X'ten İstemediğim Şifre Sıfırlama E-postası Geliyor, Hacklendim mi?

X'in resmî yardım sayfası, istemediğiniz hâlde sık sık şifre sıfırlama mesajı alanlara iki şey öneriyor: hesap ayarlarında Şifre sıfırlama koruması seçeneğini açmak ve iki faktörlü kimlik doğrulamayı kurmak. Sayfalar, bu e-postaların tek başına hesabınızın ele geçirildiği anlamına geldiğini söylemiyor; ele geçirilme belirtileri ayrıca sayılıyor, örneğin sizin yapmadığınız gönderiler, Direkt Mesajlar, değişen hesap bilgileri ya da artık çalışmayan şifre. Hangi e-posta gelirse gelsin, X hiçbir zaman e-posta, Direkt Mesaj veya yanıt ile şifrenizi istemez.

Hızlı sıra şudur: (1) E-postadaki bağlantıya ya da koda dokunmayın; X uygulamasını açın veya tarayıcının adres çubuğuna kendiniz x.com yazarak giriş yapın ve şifrenizin çalıştığını, hesapta size ait olmayan bir hareket bulunmadığını kontrol edin. (2) Giriş yapabiliyorsanız Şifre sıfırlama koruması seçeneğini açın, iki faktörlü kimlik doğrulamayı kurun, açık oturumları ve bağlı uygulamaları gözden geçirin. (3) Şifrenize artık giremiyorsanız ya da hesapta size ait olmayan hareketler görüyorsanız, aşağıdaki ele geçirilmiş hesap bölümündeki resmî adımlara geçin: şifre değiştirme, e-posta adresinin güvenliği, üçüncü taraf uygulama erişimini kaldırma ve destek isteği.

Kısa Cevap: Tek Bir Sıfırlama E-postası Ne Anlama Gelir?

X'in resmî yardım sayfasında anlatılan akışta şifre sıfırlama e-postası, giriş ekranındaki "Şifreni mi unuttun?" bağlantısıyla başlatılan bir isteğin sonucudur. Sayfaya göre X, hesapla ilişkili e-posta adresine hemen bir mesaj gönderir; e-posta 60 dakikalığına geçerli bir kod içerir. Kodun şifre sıfırlama sayfasındaki alana girilmesi ve ardından yeni şifre belirlenmesi gerekir. Bu akışa göre e-postanın gelmesi şifrenin değiştiği anlamına gelmez; şifre, kod girilip yeni şifre belirlendiğinde değişir.

Asıl soru "bu isteği kim başlattı?" sorusudur ve e-postanın kendisi buna güvenilir bir cevap vermez. Resmî sayfalar, bir sıfırlama e-postasına bakarak isteği kimin başlattığını anlamanın bir yolunu anlatmıyor. Dört ihtimal akla gelir ve hangisinin geçerli olduğunu yalnızca e-postaya bakarak söylemek mümkün değildir:

• Siz ya da bir yakınınız başlattınız. Şifreyi unutmuş olabilirsiniz, bir cihazda yanlış şifre girmiş olabilirsiniz.
• Bir başkası sıfırlama formunu tetikledi. Resmî sayfa bunu bir olay olarak anlatmıyor, ancak "istemediğiniz hâlde sık sık şifre sıfırlama mesajı" aldığınız durumda koruma ayarını öneriyor; yani bu durumu tanıyor.
• X kendisi sıfırlama yaptı. Resmî güvenlik ipuçları sayfasına göre X, hesabınızın ele geçirildiğinden şüphelenirse hacker'ın hesabı kötüye kullanmasını engellemek için şifrenizi sıfırlayabilir ve size e-posta ile x.com şifre sıfırlama bağlantısı gönderir.
• E-posta sahtedir. X'ten geliyormuş gibi görünen oltalama e-postaları vardır; resmî sayfa bunları ayrıca anlatır (aşağıda).

Bu belirsizlik yüzünden doğru yaklaşım, e-postayı yorumlamaya çalışmak yerine hesabı kendi yolunuzla kontrol etmek ve korumayı sağlamlaştırmaktır. Tersi bir sorunla karşılaşıyorsanız, yani kod ya da e-posta hiç gelmiyorsa, X doğrulama kodu gelmiyor ve hesaba girilemiyor yazısına bakın; bu yazı yalnızca istemediğiniz e-postaların gelmesini konu alıyor.

Gelen E-postayı Durumuna Göre Okuma Tablosu

Aşağıdaki tablo, hangi tür mesajın ne anlama gelebileceğini ve ilk adımı özetler. "Dayanak" sütunu, bilginin hangi resmî sayfadan geldiğini ya da genel güvenlik bilgisi olduğunu gösterir. Tahmin niteliğindeki yorumlar tabloda açıkça belirtilmiştir.

Haberlerde Anlatılan Dalga ve Bu Yazının Sınırı

Eylül başında bazı teknoloji ve genel haber sitelerinde, çok sayıda X kullanıcısının kendilerinin başlatmadığı art arda şifre sıfırlama e-postası ve kodu aldığı aktarıldı. Haberlerde bunun, X'in ödeme hizmeti X Money'nin kullanıma açılmasıyla aynı döneme denk geldiği ve saldırganların herkese açık kullanıcı adlarıyla sıfırlama formunu toplu biçimde tetiklemiş olabileceği yönünde yorumlar yer aldı. Bazı kullanıcıların, sıfırlama e-postalarının ardından X'ten geliyormuş gibi görünen oltalama e-postaları da aldığını iddia ettiği aktarıldı. Bu bilgilerin hepsi ikincil kaynaklara, yani haber aktarımlarına dayanıyor; bu yazı onları doğrulanmış olgu olarak sunmaz.

Haberlerin bir kısmında sistem çapında bir ihlal kanıtı bulunmadığı da aktarıldı; ancak help.x.com'da olayla ilgili resmî bir duyuruya rastlanmadı. Bu yüzden bu yazıda "bir ihlal oldu" de, "ihlal olmadı" de denmiyor. Resmî sayfaların söylediği şey daha dar ve daha sağlam: istenmemiş ve sık gelen sıfırlama mesajlarında koruma ayarı ve iki faktörlü doğrulama öneriliyor.

Türkiye'deki kullanıcılara etkisi ise ölçülemedi. Elimizde Türkiye'ye ait bir şikayet sayısı, bir ölçüm ya da resmî bir açıklama yok. Bu nedenle "Türkiye'de de aynı dalga yaşanıyor" demek de, "yaşanmıyor" demek de doğru olmaz. Haberlerdeki dalganın nedeni ne olursa olsun, kullanıcı tarafında yapılacaklar aynı kalıyor: hesabı kendi yolunuzla kontrol etmek, korumayı açmak ve ikinci doğrulama adımını eklemek.

İlk Dakikalarda Yapılacaklar: Bağlantıya Tıklamadan Kontrol

Aşağıdaki sıra, resmî sayfalardaki öneriler ile genel hesap güvenliği bilgisinin birleşimidir. Hangi adımın hangi kaynağa dayandığı her maddede belirtildi.

1. E-postadaki bağlantıya ya da koda dokunmayın (genel güvenlik bilgisi). İstemediğiniz bir e-postadaki bağlantıyı açmak yerine uygulamayı ya da x.com adresini kendiniz açmak daha güvenlidir. Sahte e-postalar sayfası, X'in kendi başlattığı sıfırlamalarda e-postadaki bağlantının her zaman x.com adresinde olacağını söylüyor; yine de e-postanın gerçek olup olmadığından emin değilseniz kendi yolunuzla gitmek bu belirsizliği ortadan kaldırır.
2. Gönderen adresine bakın, ama tek kanıt saymayın. Sahte X e-postaları sayfasına göre X yalnızca @x.com veya @e.x.com uzantılı adreslerden e-posta gönderir. Sayfa ayrıca, mesajın kaynağı hakkında daha fazla bilgi için e-posta başlıklarının kontrol edilebileceğini söylüyor. Görünen gönderen adının sahte gösterilebildiği genel olarak bilinen bir durumdur; bu yüzden adres uygun görünse bile bağlantı yerine kendi yolunuzla giriş yapmak daha sağlamdır.
3. X uygulamasını açın ya da adres çubuğuna x.com yazın. Giriş yapabiliyor musunuz? Şifreniz hâlâ çalışıyor mu? Resmî ele geçirilmiş hesap sayfasında, şifrenizi artık kullanamamanız ve sıfırlamanızın istenmesi ele geçirilme belirtileri arasında sayılıyor.
4. Hesabınızın son hareketlerine bakın. Resmî sayfadaki belirtiler: hesabınızdan beklenmedik gönderilerin yapılması, siz göndermediğiniz Direkt Mesajların gitmesi, yapmadığınız takip etme, takibi bırakma ya da engelleme gibi davranışlar, X'ten ele geçirilmiş olabileceğinizi belirten bir bildirim almanız, hesap bilgilerinizin değiştiğini belirten ve sizin yapmadığınız bir değişiklik bildirimi.
5. Giriş yapabiliyorsanız korumayı sağlamlaştırın. Şifre sıfırlama korumasını açın, iki faktörlü kimlik doğrulamayı kurun, açık oturumları ve bağlı uygulamaları kontrol edin. Her biri aşağıda ayrı bölümde.
6. Şifreyi değiştirmeyi düşünün. Resmî sayfa yalnızca istenmemiş sıfırlama e-postası nedeniyle şifre değiştirmeyi zorunlu kılmıyor; ancak şüpheli giriş bildiriminde "şifrenizi hemen değiştirin" diyor. Aynı şifreyi başka sitelerde de kullandıysanız ya da şifreniz kısa ve tahmin edilebilirse değiştirmek makul olur (genel güvenlik bilgisi).

Şifre Sıfırlama Koruması Nasıl Açılır?

X'in "Hesap güvenliği ipuçları" sayfası, Hesap ayarlarında Şifre sıfırlama korumasını seçebileceğinizi söylüyor ve ne yaptığını şöyle anlatıyor: kutuyu işaretlerseniz, şifreyi unutmanız durumunda şifre sıfırlama bağlantısı veya doğrulama kodu göndermek için e-posta adresinizi ya da telefon numaranızı girmeniz istenir. Her ikisini de hesabınızla ilişkilendirdiyseniz önce e-posta adresinizi, sonra telefon numaranızı girmeniz istenir. Ele geçirilmiş hesap sayfası da aynı fikri anlatıyor: istemediğiniz hâlde sık sık şifre sıfırlama mesajı alıyorsanız, sıfırlama işlemini başlatmak için e-posta adresinizin veya telefon numaranızın girilmesini isteyebilirsiniz.

Ayarın mantığı, sıfırlamayı başlatırken kullanıcı adından başka bir bilginin, yani e-posta adresinin ya da telefon numarasının da istenmesidir. Amacı bu cümleyle açıklayan resmî bir ifade yok; bu, ayarın tarifinden çıkarılan bir yorumdur. Resmî sayfalar ayarın size gelen e-posta sayısını tamamen sıfırlayacağını da söylemiyor; bu nedenle ayarı açtıktan sonra da e-posta gelirse şaşırmayın ve kontrol adımlarına devam edin.

iOS ve Android için sayfada iki ayrı sekme olduğunu ve iki tarifin birbirinden farklı yazıldığını not etmek gerekir. Menü adları uygulama sürümüne, hesabın dil ayarına ve X'in arayüz değişikliklerine göre farklılaşabilir. Ekranınızda tarifle birebir aynı bir menü görmüyorsanız Ayarlar ve gizlilik, Hesap ve Güvenlik başlıklarını sırayla gezerek Şifre sıfırlama koruması satırını aramak makul bir yoldur; ancak bunun her sürümde çalışacağı doğrulanamadı.

Aynı güvenlik ipuçları sayfası bir başka öneri daha veriyor: şifre sıfırlama bağlantısı veya kodu isterken e-posta ve telefon numarasının gerekmesini sağlayın. Bu cümle, yukarıdaki ayarın başka bir ifadesi gibi görünüyor. Hesabınıza hem e-posta hem telefon eklediyseniz ikisini de güncel tutmanız, korumanın sizi de dışarıda bırakmaması için önemlidir; çünkü resmî sayfalara göre şifre sıfırlamak için hesapla ilişkili telefona ya da e-postaya erişmeniz gerekir ve bunlara erişemezseniz kurtarma seçenekleri kısıtlıdır.

İki Faktörlü Kimlik Doğrulamayı Kurma

İki faktörlü kimlik doğrulama, X'in tanımıyla hesabınız için ek bir güvenlik katmanıdır: giriş yapmak için yalnızca şifre girmek yerine bir kod girebilir veya bir güvenlik anahtarı kullanabilirsiniz. Güvenlik ipuçları sayfası, yalnızca hem şifrenize hem de cep telefonunuza (veya bir güvenlik anahtarına) erişimi olan kişilerin hesabınıza giriş yapabileceğini söylüyor. Yani şifreniz bir şekilde bir başkasının eline geçse bile ikinci adım olmadan girmek zorlaşır. İstemediğiniz sıfırlama e-postalarını kesmeyi garanti etmez, ama o e-postaların asıl hedefi olan hesap girişini korur.

Resmî 2FA sayfasındaki yollar şöyle:

• iOS: Üst menüde profil simgenize dokunun, ardından Ayarlar ve gizlilik; Hesap, sonra Güvenlik; İki faktörlü kimlik doğrulama.
• Android: Üst menüde gezinti menüsü simgesini ya da profil simgenizi görürsünüz, hangisi varsa ona dokunarak Ayarlar ve gizlilik seçeneğini seçin; Hesap, sonra Güvenlik; İki faktörlü kimlik doğrulama.
• Masaüstü (web): Yan menüde Daha fazla, ardından Ayarlar ve gizlilik; Güvenlik ve hesap erişimi, sonra Güvenlik; İki faktörlü kimlik doğrulama.

Sayfaya göre üç yöntemden birini seçebilirsiniz. Tabloda her yöntemin ne gerektirdiği ve resmî sayfada geçen dikkat noktaları var.

Kurulum sırasında X, hesapla ilişkili onaylı bir e-posta adresi olduğundan da emin olmak ister; gerekirse e-posta adresinize doğrulama kodu gönderilir. Bu yüzden e-posta kutunuza erişiminizin sağlam olması iki faktörlü doğrulamanın ön koşulu gibidir. Sayfada yöntemlerin her hesapta kullanılabilir olup olmadığına dair bir koşul belirtilmiyor; ekranınızda hangi seçeneklerin göründüğü hesabınıza ve uygulama sürümüne göre değişebilir.

Bir ayrıntı daha: Şifre sıfırlama sayfasına göre kısa mesajla şifre sıfırlama, giriş onaylama özelliğine kaydolmuş hesaplarda kullanılamıyor; bu durumda şifreyi yalnızca e-posta ile sıfırlayabiliyorsunuz. Ele geçirilmiş hesap sayfasında da iki faktörlü doğrulamayı anlatan cümlede "giriş onaylama" ifadesi geçiyor; bu yüzden burada aynı özelliğin kastedildiği anlaşılıyor, ancak şifre sıfırlama sayfası bu eşleştirmeyi ayrıca açıklamıyor.

Açık Oturumlar ve Bağlı Uygulamaları Kontrol Etme

Giriş yapabiliyorsanız hesaba başka bir cihazdan ya da bir uygulama üzerinden erişim olup olmadığına bakın. X'in üçüncü taraf uygulamalar ve giriş oturumları sayfası şunu anlatıyor: Ayarlar ve gizlilik içinden hesap ayarlarınızdaki Uygulamalar ve cihazlar sekmesine gidin; Oturumlar altında hesabınıza bağlı tüm etkin giriş oturumları gösterilir ve girişin yapıldığı konumu ve saati görebilirsiniz. Bir oturumdan çıkmak için oturumun yanındaki Çıkış yap düğmesine, diğer oturumları aynı anda sonlandırmak için listenin üstündeki Diğer oturumlardan çıkış yap düğmesine tıklayın.

Aynı sayfada menü adı bazı yerlerde "Uygulamalar ve oturumlar", bazı yerlerde "Uygulamalar ve cihazlar" olarak geçiyor; ayrıca bir yerde yol "Ayarlar ve gizlilik, Güvenlik ve hesap erişimi, Uygulamalar ve oturumlar" olarak yazılıyor. Yani resmî sayfa bile adı tek biçimde yazmıyor. Menüyü bulamazsanız adın bu iki biçiminden birine bakın; ekranda göründüğü adın sürüme göre değişebileceğini unutmayın.

Oturumlarda dikkat edilecek üç nokta:

• Güvenlik ipuçları sayfası, giriş bildirimlerindeki konumun IP adresinden alınan yaklaşık konum olduğunu ve fiziksel konumunuzdan farklı olabileceğini söylüyor. Oturum listesindeki konum için de benzer bir sınırlama olabileceğini düşünmek makul, ancak sayfa bunu ayrıca belirtmiyor. Tanımadığınız bir cihaz ya da saat görürseniz oturumu kapatmak güvenli taraftır.
• Bir oturumdan çıkış yapıldığında o oturumdan postlama, beğenme ve yanıtlama gibi işlemler engellenir; ancak oturum etkinken cihazda önbelleğe alınmış veriler (örneğin Direkt Mesajlar) silinemez.
• Gezinti geçmişini kaydetmeyen ya da çerezleri devre dışı bırakan tarayıcılardan giriş yaparsanız, her giriş için bir e-posta uyarısı alırsınız. Bu, yeni giriş e-postalarının sık gelmesinin olağan bir nedeni olabilir.

Bağlı uygulamalar için resmî sayfalar şunu öneriyor: hesabınıza erişimi olan üçüncü taraf uygulamaları zaman zaman gözden geçirin, tanımadığınız veya sizin adınıza gönderi paylaşan uygulamaların erişimini kaldırın. Kaldırmak için uygulamanın adına tıklayın, ardından uygulamanın yanındaki ya da sayfanın alt kısmındaki Erişimi kaldır düğmesine tıklayın. Sayfa, bir uygulamanın hesabınıza erişmek için şifrenizi istemesi durumunda özellikle dikkatli olmanızı da söylüyor; yetkili bir üçüncü taraf uygulamanın OAuth yöntemiyle bağlanması gerekir ve OAuth, kullanıcı adı ve şifrenizi üçüncü tarafa vermenizi gerektirmez.

Sahte E-posta ve Oltalama İşaretleri

İstemediğiniz bir sıfırlama e-postasının ardından "hesabınız tehlikede, hemen şuraya girin" türünden ikinci bir e-posta gelirse, bu oltalama olabilir. Resmî güvenlik ipuçları sayfası kimlik hırsızlığını şöyle tarif ediyor: genellikle sahte bir giriş sayfasına giden bir bağlantıyla sizi kandırıp kullanıcı adınızı, e-posta adresinizi veya telefon numaranızı ve şifrenizi vermenizi sağlamak. Sayfanın temel kuralı çok net: X şifrenizi girmeniz her istendiğinde adres çubuğuna bakın ve x.com'da olduğunuzdan emin olun.

X'in resmî sayfalarında geçen kesin ifadeler şunlar: X hiçbir zaman e-posta, Direkt Mesaj veya yanıt ile şifrenizi istemez. Bir şey indirmenizi ya da X dışındaki bir web sitesine giriş yapmanızı asla istemez. Bizden olduğunu iddia eden ama bizden gelmeyen bir e-postanın ekini asla açmayın ve herhangi bir yazılım yüklemeyin. X size ekli e-posta göndermez ve yalnızca @x.com veya @e.x.com uzantılı adreslerden e-posta gönderir.

Sahte bir e-posta aldıysanız resmî sayfanın önerisi basit: e-postayı gelen kutunuzdan silin ve içindeki hiçbir eki indirmeyin. Sayfa ayrıca bu sahte e-postaları X'in göndermediğini söylüyor ve spam gönderenlerin e-posta adreslerini nasıl bulabildiğini anlatan bir kamu kurumu sayfasına yönlendiriyor. Sahte e-postayı X göndermediği için, böyle bir e-posta almanın tek başına hesabınızın ele geçirildiği anlamına gelmediğini söylemek makul bir yorumdur; yine de kontrol adımlarını atlamayın.

Şifrenizi başka sitelerde de kullandıysanız, sızan bir veri tabanındaki bilgi X hesabınızı doğrudan tehdit edebilir. Böyle bir uyarı aldıysanız şifreniz veri ihlalinde bulundu uyarısının ne anlama geldiğini anlatan yazıya bakın. X'in kendi güvenlik ipuçları da aynı şifreyi farklı sitelerde kullanmamanızı, X şifrenizin yalnızca X'e özel olmasını öneriyor.

E-posta Hesabınız Güvende mi?

Şifre sıfırlama e-postaları, hesapla ilişkili e-posta adresine gider; dolayısıyla e-posta kutusuna giren biri sıfırlama kodlarını da görebilir. X'in güvenlik ipuçları sayfası bu yüzden, X hesabınızla ilişkili e-posta adresiniz için de aynı ölçüde güçlü ve benzersiz bir şifre oluşturmanızı öneriyor. Ele geçirilmiş hesap sayfasındaki ikinci adım da tam bunu söylüyor: hesaba eklenmiş e-posta adresinin güvende olduğundan ve yalnızca sizin erişebildiğinizden emin olun.

Kontrol listesi: e-posta hesabınızda iki adımlı doğrulama açık mı, hesap geçmişinde tanımadığınız bir giriş ya da cihaz var mı, e-posta hesabınızda tanımadığınız bir yönlendirme kuralı ya da bağlı uygulama var mı? (Son iki soru genel güvenlik bilgisidir; X'in sayfalarında geçmez.) E-posta hesabınızın kendisi ele geçirildiyse X hesabını korumak yeterli olmaz; bu durumda önce e-posta hesabını kurtarmanız gerekir. Gmail kullanıyorsanız çaldırılan Gmail hesabının nasıl kurtarılacağını anlatan yazıdaki adımlar işe yarar.

Ayrıca X, hesabınızla ilişkili e-posta adresi her güncellendiğinde, daha önce kullandığınız e-posta adresine bir bildirim gönderdiğini söylüyor. Bu uyarılar, hesabınız ele geçirilirse kontrolü yeniden elde etmenize yardımcı olmak için tasarlanmış. Eski e-posta adresinize erişiminiz yoksa bu uyarıyı görmeyeceğiniz için, X hesabındaki e-posta adresini güncel tutmak önemlidir.

Hesap Ele Geçirildiyse Ne Yapılır?

Aşağıdaki belirtilerden biri sizin için geçerliyse, resmî "Ele geçirilmiş hesabım hakkında yardım" sayfasının adımlarını izleyin: hesabınızdan beklenmedik gönderiler yapılıyor, siz göndermediğiniz Direkt Mesajlar gidiyor, yapmadığınız takip, takibi bırakma veya engelleme davranışları görüyorsunuz, X'ten hesabınızın ele geçirilmiş olabileceğini belirten bir bildirim aldınız, hesap bilgilerinizin değiştiğini belirten bir bildirim aldınız ve bu değişikliği siz yapmadınız ya da şifrenizi artık kullanamıyor ve sıfırlamanız isteniyor.

Sayfadaki sıra şöyle (giriş yapabiliyorsanız):

1. Şifrenizi değiştirin. Ayarlardaki Şifre sekmesinden hemen değiştirin. Çıkış yaptıysanız Giriş ekranından Şifremi Unuttum seçeneğine tıklayarak sıfırlayın. Daha önce kullanmadığınız güçlü bir şifre oluşturun. Şifre değiştirdiğinizde iOS ve Android uygulamalarına otomatik giriş yapılmaz; sayfaya göre çevrimiçi oturum açıp ayarlardan Uygulamalar bölümüne gitmeniz ve oradan uygulama için erişimi iptal etmeniz gerekebilir, böylece uygulama bir sonraki açılışta yeni şifreyi ister.
2. E-posta adresinizin güvende olduğundan emin olun. Hesaba eklenmiş adresin yalnızca sizin tarafınızdan erişilebildiğinden emin olun; gerekirse X uygulamasından ya da x.com adresinde hesap ayarlarından güncelleyin.
3. Üçüncü taraf uygulamaların bağlantılarını kaldırın. Ayarlarınızdaki Uygulamalar bölümünden tanımadığınız uygulamaların erişimini kaldırın.
4. Güvenilir üçüncü taraf uygulamalarda şifrenizi güncelleyin. Güvendiğiniz bir harici uygulama X şifrenizi kullanıyorsa orada da güncelleyin; aksi hâlde başarısız giriş denemeleri nedeniyle hesabınız geçici olarak kilitlenebilir.
5. Gerekirse destek ekibiyle iletişime geçin. Sıfırlamayı denedikten sonra hâlâ giriş yapamıyorsanız destek isteği gönderin; ele geçirilen hesapla ilişkili e-posta adresini kullandığınızdan emin olun. İstekte hem kullanıcı adınızı hem de hesabınıza en son eriştiğiniz tarihi belirtmeniz isteniyor.

Sayfa ek önlemler de sayıyor: hesap ele geçirilmişken kontrolünüz dışında gönderilen postları silin; izinsiz davranışlar şifre değişikliğine rağmen sürüyorsa bilgisayarınızı virüs ve kötü amaçlı yazılımlara karşı tarayın; işletim sistemi ve uygulamalar için güvenlik yamalarını yükleyin; başka hiçbir yerde kullanmadığınız yeni ve güçlü bir şifre kullanın; iki faktörlü kimlik doğrulamayı açın.

Önemli bir dengeleyici cümle de aynı sayfada: beklenmedik güncellemeler her zaman hesabınızın ele geçirildiği anlamına gelmez. Bazen üçüncü taraf bir uygulama, beklenmedik davranışlara yol açan bir hata içerebilir; bu durumda şifreyi değiştirmek ve/veya uygulamaların bağlantısını kaldırmak sorunu çözer, çünkü uygulama artık hesaba erişemez.

Hesabınıza giremiyorsanız önce şifre sıfırlama akışını kendiniz başlatın. Şifre sıfırlama sayfasına göre bunun için hesapla ilişkili e-postaya ya da telefon numarasına erişmeniz gerekir. Bunlara erişemiyorsanız kurtarma seçenekleri kısıtlıdır; sayfa, kullanıcı adınızı biliyorsanız giriş sorunları için destek ekibiyle iletişime geçmenizi söylüyor. Sıfırlamayı denedikten sonra da giriş yapamıyorsanız sayfanın SSS'sine göre hesabınız güvenlik nedeniyle kilitlenmiş olabilir. Hesap kilidi ile askıya alma ayrı konulardır; hesabınız askıya alındıysa X hesabı askıya alındığında nasıl açılacağını anlatan yazıyı kullanın.

Hesap Kilitlendi ve Sıfırlama Çalışmıyorsa

Giriş yardımı sayfasında "Kilitlendi!" hata mesajıyla ilgili şu not var: bu kilitler bir saat gibi bir süre sonra kendiliğinden temizlenir ve beklerken daha fazla şifre sıfırlama isteğinde bulunmamak gerekir. Sayfa tam süreyi garanti etmiyor ("bir saat gibi bir süre" ifadesi geçiyor); bu yüzden kesin bir süre vermek doğru olmaz. Resmî sayfalar ayrıca başarısız giriş denemelerinin hesabı geçici olarak kilitleyebildiğini söylüyor; "Kilitlendi!" notunda ise beklerken yeni sıfırlama isteği göndermemek öneriliyor.

Kilitlenen veya kısıtlanan hesaplar sayfası ise farklı bir durumu anlatıyor: hesabınızın güvenlik nedeniyle kilitlendiğini belirten bir mesaj görürseniz bu, X'in şüpheli davranış tespit ettiği ve hesabın ele geçirildiğini düşündüğü anlamına gelir. Hesaba hâlâ girebiliyorsanız giriş yaptığınızda ya da uygulamayı açtığınızda, şifrenizi değiştirerek erişimi nasıl yeniden etkinleştireceğinizi gösteren bir mesaj görürsünüz. Hesapla ilişkili bir e-posta adresi varsa talimatlar o adrese de gönderilir; gelmediyse spam, istenmeyen ve sosyal posta klasörlerine bakılması öneriliyor.

Giriş yardımı sayfasında e-posta gelmediğinde de şu öneriler var: gelen kutusunda spam ve istenmeyen posta filtrelerini kontrol edin, X'ten gelen e-postaları arayın; sıfırlama isteğinde e-posta adresinizi kendiniz girin ki hangi adrese gönderildiğini bilesiniz; doğru adres için istek yapıyor ama e-posta gelmiyorsa bir destek raporu oluşturun. E-postalardaki bağlantıların süre kısıtlı olduğu da bu sayfada yazıyor. Not: Şifre sıfırlama sayfası e-postada bir kod olduğunu, giriş yardımı sayfası ise bağlantı olduğunu anlatıyor; resmî sayfalar arasındaki bu ifade farkı nedeniyle gelen e-postanın biçimi (kod, bağlantı ya da ikisi) sürüme göre değişebilir.

Yanlış Bilinenler

"İstemediğim sıfırlama e-postası geldiyse hesabım kesin hacklenmiştir." Resmî sayfalar böyle bir kesinlik kurmuyor. Hacklenme belirtileri ayrıca sıralanıyor ve e-posta tek başına bunların arasında yok; "şifreniz artık çalışmıyor ve sıfırlamanız isteniyor" belirtisi ise listede.

"E-postadaki bağlantıya tıklarsam şifrem hemen değişir." Resmî akışta şifre, kodu girip yeni şifre belirlediğinizde değişir. Yine de gerçek olmayan bir e-postadaki bağlantı sizi sahte bir giriş sayfasına götürebilir; asıl risk oradadır.

"Şifre sıfırlama koruması açılınca e-postalar hiç gelmez." Resmî sayfalar böyle bir söz vermiyor. Ayar, sıfırlama başlatılırken e-posta ya da telefon bilgisinin girilmesini istiyor.

"Kısa mesajla sıfırlama her zaman yapılabilir." Şifre sıfırlama sayfasına göre giriş onaylama özelliğine kaydolmuş hesaplarda yapılamaz; yalnızca e-posta ile sıfırlama kullanılabilir.

"X'ten gelen her e-posta gerçektir." Hayır. Sahte X e-postaları sayfası, X'ten gönderilmiş gibi görünen sahte veya şüpheli e-postaların var olduğunu açıkça söylüyor.

"X destekten arayıp ya da yazıp şifremi isteyebilir." Hayır. X hiçbir zaman e-posta, Direkt Mesaj veya yanıtla şifre istemez.

"Oturumdan çıkış yapınca cihazdaki her şey silinir." Oturumlar sayfasına göre çıkış yapıldığında o oturumdan yeni işlemler engellenir, ama cihazda önbelleğe alınmış veriler silinemez.

Kaynaklar ve Doğrulama Notu

Bu yazı hazırlanırken 14 Ekim'de X Yardım Merkezi'nin Türkçe sayfaları okundu: "X şifrenizi sıfırlama (Kaybedilen veya unutulan şifreyi sıfırlama)", "X hesabınızı güvende tutma ipuçları", "Ele geçirilmiş hesabım hakkında yardım", "Gerçek X e-postalarını tanıma (Sahte X e-postaları hakkında)", "X'da iki faktörlü kimlik doğrulama (2FA) kullanma", "Giriş yapma hakkında yardım", "Kilitlenen veya kısıtlanan X hesapları" ve "Üçüncü taraf uygulamalara erişim izni". Eylül başındaki dalgaya ilişkin Teknoblog ve Euronews Türkçe haberleri de okundu; bu haberler ikincil kaynaktır ve yazıdaki tek rolü bağlamı tarif etmektir. Yardım sayfaları ve haberler zamanla değişebilir.

Sürüme göre değişebilecek konular: menü adları (örneğin aynı sayfada hem Uygulamalar ve oturumlar hem Uygulamalar ve cihazlar adının geçmesi), sıfırlama e-postasının kod ya da bağlantı içermesi, iki faktörlü doğrulama yöntemlerinin hesaba göre kullanılabilirliği. Bu yazı tavsiye amaçlıdır; hesabınızla ilgili kesin karar için X'in kendi ekranlarını ve destek ekibini esas alın.

Sık Sorulan Sorular

İstemediğim bir şifre sıfırlama e-postası geldi, hesabım hacklendi mi?

Tek başına e-posta, resmî sayfalarda hacklenme belirtisi olarak sayılmıyor. Sayılan belirtiler şunlar: beklenmedik gönderiler, siz göndermediğiniz Direkt Mesajlar, yapmadığınız takip ya da engelleme davranışları, X'ten ele geçirilme veya hesap bilgisi değişikliği bildirimi ve şifrenizin artık çalışmayıp sıfırlamanızın istenmesi. Bunlardan hiçbiri yoksa ve hesabınıza kendi yolunuzla girebiliyorsanız, koruma ayarını açıp iki faktörlü doğrulamayı kurmak resmî öneridir.

Art arda şifre sıfırlama e-postası geliyor, X'in önerisi ne?

Şifre sıfırlama sayfasının SSS bölümünde bu durum doğrudan soruluyor ve cevap şu: istemediğiniz hâlde sık sık şifre sıfırlama mesajı alıyorsanız hesap ayarlarınızda Şifre sıfırlama koruması seçeneğini açmanız ve iki faktörlü kimlik doğrulamasını ayarlamanız iyi bir fikir olabilir.

E-postadaki kodu girmezsem şifrem değişir mi?

Resmî sayfada anlatılan akışa göre kodu sıfırlama sayfasına girip yeni şifre belirlediğinizde şifre değişir; yani kodu girmediğiniz sürece sıfırlama tamamlanmış olmaz. Tek istisna olarak X, hesabın ele geçirildiğinden şüphelenirse hesabın şifresini kendisi sıfırlayabilir ve size e-posta ile bildirir; bu durumda şifreniz artık çalışmayabilir. Şifreniz çalışmıyorsa bunu ele geçirilme belirtisi olarak değerlendirin.

Şifre sıfırlama korumasını web'den nasıl açarım?

Resmî güvenlik ipuçları sayfasında yalnızca iOS ve Android için yol yazıyor; web için bir yol yazmıyor. Bu yüzden web'deki yolu doğrulayamadık. En güvenlisi, mobil uygulamadan açmaktır: iOS'ta Ana menü, Ayarlar ve gizlilik, Hesap, Güvenlik; Android'de Uygulama Ayarları, Hesap, Güvenlik. Menü adları sürüme göre değişebilir.

İki faktörlü doğrulama istemediğim e-postaları durdurur mu?

Resmî sayfalar böyle bir söz vermiyor. İki faktörlü doğrulamanın amacı, şifre bir şekilde başkasının eline geçse bile hesaba girişi zorlaştırmaktır: sayfaya göre yalnızca hem şifrenize hem de cep telefonunuza ya da güvenlik anahtarınıza erişimi olanlar giriş yapabilir. E-posta gelmesi ile hesaba girilebilmesi ayrı konulardır.

X benden şifremi isteyebilir mi?

Hayır. Resmî sayfalarda açıkça yazıyor: X hiçbir zaman e-posta, Direkt Mesaj veya yanıt ile şifrenizi istemez; bir şey indirmenizi veya X dışındaki bir web sitesine giriş yapmanızı da istemez. Böyle bir mesajı gerçek saymayın.

Şifre sıfırlayınca açık oturumlara ne olur?

Şifre sıfırlama sayfasına göre şifrenizi sıfırladığınızda tüm etkin X oturumlarınız kapatılır. Giriş yapılıyken şifre değiştirirseniz (iOS tarifi), değiştirmek için kullandığınız oturum hariç tüm etkin oturumlardan çıkış yapılır. Bu yüzden şifre değişikliği, tanımadığınız bir oturum varsa onu kapatmanın hızlı bir yoludur.

Yeni cihazdan giriş bildirimi aldım ama ben girmedim, ne yapmalıyım?

Güvenlik ipuçları sayfasına göre X, şüpheli girişte ya da yeni cihazdan ilk girişte size uygulama bildirimi veya e-posta gönderir. Girişi siz yapmadıysanız bildirimdeki adımları izleyerek şifrenizi hemen değiştirmeniz gerekir. Bildirimdeki konumun, IP adresinden alınan yaklaşık konum olduğunu ve fiziksel konumunuzdan farklı olabileceğini de unutmayın.

Sıfırlama e-postası hiç gelmiyor, ne yapmalıyım?

Giriş yardımı sayfası şunları öneriyor: spam ve istenmeyen posta klasörlerine bakın, X'ten gelen e-postaları arayın; sıfırlama isteğinde e-posta adresinizi kendiniz girin; sorun sürerse bir destek raporu oluşturun. "Kilitlendi!" notunda beklerken yeni sıfırlama isteği göndermemek önerildiği için art arda istek göndermekten kaçının. Telefon numarası bağlıysa şifre sıfırlama sayfasındaki SMS seçeneği de bir alternatiftir.

Hesabım kilitlendi ve şifre sıfırlama da çalışmıyor, ne olur?

Şifre sıfırlama sayfasına göre sıfırlamayı denedikten sonra da giriş yapamıyorsanız hesabınız güvenlik nedeniyle kilitlenmiş olabilir. Giriş yardımı sayfasında "Kilitlendi!" mesajındaki kilitlerin bir saat gibi bir süre sonra kendiliğinden temizlendiği ve beklerken daha fazla şifre sıfırlama isteğinde bulunulmaması gerektiği yazıyor. Sorun sürerse X destek ekibine, hesapla ilişkili e-posta adresinizden başvurun.

Bu dalga Türkiye'de de mi yaşanıyor?

Ölçülemedi. Eylül başında haberlerde aktarılan dalganın Türkiye'deki kullanıcılara etkisi hakkında elimizde bir sayı, şikayet verisi ya da resmî açıklama yok. Bu nedenle bu konuda bir şey söylemiyoruz; kullanıcı olarak yapılacaklar her durumda aynı: korumayı açın, iki faktörlü doğrulamayı kurun, oturumları ve uygulamaları kontrol edin.

Aynı şifreyi başka sitelerde de kullanıyorum, ne yapmalıyım?

X'in güvenlik ipuçları, her web sitesi için farklı bir şifre kullanmayı ve X şifrenizin yalnızca X'e özel olmasını öneriyor. En az 10 karakter uzunluğunda, büyük harf, küçük harf, sayı ve sembol karışımı bir şifre oluşturmak ve bir şifre yönetim yazılımıyla saklamak sayfadaki yönlendirmelerdendir. Telefon numarası, doğum günü gibi kişisel bilgileri ya da "qwerty" gibi serileri şifrede kullanmayın.