E-postanızın, telefon numaranızın veya şifrelerinizin bir veri sızıntısında yer alıp almadığı nasıl kontrol edilir?

Kısa cevap

E-postanızın sızdırılıp sızdırılmadığını kontrol etmek için adresinizi haveibeenpwned.com'a girin; site adresinizin yer aldığı sızıntıları listeler. Kayıtlı şifrelerinizi Google Şifre Kontrolü veya şifre yöneticinizin güvenlik raporuyla kontrol edin. Telefon numaraları için güvenilir ücretsiz bir kontrol aracı yok; numaranızı içeren bir hesap sızıntıya uğradıysa numaranızın açığa çıktığını varsayın. Ardından tekrar kullandığınız şifreleri değiştirin, geçiş anahtarlarını veya uygulama tabanlı iki adımlı doğrulamayı açın, operatör PIN'i ekleyin; ABD'de kredinizi dondurun, Birleşik Krallık'ta Cifas Protective Registration'ı değerlendirin.

Önemli rakamlar

• 17,8 milyar1.000'den fazla ihlale uğramış siteden gelen, Have I Been Pwned'da aranabilen sızdırılmış hesapHave I Been Pwned
• 1,31 milyar dolar2025'te FBI'a yapılan 67.456 kişisel veri ihlali şikâyetinde bildirilen kayıpFBI IC3 2025 Internet Crime Report
• %382025'te Birleşik Krallık National Fraud Database'de kaydedilen izinsiz SIM değişikliklerindeki artışCifas Fraudscape 2026
• 4,46 milyon2025'teki TransUnion ihlalinde adları, Social Security numaraları ve doğum tarihleri açığa çıkan kişiSecurityWeek

Kullandığınız bir şirketin “bir güvenlik olayı yaşadığını” söyleyen bir e-posta aldınız. Ya da bir dolandırıcı size adınızla mesaj attı. Her iki durumda da soru aynı: benim hangi bilgilerim ortada ve biri bunlarla ne yapabilir? En bilinen sızıntı kontrol aracı Have I Been Pwned, 17,8 milyardan fazla sızdırılmış hesap barındırıyor. Sizinkilerden en az birinin orada olma ihtimali yüksek.

Verilerinizin sızdırılması hacklendiğiniz anlamına gelmez. Ama suçlulara oltalama, hesap ele geçirme ve kimlik dolandırıcılığı için ham madde sağlar. FBI 2025'te 67.456 kişisel veri ihlali şikâyeti kaydetti; bildirilen kayıp 1,31 milyar dolardı. Aşağıdaki adımlar yaklaşık 30 dakika sürer ve bir sızıntının açtığı kapıların çoğunu kapatır.

E-postamın bir veri sızıntısında yer alıp almadığını nasıl kontrol ederim?

E-posta adresinizi haveibeenpwned.com adresine girin. Ücretsizdir, güvenlik araştırmacısı Troy Hunt tarafından işletilir ve adresinizin yer aldığı bilinen tüm sızıntıları tarihleri ve açığa çıkan veri türleriyle birlikte listeler.

1. Kullandığınız her adresi kontrol edin; eski iş, okul ve tek kullanımlık e-postalar dahil.
2. Her sızıntı kaydını okuyun. Neyin sızdığını not edin: şifreler, telefon numaraları, adresler, doğum tarihleri, güvenlik soruları.
3. Öncelik verin: şifre veya resmi kimlik numarası içeren sızıntılara ve hâlâ kullandığınız hesaplara.
4. “Notify me” özelliğini açın; adresiniz gelecekteki bir sızıntıda çıkarsa e-posta alırsınız.

“Sızıntı bulunamadı” sonucu güvende olduğunuz anlamına gelmez. Birçok sızıntı hiçbir zaman kamuoyuna açıklanmaz ve bazı veriler gizlice satılır. Bunu bir garanti değil, iyi bir haber olarak görün.

Şifrelerimin sızdırılıp sızdırılmadığını nasıl kontrol ederim?

Şifrelerinizi Chrome'da veya Android'de kaydediyorsanız passwords.google.com adresindeki Google Şifre Kontrolü'nü kullanın. Kayıtlı şifrelerinizden hangilerinin ele geçirildiğini ve hangilerinin zayıf olduğunu söyler. Apple'ın Şifreler uygulamasında ve çoğu şifre yöneticisinde de benzer bir güvenlik raporu vardır.

Tek bir şifreyi Have I Been Pwned'ın Pwned Passwords sayfasında da test edebilirsiniz. Şifreniz asla gönderilmez: tarayıcınız şifreyi hash'ler, hash'in yalnızca ilk beş karakterini gönderir ve sonuçları cihazınızda karşılaştırır.

Sızdırılmış bir şifre en çok, onu tekrar kullandıysanız önemlidir. Suçlular sızdırılmış e-posta ve şifre çiftlerini alıp bankalarda, e-postada, alışveriş sitelerinde ve sosyal hesaplarda otomatik olarak dener. Buna “credential stuffing” denir ve eski bir sızıntının on hesabı birden açabilmesinin nedeni budur.

Telefon numaramın sızdırılıp sızdırılmadığını nasıl anlarım?

Telefon numaralarını tüm sızıntılarda kontrol eden güvenilir ücretsiz bir araç yok; bu yüzden dürüst cevap şu: numaranızı içeren herhangi bir hesap sızıntıya uğradıysa numaranızın açığa çıktığını varsayın. Güçlü işaretler arasında dolandırıcılık amaçlı arama ve mesajlarda artış, adınızı kullanan mesajlar ve sizin istemediğiniz tek kullanımlık kodlar var.

Numaranız büyük ihtimalle başka yollarla da herkese açık. Kişi arama siteleri, eski kayıtlar ve sosyal profiller telefon numaralarını adlarla ve adreslerle ilişkilendirir. Bir yabancının sizinle neleri ilişkilendirebileceğini görmek için bir Search A-Z Kendinizi arayın araması yapın. Rapor, adınızla bağlantılı herkese açık profilleri, web'de bahsedilmeleri ve iş bilgilerini gösterir; girdiğiniz telefon numarasının veya e-postanın gerçek olup olmadığını, hattın türünü (cep, sabit hat veya internet/VoIP) ve dolandırıcılık riski taşıyıp taşımadığını kontrol eder. ABD aramalarında adresler ve telefonlar gibi kamu kayıtları da yer alabilir.

2025 ve 2026'nın en büyük veri sızıntıları hangileriydi?

Son sızıntılarda çoğunlukla kart numaraları değil, iletişim bilgileri ve kimlik verileri açığa çıktı; dolandırıcıların oltalama ve kimlik taklidi için kullandığı tam da bunlar. En büyüklerden birkaçı:

Malwarebytes'a göre Carnival sızıntısı sosyal mühendislikle başladı: bir saldırgan bir çalışanı kandırarak erişim elde etti. 2025 ortasında manşetler “16 milyar şifre sızdırıldı” uyarısı yaptı. BleepingComputer, bunun yeni bir sızıntı değil, eski sızıntılardan ve bilgi çalan kötü amaçlı yazılım kayıtlarından oluşan bir derleme olduğunu bildirdi. Yine de şifre tekrar kullanmayı bırakmak için iyi bir nedendi.

Dolandırıcılar sızdırılan verilerimle ne yapabilir?

Dolandırıcılar sızdırılan verileri yaklaşımlarını inandırıcı kılmak ve güvenlik kontrollerini aşmak için kullanır. Başlıca riskler:

• Hedefli oltalama. Adınızı, sızıntıya uğrayan şirketi ve gerçek sipariş veya hesap bilgilerinizi kullanan bir mesaj. Çoğu zaman “tazminat” veya “hesap doğrulama” teklif eden sızıntıya uğramış şirket kılığına girerler.
• Hesap ele geçirme. Sızdırılmış şifreler e-postanızda, bankanızda ve alışveriş hesaplarınızda denenir. Cifas 2025'te Birleşik Krallık'ta 78.000'den fazla hesap ele geçirme vakası kaydetti.
• SIM kart değiştirme. Adınız, numaranız ve doğum tarihinizle bir suçlu operatörünüzü numaranızı kendi SIM kartına taşımaya ikna eder, ardından SMS kodlarınızı alır. FBI 2025'te 17,4 milyon dolar kayıp içeren 971 SIM değiştirme şikâyeti aldı; Cifas da Birleşik Krallık'taki vakalarda %38 artış gördü.
• Kimlik dolandırıcılığı. Adınıza kredi, telefon aboneliği veya hesap açmak. Kimlik dolandırıcılığı 2025'te Birleşik Krallık National Fraud Database'deki tüm vakaların %54'ünü, 242.000'den fazla vakayı oluşturdu.
• Sizin taklidiniz. Kişilerinize veya işvereninize sizden geliyormuş gibi görünen mesajlar, bazen benzer görünen bir e-posta adresinden.

Tipik bir takip dolandırıcılığı mesajı şöyle görünür:

Sayın [adınız], [şirket] bünyesinde yaşanan son veri ihlali nedeniyle hesabınız işaretlenmiştir. Erişiminizi korumak ve tazminatınızı almak için lütfen 24 saat içinde bilgilerinizi doğrulayın: [bağlantı]

Sızıntıyla ilgili mesajlardaki bağlantılara asla tıklamayın. Şirketin web sitesine veya uygulamasına kendiniz gidin. İş yerinde bir mesaj sizden bir e-posta göndereni veya ödeme bilgilerini doğrulamanızı istiyorsa, e-posta göndereni doğrulama rehberimiz kontrolleri adım adım anlatıyor.

Verilerim sızdırıldıysa ne yapmalıyım?

Verileriniz sızdırıldıysa açığa çıkan veya tekrar kullandığınız şifreleri değiştirin, daha güçlü oturum açma yöntemlerini açın, telefon numaranızı koruyun ve kredinizi kilitleyin. Bu sırayla yapın:

1. Önce ana e-postanızı güvenceye alın. Diğer her şeyin sıfırlanması ona bağlı. Yeni ve benzersiz bir şifre, ardından iki adımlı doğrulama.
2. Tekrar kullandığınız her şifreyi değiştirin. Her hesaba benzersiz bir şifre vermek için bir şifre yöneticisi kullanın. Bilgisayarınızda kötü amaçlı yazılım olduğunu düşünüyorsanız önce tarayın, yoksa yeni şifreler de çalınabilir.
3. Sunulduğu yerde geçiş anahtarlarına (passkey) geçin. Google, Apple, Microsoft, Amazon, PayPal ve birçok banka bunları destekliyor. Geçiş anahtarları oltalamayla çalınamaz ve tekrar kullanılamaz.
4. Önemli hesaplarda iki adımlı doğrulama kodları için SMS değil, bir doğrulama uygulaması kullanın. SIM değiştirme SMS kodlarını ele geçirir.
5. Operatör PIN'i veya SIM kilidi ekleyin. Mobil operatörünüzden, numaranızın sizin onayınız olmadan taşınmasını engelleyen bir PIN veya numara kilidi isteyin.
6. Kredinizi dondurun (ABD). Ücretsizdir, puanınızı etkilemez ve siz kaldırana kadar geçerlidir. Bunu üç kredi bürosunun hepsinde yapın: Equifax, Experian ve TransUnion. Tek bir büroya verilen ücretsiz dolandırıcılık uyarısı bir yıl geçerlidir.
7. Hesaplarınızı izleyin. Banka ve kart ekstrelerinizde ve kredi raporunuzda tanımadığınız bir şey olup olmadığını kontrol edin.

Birleşik Krallık: Cifas Protective Registration

Kimlik bilgileri sızdırılan Birleşik Krallık sakinleri, iki yıl için 30 sterlin tutan Cifas Protective Registration hizmetini satın alabilir. Bu hizmet adınızı ve adresinizi National Fraud Database'de işaretler; böylece kredi kuruluşları ve telefon şirketleri adınıza bir şey açmadan önce ek kontroller yapar. Gerçek başvurular biraz daha uzun sürebilir ve kredi puanınızı etkilemez. Cifas, bir sızıntıdan sonraki ilk aylarda en faydalı olduğunu söylüyor. Kredi raporunuzu Experian, Equifax veya TransUnion UK üzerinden de kontrol edin.

AB: farklı olanlar

AB'de tek bir kredi dondurma sistemi yoktur. Bankanıza haber verin, hesaplarınızı izleyin ve şunu bilin: GDPR kapsamında ihlale uğrayan bir şirket bunu veri koruma otoritesine bildirmek ve risk yüksekse size doğrudan haber vermek zorundadır.

Türkiye: ek kontroller

e-Devlet'teki Mobil Hat Sorgulama hizmetiyle adınıza kayıtlı tüm mobil hatları görebilir, haberiniz olmadan bir hat açılıp açılmadığını kontrol edebilirsiniz. Kişisel Verileri Koruma Kurumu da şirketlerin bildirdiği veri ihlallerini kvkk.gov.tr adresinde “Veri İhlali Bildirimleri” başlığı altında yayımlıyor.

Birinin kimliğimi kullanıp kullanmadığını nasıl anlarım?

Sizin başlatmadığınız bir hareket görüyorsanız biri kimliğinizi kullanıyor olabilir. Şunlara dikkat edin:

• İstemediğiniz şifre sıfırlama e-postaları veya giriş uyarıları
• Telefonunuzun birden çekmemesi ve “Servis yok” veya “Yalnızca acil durum” göstermesi
• Tanımadığınız faturalar, kredi sorgulamaları veya hesaplar
• Arkadaşlarınızın “sizden” tuhaf mesajlar veya para istekleri alması
• Size ait olmayan borçlar için arayan tahsilat şirketleri

Telefonun nedensiz yere çekmemesi acil bir durumdur: başka bir telefondan hemen operatörünüzü arayın, çünkü numaranızın taşındığı anlamına gelebilir. Adınızı ve fotoğraflarınızı kullanan sahte bir sosyal profili, normalde internette ne olduğunu bildiğinizde fark etmek daha kolaydır; internetin sizin hakkınızda ne söylediği rehberimiz bu konuda yardımcı olur.

Kimlik hırsızlığını veya bir veri sızıntısı dolandırıcılığını nereye bildiririm?

ABD'de kimlik hırsızlığını IdentityTheft.gov adresine bildirin; site bir kurtarma planı ve yedi yıllık uzatılmış dolandırıcılık uyarısı için gereken raporu hazırlar. İnternet dolandırıcılığını FBI'a ic3.gov üzerinden bildirin.

Birleşik Krallık: dolandırıcılığı ve siber suçları, Action Fraud'un yerini alan Report Fraud'a reportfraud.police.uk adresinden veya 0300 123 2040 numarasından bildirin. İskoçya'da 101 üzerinden Police Scotland ile iletişime geçin. Dolandırıcılık SMS'lerini 7726'ya iletin.

Türkiye: en yakın polis merkezine veya Cumhuriyet Başsavcılığına şikâyette bulunun; Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığı sayfasında da bilgi bulabilirsiniz. Bir şirket verilerinizi özensiz işlediyse Kişisel Verileri Koruma Kurumu'na şikâyet edebilirsiniz.

AB: dolandırıcılığı yerel polise bildirin ve bir şirket verilerinizi özensiz işlediyse ulusal veri koruma otoritenize şikâyet edin.

Sızıntı ev adresinizi veya telefon numaranızı herkese açık sitelerde ortaya çıkardıysa, kendinizi kişi arama sitelerinden kaldırma rehberimiz bunu nasıl kaldıracağınızı gösteriyor.

Sonuç

Kullandığınız her e-postayı Have I Been Pwned'da kontrol edin, kayıtlı şifrelerinizi gözden geçirin ve telefon numaranızın ortada olduğunu varsayın. Ardından suçluları gerçekten engelleyen adımları atın: benzersiz şifreler, geçiş anahtarları veya uygulama tabanlı iki adımlı doğrulama, bir operatör PIN'i ve ABD'de kredi dondurma ya da Birleşik Krallık'ta Protective Registration.

Sıkça sorulan sorular

E-postamın sızdırılıp sızdırılmadığını nasıl kontrol ederim?

Adresinizi haveibeenpwned.com'a girin. Bu ücretsiz hizmet, e-postanızın yer aldığı bilinen tüm sızıntıları ve hangi verilerin açığa çıktığını listeler. Gelecekteki sızıntılarla ilgili uyarı almak için “Notify me”yi açın ve kullandığınız her e-posta adresini kontrol edin.

Have I Been Pwned'ı kullanmak güvenli mi?

Evet. Güvenlik araştırmacısı Troy Hunt'ın uzun süredir işlettiği ücretsiz bir hizmettir. E-postanızı aramak yalnızca hangi sızıntılarda yer aldığını gösterir. Şifre kontrol aracı gerçek şifrenizi asla göndermez; yalnızca bir hash'in bir kısmını gönderir.

Telefon numaramın sızdırılıp sızdırılmadığını kontrol edebilir miyim?

Ücretsiz ve güvenilir bir şekilde hayır. Numaranızı içeren herhangi bir hesap sızıntıya uğradıysa açığa çıktığını varsayın. Artan dolandırıcılık mesajları, adınızı kullanan mesajlar ve istemediğiniz tek kullanımlık kodlar yaygın işaretlerdir. Numaranızı bir operatör PIN'i veya SIM kilidiyle koruyun; Türkiye'de e-Devlet'ten adınıza kayıtlı hatları da kontrol edin.

Bir veri sızıntısından sonra ilk ne yapmalıyım?

Ana e-posta hesabınızı yeni ve benzersiz bir şifre ve iki adımlı doğrulamayla güvenceye alın, ardından tekrar kullandığınız şifreleri değiştirin. ABD'de kredinizi Equifax, Experian ve TransUnion'da dondurun. Birleşik Krallık'ta Cifas Protective Registration'ı değerlendirin.

Kredi dondurma kredi puanımı düşürür mü?

Hayır. ABD'de kredi dondurma ücretsizdir, puanınızı etkilemez ve siz kaldırana kadar geçerli kalır. Kredi başvurusu yaptığınızda, kredi kuruluşunun kullandığı büroda geçici olarak kaldırabilirsiniz.

SIM kart değiştirme nedir ve nasıl önlenir?

Bir suçlunun operatörünüzü numaranızı kendi SIM kartına taşımaya ikna etmesi ve böylece aramalarınızı ve SMS kodlarınızı almasıdır. Bir operatör PIN'i veya numara kilidiyle önleyin ve SMS kodları yerine bir doğrulama uygulaması veya geçiş anahtarları kullanın.

Kaynaklar

1. Have I Been Pwned
2. Have I Been Pwned: Pwned Passwords
3. FBI IC3 2025 Internet Crime Report
4. Cifas Fraudscape 2026
5. Cifas Protective Registration
6. FTC: kredi dondurma ve dolandırıcılık uyarıları hakkında bilmeniz gerekenler
7. SecurityWeek: TransUnion veri ihlali 4,4 milyon kişiyi etkiledi
8. BleepingComputer: Co-op, 6,5 milyon üyenin verilerinin çalındığını doğruladı
9. Malwarebytes: Carnival yaklaşık 6 milyon kişiyi etkileyen veri ihlalini doğruladı (Mayıs 2026)
10. TechRepublic: 2026'nın şimdiye kadarki en büyük veri ihlalleri
11. BleepingComputer: 16 milyar kimlik bilgisi sızıntısı yeni bir veri ihlali değil
12. techUK: Report Fraud, Action Fraud'un yerini aldı

Rakamlar, bu rehber güncellendiğinde her kaynağın yayımladığı en son verilerdir. Bildirilen dolandırıcılık kayıpları yalnızca alt sınırdır: dolandırıcılıkların çoğu hiç bildirilmez.