Her şeyi sıfırlayabilecek hesapları koruyun
Dijital kimlik tek bir hesap değildir. Birincil e-postanızı, telefon numaranızı, cihaz kilidi açma kodunuzu, finansal hesaplarınızı, bulut depolamanızı, sağlık portallarınızı, vergi kayıtlarınızı ve hesap kurtarma yöntemlerinizi birbirine bağlayan zincirdir. Birincil e-posta adresini ele geçiren bir saldırgan, şifrelerini kırmadan diğer birçok hesabı sıfırlayabilir. Yapay zekâ, kimlik avını ve kimlik taklidini daha hızlı ve daha cilalı hale getirebilir, ama en faydalı savunmalar sıradan güvenlik kontrolleri olmaya devam ediyor: benzersiz kimlik bilgileri, kimlik avına dirençli giriş, güvenli kurtarma, güncellemeler ve pratik bir doğrulama alışkanlığı. CISA, güçlü şifreleri, çok faktörlü kimlik doğrulamayı, kimlik avı tanımayı ve yazılım güncellemelerini temel tüketici eylemleri olarak gruplandırıyor.
Bu, ABD haneleri için genel rehberliktir; kişiselleştirilmiş hukuki, finansal veya siber güvenlik tavsiyesi değildir. Takip, aile içi şiddet, hedefli taciz veya güvenliği ihlal edilmiş bir cihazla karşı karşıya kalan kişilerin, hesapları değiştirmeden önce nitelikli bir savunucu veya güvenlik profesyoneliyle bir güvenlik planına ihtiyacı olabilir, çünkü ani değişiklikler bir istismarcıyı uyarabilir.
Kurtarmayı kontrol eden hesaplarla başlayın: birincil e-posta, platform hesabı, mobil operatör, şifre yöneticisi ve finansal hesaplar. Ardından daha düşük değerli hizmetleri ele alın. Bu sıralama, zayıf bir kurtarmanın başka yerlerdeki daha güçlü korumayı geçersiz kılma şansını azaltır.
Bir şifre yöneticisi kullanın, sonra tekrarı ortadan kaldırın
Her hesap için farklı bir şifre oluşturmak ve saklamak üzere saygın bir şifre yöneticisi kullanın. Pratik amaç düzinelerce karmaşık dizeyi ezberlemek değildir; bir ihlalin diğer her hizmete karşı işe yaramaz olmasını sağlamaktır. Yöneticiyi uzun, benzersiz bir ana şifre ve mevcut en güçlü çok faktörlü seçenekle koruyun. Ana şifreyi kurtarma kodlarının yanında şifresiz bir notta bulundurmayın.
En yüksek sonuçlu hesapları önce değiştirin, ardından karşılaştıkça tekrarlanan şifreleri güncelleyin. Bir hizmet ihlal bildirirse, bir uyarı mesajı bağlantısı yerine bilinen uygulaması veya yazılan adresi üzerinden kimlik bilgisini değiştirin. Paylaşılan erişim için, bir şifreyi mesajlaşmak yerine ayrı hizmet girişlerini veya bir şifre yöneticisinin aile paylaşım özelliğini tercih edin.
Geri kazanım planlanmış olarak geçiş anahtarlarını veya güvenlik anahtarlarını tercih edin
Geçiş anahtarları ve FIDO/WebAuthn güvenlik anahtarları, kimlik bilgisinin meşru siteye bağlanacağı şekilde tasarlanmıştır. Doğru yapılandırılmış geçiş anahtarları kimlik avına dirençlidir çünkü sahte bir alan adı gerçek olan için yeniden kullanılabilir bir sırrı yakalayamaz; NIST bu doğrulayıcı adı bağlamasını açıklıyor ve senkronize geçiş anahtarlarının ödünleşimlerini de anlatıyor. Bu, sunulduğunda e-posta, şifre yöneticileri, bulut hesapları ve finansal hizmetler için güçlü bir seçim yapar.
“Geçiş anahtarı” her zaman ayrı bir donanım anahtarı anlamına gelmez. Bir geçiş anahtarı bir cihazda tutulabilir, bir platform hesabı üzerinden senkronize edilebilir veya fiziksel bir güvenlik anahtarında saklanabilir. Senkronize geçiş anahtarları cihazlar arasında kullanılabilirliği ve kurtarmayı iyileştirir, ama platform hesabı ve kurtarma süreci o zaman güvenlik sınırının bir parçası haline gelir. Bir donanım anahtarı bu senkronizasyon hesabına bağımlılığı azaltabilir, ama tek bir anahtar kaybolabilir veya zarar görebilir. Yüksek değerli bir hesap için, hizmet izin veriyorsa en az iki kimlik doğrulayıcı kaydedin: birini elde bulundurun ve bir yedeği güvenli, ayrı bir yerde saklayın.
Yeni yöntemi ayrı bir oturumda test edip kurtarmayı gözden geçirene kadar mevcut bir giriş yöntemini silmeyin. Tek kullanımlık kurtarma kodlarını çevrimdışı, kilitli bir yerde saklayın. Yeni bir kimlik doğrulayıcı eklemenin bir uyarı oluşturup oluşturmadığını, eski oturumların iptal edilip edilemeyeceğini ve hangi telefon numaralarının veya e-posta adreslerinin hesabı sıfırlayabileceğini kontrol edin. NIST’in güncel kimlik doğrulayıcı rehberliği, kurtarmayı kendi yaşam döngüsü olayı olarak ele alıyor, sonradan akla gelen bir şey değil.
Geçiş anahtarları mevcut değilse, hizmetin desteklediği en güçlü ÇFA’yı kullanın. Bir kimlik doğrulayıcı uygulaması veya donanım belirteci genellikle SMS’in bazı zayıflıklarından kaçınır. SMS genellikle yalnızca bir şifreden daha iyidir, ama kimlik avına dirençli değildir ve telefon hesabının güvenliğine bağlıdır. Bir operatör hesap PIN’i ekleyin, mevcut herhangi bir numara taşıma veya SIM değiştirme kilidini etkinleştirin ve istenmeyen bir arayana asla tek kullanımlık bir kod okumayın. Gerçek bir destek temsilcisinin bir girişi yetkilendiren kodu bilmesine gerek yoktur.
Kurtarmayı ve cihazları güçlendirin
Hesap kurtarma ayarlarını yılda iki kez ve bir telefon numarası, e-posta, ilişki veya hane değişikliğinden sonra gözden geçirin. Eski iş adreslerini, eski numaraları, bilinmeyen cihazları, eskimiş uygulama şifrelerini ve artık kurtarma erişimine sahip olmaması gereken kişileri kaldırın. Yalnızca bu kişi sorumluluğu anlıyorsa ve kendi hesabını koruyabiliyorsa bir kurtarma kişisi kullanın.
Telefonlar, bilgisayarlar, tarayıcılar, şifre yöneticileri ve güvenlik yazılımı için otomatik güncellemeleri açın. Doğum günü veya tekrarlanan bir rakam olmayan bir cihaz şifresi kullanın, mümkünse tam cihaz şifrelemesini etkinleştirin ve cihazı hızlı kilitlenecek şekilde yapılandırın. Giriş kodlarını veya özel bilgileri ifşa ediyorsa kilit ekranında mesaj önizlemelerini gizleyin. Önemli verileri test edilmiş bir yöntemle yedekleyin, ama bir bulut yedeğinin kendi bulut hesabı üzerinden erişilebilir olduğunu unutmayın; bu hesabı buna göre güvenceye alın. Bu hesapların arkasındaki yönlendirici yapılandırması, ağ segmentasyonu ve bağlı cihaz güçlendirmesi için bkz. Ev Ağı ve Cihaz Güvenliği.
Görünmezliği kovalamadan kimlik maruziyetini azaltın
Özel sosyal medya ayarları rastgele maruziyeti azaltır ama bir gönderiyi sonsuza kadar özel yapmaz. Herkese açık olması gerekmediğinde herkese açık doğum tarihlerini, ev adreslerini, rutin konumları, okulları, seyahat tarihlerini, akrabaların isimlerini ve telefon numaralarını kaldırın. Çocukları etiketlemeden veya net ses ve yüz kayıtları yayınlamadan önce akrabalara sorun. Amaç, klonlamayı imkansız hale getirmeyi vaat etmek değil, ikna edici bir bahaneyi bir araya getirmeyi zorlaştırmaktır.
Kişi arama siteleri, kamu kayıtlarından, sosyal medyadan ve diğer aracılardan veri derler. FTC bir sitenin katılımdan çıkma sürecinin nasıl bulunacağını açıklıyor, ama katılımdan çıkma işlemleri eksiktir ve tekrarlanması gerekebilir. Kaldırma talepleri için özel bir e-posta adresi kullanın, yalnızca gerçekten gerekli doğrulama verisini sağlayın ve tamamlanan taleplerin tarihli bir listesini tutun. Kimlik belgelerini rastgele tanımadığınız bir “kaldırma” hizmetine yüklemeyin.
Uygun olduğunda krediyi dondurun
Bir kredi dondurma, bir kredi dosyasına erişimi sınırlar ve o kişinin adına yeni kredi açmayı zorlaştırabilir. Mevcut bir hesabın ele geçirilmesini, bir banka bakiyesinin kötüye kullanılmasını, vergi dolandırıcılığını, tıbbi kimlik hırsızlığını veya her türlü kimlik dolandırıcılığını durdurmaz. Amerika Birleşik Devletleri’nde, dondurmalar ücretsizdir, her ulusal kredi bürosuna ayrı ayrı yerleştirilmelidir ve meşru kredi gerektiğinde kaldırılabilir. Büro hesaplarını ve dondurma yönetimi kimlik bilgilerini koruyun.
Ebeveynler ve vasiler bir küçük için dondurma talep edebilir. Bir çocuğun genellikle henüz bir kredi dosyası olmamalıdır; IdentityTheft.gov bir çocuğun dosyasını kontrol etme ve dondurma için büroya özgü süreci sağlıyor. Ortaya çıkan kayıtları güvenli bir şekilde saklayın çünkü kimlik bilgisi içeriyorlar.
Kredi izleme, bir dosya değiştikten sonra sizi uyarabilir; değişikliği önlemez. Banka ve kart uyarılarını da gözden geçirin ve kredi raporlarını bir reklam yoluyla ulaşılan benzer bir site yerine federal olarak yetkilendirilmiş kaynak olan AnnualCreditReport.com aracılığıyla edinin.
Haneye bir işlem kuralı verin
Teknoloji, gerçek görünen bir talebin meşru olup olmadığını belirleyemez. Para, kimlik bilgisi, kurtarma kodu, uzaktan bilgisayar erişimi veya gizlilik için beklenmeyen bir talebin aynı konuşmada işleme konmadığı bir kural oluşturun. Temas kesin ve zaten gerçek olduğu bilinen bir numara, uygulama veya yüz yüze yol üzerinden doğrulayın. Bir aile doğrulama ifadesi yardımcı olabilir, ama çevrimiçi görünen bir gerçeği kullanmayın ve ifadeyi para transferi için yetki olarak ele almayın. Bir geri arama ve ikinci bir kişinin incelemesi daha güçlü onay sağlar.
Protokolü bir hesapta yetkili herkese öğretin. Büyük transferler için, bankaya uyarılar, limitler veya ikinci onay hakkında sorun.
Kimlik hırsızlığı veya ele geçirme meydana gelirse
Güvenilir olduğunu düşündüğünüz bir cihazdan hareket edin. Etkilenen kurumla bir ekstre, kart veya resmi web sitesi üzerinden iletişime geçin; ifşa edilen kimlik bilgilerini değiştirin; bilinmeyen oturumları iptal edin; ve mesajları, işlem ayrıntılarını ve zaman damgalarını koruyun. Kimlik bilgisi kötüye kullanıldıysa, IdentityTheft.gov özel bir kurtarma planı ve FTC Kimlik Hırsızlığı Raporu oluşturur. Uygun olduğunda siber destekli suçu FBI’ın İnternet Suç Şikayet Merkezi’ne bildirin, ama FBI sahte IC3 siteleri konusunda uyardığı için adresi doğrudan yazın.
Çalınan parayı bir peşin ücret karşılığında geri getireceğini vaat eden bir “kurtarma temsilcisine” ödeme yapmayın. Kurtarma, ödeme yöntemine ve bildirim hızına bağlıdır. Bankayı, kart veren kuruluşu, transfer hizmetini veya hediye kartı verenini hemen arayın ve işlemi durdurup durduramayacağını veya tersine çeviremeyeceğini sorun; FTC her ödeme türü için doğru ilk temas noktasını listeler.
Uygulanabilir bir ilk hafta sonu
- Birincil e-postayı ve şifre yöneticisini benzersiz kimlik bilgileri ve kimlik avına dirençli ÇFA ile güvenceye alın.
- Bir yedek kimlik doğrulayıcı kaydedin ve test edin; kurtarma kodlarını yazdırın veya güvenli bir şekilde kaydedin.
- Mobil operatör hesabını kilitleyin ve hesap kurtarma adreslerini, numaralarını, oturumlarını ve cihazlarını gözden geçirin.
- Desteklenen her hane cihazında otomatik güncellemeleri ve cihaz şifrelemesini etkinleştirin.
- Sık yeni kredi erişimine ihtiyaç duymayan hane üyeleri için krediyi dondurun.
- Olağandışı para veya kimlik bilgisi taleplerinin her zaman bağımsız bir geri arama ve ikinci bir bakış gerektirdiğini kabul edin.
Hiçbir kontrol listesi kimlik hırsızlığını imkansız hale getirmez. Gerçekçi sonuç, ortak giriş noktalarını ortadan kaldırmak, ele geçirmeyi sınırlamak ve kurtarmayı hızlandırmaktır.