Bearer mantığı: PIN = para
Bir okurum geçen ay yazdı: “WhatsApp Web’de PIN’i kopyaladım, eşim de aynı bilgisayarı kullanıyor, sorun olur mu?” Cevap vermek için fazla düşünmedim — “PIN sızdırılmış kabul edin, hemen kullanın.” Sıradan bir parolayla değil, taşıyıcı belge mantığıyla çalışan bir ürünle uğraşıyoruz çünkü.
Paykwik PIN’i, finansal terminolojiyle “bearer instrument” — yani taşıyana ait. Kim önce kullanırsa, o kişi parayı harcamış sayılır. Banka kartı ihtilafa girdiğinde 3D Secure, çağrı merkezi, “kart benim değildi” tutanağı gibi katmanlar var. Paykwik’te bu katmanların hiçbiri yok. PIN sızdırıldıktan sonra “ben kullanmadım” itirazınızın hiçbir mekanik karşılığı yok.
Bu yüzden PIN güvenliği konusu, parola güvenliğinden çok daha sıkı bir disiplin gerektirir. Parolanızı çaldıran bir saldırgan banka aramalarına yakalanır, transferi durdurabilirsiniz. PIN’inizi kopyalayan bir saldırgan 30 saniyede onu kullanır ve geri dönüş kapısı kapanır.
Sızdırma yolları: 5 senaryo
Sahada gördüğüm tipik 5 sızdırma kanalı var. Hepsi de teknik kırılmadan değil, kullanıcı davranışından kaynaklanıyor.
Birincisi: ekran görüntüsü ve cloud yedek. PIN’i e-postanız geldiğinde ekran görüntüsü alıyorsunuz, görüntü otomatik olarak Google Photos veya iCloud’a yedekleniyor. Aynı hesaba başka bir cihazdan giren biri — sızdırılmış parola olabilir, ortak hesap üyesi olabilir — PIN’inize ulaşıyor. Türkiye’de 16-74 yaş grubunda internet kullanım oranı yüzde 90,9; bunun pratik anlamı, neredeyse herkesin bulut yedekleme aktif kullandığı.
İkincisi: mesajlaşma uygulamasında paylaşım. WhatsApp, Telegram, Signal — fark etmez. Mesaj kanalında PIN paylaştığınız anda kayıt mevcut. Telefonunuz kaybolursa, hesabınız ele geçirilirse, hatta basit bir backup’tan kişi geri yüklenirse PIN bulunabilir. Bir tanıdığa “abi bunu denesene” diye gönderdiğiniz PIN, o kişinin telefonu hacklenirse sizin değil onun mağduriyet kaynağı olur.
Üçüncüsü: kopyala-yapıştır panosu. Paylaşılan veya halka açık bilgisayarlarda — internet kafelerde, üniversite laboratuvarlarında, otel iş merkezlerinde — clipboard izleme programları yaygın. PIN’i kopyaladığınız anda yazılım onu kaydeder. Mobilde de durum farksız değil; bazı klavye uygulamaları girdiğiniz her tuşu kaydedip uzaktaki sunucuya iletiyor.
Dördüncüsü: ortadaki adam — yani sahte web sitesi. “Paykwik bakiye sorgulama” diye Google’da arattığınızda ilk sıradaki “resmi” görünümlü site aslında sizin PIN’inizi toplamak için kurulmuş bir tuzak olabilir. Doğrulama sayfası diye PIN girdiniz; siteye yansıyan “sistem yoğun, tekrar deneyin” mesajının arkasında sizin PIN’iniz başka bir cihazdan kullanılıyor.
Beşincisi: zayıf parolalı e-posta. Reseller PIN’i e-postaya gönderir; e-posta hesabınızın parolası eski ve birden fazla yerde kullanılmış. Saldırgan başka bir ihlalden parolayı çalıyor, e-postanıza giriyor, PIN’i alıyor, kullanıyor. Sızdırma sizin “Paykwik” davranışınızdan değil, e-posta hijyeninizden geliyor.
Altıncı kalıbı eklemek istiyorum çünkü son aylarda artış gösteriyor: aile içi paylaşımlı cihazlar. Tablet evde herkesin kullandığı, dizüstü bilgisayar ortak kullanılan — bu cihazlardan yapılan PIN işlemlerinde tarayıcı geçmişi, otomatik form doldurma ve “şifreyi hatırla” özelliği iz bırakıyor. Saldırgan harici biri olmak zorunda değil; aynı evdeki başka biri farkında olmadan tarayıcı geçmişinden PIN’e ulaşabilir. Çocukların bahis ekosistemine katılım yaşının 15’e kadar düştüğü Yeşilay 2025 raporundan da anlaşılıyor — aile içi cihaz hijyeni artık opsiyonel değil, zorunlu bir tedbir.
Tarayıcıdaki yapıştırma ve mesajlaşma
Üzerinde özel durmam gereken iki sızdırma alanı var. Birincisi, tarayıcı uzantıları. Reklam engelleyici, alışveriş indirim asistanı, dil çevirici — her bir uzantı sayfa içeriğine erişme izni alır. Düşük itibarlı bir uzantı, sayfaya yapıştırdığınız PIN’i de okuyabilir.
İkincisi, mesajlaşma. WhatsApp Web’de PIN’i bir tarayıcı sekmesinden yapıştırıyorsanız, yapıştırma anında pano içeriği uzantılar tarafından da okunabiliyor. Aynı şekilde, dosya transferi için kullanılan “self-message” özelliği — kendi numaranıza PIN’i göndermek — telefon kaybedildiğinde tüm kayıtlı PIN’leri tek bir konumda buluştan başka bir şey değil.
Ekran görüntüsü ve cloud yedek
Ekran görüntüsü konusunu ayrı ele alacak kadar kritik buluyorum. Çünkü bu sızdırma yolu en yaygın ve en görünmez olanı.
Modern telefonlar varsayılan olarak ekran görüntülerini yedekler. iPhone otomatik iCloud Photos’a, Android otomatik Google Photos’a. Yedekleme aktifken çekilen her ekran görüntüsü sunucuda kopya bırakır. PIN’in fotoğrafını çektiğinizde, o görüntü yıllar boyunca bulutta yaşar.
Bir gün hesabınız ele geçirildiğinde, saldırgan tüm yedeklenmiş görüntülere de erişir. Eski PIN’ler artık değersiz olabilir ama “PIN ekran görüntüsü çeken bir kişi” örüntüsü, davranış kalıbınızı saldırgana açıklar — bir sonraki PIN’inizi nerede saklayacağınızı tahmin edebilir.
Çözüm basit ama disiplin gerektirir: PIN için ekran görüntüsü almayın. Kâğıt-kalem yöntemi geri dönüyor; en güvenli yol, PIN’i kullanmadan hemen önce el ile yazıp, kullandıktan sonra kâğıdı imha etmek.
Karşı önlemler: pratik liste
Bir PIN aldığınızda atılacak adımlar sırasıyla şöyle olmalı.
İlk adım: aldığınız e-postayı veya mesajı, başka bir kanala kopyalamadan, doğrudan kullanın. Reseller’dan PIN’i alıp 5 dakika içinde harcadığınızda saldırgan için açık pencere minimum kalır.
İkinci adım: kullanım sonrası mesajı, e-postayı, sohbet kaydını silin. WhatsApp’ta “kendinden silme” özelliği bunun için var. E-posta için kalıcı silme — sadece “trash”e atmak yetmez, çöpten de boşaltın.
Üçüncü adım: PIN giriş yaptığınız tarayıcı oturumunu kapatın. Çerez ve önbellekte iz kalmasın. Tarayıcının “sayfayı önyükle” gibi özelliklerinin PIN’i hatırlamasını sıkı engelleyin.
Dördüncü adım: kısmi kullanım yaptıysanız, kalan bakiye için PIN’i güvenli bir yerde — ideal olarak şifrelenmiş bir not yöneticisinde — saklayın. Asla notepad’e ya da telefon notlarına bırakmayın. 2024 ve 2025’te BTK tarafından yapılan 84.585 site engellemesi, sızdırma kanallarının çevresel ekosisteminin ne kadar dinamik olduğunu gösteriyor; sızıntı sadece sizin cihazınızdan değil, çevredeki ekosistemin değişimlerinden de gelebilir.
Beşinci adım: cihaz ve hesap hijyeni. PIN kullandığınız cihazın işletim sistemi güncel mi? Antivirus aktif mi? E-posta ve önemli hesaplarınızda iki faktörlü doğrulama açık mı? Bu kontroller PIN’in kendisini değil ama PIN’e ulaşma yollarını koruyor — yani sızdırma “etrafından” gelen tehditleri engelliyor. Aynı şekilde, paylaşılan internet bağlantıları üzerinden — özellikle halka açık WiFi’da — PIN işlemi yapmaktan kaçının. Açık ağda ortadaki adam saldırıları teorik değil, hâlâ pratikte uygulanıyor.
Sızdırma sonrası: ne yapılır, ne yapılamaz?
PIN sızdırıldığını fark ettiniz. Şimdi ne yapacaksınız?
Yapılabilir: kullanılmamış olduğunu hızlıca doğrulamak. Bakiye sorgulamadan PIN’in henüz tüketilip tüketilmediğini görebilirsiniz. Kullanılmamışsa hemen kendinize bir işlemde harcayın — saldırganı yarış halinde geçmiş olursunuz.
Yapılabilir: Paysafe’in resmi destek kanalına bilgi vermek. Bu, sızdırılan kodun “kullanıldı” şeklinde işaretlenmesini değil ama benzer örüntülerin Paysafe sistemleri tarafından izlenmesini sağlayabilir.
Yapılamaz: bankaya iade çağrısı yapmak. Banka taraflı bir kart işlemi olmadığı için “ters çevirme” mekanizması yok. Yapılamaz: PIN’i “iptal” etmek. Bu özellik Paykwik’te tanım itibarıyla yok.
Yapılamaz: Cumhuriyet Başsavcılığı’na gerçekçi bir geri alma beklentisiyle başvurmak. Yasal süreç başlatılabilir ama yurt dışında işlem yapan bir saldırgandan paranın geri alınması istisnai bir senaryo. Daha çok ileride benzer mağduriyetler için delil oluşturma fonksiyonu görür. Bu kapsamda Paykwik dolandırıcılığı şikayet kanalları üzerine yazdığım pratik notlar yararlı olabilir.
