayıcıları, açık anahtar imzalarını doğrudan tarayıcının kaynak URL'sine bağlayarak oltalama girişimlerini anında engeller.
05. Saldırı Vektörü 4: IMSI Yakalayıcılar & Android Truva Atları
Yerel radyo frekansı ve uç nokta düzeylerinde SMS mesajları daha başka ciddi güvenlik açıklarıyla da karşılaşır:
-
●
IMSI Yakalayıcılar (Stingrays) & 2G'ye Düşürme Saldırıları: Sahte taşınabilir baz istasyonları, yakındaki cihazları 4G/5G bağlantısını kesmeye ve eski 2G (GSM) şebekesine düşmeye zorlayan yüksek güçlü sinyaller yayınlar. GSM, baz istasyonunu mobil cihaza doğrulamadığından, saldırganlar sesli aramaları ve şifrelenmemiş SMS belirteçlerini havadan deşifre etmek için kırılmış A5/1 şifrelerini istismar eder.
-
●
Android SMS Dinleyici Kötü Amaçlı Yazılımları: Aldatıcı yardımcı programlar veya harici yüklenen (sideloaded) APK'lar
android.permission.RECEIVE_SMSveyaBIND_NOTIFICATION_LISTENER_SERVICEizinleri ister. Yüklendikten sonra arka plan servisleri doğrulama kodlarını geldikleri anda yakalar ve bunları şifreli Telegram botları veya komuta-kontrol sunucuları üzerinden gerçek zamanlı olarak iletir.
06. NIST SP 800-63B Kullanımdan Kaldırma Yönergeleri
Bu felaket niteliğindeki saldırı vektörlerini kabul eden National Institute of Standards and Technology (NIST), dönüm noktası niteliğindeki kimlik standardı Special Publication 800-63B (Dijital Kimlik Kılavuzu: Kimlik Doğrulama ve Yaşam Döngüsü Yönetimi) belgesinde SMS kimlik doğrulamasını resmi olarak kısıtlamıştır:
"PSTN sistemleri (SMS veya ses) kullanılarak yapılan bant dışı (OOB) kimlik doğrulama resmi olarak RESTRICTED (KISITLI) olarak tanımlanmıştır. SMS doğrulamasını kullanan sistemler; SIM kopyalama, numara taklidi, sinyalleşme dinleme ve cihaz klonlamanın getirdiği varoluşsal riskleri açıkça belgelemeli ve kabul etmelidir. Authenticator Assurance Level 2 (AAL2) veya daha yüksek standartlara bağlı kuruluşlar için kriptografik çok faktörlü kimlik doğrulayıcıların (TOTP uygulamaları veya donanım FIDO belirteçleri) kullanımı kesin olarak zorunludur."
Avrupa otoriteleri (ENISA) ve Cybersecurity and Infrastructure Security Agency (CISA) de bu politikayı yineleyerek kurumlara ve kamu kuruluşlarına kritik altyapılardan SMS kimlik doğrulamasını aşamalı olarak kaldırmaları talimatını vermiştir.
07. Mimari Karşılaştırma: SMS vs TOTP vs FIDO2
Zaman Tabanlı Tek Kullanımlık Şifre (RFC 6238 TOTP) neden SMS'ten temel olarak üstündür? Aşağıdaki karşılaştırma tablosu mimari güvenlik özelliklerini özetlemektedir:
| Güvenlik Boyutu | SMS Doğrulaması | TOTP Authenticator (RFC 6238) | Donanım FIDO2 / YubiKey |
|---|---|---|---|
| İletim Kanalı | Hücresel Telekom Şebekesi | %100 İstemci Tarafı Yerel Matematik | Yerel Secure Element Çipi |
| SIM Kopyalama Direnci | Sıfır (Anında ele geçirilir) | Bağışık (Telefon numarasından bağımsız) | Bağışık (Donanımsal olarak izole) |
| SS7 Sinyalleşme Dinleme | Savunmasız | Bağışık (Sıfır ağ paketi) | Bağışık (Ağ iletimi yok) |
| IMSI Yakalayıcı / 2G Düşürme | Savunmasız | Bağışık | Bağışık |
| AiTM Ters Proxy (Evilginx) | Kolayca atlatılır | Orta (Dikkat gerektirir) | Mükemmel (Kaynak URL bağlama) |
| Uçak Modu / Çevrimdışı Kullanım | Kullanılamaz | Tamamen Çalışır (Yalnızca zaman damgası) | Tamamen Çalışır |
| Uygulama Maliyeti | SMS başına operatör ücreti | Ücretsiz & Açık Standart | Donanım belirteci (45$ - 80$) |
08. Eyleme Geçirilebilir Savunma ve Geçiş Yol Haritası
Bu güvenlik açığını gidermek için hücresel sinyalinizin gizemli bir şekilde kaybolmasını beklemeyin. Bugün şu somut adımları atın:
Google, Apple ID, GitHub, Binance, Kraken ve birincil e-posta sağlayıcılarınıza giriş yapın. Bir authenticator uygulaması (Aegis, 2FAS veya Bitwarden gibi) ya da donanım güvenlik anahtarı tanımlayın. İzin veriliyorsa SMS'i yedek kurtarma yöntemi olarak açıkça devre dışı bırakın.
Telekom operatörünüzle (Turkcell, Vodafone, Türk Telekom, AT&T, Verizon vb.) iletişime geçerek zorunlu bir Numara Taşıma PIN kodu veya "Hesap Ele Geçirme Kilidi" tanımlayın. iOS/Android ayarlarından cihaz içi SIM PIN kodunu etkinleştirin; böylece çalınan fiziksel bir SIM kart başka bir telefona takılamaz.
Bir authenticator kurduğunuzda, ham 16 karakterli Base32 gizli anahtarını çevrimdışı fiziksel bir ortamda (kağıt veya şifreli soğuk depolama) saklayın ve hesabın 10 adet tek kullanımlık acil durum kurtarma kodunu güvene alın.
09. Sıkça Sorulan Sorular (SSS)
S1: SMS 2FA hiç ikinci faktör olmamasından yine de daha iyi değil mi? ▼
Zayıf ve yeniden kullanılan parolaları hedefleyen temel otomatik bot saldırıları için SMS 2FA sembolik bir koruma sağlar. Ancak SMS 2FA'nın paradoksu, servislerin telefon numaranızı yanılmaz bir ana kurtarma anahtarı olarak görmesidir. Hedefli bir saldırgan SIM kartınızı kopyalarsa, SMS bir savunma mekanizması olmaktan çıkar ve sahip olduğunuz her şifreyi sıfırlamak için kullanılan silaha dönüşür.
S2: eSIM kullanmak beni SIM kopyalamadan korur mu? ▼
Hayır. eSIM fiziksel kart hırsızlığına karşı koruma sağlar, ancak sosyal mühendisliğe karşı korumaz. Bir operatör temsilcisini ikna eden saldırganlar kolayca bir elektronik eSIM QR kodu alır ve numaranızı saniyeler içinde internet üzerinden kendi cihazlarına indirir.
S3: Bireysel bankalar neden hâlâ SMS doğrulamasını zorunlu tutuyor? ▼
Kullanıcı kitlesinin alışkanlıkları ve müşteri desteği operasyon maliyetleri nedeniyle. Milyonlarca teknik bilgisi olmayan bankacılık müşterisini authenticator uygulamalarına geçmeye zorlamak çağrı merkezlerini kilitleyebilir. Bankalar bunun yerine yıllık yüz milyonlarca dolarlık dolandırıcılık maliyetini üstlenir ve perde arkasındaki risk modellerine güvenir (örneğin son 24 saat içinde bir SIM kartın değiştirilip değiştirilmediğini operatörlerden sorgulamak gibi).
S4: Akıllı telefonumda "Servis Yok" uyarısı görürsem hemen ne yapmalıyım? ▼
Bunu kritik bir güvenlik olayı olarak değerlendirin. Derhal Wi-Fi'ye bağlanın, sabit hattan veya başka bir cihazdan operatörünüzü arayın ve numaranızın başka bir hatta taşınıp taşınmadığını teyit edin. Aynı anda kripto para borsa hesaplarınızı dondurun ve bir masaüstü bilgisayardan ana e-posta şifrelerinizi değiştirin.
S5: SIM kartımı kopyalayan bir saldırgan TOTP kimlik doğrulayıcımı tehlikeye atabilir mi? ▼
Hayır. Authenticator uygulamaları, cihazınızın izole edilmiş donanım anahtar deposunda saklanan önceden paylaşılmış kriptografik bir anahtarı kullanarak kodları yerel olarak hesaplar. Hücresel şebekenin bu anahtara kesinlikle hiçbir erişimi yoktur. Bir saldırgan telefon numaranızı tamamen kontrol etse bile TOTP kodlarınızı üretemez.
Güvenli TOTP Kodlarını Doğrudan Tarayıcınızda Üretin
Hücresel dinleme risklerine elveda deyin. 2FA-Tool, anahtarlarınızı özel ve çevrimdışı tutarak yerel tarayıcı kum havuzunuzda RFC 6238 kodları üretmek için W3C Web Crypto API'sini kullanır.