Kısaca: açılmamış (out olmamış) yetişkin bir gey, biseksüel ya da sorgulama sürecindeki bir erkek için hesap güvenliği teknoloji meraklılarına özel bir konu değildir. Mahrem bir hayatı istenmeyen bir açığa çıkmadan ayıran kilittir. 2019'da hacklenmiş bir forumda tekrar kullanılan bir şifre, ev arkadaşının bilgisayarında açık kalan bir oturum, eski bir hesaba hâlâ bağlı bir telefon numarası, ikinci faktörü olmayan bir e-posta kutusu: neredeyse tüm sızmalar bu dört kapıdan geçer. E-posta kutusu bir kez ele geçirildiğinde geri kalan her şey düşer, çünkü diğer şifreleri sıfırlamaya imkân veren odur. Bu rehber bir sızmanın gerçek yollarını, gerçek hayatta işe yarayan ayarları ve hesap çoktan kaybedildiğinde — Fransa ve Belçika'da — izlenecek adımları ayrıntılarıyla anlatıyor.
Bu yazı kişisel güvenlik pratiklerini, kamusal mekanizmaları ve genel hukuki çerçeveyi anlatır. Kişiye özel hukuki danışmanlık niteliği taşımaz. Fransa'da: kamusal platform Cybermalveillance.gouv.fr (tanılama ve yönlendirme); çevrimiçi yönlendirme için 17 Cyber; yasa dışı içerikler için İçişleri Bakanlığı'nın PHAROS platformu; SOS homophobie destek hattı 01 48 06 42 41; kişisel veriler için CNIL (Fransız veri koruma kurumu); acil durumlar için 17 veya 112, 114'e SMS. Belçika'da: Safeonweb (Belçika Siber Güvenlik Merkezi), suspect@safeonweb.be adresine bildirim, Unia 0800 12 800, Lumi 0800 99 533. Burada anlatılan tüm kişiler yetişkindir.
Açılmamış biri için ele geçirilen hesabın bedeli neden daha ağır
Genel yayın yapan bir gazete hesap hacklenmesinden söz ederken paradan söz eder: banka kartı, sahte alışverişler, fidye. Ailesine, eşine ya da işverenine söylemeden erkekler arası görüntülü sohbeti kullanan bir erkek için ise kayıp mali değildir. Kayıp bilgiyle ilgilidir.
Açılmış bir e-posta kutusu şu demektir:
- kayıt geçmişi (LGBTQ+ derneklerinin bültenleri, hesap onayları, VPN faturaları);
- neredeyse tüm diğer servislerin şifrelerini sıfırlama imkânı, çünkü sıfırlama bağlantısı oraya gelir;
- unutulmuş eski ekler;
- ve sıklıkla eksiksiz bir kişi rehberi — yani bir şantajcının yazabileceği kişilerin tam listesi.
İşte bu son satır, teknik bir olayı istenmeyen açığa çıkma riskine dönüştürür. Klasik senaryo "hesabınızı ele geçirdik" değildir; "hesabınızı ele geçirdik ve onunla ne yapacağımızı söylemek için size kendi adresinizden yazıyoruz"dur.
Hukuku hatırlatalım, çünkü hukuk sizin yanınızda. Cinsel yönelim, GDPR'ın (Avrupa Genel Veri Koruma Tüzüğü) 9. maddesi anlamında hassas veridir: rıza olmadan açıklanması bir boşboğazlık değil, özel nitelikli bir veri kategorisinin hukuka aykırı işlenmesidir. Şantaj Fransız ceza kanununun 312-10. maddesiyle cezalandırılır (beş yıl hapis ve 75.000 € para cezası), otomatik veri işleme sistemine hukuka aykırı erişim ise 323-1. maddeyle (üç yıl ve 100.000 €). Belçika'da ceza kanununun 550bis maddesi hacklemeyi cezalandırır. Bu metinlerin hiçbiri korunmanız için açılmış olmanızı şart koşmuyor.
Gerçek dört giriş kapısı
1. Tekrar kullanılan şifre
Açık ara bir numaralı neden budur. Sekiz yıl önce herhangi bir sitede, hâlâ kullandığınız e-posta adresiyle ve "yeterince sağlam" bulduğunuz bir şifreyle bir hesap açtınız. O site hacklendi, veritabanı dolaşıma girdi ve adres + şifre ikiliniz satılan bir dosyanın içinde. Saldırganların hiçbir şeyi kırması gerekmiyor: kombinasyonu başka yerlerde deniyorlar. Buna credential stuffing (kimlik bilgisi doldurma) deniyor.
İşe yarayan refleks: gidip kontrol etmek. Araştırmacı Troy Hunt'ın yürüttüğü Have I Been Pwned servisi, bir adresin hangi bilinen veri ihlallerinde göründüğünü öğrenmeyi sağlıyor. Firefox Monitor ve modern şifre yöneticileri aynı denetimi sürekli yapıyor.
2. Açık kalan oturum
Ailenin bilgisayarındaki bir tarayıcı, paylaşılan bir tablet, ofisteki bir makine, bir akşamlığına ödünç verilen bir cihaz. Oturum artık şifre istemiyor: sekmeyi açmak yeterli. Hiçbir teknik beceri gerekmiyor ve tam da bu yüzden, hâlâ ailesiyle yaşamak ya da öğrenci ev paylaşımı üzerine rehberlerimizde anlattığımız durumlarda sık görülüyor.
3. Hedefli kimlik avı
E-posta sağlayıcınızı, bankanızı ya da bir platformu taklit eden bir ileti. 2026'nın sahte e-postaları temiz: logo doğru, dil hatasız, alan adı neredeyse gerçeği. Tek güvenilir denetim, hiçbir zaman gelen bir bağlantı üzerinden şifre girmemek, servisin adresini kendiniz yazmaktır.
4. Cihaza fiziksel erişim
Kilidi açık bir telefon on beş saniye bile bir gözetleme uygulaması kurmaya ya da mesajları okumaya yeter. ANSSI (Fransız siber güvenlik ajansı) ve CNIL, ekran kilidinin ileri ayarlardan çok önce gelen ilk güvenlik önlemi olduğunu birlikte hatırlatıyor. Paylaşılan bir ofiste dizüstü bilgisayar için kilit kablosu anlamlıdır; dört haneli yerine altı haneli basit bir kod da en az o kadar anlamlıdır.
Temel: her şeyi değiştiren üç ayar
Bir şifre yöneticisi ve akılda tutulacak tek bir şifre
İlke basit: her servis için uzun ve benzersiz bir şifre, şifrelenmiş olarak saklanır ve ezberlediğiniz tek bir ana parola ile korunur. CNIL 2022'den beri en az 12 ila 15 karakterlik şifreler ya da tam da onları ezberlemek zorunda kalmamak için bir şifre yöneticisi kullanılmasını öneriyor.
Konumuza özgü iki nokta:
- İçeriğini ifşa etmeyen bir yönetici seçin. Birçoğu açılır açılmaz site listesini açıkça gösteriyor. Biri telefonunuzun kilidini açarsa isimleri görür. Yalnızca ilk açılışta değil, her açılışta biyometri ya da kod isteyen bir aracı tercih edin.
- Ana parolanızı fiziksel ve nötr bir yere yazın. İdari kâğıtlarla birlikte saklanan şifreli kilitli bir defter, masaüstündeki bir "sifreler.txt" dosyasından daha az riskli. Bu parolayı kaybederseniz her şeyi kaybedersiniz.
İki faktörlü kimlik doğrulama, ama SMS ile değil
E-posta kutusunda ikinci bir faktör etkinleştirmek bu yazının en kârlı hareketi. Çalınan bir şifrenin tek başına yetmesini engelliyor. Ama her ikinci faktör aynı değer taşımıyor:
| Yöntem | Şifre çalınmasına dayanıklı | Kimlik avına dayanıklı | Telefona fiziksel erişime dayanıklı |
|---|---|---|---|
| SMS | Evet | Hayır | Hayır |
| Kimlik doğrulama uygulaması (6 haneli kodlar) | Evet | Kısmen | Ekran kilidine bağlı |
| Fiziksel güvenlik anahtarı (FIDO2) | Evet | Evet | Evet (anahtar üzerinizde kalır) |
SMS SIM swapping'e (SIM kart değiştirme dolandırıcılığı) karşı savunmasız kalıyor: bir üçüncü kişi numaranıza yeni bir SIM kart çıkartıyor ve kodlarınızı alıyor. ANSSI ve ENISA (Avrupa Birliği Siber Güvenlik Ajansı) yıllardır kimlik doğrulama uygulamalarını ya da daha iyisi donanım anahtarlarını öneriyor. Anahtarlıkta taşınan bir USB-C formatında FIDO2 güvenlik anahtarı kimlik avını da engelliyor: kusursuz taklit edilmiş bir sahte sitede bile anahtar, alan adı uyuşmadığı için kimlik doğrulamayı reddediyor.
Anahtar tercih ederseniz iki tane alın: biri üzerinizde, biri yedek olarak kayıtlı ve başka bir yerde saklanıyor. Basılı bir yedek kod olmadan tek anahtarını kaybetmek, kendini kapıda bırakmanın en hızlı yoludur.
Kurtarma adresleri, kör nokta
Ana e-posta kutunuzun kurtarma ayarlarını açın ve orada ne olduğuna bakın. Çoğu zaman: artık kullanmadığınız, şifresi zayıf eski bir adres ya da artık size ait olmayan bir telefon numarası. Bir saldırgan duvara saldırmaz, servis kapısına saldırır. Temizlik yapın: tek bir kurtarma adresi, aktif ve kendisi de ikinci bir faktörle korunuyor.
Kimlikleri düzgünce ayırmak
Mahremiyet, her şeyi tek bir çok güvenli hesabın arkasına saklamak değil, bölmelere ayırmaktır. Bir kapı çökerse evin tamamını açmamalı.
Gerçekçi bir bölmeleme üç düzeyden oluşur:
- İdari kimlik: banka, vergi, işveren, sağlık, aile. Adınızı taşıyan bir e-posta adresi, herkesin bildiği bir numara, bir şifre yöneticisi, bir ikinci faktör.
- Sıradan sosyal kimlik: alışverişler, bültenler, çeşitli kayıtlar. İdeal olarak takma adresler (sağlayıcıların çoğu, ana adrese yönlendiren tek kullanımlık adresler oluşturmaya imkân veriyor).
- Mahrem kimlik: duygusal ve cinsel hayatınızla ilgili olan her şey, LGBTQ+ dernekleri, tanışma ya da görüntülü sohbet platformları. Adınızı içermeyen, birincisinin kurtarma adresi olarak listelenmeyen ve şifresi başka hiçbir yerde kullanılmamış ayrı bir adres.
En sık düşülen tuzak: 3. düzeyin adresini bir teslimat için kullanmak ya da 1. düzeyin numarasıyla bir platforma kaydolmak. Telefon numarasıyla ters arama fazlasıyla iyi çalışıyor ve bu, gey tanışma uygulamaları ile görüntülü sohbetin gerçekte neyi açığa çıkardığı üzerine yazıda ayrıntılandırdığımız mekanizmalardan biri.
Cihazın kendisi için, şifreli bir microSD kart ya da donanım şifrelemeli harici bir disk, telefonda sürekli durmasına gerek olmayan şeyleri telefonun dışında tutmayı sağlıyor. Depolamanın tümüyle şifrelenmesi yeni telefonlarda varsayılan olarak etkin; bilgisayarda ise genellikle elle etkinleştirmek gerekiyor (BitLocker, FileVault, LUKS).
Hesap çoktan kaybedildi: izlenecek yol
Sıra önemlidir. Yardım aramakla geçen her dakika, saldırganın mesajlarınızı okuduğu bir dakikadır.
1. Önce e-posta kutusunu geri alın. Sosyal ağları değil, platformu değil: e-postayı, çünkü geri kalan her şeyi o yönetiyor. Güvendiğiniz bir cihazdan kurtarma işlemini başlatın, şifreyi değiştirin ve ardından — neredeyse herkesin atladığı kısım bu — güvenlik ayarlarına gidip tüm aktif oturumları kapatın.
2. Saldırganın ne bıraktığını kontrol edin. E-posta ayarlarında şunları sistematik olarak denetleyin:
- otomatik yönlendirme kuralları (e-postalarınızı sessizce başka bir yere kopyalayan bir filtre, şantajcıların en sevdiği araçtır);
- otomatik yanıtlar;
- yetkilendirilmiş üçüncü taraf uygulamalar;
- sıklıkla değiştirilmiş olan kurtarma adresleri ve numaraları;
- ekran görüntüsü olarak saklanacak bağlantı geçmişi.
3. Şifreleri hassasiyet sırasına göre değiştirin, size zarar vermek için kullanılabilecek olanlardan başlayarak: sosyal hesaplar, çevrimiçi fotoğraf depolama, mahrem hayatınıza bağlı platformlar. Sonra banka.
4. Silmeden önce belgeleyin. Her şeyi silme dürtüsü güçlüdür. Ama iz olmadan hiçbir şikâyet sonuç vermez. Yöntemin tamamını bildirmek, engellemek, kanıt saklamak yazısında anlatıyoruz: tam URL'yi gösteren zaman damgalı ekran görüntüleri, mesajların dışa aktarımı, yalnızca sizin denetlediğiniz bir ortamda saklama. İlgili cihazın dışında tutulan küçük bir şifreli harici sabit disk tam olarak bu işi görüyor.
5. Bildirin ve şikâyette bulunun. Fransa'da Cybermalveillance.gouv.fr bir tanılama akışı sunuyor ve sizi yönlendiriyor; 17 Cyber mekanizması kolluk kuvvetleriyle çevrimiçi ilk teması sağlıyor. Bir hesaba hukuka aykırı erişim ile şantaj farklı suçlardır: ikisini de şikâyette belirtmek, suçun asgari düzeyde nitelendirilmesini önler. Bir servisin kusuru yüzünden kişisel veriler ifşa olmuşsa CNIL'e başvurulabilir. Belçika'da Safeonweb bildirimleri merkezileştiriyor, Unia ise cinsel yönelime dayalı ayrımcılıkları ele alıyor.
6. Asla ödeme yapmayın. Parası ödenen bir şantajcı geri döner. Bu, soruşturma birimlerinin de derneklerin de değişmez tespiti. Açığa çıkarma tehdidi açıkça dile getirilmişse, homofobik tuzak ve görüntülü sohbetten doğan şantaj rehberimiz, sizin için önemli olan kişilere karşı inisiyatifi ele alma olasılığı dahil tüm süreci anlatıyor.
On araçtan daha değerli üç alışkanlık
Yılda iki kez denetim yapın. Yarım saat, bir kahve ve bir liste: adıma kayıtlı hangi hesaplar hâlâ duruyor, hangileri hassas bir şey içeriyor, hangilerinde ikinci faktör yok. Unutulan hesaplar en tehlikelileridir, çünkü uyarılarını kimse izlemiyor.
Ekranı her seferinde kilitleyin. "Odadan çıktığımda" değil: cihaz elinizden her ayrıldığında. Bu en etkili ve en az maliyetli önlem, ve hiçbir satın almaya bağlı değil. Trende ya da açık ofiste ekranı yandan okunamaz hâle getiren bir ekran gizlilik filtresi bu düzeneği yararlı biçimde tamamlıyor.
Kimi arayacağınıza önceden karar verin. Bir numara aramak için en kötü an, bir sızmayı yeni fark ettiğiniz andır. Telefonun dışında bir yerde iki üç iletişim bilgisi saklayın: güvendiğiniz bir kişi, SOS homophobie destek hattı (01 48 06 42 41) ya da Belçika'da Lumi (0800 99 533) ve Cybermalveillance.gouv.fr adresi. Olayın psikolojik bir etkisi varsa — ki sıklıkla vardır —, çevrimiçi homofobik bir saldırının ardından yazımız destek hatlarını derliyor.
Hatırda tutulması gerekenler
Hesap güvenliği sonu gelmez bir disiplin değil. Bir kez alınan az sayıda karara dayanıyor: bir şifre yöneticisi, ana e-posta kutusunda SMS olmayan bir ikinci faktör, temizlenmiş kurtarma adresleri, bölmelere ayrılmış üç kimlik ve kilitlenen bir ekran. Gerisi bakım işidir.
Ve sızma çoktan yaşandıysa: önce e-posta kutusu, sonra yönlendirme filtreleri, silmeden önce kanıtlar, pazarlıktan önce şikâyet ve asla tek kuruş ödeme. Bu sitenin güvenlik sayfası temel adımları özetliyor, görüntülü sohbet sözlüğü ise burada geçen teknik terimleri tanımlıyor.
Son bir şey, hiç de teknik olmayan: ele geçirilen bir hesap sizin hatanız değil. Veri ihlalleri, veritabanlarını kötü koruyan şirketlerden kaynaklanıyor, sahte e-postalar profesyoneller tarafından tasarlanıyor ve mağdurların ezici çoğunluğu kendilerine söylenen her şeyi yapmıştı. Utanç, şantajcının bir silahıdır. Bu silahı ondan almak, karşı koymanın bir parçasıdır.
