Antivirüs yazılımı işlemin başarılı olduğunu bildiriyor. Kötü amaçlı yazılım bulundu, silindi, her şey temizlendi. İki gün sonra Google hesabınız spam iletiler göndermeye başlıyor ve cihaz listesinde size ait olmayan bir bilgisayar görünüyor. Üstelik iki faktörlü doğrulama (2FA) tüm bu süre boyunca açıktı.
Burada yaşanan duruma oturum ele geçirme (session hijacking) adı veriliyor; yani hâlihazırda açık olan bir oturumun ele geçirilmesi. Saldırganın ne şifrenize ne de ikinci doğrulama faktörünüze ihtiyacı var. İhtiyaç duydukları tek şey, bir sonraki ziyaretinizde tekrar bilgi girmek zorunda kalmamanız için tarayıcınızın giriş yaptıktan sonra sakladığı o küçük dosya. O dosya, oturumun açık olduğunu doğrulayan çerez.
Google bu durumu kendi Chromium blogunda açıkça tarif ediyor: Hırsızlık oturum açıldıktan sonra gerçekleşiyor ve bu nedenle iki faktörlü doğrulamayı atlatıyor. Üstelik bunu antivirüs yazılımlarıyla etkisiz hâle getirmek de zor çünkü kötü amaçlı yazılım temizlendikten sonra bile çerezler çalışmaya devam ediyor.
Hırsızlık Nasıl Gerçekleşiyor?
Sürecin başında neredeyse her zaman kimlik bilgilerini toplamak için tasarlanmış bir bilgi hırsızı yazılım (infostealer) yer alıyor. Bu yazılım cihaza korsan yazılımlar, değiştirilmiş bir kurulum dosyası veya bir e-posta eki aracılığıyla ulaşıyor. Cihaza sızdıktan sonra tarayıcının çerezleri sakladığı dosyaları okuyor. Saldırgan ardından çerezi kendi tarayıcısına aktarıyor ve siteyi açıyor. Hizmet, geçerli ve oturum açılmış bir oturum gördüğü için başka hiçbir şey sormuyor.
Bu pazarın ne kadar büyüdüğünü güvenlik şirketi Flashpoint‘in 11 Mart 2026’da yayımladığı Küresel Tehdit İstihbarat Raporu (Global Threat Intelligence Report) açıkça gösteriyor. Flashpoint, 2025 yılı için bilgi hırsızı yazılımlarla enfekte olmuş 11,1 milyondan fazla cihaz ve bu cihazlardan çalınan 3,3 milyar kimlik bilgisi ile bulut erişim belirteci (cloud token) tespit etti. Oturum çerezleri bu sayıya dâhil bile değil.
Tehdidin hayatımızın ne kadar içinde olduğunu Operation Endgame gösterdi. Europol, 24 Haziran 2026’da Almanya’nın da katılımıyla StealC ve Amadey bilgi hırsızlarına ve SocGholish dağıtım ağına karşı bir darbe indirildiğini duyurdu. Operasyonda 326 sunucu ile 142 alan adı kapatıldı ve 27 milyon kimlik bilgisi seti ele geçirildi.
İkinci doğrulama faktörü sürecin yanlış noktasında devreye giriyor. SMS kodu, uygulama bildirimi veya güvenlik anahtarı… Hepsi yalnızca kimin oturum açtığını doğruluyor. Çerez ise bu doğrulama geçildikten sonra bir kanıt olarak oluşturuluyor. Kanıtı elinde tutan kişinin doğrulamayı tekrar geçmesi gerekmiyor. Google’ın Gelişmiş Koruma Programı bile bu durumu değiştirmiyor. Google’a göre, oturumu açık kalan bir kullanıcıdan güvenlik anahtarı tekrar istenmeyebiliyor. Hesaplarınızı nasıl doğru şekilde koruyacağınız konusu “A password alone isn’t enough” (Parola tek başına yeterli değil) başlıklı makalede ele alınıyor.
Tarayıcılar Bu Konuda Ne Yapıyor?
Windows tarafında Chrome, Temmuz 2024’teki 127. sürümünden bu yana çerezleri App-Bound Encryption ile şifreliyor ve anahtarı doğrudan uygulamaya bağlıyor fakat Google bu korumanın sınırını kendisi açıklıyor: Yüksek yetkilerle çalışan kötü amaçlı yazılımlar bu korumayı aşabiliyor. Bu durum hırsızlığı daha maliyetli hâle getiriyor ancak tamamen engellemiyor.
Gerçek ilerleme ise kısa adı DBSC olan Device Bound Session Credentials teknolojisiyle geliyor. Tarayıcı, gizli yarısı cihazdan asla ayrılmayan bir anahtar çifti oluşturuyor. Windows üzerinde bu anahtar, anakarttaki güvenlik çipi olan TPM içinde saklanıyor. Hizmet, tarayıcının bu anahtara hâlâ sahip olup olmadığını düzenli olarak sorguluyor. Başka birinin cihazındaki çerez ise bu sorgudan geçemiyor.
Web siteleri için bu teknoloji Chrome 145 sürümünden beri sunuluyor. Google, bu özelliği kendisi için Windows altında Chrome 146 ile 9 Nisan 2026’da devreye soktu; 25 Mayıs 2026’dan itibaren de kullanıcıların hiçbir şey yapmasına gerek kalmadan Workspace hesapları ve kişisel Google hesapları için kademeli olarak kullanıma sunuyor. Yine de iki sınır varlığını koruyor. W3C teknik özelliklerine göre DBSC, saldırgan cihazda bulunmaya devam ettiği sürece erişimi engellemiyor. Ayrıca her web sitesinin bu sisteme kendisinin dâhil olması gerekiyor; korumanın öncelikle Google hizmetlerine gelme sebebi de bu.
Firefox bu konuda birçok kişinin düşündüğünden daha zayıf bir tablo çiziyor. Çerez veri tabanı disk üzerinde şifrelenmeden duruyor. Mozilla‘nın hata takip sistemindeki “bug 56788” numaralı kayıt 25 yıl önce açıldı, 2000 yılında “WONTFIX” (çözülmeyecek) olarak kapatıldı ve iki yıl önce yeniden açıldı. Kayıt P3 öncelik seviyesini taşıyor ve henüz kimseye atanmış değil. Total Cookie Protection özelliği de bu durumu değiştirmiyor çünkü o yalnızca bir takip koruması işlevi görüyor.
Şimdi Ne Yapabilirsiniz?
Burada belirleyici olan işlem sırası. Kötü amaçlı yazılım bulaşması durumunda Almanya Federal Bilgi Güvenliği Dairesi (BSI) şu sırayı öneriyor: Önce sistemi yeniden kurun, ardından şifreleri değiştirin. Tam tersini yapıp yeni şifreyi enfekte olmuş cihazda yazan kişi, şifreyi doğrudan saldırgana teslim ediyor.
Ardından çoğu kişinin atladığı adım geliyor. Yeni bir şifre belirlemek, elinde geçerli bir çerez tutan saldırganı sistemden otomatik olarak atmıyor. Açık oturumları ayrıca sonlandırmanız gerekiyor.
Google: myaccount.google.com adresinde Güvenlik bölümünden “Tüm cihazları yönet” seçeneğine gidin. Her oturum ayrı ayrı listeleniyor; cihaza dokunun ve oturumu kapatın. Google hepsi için tek bir buton sunmuyor.
Microsoft: account.microsoft.com adresinde “Gelişmiş güvenlik seçenekleri” altından “Her yerden çıkış yap” seçeneğini kullanın. Microsoft‘a göre oturumun kapatılması 24 saati bulabiliyor ve Xbox bu işlemin dışında kalıyor.
Apple: account.apple.com adresinde “Cihazlar” bölümünden cihazı seçin ve “Hesaptan çıkar” seçeneğine tıklayın. Birisi o cihazda hâlâ oturum açmış durumdaysa cihaz tekrar listede görünüyor.
Passkey Teknolojisi Ne İşe Yarar ve Ne İşe Yaramaz?
Passkey şifrenin halefi olarak görülüyor ve BSI bu teknolojiyi son derece güvenli bir kimlik doğrulama biçimi olarak tanımlıyor. Bu doğru ama durum yine yalnızca oturum açma eylemini kapsıyor. Bir passkey, birinin sizin adınıza oturum açmasını engelliyor fakat hâlihazırda açık olan oturumunuzun ele geçirilmesini engellemiyor. Oturum açma işleminin kendisinin bile saldırıya açık kalabildiğini ise Pass-the-Passkey gösteriyor.
Tablonun dürüst özeti rahatsız edici. Google, 9 Nisan 2026 tarihli güvenlik blogunda, kötü amaçlı yazılım cihaza bir kez sızdıktan sonra yalnızca yazılımla çerez hırsızlığını önlemenin hiçbir işletim sisteminde güvenilir bir yolu olmadığını belirtiyor. DBSC‘nin değiştirdiği şey ise ganimetin kullanım ömrü oluyor. Çalınan çerez yalnızca oluşturulduğu cihazda kullanılabilir hâle geliyor.
Bu koruma her yerde geçerli olana kadar zorlu kısım kullanıcıya kalıyor: Korsan yazılım kullanmayın, indirmeleri yalnızca orijinal kaynaktan yapın ve en ufak bir şüphede önce sistemi yeniden kurun, ardından oturumları sonlandırın. Tam olarak bu sırayla.
Kaynak: https://www.notebookcheck.net/Account-hijacked-despite-2FA-a-stolen-cookie-is-enough.1364307.0.html
