Kısaca
E-posta adresinizi Have I Been Pwned gibi bir ihlal bildirim hizmetinde aratın; hizmet, 3 Kasım 2026 itibarıyla ihlale uğramış 1,048 web sitesini listeliyor [1]. Veri ihlali, verinin savunmasız bir sistemde açığa çıkmasıdır [2]. Tek başına bir eşleşme hesabınızın hacklendiğinin kanıtı değildir. İhlal parolanızı kapsıyorsa parolayı değiştirin ve çok faktörlü kimlik doğrulamayı açın [3].
Önemli çıkarımlar
- 3 Kasım 2026 itibarıyla Have I Been Pwned, ihlale uğramış 1,048 web sitesini ve 17,846,896,404 ihlal edilmiş adresi listeliyor [1].
- Pwned Passwords, bir parolanın SHA-1 özetinin yalnızca ilk 5 karakterini gönderir ve 'no pwnage found' sonucu parolanın mutlaka iyi olduğu anlamına gelmez [4].
- Parolanızı kapsayan bir ihlalden sonra, etkilenen şirkette ve benzer parola kullandığınız tüm hesaplarda parolayı değiştirin ve çok faktörlü kimlik doğrulamayı açın [3].
- 21 Eylül 2018'den beri bir ABD federal yasası kredi dondurmayı ücretsiz kıldı ve daha önce ücret alan eyaletlerdeki ücretleri sona erdirdi; talep çevrimiçi ya da telefonla yapılırsa büro dondurmayı bir iş günü içinde uygulamak zorunda [5]; FTC, dondurmanın konulmasının ve kaldırılmasının ücretsiz olduğunu söylüyor [9].
- IBM'in 2026 raporu küresel ortalama ihlal maliyetini $4.99 milyon olarak veriyor, ancak bu kuruluşların maliyetidir, bireylerin değil [6].
- HIBP doğrulanmamış ve uydurma ihlalleri bilerek dahil ediyor [2]; bu yüzden bir kaydı, hacklenmiş hesabın kanıtı değil, verinin açığa çıkması olarak değerlendirin.
Bu sayfada 14 bölüm
- Verim sızdı mı? Nasıl kontrol edebilirim?
- Have I Been Pwned güvenli ve güvenilir mi?
- 'Pwned' ne demek ve sonuçlarım ne anlama geliyor?
- Parolamın sızıp sızmadığını nasıl kontrol ederim?
- Bir veri ihlalinden sonra önce ne yapmalıyım?
- İhlalden sonra kredimi dondurmalı mıyım, yoksa dolandırıcılık uyarısı mı koydurmalıyım?
- E-postamın hacklendiğini mi yoksa yalnızca sızdığını mı nasıl anlarım?
- Bir ihlal olduğunda bedelini kim öder ve maliyet rakamları ne anlama gelir?
- İhlal kontrol hizmetlerinin yararları ve sınırları nelerdir?
- Bundan sonra ne olacak ve nelerden hâlâ emin değiliz?
- Sık yapılan hatalar
- Sık sorulan sorular
- Sözlük
- Kaynaklar
Verim sızdı mı? Nasıl kontrol edebilirim?
Veri ihlali, Have I Been Pwned'in (HIBP) ifadesiyle, verinin genellikle yetersiz erişim denetimleri ya da yazılımdaki güvenlik zayıflıkları yüzünden savunmasız bir sistemde istemeden açığa çıktığı bir olaydır [2]. HIBP, insanların kişisel verilerinin nerede açığa çıktığını görebilmesi için ihlalleri bir araya getirir [2]. Verinizin sızıp sızmadığını öğrenmenin en hızlı yolu, e-posta adresinizi orada aratmaktır.
3 Kasım 2026 itibarıyla HIBP ana sayfası 1,048 ihlale uğramış web sitesini ve 17,846,896,404 ihlal edilmiş adresi listeliyor [1]. Herkese açık arama, aynı anda yalnızca tek bir e-posta adresi ya da kullanıcı adı için sonuç döndürür [2]. Bir alan adının tamamını aramak ayrı bir özelliktir ve o alan adına erişim yetkiniz olduğunu doğrulamanızı gerektirir [2].
Bir ihlal sonuçlarımda neden görünmeyebilir?
HIBP bazı ihlalleri 'hassas' sayar. Bunları yalnızca e-posta adresinin doğrulanmış sahibi görebilir; bunun için panoda oturum açıp o adreste e-posta alabildiğini doğrulaması gerekir [2]. HIBP, Ashley Madison ve Adult FriendFinder (2015 ve 2016) dahil 90 hassas ihlal listeliyor [2]. Bu nedenle sıradan bir arama, adresinizi ilgilendirebilecek her şeyi göstermez.
Temiz sonuç verimin güvende olduğu anlamına mı gelir?
Hayır. HIBP, aramasının ihlallerin çoğunu kapsadığını, hassas olanlar için ise oturum açmak gerektiğini söylüyor [2]. Bu rehberin çıkarımına göre, hizmete yüklenmemiş bir ihlal hiç görünemez. Parolalar için HIBP, 'no pwnage found' sonucunun parolanın iyi olduğu anlamına gelmediğini, yalnızca sitede dizinlenmediğini belirtiyor [4]. Temiz sonucu tek bir veri noktası sayın ve ne olursa olsun temel korumaları sürdürün: benzersiz parolalar ve çok faktörlü kimlik doğrulama.
Have I Been Pwned güvenli ve güvenilir mi?
HIBP'nin tasarımı, elinde tutabileceği veriyi sınırlar. Bir ihlaldeki e-posta adresleri yüklenirken parolalar onlarla birlikte yüklenmez; ayrı Pwned Passwords hizmeti tek bir parolayı bilinen ihlallere karşı kontrol eder [2]. HIBP, hiçbir parolanın kişisel olarak tanımlanabilir verinin yanında saklanmadığını ve her parolanın SHA-1 ile özetlendiğini belirtiyor [2]. Herkese açık arama aynı anda tek adresle sınırlıdır [2].
HIBP'nin kendisi neye karşı uyarıyor?
HIBP, kullanıcıların, aranan e-posta adreslerini toplamadığından emin olamayacağını kabul ediyor, toplamadığını belirtiyor ve niyetinden ya da güvenliğinden endişe duyan herkese kullanmamasını söylüyor [2]. Okurlar bu açık sözlü uyarıyı, hizmetin ücretsiz bir risk değerlendirme hizmeti olma amacıyla birlikte tartmalıdır [2].
Bu rehber neyi kapsamıyor?
Bu rehber, HIBP'yi kimin finanse ettiğini ya da işlettiğini veya bağımsız olarak denetlenip denetlenmediğini anlatmıyor. Sitenin kendi Hakkında sayfasını okuyun ve rahat edip etmediğinize karar verin. Rahat değilseniz sonraki bölümlerdeki korumalar hiçbir kontrol hizmeti olmadan da işler: benzersiz parolalar, çok faktörlü kimlik doğrulama ve ABD'de yaşayanlar için kredi dondurma.
'Pwned' ne demek ve sonuçlarım ne anlama geliyor?
'Pwned', video oyunu kültüründe 'owned' sözcüğünün leetspeak bir çeşidi olarak başladı ve birinin kontrol altına alındığını ya da ele geçirildiğini ima eder [2]. Ancak HIBP'de bir kayıt, verinizin bir yerde açığa çıktığı anlamına gelir. Bu rehberin yorumuna göre, hesaplarınıza birinin giriş yaptığının kanıtı değildir.
İhlal etiketleri ne anlama geliyor?
- Hassas: herkese açık aramadan gizlenir ve yalnızca adresin doğrulanmış sahibi tarafından görülebilir [2].
- Doğrulanmamış: veri gerçektir, ancak kaynağı makul şüphenin ötesinde kanıtlanmamıştır [2].
- Uydurma: adı geçen siteden gelmesi olası değildir, ancak gerçek e-posta adresleri içerir [2].
- Emekli edilmiş: kalıcı olarak kaldırılmıştır. HIBP, Ticketek ve VTech olmak üzere 2 emekli ihlal listeliyor; bir ihlal genellikle veri başka yerlerde takas edilmediğinde ya da yeniden dağıtılmadığında emekli edilir [2].
HIBP, gerçek kişisel bilgi içerdikleri için doğrulanmamış ve uydurma ihlalleri yine de dahil ediyor [2]. Bu nedenle bir kayıt, belirli bir şirketin hacklendiğinin kanıtı değildir. HIBP, uydurma verinin bile satılabileceğini ya da takas edilebileceğini belirtiyor [2].
Parolamın sızıp sızmadığını nasıl kontrol ederim?
Pwned Passwords, HIBP'nin tek bir parolayı bilinen ihlallere karşı kontrol eden ayrı hizmetidir [2]. k-anonimlik kullanır: parola cihazınızda özetlenir, SHA-1 özetinin yalnızca ilk 5 karakteri API'ye gönderilir ve dönen sonek listesiyle karşılaştırma sizin tarafınızda yapılır [4]. HIBP, hizmetin ayda 18 milyardan fazla istek işlediğini söylüyor [4].
Hesap farklıysa sızan parola neden önemli?
Saldırganlar, açığa çıkan e-posta ve parola çiftlerini mağdurların diğer hesaplarına erişmeyi denemek için kullanır; bu tekniğe kimlik bilgisi doldurma (credential stuffing) denir [4]. Bu yüzden bir ihlal parolanızı kapsadığında FTC, benzer parola kullandığınız tüm hesaplarda da değiştirmenizi öneriyor [3]. HIBP ayrıca NIST yönergelerinin, parolaların daha önce ihlal edilmiş veri kümelerine karşı kontrol edilmesini önerdiğini belirtiyor [4].
Sonucu nasıl kullanırım?
- Kullandığınız ya da kullanmış olduğunuz bir parolayı Pwned Passwords sayfasında kontrol edin.
- Bulunursa her yerde kullanmayı bırakın ve her hesap için benzersiz bir parolayla değiştirin. FTC bir parola yöneticisini düşünmenizi öneriyor [3].
- Bulunmazsa bunu onay olarak okumayın: 'no pwnage found' parolanın mutlaka iyi olduğu anlamına gelmez, yalnızca sitede dizinlenmediğini gösterir [4].
Bir veri ihlalinden sonra önce ne yapmalıyım?
Doğru adımlar neyin açığa çıktığına bağlıdır. Durumunuza uyan maddeleri sırayla uygulayın.
- Parolayı değiştirin. İhlal parolanızı kapsıyorsa etkilenen şirkette ve benzer parola kullandığınız tüm hesaplarda hemen değiştirin. Bir parola yöneticisini düşünün ve parola açığa çıksa bile hesabı koruyabilen çok faktörlü kimlik doğrulamayı (MFA) açın [3].
- Bir çevrimiçi hesap açığa çıktıysa. Giriş yapıp parolayı, mümkünse kullanıcı adını da değiştirin. Giriş yapamıyorsanız hesabı kurtarmak ya da kapatmak için şirketle iletişime geçin. Parolayı yeniden kullandığınız her yerde değiştirin [7].
- Sosyal Güvenlik Numarası açığa çıktıysa (ABD). Şirket sunuyorsa ücretsiz kredi izlemeyi kabul edin, ücretsiz kredi raporlarınızı alıp tanımadığınız hesapları arayın ve kredi dondurma ya da dolandırıcılık uyarısını düşünün [8]. FTC'nin veri ihlali rehberi ücretsiz raporlar için annualcreditreport.com adresini gösteriyor, dondurmaya karar vermezseniz en azından dolandırıcılık uyarısını düşünmenizi söylüyor ve vergi beyannamesini erken vermenizi öneriyor [7].
- Resmî aracı kullanın. FTC'nin IdentityTheft.gov/databreach sayfası, açığa çıkan bilginin türüne göre adımlar sunuyor [7].
- Verileriniz kötüye kullanıldıysa. IdentityTheft.gov'a bildirin [8]; site kişiye özel bir kurtarma planı sunuyor [5].
Bu hizmetlere, ihlalle ilgili beklenmedik bir mesajdaki bağlantıları izlemek yerine adresi kendiniz yazarak ulaşın.
İhlalden sonra kredimi dondurmalı mıyım, yoksa dolandırıcılık uyarısı mı koydurmalıyım?
Bu bölüm ABD kurallarını anlatır. 21 Eylül 2018'den beri bir ABD federal yasası tüketicilerin kredi dondurmayı ücretsiz yaptırmasına izin veriyor ve daha önce ücret alan eyaletlerdeki ücretleri sona erdirdi [5]; FTC, dondurmanın konulmasının ve kaldırılmasının ücretsiz olduğunu söylüyor [9]. Başka ülkelerdeki okurlar kendi ülkelerinin kredi ve kimlik koruma kurallarına bakmalıdır; bu rehber onları kapsamaz.
Kredi dondurma nedir?
Kredi dondurma, siz kaldırana kadar sürer ve kredi puanınızı etkilemez [9]. Yürürlükteyken siz dahil kimse yeni kredi açamaz; kredi, iş, kiralama ya da sigorta başvurusu için geçici olarak kaldırabilirsiniz [9]. FTC, dondurmanın iş başvurusu yapma, kiralama ya da sigorta satın alma imkânınızı etkilemeyeceğini söylüyor [10] ve onu adınıza yeni hesap açılmasına karşı en iyi koruma yolu olarak niteliyor [10]. Ülke çapındaki üç büronun hepsinden (Equifax, Experian ve TransUnion) talep etmeniz gerekir. Çevrimiçi ya da telefonla talep ederseniz büro dondurmayı bir iş günü içinde uygulamak, kaldırmayı ise bir saat içinde yapmak zorundadır [5]. Ebeveynler 16 yaşın altındaki çocukların kredisini de ücretsiz dondurabilir [5].
Dolandırıcılık uyarısı nedir?
Dolandırıcılık uyarısı yalnızca bir büroya talep gerektirir; büro diğer ikisini bilgilendirir [5]. 2018 yasası uyarı süresini 90 günden bir yıla çıkardı [5]. Standart uyarı bir yıl sürer ve ücretsiz yenilenebilir; kimlik hırsızlığı mağdurları için genişletilmiş uyarı ise yedi yıl sürer [10][9]. Kredi raporunuza erişimi sınırlamaz [10].
Hangisini seçmeliyim?
FTC'nin veri ihlali rehberi, dondurmaya karar vermezseniz en azından dolandırıcılık uyarısını düşünmeniz gerektiğini söylüyor [7]. Öneri tek yöne işaret ediyor: dondurma daha fazla koruma sağlar, dolandırıcılık uyarısı ise daha hafif bir yedek seçenektir. Ülkenizde bir karşılığı yoksa parola ve MFA adımları yine geçerlidir.
E-postamın hacklendiğini mi yoksa yalnızca sızdığını mı nasıl anlarım?
Sızıntı ile hesap ele geçirme farklı olaylardır. Sızıntı, bir üçüncü tarafın veriyi savunmasız bir sistemde açığa çıkarması demektir [2]. Hesap ele geçirme ise birinin sizin adınıza giriş yapmasıdır. Bu rehberin yorumuna göre ihlal kontrol hizmeti birinci soruyu yanıtlar, ikinciyi değil; çünkü bir kayıt, başkasının girişini değil, açığa çıkmayı gösterir.
Sızıntı nasıl ele geçirmeye dönüşür?
Başlıca parolanın yeniden kullanılması yoluyla. Saldırganlar açığa çıkan e-posta ve parola çiftlerini mağdurların diğer hesaplarına erişmeyi denemek için kullanır [4]. Parolayı yeniden kullandıysanız kullandığınız her yerde değiştirin [7]. FTC, MFA'nın parola açığa çıksa bile hesabı koruyabileceğini söylüyor [3].
Artık giriş yapamıyorsam ne olacak?
Hesabı kurtarmak ya da kapatmak için şirketle iletişime geçin [7]. Ele geçirme belirtileri hizmetten hizmete değiştiği için bu rehber onları sıralamıyor; hizmetin kendi hesap etkinliği ve güvenlik sayfalarına bakın. Verileriniz kötüye kullanıldıysa IdentityTheft.gov'a bildirin [8]; site kişiye özel bir kurtarma planı sunuyor [5].
Bir ihlal olduğunda bedelini kim öder ve maliyet rakamları ne anlama gelir?
İhlal maliyeti manşetleri, olayların kuruluşlara neye mal olduğunu anlatır; size neye mal olduğunu değil.
IBM'in 2026 Veri İhlalinin Maliyeti Raporu, küresel ortalama ihlal maliyetini $4.99 milyon olarak veriyor. Rapor, Mart 2025 ile Şubat 2026 arasında 602 kuruluşta yaşanan ihlallere dayanıyor ve Ponemon Institute tarafından yürütülen, IBM'in desteklediği ve analiz ettiği bir çalışmadan geliyor [6]. Aynı duyuru, kötü niyetli ihlallerin dörtte birinin yapay zekâ destekli olduğunu söylüyor [6].
2025 baskısı, küresel ortalama maliyetin %9 düşerek $4.88 milyondan $4.44 milyona indiğini buldu [12]; bu, beş yıldaki ilk düşüştü [11][12]. ABD'de ortalama ihlal maliyeti ise rekor düzeyde $10.22 milyona ulaştı [11].
Bu rakamları nasıl okumalıyım?
Bunlar bireysel mağdurların değil, kuruluşların Ponemon Institute çalışmalarıdır [6]. Her baskının kendi örneklemi vardır; bu yüzden $4.44 milyondan $4.99 milyona geçişi kesin bir eğilim olarak değil, bağlam olarak değerlendirin. Rakamların hiçbiri sizin kişisel olarak beklemeniz gereken bir kayıp değildir. Bireyler için pratik yanıt, yukarıdaki bölümlerdeki adımlardır.
İhlal kontrol hizmetlerinin yararları ve sınırları nelerdir?
Yararları
- 3 Kasım 2026 itibarıyla listelenen 1,048 web sitesi genelinde adresinizin nerede açığa çıktığına dair ücretsiz, hızlı bir yanıt [1].
- Parolalar e-posta adreslerinden ayrı tutulur: hiçbiri onlarla birlikte yüklenmez ve hiçbiri kişisel olarak tanımlanabilir verinin yanında saklanmaz [2].
- Hassas ihlaller yalnızca adresin doğrulanmış sahibine gösterilir [2].
- Parola kontrolleri yalnızca SHA-1 özetinin ilk 5 karakterini gönderir [4].
Sakıncaları
- HIBP, aramasının ihlallerin çoğunu kapsadığını, hassas olanlar için oturum açma doğrulaması gerektiğini söylüyor [2].
- Bazı kayıtlar doğrulanmamış ya da uydurmadır; bu yüzden bir eşleşme belirli bir şirketin hacklendiğini kanıtlamaz [2].
- HIBP, aranan adresleri toplamadığından emin olamayacağınızı söylüyor, ancak toplamadığını belirtiyor [2].
- Bir parola için 'bulunamadı' sonucu, parolanın mutlaka iyi olduğu anlamına gelmez [4].
Kontrol hizmeti, hangi parolaları önce değiştireceğinize karar vermek için yararlıdır. Bu rehberin görüşüne göre benzersiz parolalar ve MFA gibi alışkanlıkların yerini tutamaz; FTC, MFA'yı açmanızı öneriyor ve bir parola yöneticisini düşünmenizi tavsiye ediyor [3].
Bundan sonra ne olacak ve nelerden hâlâ emin değiliz?
Başlıktaki sayaçlar canlıdır: 3 Kasım 2026'da gösterilen 1,048 web sitesindeki 17,846,896,404 adres, daha sonra göreceğiniz rakamla eşleşmeyecek [1]. Maliyet tarafında IBM'in ortalaması $4.88 milyondan [12] 2025 raporunda $4.44 milyona [11][12], ardından 2026'da $4.99 milyona çıktı [6]. 2026 çalışmasında kötü niyetli ihlallerin dörtte biri yapay zekâ destekliydi [6]. Bu rakamlar, yapay zekâ destekli saldırıların maliyetleri yükseltmeye devam edip etmeyeceğini belirlemiyor.
Bu rehberin size söyleyemedikleri
- Sızan kimlik bilgilerinin ne sıklıkla hesap ele geçirmeye yol açtığı. Burada kaynağı belli bir rakam verilmiyor.
- ABD dışındaki kurallar. Diğer ülkelerdeki ihlal bildirimi hakları ve kredi korumaları kapsanmıyor.
- İran'dan erişim. İhlal kontrol hizmetlerine, parola yöneticilerine ya da MFA uygulamalarına İran'dan erişilip ödeme yapılıp yapılamayacağına dair güvenilir bir kaynak bulunmadığından hiçbir iddia öne sürülmüyor. Oradaki okurlar yine de parola ve MFA adımlarını uygulayabilir; kredi bürosu adımları ise yalnızca ABD kredi dosyaları için geçerlidir.
HIBP'nin toplamları değiştiği için yeni bir ihlal haberinden sonra yeniden aratmak ucuz bir alışkanlıktır.
| Etiket | Anlamı | HIBP nasıl ele alıyor |
|---|---|---|
| Hassas | Herkese açık aramadan gizlenen ihlal; HIBP bunlardan 90 tane listeliyor [2] | Panoda oturum açıldıktan sonra yalnızca adresin doğrulanmış sahibi görebilir [2] |
| Doğrulanmamış | Veri gerçek, ancak kaynağı makul şüphenin ötesinde kanıtlanmamış [2] | Gerçek kişisel bilgi içerdiği için yine de dahil ediliyor [2] |
| Uydurma | Adı geçen siteden gelmesi olası değil, ancak gerçek e-posta adresleri içeriyor [2] | Gerçek kişisel bilgi içerdiği için yine de dahil ediliyor [2] |
| Emekli edilmiş | Ticketek ve VTech olmak üzere 2 ihlal, kalıcı olarak kaldırıldı [2] | Genellikle veri başka yerlerde takas edilmediğinde ya da yeniden dağıtılmadığında emekli ediliyor [2] |
| Özellik | Kredi dondurma | Dolandırıcılık uyarısı |
|---|---|---|
| Başvurulacak büro | Üçü de: Equifax, Experian ve TransUnion [5] | Diğer ikisini bilgilendiren tek bir büro [5] |
| Maliyet | Konulması ve kaldırılması ücretsiz [9]; 21 Eylül 2018'den beri federal yasa gereği konulması ücretsiz [5] | Standart uyarı ücretsiz yenilenebilir [10] |
| Süre | Siz kaldırana kadar [9][10] | Standart uyarı olarak bir yıl [5]; kimlik hırsızlığı mağdurları için genişletilmiş uyarı yedi yıl [10][9] |
| Kredi raporunuza erişim | Kısıtlı [5]; FTC dondurmayı adınıza yeni hesap açılmasına karşı en iyi koruma yolu olarak niteliyor [10] | Sınırlanmaz [10] |
| Rapor | Küresel ortalama maliyet | ABD ortalama maliyeti | Dayanak |
|---|---|---|---|
| IBM Cost of a Data Breach 2025 | $4.44 milyon [11][12], $4.88 milyondan %9 düşüş [12] | $10.22 milyon, rekor [11] | Kuruluşlara maliyet; beş yıldaki ilk küresel düşüş [11][12] |
| IBM Cost of a Data Breach 2026 | $4.99 milyon [6] | Burada kullanılan kaynaklarda belirtilmiyor | 602 kuruluş, Mart 2025 - Şubat 2026; Ponemon Institute çalışması [6] |
Sık yapılan hatalar
Temiz bir sonucu hiçbir şeyin sızmadığının kanıtı saymak
Doğrusu: Temiz sonucu tek bir veri noktası sayın. HIBP, parola sorgusunda 'no pwnage found' sonucunun parolanın iyi olduğu anlamına gelmediğini, yalnızca sitede dizinlenmediğini söylüyor [4]. Her durumda temel korumaları sürdürün: FTC, MFA'yı açmanızı ve benzersiz parolalar için bir parola yöneticisini düşünmenizi öneriyor [3]. HIBP, aramasının ihlallerin çoğunu kapsadığını, hassas olanlar için oturum açmak gerektiğini belirtiyor [2]; dolayısıyla hizmete hiç yüklenmemiş bir ihlal görünemez (bu rehberin çıkarımı).
Yalnızca ihlale uğrayan hesabın parolasını değiştirip yeniden kullanılan parolalara dokunmamak
Doğrusu: İhlal parolanızı kapsıyorsa, etkilenen hizmette ve benzer parola kullandığınız tüm hesaplarda parolayı değiştirin ve çok faktörlü kimlik doğrulamayı açın [3]. Saldırganlar açığa çıkan e-posta ve parola çiftlerini başka hesapları denemek için kullanır [4].
Bir kaydın hesabınızın hacklendiğini ya da adı geçen şirketin ihlal yaşadığını kanıtladığını varsaymak
Doğrusu: Kaydı 'verim açığa çıktı' diye okuyun; 'hesabım hacklendi' ya da 'bu şirket kesinlikle hacklendi' diye değil. HIBP, gerçek kişisel bilgi içerdikleri için doğrulanmamış ve uydurma ihlalleri de listeliyor ve uydurma verinin bile satılabileceğini ya da takas edilebileceğini belirtiyor [2].
Hassas kimlik verisi açığa çıktığında yalnızca parolalarla yetinmek
Doğrusu: Sosyal Güvenlik Numarası açığa çıktıysa ABD'deki okurlar ücretsiz kredi izlemeyi kabul edebilir, ücretsiz kredi raporlarını alabilir ve kredi dondurma ya da dolandırıcılık uyarısını düşünebilir [8]. FTC'nin veri ihlali rehberi ücretsiz raporlar için annualcreditreport.com adresini gösteriyor, dondurmaya karar vermezseniz en azından dolandırıcılık uyarısını düşünmenizi söylüyor ve vergi beyannamesini erken vermenizi öneriyor [7].
Dolandırıcılık uyarısı ile kredi dondurmayı birbirine karıştırmak
Doğrusu: Dondurma, üç büronun hepsine talep gerektirir ve raporunuza erişimi kısıtlar; dolandırıcılık uyarısı ise tek talep gerektirir [5]. Uyarı, kredi raporunuza erişimi sınırlamaz; FTC ise dondurmayı adınıza yeni hesap açılmasına karşı en iyi koruma yolu olarak niteliyor [10].
İhlal maliyeti manşetlerini ihlalin size kişisel olarak ne kadara mal olacağı sanmak
Doğrusu: IBM'in ortalamaları, bireylerin kayıplarını değil, Ponemon Institute tarafından yürütülen çalışmalarda kuruluşların maliyetlerini anlatır [6]. Bunları yalnızca bağlam olarak kullanın.
Sık sorulan sorular
E-postamın bir veri ihlalinde yer alıp almadığını nasıl kontrol ederim?
Adresi, aynı anda yalnızca tek bir e-posta adresi ya da kullanıcı adı için sonuç veren Have I Been Pwned'de aratın [2]. Hizmet, 3 Kasım 2026 itibarıyla ihlale uğramış 1,048 web sitesini listeliyor [1]. Hassas ihlaller ancak panoda oturum açıp o adreste e-posta alabildiğinizi doğruladığınızda görünür [2]. Temiz sonuç güvende olduğunuzun kanıtı değildir.
Have I Been Pwned güvenli mi?
HIBP, hiçbir parolanın kişisel olarak tanımlanabilir verinin yanında saklanmadığını ve her parolanın SHA-1 ile özetlendiğini söylüyor [2]. Kullanıcıların, aranan e-posta adreslerini toplamadığından emin olamayacağını kabul ediyor, toplamadığını belirtiyor ve niyetinden ya da güvenliğinden endişe duyanlara kullanmamalarını söylüyor [2]. Bu dengenin size uyup uymadığına karar verin; bu rehberdeki korumalar hiçbir kontrol hizmeti olmadan da işe yarar.
Pwned ne demek?
'Pwned', video oyunu kültüründe 'owned' sözcüğünün leetspeak bir çeşidi olarak ortaya çıktı ve birinin ele geçirildiğini ya da zarar gördüğünü ima eder [2]. HIBP'de bir kayıt, verinizin genellikle yetersiz erişim denetimleri ya da yazılım zayıflıkları yüzünden bir ihlalde açığa çıktığı anlamına gelir [2]. Bu rehberin yorumuna göre, hesaplarınıza birinin giriş yaptığını göstermez.
E-postam bir veri ihlalinde yer aldıysa ne yapmalıyım?
İhlal parolanızı kapsıyorsa, etkilenen şirkette ve benzer parola kullandığınız tüm hesaplarda parolayı değiştirin ve çok faktörlü kimlik doğrulamayı açın [3]. Bir parola yöneticisini düşünün [3]. Bir çevrimiçi hesap açığa çıktıysa ve giriş yapamıyorsanız hesabı kurtarmak ya da kapatmak için şirketle iletişime geçin [7]. Sonraki adımları açığa çıkan verinin türüne göre belirleyin.
Veri ihlali, hesabımın hacklendiği anlamına mı gelir?
Zorunlu değil. HIBP, ihlali savunmasız bir sistemde açığa çıkan veri olarak tanımlıyor [2]; bu rehberin yorumuna göre açığa çıkma tek başına başkasının girişi anlamına gelmez. Saldırganlar açığa çıkan e-posta ve parola çiftlerini, kimlik bilgisi doldurma denen teknikle başka hesapları denemek için kullanabilir [4]. Parolayı yeniden kullandıysanız her yerde değiştirin [7]. Kötüye kullanım görürseniz IdentityTheft.gov'a bildirin [8]; site kişiye özel bir kurtarma planı sunuyor [5].
Dolandırıcılık uyarısı ile kredi dondurma arasındaki fark nedir?
Dondurma, üç büronun hepsine (Equifax, Experian, TransUnion) talep gerektirir [5] ve siz kaldırana kadar sürer [9][10]. Dolandırıcılık uyarısı, diğer ikisini bilgilendiren tek bir talep gerektirir ve standart uyarı bir yıl sürer [5]; ücretsiz yenilenebilir [10]. FTC, dondurmayı adınıza yeni hesap açılmasına karşı en iyi koruma yolu olarak niteliyor ve uyarının raporunuza erişimi sınırlamadığını belirtiyor [10].
Parolalarım Have I Been Pwned'de saklanıyor mu?
Bir ihlaldeki e-posta adresleri HIBP'ye yüklenirken parolalar onlarla birlikte yüklenmez [2]. Ayrı Pwned Passwords hizmeti bir seferde tek parolayı kontrol eder; parolayı cihazınızda özetler ve SHA-1 özetinin yalnızca ilk 5 karakterini gönderir [4]. HIBP, hiçbir parolanın kişisel olarak tanımlanabilir verinin yanında saklanmadığını söylüyor [2].
Have I Been Pwned'de hassas ihlal nedir?
Hassas ihlal, HIBP'nin herkese açık aramadan gizlediği ihlaldir. Yalnızca e-posta adresinin doğrulanmış sahibi, panoda oturum açıp o adreste e-posta alabildiğini doğrulayarak onu görebilir [2]. HIBP, Ashley Madison ve Adult FriendFinder (2015 ve 2016) dahil 90 hassas ihlal listeliyor [2].
Sözlük
- Veri ihlali
- Verinin, genellikle yetersiz erişim denetimleri ya da yazılım zayıflıkları yüzünden, savunmasız bir sistemde istemeden açığa çıktığı olay.
- Pwned
- Video oyunu kültüründe 'owned' sözcüğünün leetspeak bir çeşidi olarak doğan ve HIBP'de verinizin bilinen bir ihlalde göründüğünü anlatan argo sözcük.
- Kimlik bilgisi doldurma (credential stuffing)
- Açığa çıkan e-posta ve parola çiftlerini, bir mağdurun diğer hesaplarına giriş yapmayı denemek için kullanma.
- Çok faktörlü kimlik doğrulama (MFA)
- Parolanın ötesinde bir şey daha isteyen ve parola açığa çıksa bile hesabı koruyabilen bir giriş yöntemi.
- SHA-1 özeti
- Bir parolanın sabit uzunlukta bir diziye tek yönlü dönüştürülmesi; HIBP parolaların okunabilir biçimde saklanmaması için bunu kullanır.
- k-anonimlik
- Bir hizmete parola özetinin yalnızca ilk 5 karakterinin gönderildiği, böylece tam parolanın cihazınızdan çıkmadığı teknik.
- Kredi dondurma
- Siz kaldırana kadar süren, adınıza yeni kredi açılmasını durdurmaya yardımcı olan, kredi raporunuza erişim kısıtlaması.
- Dolandırıcılık uyarısı
- Tek bir büro üzerinden konulan, standart uyarıda bir yıl süren ve kredi raporunuza erişimi sınırlamayan, kredi dosyanızdaki bildirim.
Kaynaklar
- Have I Been Pwned: Check if your email address has been exposed in a data breach Have I Been Pwned (Troy Hunt); live page, retrieved 2026-11-03
- Have I Been Pwned: Frequently Asked Questions Have I Been Pwned; live page, retrieved 2026-11-02
- Have you been affected by a data breach? Read on US Federal Trade Commission (Consumer Advice)
- Pwned Passwords Have I Been Pwned; live page, retrieved 2026-11-03
- Starting Today, New Federal Law Allows Consumers to Place Free Credit Freezes And Yearlong Fraud Alerts US Federal Trade Commission · 2018-09-21
- IBM Study: One in Four Malicious Breaches are AI-Enabled, Costing Companies $6 Million on Average IBM Newsroom (Cost of a Data Breach Report 2026, Ponemon Institute) · 2026-07-29
- Data Breaches: What to know, What to do US Federal Trade Commission
- What To Do After a Data Breach US Federal Trade Commission (Consumer Advice)
- Credit Freezes and Fraud Alerts US Federal Trade Commission (Consumer Advice)
- Is a credit freeze or fraud alert right for you? US Federal Trade Commission (Consumer Advice)
- Average global data breach cost now $4.44 million Help Net Security (reporting IBM Cost of a Data Breach Report 2025) · 2025-08-04
- 2025 Cost of a Data Breach Report: Navigating the AI rush without sidelining security IBM X-Force
