Çerez Hırsızlığı: Oturum Çalma Saldırıları 2FA'yı Nasıl Atlıyor?

Bir sabah boyunca bankanıza, e-postanıza ve çeşitli hesaplarınıza giriş yaptınız. Dizüstünü kapattınız. Ama tarayıcınızda kalan bir dosya parçası, o oturumları açık tutan "oturum çerezi", artık bir saldırganın elinde olabilir. Bu saldırı türüne oturum çalma (session hijacking) deniyor ve çerez hırsızlığı onun en yaygın biçimi.

İşin rahatsız edici yanı şu: Çalınan oturum çerezi, iki faktörlü doğrulamayı (2FA/MFA) tamamen devre dışı bırakır. Çünkü çerez zaten "giriş yapılmış" bir oturumu temsil eder. Saldırganın ne şifrenize ne de SMS/uygulama kodunuza ihtiyacı kalır.

Oturum çerezi tam olarak ne işe yarar?

Bir siteye giriş yaptığınızda sunucu, kimliğinizi doğruladıktan sonra tarayıcınıza küçük bir anahtar bırakır. Bu anahtar oturum çerezidir. Her yeni istekte şifrenizi tekrar sormamak için vardır; tarayıcı bu çerezi gösterir, sunucu da "bu kullanıcı zaten doğrulandı" der.

Sorun, bu çerezin taşınabilir olması. Saldırgan çerezi kendi tarayıcısına yapıştırdığında, sunucu açısından o kişi sizsiniz. Giriş adımı çoktan geçilmiştir; dolayısıyla şifre ekranı da, doğrulama kodu da hiç devreye girmez.

Neden güçlü şifre + 2FA artık yetmiyor?

Yıllardır tekrarlanan tavsiye nettir: Uzun bir şifre kullan, iki faktörlü doğrulamayı aç. Bu tavsiye hâlâ geçerli ama eksik. Her iki önlem de giriş anını korur. Oysa çerez hırsızlığı girişten sonrasını hedefler. Kapıya ne kadar sağlam kilit takarsanız takın, saldırgan içeri girmiş birinin cebinden anahtarı çalıyorsa kilidin bir anlamı kalmaz.

Bu saldırıyı ölçeklenebilir kılan şey, son yıllarda olgunlaşan infostealer (bilgi çalan kötü amaçlı yazılım) ekonomisidir. RedLine, Raccoon, Lumma gibi aileler kiralık hizmet olarak satılıyor. Bu yazılımlar bir cihaza bulaştığında kayıtlı şifreleri, otomatik doldurma verilerini ve en kritiği tarayıcıdaki oturum çerezlerini toplar. Toplanan veriler "log" adıyla paketlenip yeraltı pazarlarında toplu halde satılır. Yani çerezinizi çalan kişiyle onu kullanan kişi çoğu zaman farklıdır; arada bir pazar vardır.

Bulaşma yolları da sıradan: Sahte bir yazılım indirme sitesi, crackli program, kötü amaçlı tarayıcı eklentisi veya bir oltalama bağlantısı yeterli. Kullanıcı hiçbir şifre girmese bile, tarayıcıda açık duran oturumlar sızdırılabilir.

Kime, nasıl yansıyor?

Risk bireyle sınırlı değil. Kurumsal hesapların ele geçirilmesinde çalınan oturum çerezleri giderek daha belirleyici. Birçok büyük veri ihlalinin başlangıç noktası, bir çalışanın cihazından sızan tek bir oturum belirtecine dayanıyor.

Tablonun gösterdiği gibi, çözüm kullanıcının daha dikkatli olmasında değil, oturumun mimarisinde. Bir çerezi başka bir cihazda işe yaramaz hale getirmek gerekiyor.

Sırada ne var?

Sektörün yöneldiği yön, oturum belirteçlerini cihaza bağlamak. Google'ın üzerinde çalıştığı Device Bound Session Credentials (DBSC) tam olarak bunu hedefliyor: Oturum çerezini cihazdaki özel bir kriptografik anahtara bağlamak. Böylece çalınan çerez başka bir makinede açılmaya çalışıldığında geçersiz sayılıyor. Benzer mantık, şifresiz girişte yaygınlaşan passkey teknolojisinin de temelinde var: Kimlik, taşınabilir bir sırda değil, cihaza bağlı bir anahtarda duruyor.

İkinci cephe, oturum belirteçlerinin ömrünü kısaltmak ve sürekli yeniden doğrulamak. Bir çerez saatlerce değil dakikalarca geçerli olursa, çalınsa bile saldırgana açtığı pencere daralır. Bankaların sizi kısa süreli hareketsizlikte oturumdan atması tesadüf değil.

Kullanıcı tarafında yapılabilecekler sınırlı ama gerçek: Bilinmeyen kaynaktan yazılım indirmeyin, tarayıcı eklentilerini sadeleştirin, işiniz bitince kritik hesaplardan çıkış yapın (bu çerezi geçersiz kılar) ve hesap güvenlik panellerindeki "aktif oturumlar" listesini ara ara kontrol edip tanımadığınız oturumları sonlandırın.

Sonuç olarak çerez hırsızlığı yeni bir saldırı değil; ama infostealer pazarıyla birleşince ölçeklendi. "Şifre + 2FA yeterli" algısı bu yüzden yanıltıcı. Güvenliğin bir sonraki adımı, kimliğin kanıtını taşınabilir bir sırdan çıkarıp cihaza bağlı, kısa ömürlü bir anahtara taşımak. Bu geçiş tamamlanana kadar en zayıf halka, giriş ekranı değil, girişten sonra tarayıcıda açık kalan oturum olmaya devam edecek.