Veri Sızıntısı Nedir? E-postanız Sızdırıldıysa Ne Yapmalı?

“E-posta adresiniz bir veri sızıntısında görüldü” uyarısı, insanın zihninde hemen en kötü senaryoyu canlandırıyor: Biri hesabıma mı girdi, bütün parolalarımı mı biliyor, kart bilgilerim mi çalındı? Çoğu zaman bu soruların tek bir cevabı yok. Çünkü risk, e-posta adresinizin listede bulunmasından çok hangi verilerin, ne zaman ve nasıl açığa çıktığına bağlı.

Kısa cevap: E-posta adresinizin sızması, e-posta hesabınızın mutlaka ele geçirildiği anlamına gelmez. Ancak aynı olayda parola, telefon, adres, kimlik veya ödeme bilgileri de yer alıyorsa hızlı ve doğru sırayla hareket etmek gerekir.

Ben veri sızıntısını yalnızca “şifrem çalındı” meselesi olarak görmüyorum. Asıl sorun, birbirinden önemsiz görünen küçük veri parçalarının bir araya gelerek saldırgana sizin adınıza güvenilir bir hikâye kurma fırsatı vermesidir. Bu rehberde paniğe kapılmadan önce neyi kontrol etmeniz, ardından hangi hesabı hangi sırayla korumanız gerektiğini anlatacağım.

Veri sızıntısı nedir?

Günlük dilde veri sızıntısı; kişisel, gizli veya korunan bilgilerin yetkisiz kişilerin erişimine açılması ya da paylaşılmasıdır. Bunun nedeni bir saldırı olabileceği gibi yanlış yapılandırılmış bir bulut depolama alanı, hatalı gönderilen bir dosya, kayıp cihaz veya içeriden yapılan izinsiz bir işlem de olabilir.

Avrupa Veri Koruma Kurulu, kişisel veri ihlalini; kişisel verilerin kazara veya hukuka aykırı biçimde yok edilmesine, kaybına, değiştirilmesine, yetkisiz açıklanmasına ya da erişilmesine yol açan güvenlik ihlali olarak tanımlar. Yani konu yalnızca verinin internette yayımlanması değildir; verinin bütünlüğü ve erişilebilirliği de ihlalin parçası olabilir.

Olay, ihlal ve sızıntı aynı şey mi?

Bu kelimeler haberlerde birbirinin yerine kullanılsa da pratikte küçük bir ayrım işe yarar:

• Güvenlik olayı: Şüpheli veya zararlı bir durumdur; veri gerçekten açığa çıkmamış olabilir.
• Veri ihlali: Verinin gizliliği, bütünlüğü veya erişilebilirliği etkilenmiştir.
• Veri sızıntısı: Genellikle verinin dışarı açılması veya ifşa edilmesi yönünü anlatır; kasıtlı da kazara da olabilir.

Bu ayrım neden önemli? Çünkü “olay yaşandı” açıklaması ile “e-posta ve parolalar dışarı sızdı” açıklaması aynı riski taşımaz.

“E-postam veri sızıntısında görüldü” ne demek?

En temel anlamıyla, e-posta adresiniz geçmişte bir hizmetin kayıtlarında yer almış ve o kayıtlar yetkisiz biçimde açığa çıkmış olabilir. Bu tek başına gelen kutunuzun okunduğunu, parolanızın bilindiğini veya kimliğinizin kullanıldığını kanıtlamaz.

Önce şu beş sorunun cevabını bulun:

1. Uyarının kaynağı güvenilir mi?
2. İhlal hangi hizmette ve hangi tarihte yaşandı?
3. Yalnızca e-posta mı, yoksa parola ve başka kişisel veriler de mi açığa çıktı?
4. O hizmette kullandığınız parolayı başka hesaplarda da kullandınız mı?
5. Hesaplarınızda tanımadığınız oturum, parola sıfırlama mesajı veya işlem var mı?

İhlalin eski olması da onu otomatik olarak önemsiz yapmaz. Eski bir parola bugün hâlâ başka bir hesabınızda kullanılıyorsa saldırganlar bu bilgiyi “credential stuffing” adı verilen otomatik hesap denemelerinde kullanabilir.

İlk 30 dakikada yapmanız gerekenler

1. Uyarıdaki bağlantıya hemen tıklamayın

Sızıntı haberleri yeni oltalama kampanyaları için iyi bir bahanedir. “Hesabınızı şimdi doğrulayın” mesajındaki bağlantı yerine ilgili hizmetin adresini tarayıcıya kendiniz yazın veya kayıtlı uygulamasını açın. Şirketin resmi açıklamasında olay tarihi ile etkilenen veri türlerini doğrulayın.

2. Önce e-posta hesabınızı güvenceye alın

E-posta hesabı, diğer hesapların parola sıfırlama anahtarıdır. E-posta parolanız sızmışsa, aynı parolayı başka yerde kullandıysanız veya şüpheli bir oturum görüyorsanız önce onu değiştirin. Uzun, benzersiz ve parola yöneticisiyle üretilmiş bir parola seçin.

NIST SP 800-63B-4, tek faktör olarak kullanılan parolalarda hizmetlerin en az 15 karakter istemesini ve parola yöneticilerine izin vermesini öngörüyor. Tüketici açısından çıkarılacak sade sonuç şu: Hatırlanabilir tek bir parolayı çoğaltmak yerine her hesapta farklı, uzun bir parola kullanın.

3. Aynı veya benzer parolayı kullandığınız hesapları değiştirin

Yalnızca ihlal yaşanan sitedeki parolayı değiştirmek yetmez. Aynı parolanın birebir veya küçük değişikliklerle kullanıldığı hesapları da güncelleyin. Öncelik sırası e-posta, banka ve ödeme hesapları, sosyal medya, bulut depolama ve alışveriş hesapları olmalı.

4. Çok faktörlü doğrulamayı veya geçiş anahtarını açın

Hizmet destekliyorsa geçiş anahtarı (passkey), fiziksel güvenlik anahtarı veya doğrulayıcı uygulama kullanın. SMS doğrulaması hiç yoktan iyidir; ancak telefon numaranız da sızdıysa SIM değişimi dolandırıcılığına karşı operatör hesabınızı ayrıca koruyun. Kurtarma kodlarını çevrimdışı ve güvenli bir yerde saklayın.

5. Açık oturumları ve bağlı uygulamaları temizleyin

Parola değişikliği her hizmette mevcut oturumları otomatik kapatmaz. “Tüm cihazlardan çıkış yap” seçeneğini kullanın; tanımadığınız cihazları, üçüncü taraf uygulamaları ve erişim anahtarlarını kaldırın. E-posta hesabında yönlendirme kuralları, kurtarma adresi ve telefon numarası özellikle kontrol edilmeli.

6. Sızan veri finansal veya resmî kimlik verisiyse kapsamı büyütün

Kart veya banka bilgisi açığa çıktıysa mesajdaki numarayı değil, kartın arkasındaki ya da bankanın resmi sitesindeki numarayı arayın. Kart yenileme, işlem bildirimi ve geçici kısıtlama seçeneklerini sorun. Kimlik belgesi, vergi numarası veya benzeri resmî bilgiler söz konusuysa ülkenizdeki ilgili kurumların kimlik hırsızlığı ve dolandırıcılık adımlarını izleyin; şüpheli işlemleri belgelendirin.

7. Sonraki haftalarda hedefli dolandırıcılığa hazır olun

Saldırgan e-posta adresinizi, telefonunuzu ve alışveriş geçmişinizi biliyorsa mesajını inandırıcı hâle getirebilir. Aciliyet yaratan ödeme talepleri, sahte kargo bildirimleri, sözde destek aramaları ve yeni parola sıfırlama mesajları için daha temkinli olun. Gönderen adı yerine alan adını ve işlemi ilgili uygulamanın içinden kontrol edin.

Sızan veriye göre risk seviyesi

Yalnızca e-posta adresi

Başlıca risk: Spam, oltalama ve profil eşleştirme. E-posta hesabını silmek gerekmez. Benzersiz parola ve çok faktörlü doğrulamayı kontrol edin; beklenmedik mesajlara karşı dikkatli olun.

E-posta ve parola

Başlıca risk: Hesap ele geçirme ve başka sitelerde otomatik parola denemeleri. Parola karma (hash) olarak görünse bile gücü kullanılan algoritmaya ve sizin parola seçiminize bağlıdır; güvenli yaklaşım parolayı değiştirmektir.

Telefon, adres veya doğum tarihi

Başlıca risk: Hedefli sosyal mühendislik, sahte destek aramaları ve hesap kurtarma süreçlerinin kötüye kullanılması. Operatör hesabınıza ek PIN koyun, kamuya açık profil bilgilerinizi azaltın.

Kart, banka veya kimlik bilgileri

Başlıca risk: Yetkisiz işlem ve kimlik hırsızlığı. Banka veya ilgili kurumla doğrudan iletişime geçin, hareketleri yakından izleyin ve kanıtları saklayın.

En sık yapılan beş hata

• Panikle bildirim bağlantısına tıklamak: Uyarının kendisi sahte olabilir.
• Tek bir hesabın parolasını değiştirmek: Parola tekrar kullanıldıysa risk diğer hesaplarda sürer.
• Bütün parolalara küçük ekler yapmak: “Parola1” yerine “Parola2” kullanmak benzersiz parola değildir.
• E-posta adresini hemen kapatmak: Önce hesabı güvenceye almak, kurtarma seçeneklerini ve önemli hesap bağlantılarını taşımak gerekir.
• “Karanlık web” ifadesine takılmak: Sızan veri açık forumlarda, mesajlaşma kanallarında veya özel listelerde de dolaşabilir. Önemli olan etiket değil, verinin içeriğidir.

Sızdırılan veriler internetten tamamen silinebilir mi?

Kaynak sistemdeki açık kapatılabilir, yanlış yayımlanan dosya kaldırılabilir ve arama motorlarından bazı sonuçların çıkarılması istenebilir. Fakat veri bir kez kopyalandıysa bütün kopyaların geri alınacağını garanti etmek gerçekçi değildir. Bu nedenle müdahalenin amacı yalnızca veriyi bulup silmek değil, artık değiştirilebilen bilgileri değiştirmek ve değiştirilemeyen bilgilerin kötüye kullanımını izlemektir.

Parola değiştirilebilir; e-posta adresi gerektiğinde taşınabilir. Doğum tarihi veya kimlik numarası değiştirilemediği için bu tür veriler açığa çıktığında uzun süreli dikkat gerekir.

Veri sızıntısını nasıl kontrol edebilirsiniz?

Önce e-posta adresinizin bilinen ihlallerde yer alıp almadığını LeakData üzerinden sorgulayabilirsiniz. Bir eşleşme görürseniz yalnızca “bulundu” sonucuna değil, ihlalin tarihine ve açığa çıkan veri türlerine bakın. Kullandığınız parolanın riskini ayrıca parola güvenliği sayfasında değerlendirebilir, sürekli izleme yaklaşımının nasıl çalıştığını buradan inceleyebilirsiniz.

Güvenmediğiniz sitelere gerçek parolanızı yazmayın. Bir kontrol aracı size riski açıklayabilmeli; parolanızı veya gereksiz kişisel bilgilerinizi toplamak zorunda olmamalıdır.

Türkiye’de bildirim süresi neden 72 saat?

Bu süre bireyin değil, veri sorumlusunun yükümlülüğüdür. Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararı, “en kısa sürede” ifadesini veri sorumlusunun ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kurula bildirim yapması şeklinde yorumlar. Etkilenen kişilere de belirlendikten sonra makul olan en kısa sürede bildirim yapılması gerekir.

Bu kural, size ulaşan her sızıntı uyarısının olaydan sonraki ilk üç gün içinde geleceği anlamına gelmez. Kurumun olayı fark etmesi, kapsamı belirlemesi ve size ait kaydın eşleştirilmesi zaman alabilir.

Sık sorulan sorular

E-posta adresim sızdıysa hesabımı kapatmalı mıyım?

Genellikle hayır. Önce benzersiz parola, çok faktörlü doğrulama, açık oturumlar ve kurtarma bilgilerini kontrol edin. Hesabı kapatmak; bağlı hesapların kurtarılmasını zorlaştırabilir.

Sızıntıda parola görünmüyorsa yine de değiştirmeli miyim?

Yalnızca e-posta sızmış ve şüpheli hareket yoksa otomatik olarak bütün parolaları değiştirmeniz gerekmez. Ancak ilgili parolayı tekrar kullandıysanız, parolanın kapsamı belirsizse veya hesapta olağan dışı hareket varsa değiştirin.

Çok faktörlü doğrulama bütün riski ortadan kaldırır mı?

Hayır; fakat çalınan parolanın tek başına kullanılmasını ciddi biçimde zorlaştırır. Oltalamaya dayanıklı geçiş anahtarları ve güvenlik anahtarları destekleniyorsa daha güçlü seçeneklerdir.

Sızıntıda görünmek verilerimin suçlular tarafından kullanıldığı anlamına mı gelir?

Hayır. Bu, verinin açığa çıkmış olabileceğini gösterir; kötüye kullanımı kanıtlamaz. Yine de erken önlem almak, gerçek bir hesap ele geçirme yaşandıktan sonra toparlanmaktan daha kolaydır.

Son söz: Önce kapsamı anlayın, sonra erişimi kesin

Bir veri sızıntısı uyarısında en doğru tepki, her şeyi aynı anda değiştirmek değil; açığa çıkan veriyi belirleyip en kritik erişim zincirini kesmektir. Önce e-posta hesabınızı, sonra tekrar kullanılan parolaları, ardından finansal ve kimlik bilgilerini ele alın. Sakin ama hızlı hareket edin.

E-posta adresinin listede bulunması bir işarettir; gerçek risk, o adresle birlikte başka hangi verilerin bulunduğudur.

Kaynaklar ve veri notu

• Verizon 2026 Data Breach Investigations Report – Executive Summary: 145 ülkeden 31 binden fazla güvenlik olayı ve 22 binden fazla doğrulanmış veri ihlali; ihlallerin %62’sinde insan unsuru.
• IBM Cost of a Data Breach Report 2026: Kuruluşlar için küresel ortalama ihlal maliyeti 4,99 milyon ABD doları; önceki yıla göre %12 artış.
• NIST SP 800-63B-4 Digital Identity Guidelines: Parola uzunluğu, parola yöneticileri ve çok faktörlü doğrulama gereklilikleri.
• ABD Federal Ticaret Komisyonu – Have you been affected by a data breach?: Parola değişikliği, tekrar kullanım ve çok faktörlü doğrulama adımları.
• Avrupa Veri Koruma Kurulu – Data breaches: Kişisel veri ihlali tanımı ve bildirim çerçevesi.
• KVKK – 24.01.2019 tarihli ve 2019/10 sayılı karar: Türkiye’de veri ihlali bildirim usulü ve 72 saat yorumu.

Kaynaklar 30 Temmuz 2026 tarihinde kontrol edilmiştir. İstatistikler kurumların kendi raporlarındaki kapsam ve yöntemle sınırlıdır.