Hesaplarınızı korumak: iki faktörlü kimlik doğrulama, SIM kart değiştirme, broker oturum bilgilerine yönelik oltalama ve mirasçılar için erişim düzenlemeleri
Banka ve broker oturum açma bilgilerinizi Alman yatırımcılara karşı gerçekten kullanılan saldırılara karşı güçlendirin ve mirasçılarınızın aylarca gecikme yaşamadan varlıklarınıza ulaşabilmesi için erişimi düzenleyin.
Neler öğreneceksiniz
- Hangi ikinci faktörlerin güçlü, hangilerinin zayıf olduğu ve SMS kodlarının SIM kart değiştirmeye (SIM swapping) karşı neden başarısız olduğu.
- Broker oturum bilgilerine yönelik oltalamanın bugün gerçek zamanlı aktarım ve onay yorgunluğu dâhil nasıl işlediği.
- Hangi yerleşik broker özelliklerinin (referans hesap, para çekme kilitleri, uyarılar) başarılı bir oturum açmadan sonra bile hırsızı durdurduğu.
- Bugünden parolaları teslim etmeden mirasçılarınıza veya güvendiğiniz bir kişiye nasıl yasal erişim sağlayacağınız.
Açıklama
Hesap ele geçirme, sahte bir brokera asla kanmayan dikkatli yatırımcıları vuran dolandırıcılıktır. Saldırganın sizi yatırım yapmaya ikna etmesine gerek yoktur; oturum bilgilerinize, ikinci faktörünüze ve parayı dışarı çıkarmanın bir yoluna ihtiyacı vardır. Temel kripto cüzdan hijyeni Bitcoin ve Kripto Temelleri kursunda (ders btc08) ele alınmıştı; bu ders banka ve aracı kurum hesapları ve sizin kendiniz harekete geçemediğiniz durumlarda bu hesaplara ne olduğu hakkındadır.
Güçlü müşteri kimlik doğrulaması ve üç faktör türü
AB Ödeme Hizmetleri Direktifi 2 (PSD2), internet bankacılığı için güçlü müşteri kimlik doğrulaması (SCA) şartı getirir: bilgi (parola, PIN), sahiplik (telefon, donanım anahtarı, kart) ve biyometrik özellik (parmak izi, yüz) unsurlarından iki bağımsız unsur. Brokerlar aynı modeli gönüllü olarak veya banka oldukları için uygular. Sistemin tamamının güvenliği, en zayıf faktörün güvenliğine eşittir:
| İkinci faktör | Başlıca saldırı | Değerlendirme |
|---|---|---|
| SMS kodu (mTAN) | SIM kart değiştirme, SS7 dinlemesi, kodun oltalama yoluyla ele geçirilmesi | Zayıf; herhangi bir alternatif varsa kaçının |
| Kimlik doğrulayıcı uygulama (zamana dayalı tek kullanımlık parola, TOTP) | 6 haneli kodun gerçek zamanlı oltalama aktarımı | Orta; SIM kart değiştirmeye karşı bağışık, ikna edici sahte bir giriş sayfasına karşı değil |
| İşlem ayrıntılarını gösteren banka push uygulaması (pushTAN, photoTAN) | Onay yorgunluğu, aynı telefondaki kötü amaçlı yazılım | Onaylamadan önce ekrandaki tutarı ve IBAN'ı okursanız iyi |
| Donanım anahtarı veya passkey (FIDO2/WebAuthn) | Anahtarın fiziksel olarak çalınması | En güçlüsü; anahtar yalnızca gerçek alan adına yanıt verir, bu yüzden oltalama sayfaları hiçbir şey elde edemez |
SIM kart değiştirme
SIM kart değiştirmede saldırgan, sosyal mühendislikle veya sızdırılmış kişisel verilerle mobil operatörünüzü numaranızı yeni bir SIM'e veya eSIM'e taşımaya ikna eder. O andan itibaren tüm SMS kodları ve "parolamı unuttum" aramaları ona gider. Uyarı işareti: kapsama alanı olan bir bölgede telefonunuz birdenbire birkaç dakikadan uzun süre "servis yok" gösterir. Savunmalar: operatörde tüm değişiklikler için ayrı bir müşteri parolası (Kundenkennwort) belirleyin, brokerınızın izin verdiği her yerde SMS yerine bir kimlik doğrulayıcı uygulama veya donanım anahtarı kullanın ve cep telefonu numarasını ana e-posta hesabınız için asla parola sıfırlama kanalı olarak kullanmayın; çünkü e-posta hesabı diğer her şeyin ana anahtarıdır.
Broker oturum bilgilerine yönelik oltalama
Modern oltalama artık yazım hatalarıyla dolu bir e-posta değildir. Tipik örüntüler: brokerınızın adı için benzer görünümlü bir alan adına yönlendiren sponsorlu bir arama sonucu; "hesabınız kısıtlandı, 24 saat içinde doğrulayın" diyen bir SMS; "şüpheli bir transferi iptal etmek için" bir push bildirimini onaylamanızı isteyen "güvenlik departmanından" bir arama. Ters proxy (reverse-proxy) kitleri, parolanızı ve TOTP kodunuzu gerçek zamanlı olarak gerçek siteye aktarır; böylece bir kimlik doğrulayıcı uygulama bile aşılabilir. Geçerliliğini koruyan kurallar: broker adresini kendiniz yazın veya uygulamayı kullanın; o anda sizin tetiklemediğiniz bir push talebini asla onaylamayın; bir banka veya broker telefonda asla TAN istemez; bir sayfa bir şeyi "iptal etmek için" kod istiyorsa bu bir dolandırıcılıktır, çünkü iptal işlemi hiçbir zaman işlem kodu gerektirmez.
Oturum açıldıktan sonra zararı sınırlayan özellikler
Alman brokerları genellikle para çekmeye yalnızca kendi adınıza açılmış bir referans hesaba (Referenzkonto) izin verir; bunu değiştirmek ayrı, güçlü şekilde doğrulanmış bir adım ve çoğu zaman bir bekleme süresi gerektirir. Bunun açık olduğunu kontrol edin, e-posta ve push yoluyla işlem ve oturum açma uyarılarını etkinleştirin, bağlı banka hesabında günlük bir transfer limiti belirleyin ve e-posta hesabını bir donanım anahtarı veya passkey ile koruyun. Bağlı cihazların ve API anahtarlarının listesini üç ayda bir gözden geçirin ve eskileri kaldırın.
Mirasçılar ve acil durumlar için erişim
Ölmeniz veya ehliyetinizi yitirmeniz durumunda mirasçılarınız otomatik olarak erişim elde etmez. Bankalar miras için kanıt, genellikle bir veraset ilamı (Erbschein) veya mahkemenin açılış tutanağıyla birlikte noter onaylı bir vasiyetname isteyebilir; Federal Yüksek Mahkeme, noter onaylı bir vasiyetname mirasçıyı açıkça kanıtlıyorsa bankanın Erbschein'de ısrar edemeyeceğine hükmetmiştir. Yalnızca el yazısıyla yazılmış bir vasiyetname normalde bankalar tarafından kanıt olarak kabul edilmez. Erbschein almak, terekeyle orantılı olarak artan mahkeme harçlarına mal olur ve haftalar ile aylar arasında sürer. Bu arada bir menkul kıymet hesabı piyasa riskine açık kalır ve kimse satış yapamaz. Pratik araçlar şunlardır:
- Bankanın kendi formu üzerinde, güvendiğiniz bir kişiye verilen ölümden sonra da geçerli banka vekâletnamesi (Konto- und Depotvollmacht über den Tod hinaus). Erbschein olmadan anında erişim sağlar; mirasçılar daha sonra bunu iptal edebilir.
- Ehliyetsizlik durumu için bir Vorsorgevollmacht (ihtiyati vekâletname) ve ayrıca, tereke karmaşıksa, noter onaylı bir vasiyetname.
- Çevrim dışı saklanan bir erişim belgesi (mühürlü zarf, kiralık kasa veya acil erişim özellikli bir parola yöneticisi): kuruluşların ve hesap numaralarının listesi, donanım anahtarlarının nerede olduğu ve e-posta hesabına nasıl ulaşılacağı. Parolaları vasiyetnameye yazmayın, çünkü vasiyetname bir mahkeme belgesi hâline gelir.
- Alman bankalarının ölüm tarihindeki bakiyeleri vergi dairesine bildirmek zorunda olduğunu bilin; dolayısıyla hesapları mirasçılardan veya Finanzamt'tan (vergi dairesi) gizlemek ne mümkündür ne de yasaldır; amaç gizlilik değil, hızdır. BGH (Federal Yüksek Mahkeme) 2018'de dijital hesapların diğer tüm sözleşmeler gibi mirasçılara geçtiğini teyit etmiştir.
Çözümlü örnek
Varsayımsal örnek: 58 yaşındaki Petra'nın tek bir bankada €250,000 değerinde bir Depot'u ve €40,000 Tagesgeld'i var. Oturum açma işlemlerinde parola artı tek bir cep telefonu numarasına gelen SMS kodları kullanılıyor; aynı numara e-postası için de kurtarma kanalı. Yetişkin oğlu tek mirasçısı ama hiçbir vekâletnamesi yok. Ücretler ve vergiler göz ardı edilmiştir.
- Tek hata noktası: başarılı bir SIM kart değiştirme saldırgana SMS kodlarını ve e-posta kurtarma kanalını verir; böylece tek bir saldırı tüm hesapları kapsar. Broker ve e-posta bir kimlik doğrulayıcı uygulamaya ve bir donanım anahtarına geçirildikten sonra tek başına bir SIM kart değiştirme hiçbir şey kazandırmaz; saldırganın anahtarı da fiziksel olarak ele geçirmesi gerekir.
- Miras gecikmesi: Erbschein'in altı hafta sürdüğünü ve piyasanın bu süre içinde 3 % düştüğünü varsayın. Depot'taki risk: 3 % × €250,000 = kimsenin müdahale edemediği €7,500, artı oğlun €40,000'dan çekemediği altı haftalık geçim masrafları.
- Maliyet karşılaştırması: bu büyüklükteki bir tereke için Erbschein mahkeme harçlarının kabaca €1,000 olduğunu varsayın (harçlar mahkeme harç tarifesiyle belirlenir ve tereke büyüdükçe artar; güncel tabloyu kontrol edin). Ölümden sonra da geçerli bir banka vekâletnamesi €0'a mal olur ve ilk gün erişim sağlar. Erbschein diğer varlıklar için daha sonra yine gerekebilir, ancak zaman açısından kritik erişim sorunu çözülmüş olur.
Sık yapılan hata
Uygulama etkinliği
Kâğıt üzerinde, varsayımsal bir hane için bir "erişim haritası" çizin: bir ana e-posta hesabı (A telefonuna SMS ile kurtarma), bir broker (parola + A telefonuna SMS), bir banka (parola + A telefonunda pushTAN), bir kripto borsası (parola + A telefonunda TOTP). A telefonu kilidi açık hâldeyken çalınıyor. Her hesap için hırsızın oturum açıp para aktarıp aktaramayacağını ve ele geçirilen hesap sayısını en çok hangi tek değişikliğin azaltacağını yazın. Ardından, ani bir ehliyetsizlik durumunda güvendiğiniz bir kişinin sizin adınıza hareket edebilmesi için ihtiyaç duyacağı üç belgeyi listeleyin.
Çözümü göster
Kilidi açık çalınan A telefonu: e-posta büyük olasılıkla SMS kurtarma yoluyla ele geçirilir; SMS ve e-postanın ikisi de erişilebilir olduğu için broker düşer (parola sıfırlama); bankanın pushTAN uygulaması aynı telefondadır, dolayısıyla uygulamanın ayrı bir PIN'i veya biyometrik kilidi yoksa transferler onaylanabilir; borsanın TOTP uygulaması da telefondadır. En kötü durumda dördü de ele geçirilir ve en etkili tek değişiklik, e-posta hesabını SMS kurtarma olmadan bir passkey'e veya donanım anahtarına taşımaktır; çünkü e-posta diğer her şeyin sıfırlama kanalıdır; ikinci en iyi seçenek pushTAN ve TOTP uygulamaları için ayrı bir PIN ve otomatik telefon kilididir. Ehliyetsizlik için belgeler: bir Vorsorgevollmacht, bankanın formu üzerinde bir banka vekâletnamesi (Depot dâhil) ve kuruluşları, hesap numaralarını ve donanım anahtarlarının yerini belirten çevrim dışı bir erişim belgesi. Sınırlamalar: gerçek telefon güvenliği kilit ayarlarına ve biyometrik korumalara bağlıdır; alıştırma kilidi açık bir cihaz varsayar.
Temel çıkarımlar
- SMS en zayıf ikinci faktördür; kimlik doğrulayıcı uygulamalar SIM kart değiştirmeye dayanır, donanım anahtarları ve passkey'ler ise oltalamaya da dayanır.
- Sizin tetiklemediğiniz bir push bildirimini asla onaylamayın ve bir şeyi "iptal etmek" için asla kod vermeyin.
- Referans hesaba para çekme, uyarılar ve korunan bir e-posta hesabı, oturum bilgileri çalındıktan sonra bile zararı sınırlar.
- Ölümden sonra da geçerli bir banka vekâletnamesi ile çevrim dışı bir erişim belgesi mirasçılara yasal ve anında erişim sağlar; tek başına Erbschein zaman ve para kaybettirir.
Sonraki adım
Bu kursun son dersi her şeyi saklayabileceğiniz iki belgeye dönüştürüyor: her yatırım teklifi için kişisel bir özenli inceleme (due diligence) kontrol listesi ve yazılı bir dolandırıcılık müdahale planı.
Öz değerlendirme
Soruları yanıtlayın, ardından yanıtlarınızı kontrol edin. İstediğiniz kadar tekrar deneyebilirsiniz.
Kendi tekrarınız için otomatik öz değerlendirme. Cevaplarınız tarayıcınızda kontrol edilir; bunları görmez ve değerlendirmeyiz. Bu bir sınav veya yeterlilik değildir.
İlerlemeniz
“Tamamlandı” yalnızca dersi bitirdiğinizi işaretlediğiniz anlamına gelir. Anlayışınızın bir sınavı değildir. İlerleme ve notlar yalnızca bu cihazdaki bu tarayıcıda saklanır — bir hesapta değil.