Siber Saldırganlar Şifre Yerine Oturum Çerezlerini Hedef Alıyor

İki faktörlü kimlik doğrulama aktif olsa bile hesaplar, çalınan oturum çerezleri nedeniyle saldırganların erişimine açılabiliyor. Son dönemde siber güvenlik uzmanlarının dikkat çektiği yöntem, kullanıcı girişi tamamlandıktan sonra oluşturulan oturum bilgisini hedef alarak şifre ile doğrulama kodunu yeniden istemeden hesaba erişim sağlayabiliyor. Hesap güvenliği açısından yeni risk oluşturan bu saldırı modeli, özellikle bilgi hırsızı zararlı yazılımların yaygınlaşmasıyla daha fazla gündeme geliyor.

Oturum Çerezinin Ele Geçirilmesi 2FA Korumasını Devre Dışı Bırakabiliyor

Session hijacking olarak adlandırılan saldırı tekniğinde saldırgan, kullanıcının parolasını kırmaya çalışmıyor. Bunun yerine tarayıcıda saklanan ve hesabın doğrulanmış olduğunu gösteren oturum bilgisini ele geçiriyor. Çalınan veri başka bir cihaza aktarıldığında birçok çevrim içi hizmet mevcut oturumu geçerli kabul ettiği için yeniden parola veya doğrulama kodu istemeyebiliyor. Oturum çerezi çalındığında iki faktörlü kimlik doğrulama her zaman ek koruma sağlayamayabiliyor.

Siber saldırılarda bu veriler çoğunlukla infostealer olarak bilinen bilgi hırsızı zararlı yazılımlar aracılığıyla elde ediliyor. Kırılmış yazılımlar, sahte kurulum dosyaları veya zararlı tarayıcı eklentileri üzerinden sisteme bulaşan yazılımlar, Chrome başta olmak üzere tarayıcılarda saklanan kimlik bilgilerini hedef alabiliyor. Flashpoint’in 2026 Global Threat Intelligence Report verilerine göre 2025 yılında infostealer saldırıları 11,1 milyondan fazla cihazı etkilerken 3,3 milyar kimlik bilgisi ile bulut erişim belirteci saldırganların eline geçti.

Google, Chrome’da bu riski azaltmak amacıyla güvenlik katmanlarını genişletmeye devam ediyor. Şirket, Chrome 127 sürümüyle Windows platformunda App-Bound Encryption teknolojisini kullanıma alarak çerezleri belirli uygulamalarla ilişkilendirdi. Yönetici yetkisi elde eden zararlı yazılımlar bazı senaryolarda bu korumayı aşabilse de yeni nesil Device Bound Session Credentials yaklaşımı daha güçlü bir güvenlik modeli sunuyor.

Sistem, oluşturulan kriptografik anahtarı cihaz dışına çıkarmadığı için oturum bilgisinin başka bir bilgisayarda kullanılmasını engelliyor. Windows tarafında TPM donanım güvenlik modülünden yararlanan teknoloji, oturum doğrulamasını fiziksel cihazla ilişkilendiriyor. Google, Device Bound Session Credentials desteğini 2026 yılı içinde kendi hizmetlerinde kullanmaya başlarken Workspace ile kişisel Google hesaplarında dağıtım sürecini sürdürüyor. Device Bound Session Credentials desteğinin çalışabilmesi için internet sitesinin de bu teknolojiyi desteklemesi gerekiyor

Mozilla tarafında ise farklı bir tartışma devam ediyor. Firefox’un hata takip sisteminde uzun süredir açık bulunan kayıt, tarayıcının çerez veritabanının diskte şifrelenmeden tutulmasına ilişkin değerlendirmeleri yeniden gündeme taşıdı. Total Cookie Protection özelliği kullanıcıları siteler arası takipten korumaya odaklanırken oturum çerezi hırsızlığına karşı doğrudan çözüm sunmuyor.

Siber güvenlik uzmanları, zararlı yazılım şüphesi oluştuğunda önce cihazın tamamen temizlenmesini öneriyor. Enfekte sistem üzerinde parola değiştirilmesi yeni bilgilerin de saldırgan tarafından ele geçirilmesine neden olabiliyor. Açık oturumların sonlandırılması da en az parola değişikliği kadar önem taşıyor. Google hesaplarında “Tüm cihazları yönet”, Microsoft hesaplarında “Her yerden çıkış yap”, Apple hesaplarında ise “Cihazlar” bölümü kullanılarak mevcut oturumlar kapatılabiliyor. Oturum çerezleri geçersiz kılınmadığı sürece saldırganlar hesabı kullanmayı sürdürebiliyor.