Passkey ve MFA Güvenliği: Teknik Kilit Güçlendikçe Saldırganlar İnsana Yöneliyor

Passkey, şifre yerine cihazınızda saklanan kriptografik anahtarlarla giriş yapmanızı sağlayan bir kimlik doğrulama yöntemidir. Kimlik avına karşı şifrelerden ve klasik MFA kodlarından çok daha dayanıklıdır. Ancak teknik kilit güçlendikçe saldırganlar insan katmanına yöneliyor: sahte destek aramaları, yeni cihaz ekletme kurguları ve kullanıcıyı gerçek giriş sayfasında kandıran yöntemler. Bu yazıda MFA'nın neden artık tek başına yeterli olmadığını ve passkey döneminde nelere dikkat edilmesi gerektiğini anlatıyoruz.

MFA neden artık tek başına yeterli değil?

MFA uzun süre en önemli güvenlik kontrollerinden biri olarak görüldü. Hâlâ temel bir kontrol, ama saldırganlar onu atlatmanın birkaç yolunu buldu:

• Oturum çalan sahte sayfalar: Bazı araçlar kullanıcıyı gerçek giriş sayfasının bir kopyasına yönlendirir, şifreyi ve MFA kodunu araya girerek yakalar ve oturumu ele geçirir.
• Zayıf yedek yöntemler: Hesapta SMS veya şifre gibi zayıf bir yedek giriş yöntemi varsa saldırganlar oraya yönelir. Buna MFA düşürme saldırısı denir.
• Kodu doğrudan istemek: Sahte destek aramalarında veya canlı sohbetlerde saldırgan kodu kullanıcıdan ister. Kodu kullanıcı kendisi verdiğinde MFA'nın hiçbir anlamı kalmaz.
• Daha az korunan uygulamalar: Herkes Microsoft ve Google hesaplarını korur. Ama ekibinizin her gün kullandığı diğer onlarca uygulama genellikle daha zayıf korunur.

Marsh McLennan'ın 2025 Cybersecurity Signals raporu da MFA'nın artık neredeyse her kurumda olduğu için tek başına fark yaratmadığını, fark yaratanın kimlik avına dirençli MFA olduğunu gösteriyor.

Passkey neyi çözüyor?

Microsoft, Mart 2026'da Windows'ta Entra passkey desteğini duyurdu ve Nisan 2026 sonunda genel kullanıma açtı. Böylece kullanıcılar Windows Hello ile şifresiz ve kimlik avına dirençli şekilde kurumsal uygulamalara giriş yapabiliyor. Passkey, kimlik bilgisi hırsızlığını ciddi ölçüde zorlaştırır. Çünkü:

• Paylaşılabilecek veya yazılabilecek bir şifre yoktur.
• Anahtar yalnızca doğru web sitesiyle çalışır, sahte bir sayfada işe yaramaz.
• Sunucuda çalınabilecek bir şifre veritabanı yoktur.

Passkey'e geçmek doğru bir adım. Ama kesin bir çözüm değil.

Passkey'in kendisi kırılmıyor, çevresi kırılıyor

Ağustos 2026'da bir hafta içinde yayımlanan üç ayrı araştırma ortak bir noktaya işaret ediyor: Passkey'in kendisi kırılmıyor, ama çevresindeki sistemler kırılabiliyor. Araştırmalarda Windows, Chrome ve bulut senkronizasyonundaki zayıflıklar kullanılarak kimlik doğrulama atlatılabildi.

Bu senaryolarda bir koşul var: Saldırganın cihaza zaten erişmiş olması gerekiyor. Yani cihaz güvenliği zayıfsa passkey de tek başına yeterli değil.

Passkey döneminde beklenen yeni saldırılar

Şifre ortadan kalktığında insanı kandırmak daha değerli hale gelir. Beklenen yeni saldırı yöntemleri:

• "Cihazınızı kaybettiniz, yardımcı olalım" kurgusu: Destek masası taklidiyle hesap kurtarma sürecinin istismar edilmesi.
• Yeni cihaza passkey ekletme: Doğru görünen bir akışla kullanıcının saldırganın cihazını yetkilendirmesi.
• Zayıf PIN ve cihaz kaybı: Basit bir cihaz PIN'i ile fiziksel cihazın kaybının bir araya gelmesi.

İlk vakalar: device-code phishing

Microsoft'un araştırmasına göre saldırganlar device-code phishing adı verilen bir yöntem kullanıyor:

1. Saldırgan kendi cihazında bir kimlik doğrulama isteği başlatıyor ve bir kod alıyor.
2. Kurbana bu kodu veriyor: "Passkey kaydınızı tamamlamak için bu kodu girin."
3. Kurban kodu Microsoft'un gerçek giriş sayfasına giriyor.
4. Kodu girdiği anda, fark etmeden saldırganın cihazını kendi hesabında yetkilendirmiş oluyor.

Bu yöntemde sahte bir sayfa yok. Kullanıcı gerçek sayfada, gerçek bir işlem yapıyor. Passkey henüz kullanıcılar için yeni bir kavram olduğu için "bu normal bir işlem" diye düşünmesi kolay.

Benzer şekilde, çalışanları kişisel telefonlarından arayıp "acil güvenlik güncellemesi için passkey kurulumu" bahanesiyle bilgilerini çalan gruplar da raporlandı.

Kurumlar ne yapmalı?

1. Passkey'e geçin, ama rehavete kapılmayın. Passkey güvenliği artırır, farkındalık ihtiyacını ortadan kaldırmaz.
2. Hesap kurtarma süreçlerini sıkılaştırın. Yardım masasının kimlik doğrulama adımları en zayıf halka olabilir.
3. Uç nokta güvenliğini güçlendirin. Passkey'in güvenliği, saklandığı cihazın güvenliğine bağlıdır.
4. Zayıf yedek giriş yöntemlerini kaldırın. SMS ve şifre gibi yedekler varsa saldırganlar oraya yönelir.
5. Çalışanlara yeni süreci anlatın. Passkey kurulumunun nasıl yapıldığını ve kimsenin telefonda kod istemeyeceğini öğretin.

Sık sorulan sorular

---
InfoLore, teknoloji değiştikçe ortaya çıkan yeni saldırı modellerini farkındalık programlarına ekler. Passkey geçişinizde kullanıcı tarafını birlikte planlamak için bize ulaşabilirsiniz.