Veri ihlalleri: bir hizmet hacklendiğinde şifrelerinize ne olur?
Er ya da geç, kullandığınız bir hizmet bir güvenlik manşetine çıkacak. Bunun sizin için anlamı tamamen olayın türüne — ve şifrenizin benzersiz olup olmadığına — bağlıdır.
İhlal, scraping yoksa credential stuffing mi?
Bir ihlalde hizmetin kendi sistemleri ele geçirilir ve saklanan veriler — bazen şifre hash’leri — çalınır. Scraping’de, açıkta kalan bir arayüz üzerinden herkese açık veya yarı açık veriler toplanır; şifre alınmaz. Credential stuffing ters yönde işler: başka yerde sızan şifreler bu hizmette denenir. Manşetler bu üçünü nadiren ayırt eder — sizin tepkiniz etmeli.
Sızan bir şifre hash’ine ne olur
Ciddi hizmetler şifreleri okunur halde değil, hash’lenmiş olarak saklar. Ama sızan bir hash, çevrimdışı olarak saniyede trilyonlarca denemeyle saldırıya uğrayabilir ve kısa ya da tahmin edilebilir şifreler saatler içinde geri kazanılır. İşte bu yüzden, çalınan veri “şifreliydi” olsa bile uzunluk ve rastgelelik önemlidir.
Kullandığınız bir hizmet vurulduğunda yapılacaklar
Etkilenen hizmette şifreyi değiştirin — ve onu yeniden kullandığınız her yerde; sonra şifreleri yeniden kullanmayı tamamen bırakın. İki faktörlü doğrulamayı açın. Ve ardından hedefli oltalama bekleyin: sızan e-posta adresleri ve adlar, inandırıcı sahte “şifrenizi sıfırlayın” e-postaları yazmak için kullanılır.
Büyük hizmetlerde belgelenmiş olaylar
- 2026Instagram — 2026 yılında yaklaşık 6,2 Mn Instagram hesabının verileri açıkta kalan bir arayüz üzerinden toplandı (adlar, e-posta adresleri, telefon numaraları ve profil verileri) — şifre çalınmadı.
- 2023Discord — 2023 yılında bir üçüncü taraf tedarikçideki olay, sınırlı miktarda Discord kullanıcı verisini açığa çıkardı (e-posta adresleri).
- 2023Duolingo — 2023 yılında yaklaşık 2,6 Mn Duolingo hesabının verileri açıkta kalan bir arayüz üzerinden toplandı (e-posta adresleri, adlar ve profil verileri) — şifre çalınmadı.
- 2023Facebook — 2023 yılında bir üçüncü taraf tedarikçideki olay, sınırlı miktarda Facebook kullanıcı verisini açığa çıkardı (e-posta adresleri, adlar ve şifreler).
- 2022PayPal — 2022 yılında yaklaşık 35 B PayPal hesabı, başka sızıntılardan yeniden kullanılan şifrelerle yapılan credential stuffing saldırılarında ele geçirildi.
- 2022Roblox — 2022 yılında bir üçüncü taraf tedarikçideki olay, sınırlı miktarda Roblox kullanıcı verisini açığa çıkardı (e-posta adresleri ve adlar).
- 2022X (Twitter) — 2022 yılında yaklaşık 5,4 Mn X (Twitter) hesabının verileri açıkta kalan bir arayüz üzerinden toplandı (e-posta adresleri, telefon numaraları ve profil verileri) — şifre çalınmadı.
- 2021EA (Electronic Arts) — 2021 yılında saldırganlar EA (Electronic Arts) kaynak kodunu çaldı — kullanıcı şifreleri etkilenmedi.
- 2020Spotify — 2020 yılında yaklaşık 300 B Spotify hesabı, başka sızıntılardan yeniden kullanılan şifrelerle yapılan credential stuffing saldırılarında ele geçirildi.
- 2019Facebook — 2019 yılında yaklaşık 533 Mn Facebook hesabının verileri açıkta kalan bir arayüz üzerinden toplandı (telefon numaraları, adlar ve profil verileri) — şifre çalınmadı.
- 2019Instagram — 2019 yılında yaklaşık 49 Mn Instagram hesabının verileri açıkta kalan bir arayüz üzerinden toplandı (profil verileri, telefon numaraları ve e-posta adresleri) — şifre çalınmadı.
- 2018Facebook — 2018 yılında Facebook, yaklaşık 50 Mn hesabı etkileyen bir veri ihlali yaşadı (profil verileri).
- 2016Epic Games — 2016 yılında Epic Games, yaklaşık 251,7 B hesabı etkileyen bir veri ihlali yaşadı (e-posta adresleri ve hash’lenmiş şifreler).
- 2016Roblox — 2016 yılında Roblox, yaklaşık 52,5 B hesabı etkileyen bir veri ihlali yaşadı (e-posta adresleri ve profil verileri).
- 2014iCloud Mail — 2014 yılında iCloud Mail hesapları hedefli oltalama ve şifre tahmin saldırılarına uğradı — iCloud Mail sistemlerinin kendisi ihlal edilmedi.
- 2014Snapchat — 2014 yılında yaklaşık 4,6 Mn Snapchat hesabının verileri açıkta kalan bir arayüz üzerinden toplandı (kullanıcı adları ve telefon numaraları) — şifre çalınmadı.
- 2013Ubisoft — 2013 yılında Ubisoft bir veri ihlali yaşadı (kullanıcı adları, e-posta adresleri ve hash’lenmiş şifreler).
- 2011PlayStation — 2011 yılında PlayStation, yaklaşık 77 Mn hesabı etkileyen bir veri ihlali yaşadı (adlar, e-posta adresleri, hash’lenmiş şifreler ve profil verileri).
- 2011Steam — 2011 yılında Steam, yaklaşık 35 Mn hesabı etkileyen bir veri ihlali yaşadı (e-posta adresleri, hash’lenmiş şifreler ve ödeme bilgileri).
Kamuya açık haberler ve sağlayıcı açıklamalarından derlenmiştir; olay türleri yukarıdaki tanımlara uyar. Her hizmet kendi şifre rehberine bağlanır.
Güvenlik Kılavuzları
Bir şifre ne kadar uzun olmalı?
Şifre uzunluğunun kırılma süresine etkisi — uzunluk ve karakter kümesine göre gerçek rakamlar; hesaplar, e-posta ve ana şifreler için öneriler.
En yaygın şifre hataları
Saldırganların her gün istismar ettiği altı şifre hatası — yeniden kullanım, kişisel bilgiler, klavye kalıpları, l33t değişimleri, kısa şifreler ve güvensiz saklama — ve bunların yerine ne yapmalı.
İki faktörlü doğrulama (2FA): nedir ve neden önemlidir
İki faktörlü doğrulama nasıl çalışır, hangi yöntemi seçmelisiniz — güvenlik anahtarı, doğrulayıcı uygulama veya SMS — ve hangi büyük hizmetler destekliyor.
Şifre yöneticisine ihtiyacınız var mı?
Her hesap için benzersiz, rastgele bir şifre tutmanın tek gerçekçi yolunun neden bir şifre yöneticisi olduğu — ve kasanın kendisini nasıl koruyacağınız.
Veri ihlalleri: bir hizmet hacklendiğinde şifrelerinize ne olur?
İhlal, scraping mi yoksa credential stuffing mi? Her olay türünün şifreleriniz için anlamı, büyük hizmetlerdeki belgelenmiş olaylar ve olduğunda yapılacaklar.