Geçici E-posta ve Çevrimiçi Güvenlik

Hesap oluşturduğunuz her web sitesi potansiyel bir güvenlik yüküdür. Tek kullanımlık e-posta adresleri, gerçek kimliğinizin tam güvenmediğiniz sistemlere asla girmemesini sağlayarak maruz kalmanızı en aza indirir.

Saldırı Yüzeyini Anlama

Saldırı yüzeyiniz, bir saldırganın sizi tehlikeye atabileceği tüm noktaların toplamıdır. E-posta adresinizi her verdiğinizde bu yüzeyi genişletirsiniz.

Bunu fiziksel güvenlik gibi düşünün:

Evinizdeki her kapı, hırsızlar için potansiyel bir giriş noktasıdır
Daha fazla kapı = daha büyük saldırı yüzeyi = daha fazla risk
Tek kullanımlık e-posta, bir kez kullanıldıktan sonra kaybolan geçici kapılar kullanmak gibidir

Geleneksel E-posta Kaydı (Geniş Saldırı Yüzeyi)

Yıllar boyunca 100 web sitesine [email protected] ile kaydoldunuz:

Web sitesi 1: [email protected] (ihlal edilebilir)
Web sitesi 2: [email protected] (ihlal edilebilir)
Web sitesi 3: [email protected] (ihlal edilebilir)
...
Web sitesi 100: [email protected] (ihlal edilebilir)

Saldırı yüzeyi: 100 veritabanı gerçek e-postanızı içeriyor

Bu 100 siteden herhangi biri hacklenirse, saldırganlar gerçek e-postanızı ele geçirir. Güvenlik araştırmacılarına göre, şirketlerin %61'i geçen yıl bir veri ihlali yaşamıştır.

Tek Kullanımlık E-posta ile (Minimal Saldırı Yüzeyi)

Güvenilmeyen siteler için tek kullanımlık adresler kullanıyorsunuz:

Kritik siteler (5): [email protected] (bankalar, e-posta sağlayıcı, şifre yöneticisi)
Güvenilmeyen siteler (95): [email protected] (süresi çoktan dolmuş)

Saldırı yüzeyi: Yalnızca 5 veritabanı gerçek e-postanızı içeriyor

Artık saldırganların gerçek adresinizi elde etmesi için güvendiğiniz 5 hizmetten birini ihlal etmesi gerekiyor. Bu, saldırı yüzeyinde %95 azalma demektir.

Gerçek Veri İhlalleri ve Etkileri

Gerçek ihlallere ve tek kullanımlık e-postanın nasıl yardımcı olacağına bakalım:

Adobe İhlali (2013)

Çalınan: 153 milyon e-posta adresi ve şifre
Etki: Saldırganlar kimlerin Adobe ürünleri kullandığını tam olarak bildi
Saldırı: Hedefli kimlik avı: "Adobe hesap güvenlik uyarınız"
Geçici e-posta ile: Gerçek e-postanız veritabanında yok. Saldırı başarısız.

LinkedIn İhlali (2021)

Çalınan: 700 milyon kullanıcı profili (e-postalar dahil)
Etki: Kazınmış veriler karanlık web'de 5.000 dolara satıldı
Saldırı: Profesyonelleri hedefleyen hedefli kimlik avı kampanyaları
Geçici e-posta ile: İş aramak için geçici adres kullandıysanız sızıntıda değilsiniz.

Facebook/Meta (2019-2021)

Çalınan: 533 milyon telefon numarası ve e-posta adresi
Etki: Kimlik hırsızlığı ve dolandırıcılık kampanyaları için kullanıldı
Saldırı: "Facebook hesabınızı doğrulayın" kimlik avı
Geçici e-posta ile: Sadece ne olduğunu görmek için kaydolmuş olsanız bile gerçek e-postanız temiz kalır.

Kalıp açıktır: İhlaller kaçınılmazdır. Hangi veritabanlarının gerçek e-postanızı tuttuğunu sınırlamak hasarı sınırlar.

Saldırganlar Sızdırılan E-postaları Nasıl Kullanır

Bir veritabanı ihlal edildiğinde, saldırganlar rastgele spam göndermez. Sızdırılan verileri stratejik olarak kullanırlar:

1. Kimlik Bilgisi Doldurma

Saldırganlar sızdırılan şifreleri diğer sitelerde dener:

LinkedIn ihlali → Bu şifreleri Gmail, bankalar vb.'de dene

Geçici e-postanın yardımı: LinkedIn için [email protected] kullandıysanız, o şifre ölü bir adresle ilişkili. Şifreyi yeniden kullanmış olsanız bile (yapmayın!), e-posta artık çalışmadığı için saldırı başarısız olur.

2. Profil Oluşturma

Saldırganlar birden fazla ihlalden verileri birleştirir:

Adobe ihlali: Adobe kullanıyor
LinkedIn ihlali: Pazarlama alanında çalışıyor
Facebook ihlali: İstanbul'da yaşıyor, 34 yaşında

Saldırı: Hedefli dolandırıcılık: "İstanbul pazarlama profesyonelleri için
Adobe Creative Cloud indirimi"

Geçici e-postanın yardımı: Gerçek e-postanız yalnızca güvenilir veritabanlarında mevcut. Kayıtlarınızın diğer %95'i artık ölü olan geçici adresler kullandığı için saldırganlar profil oluşturamaz.

3. E-posta Numaralandırma

Saldırganlar sızdırılan e-postaların hâlâ aktif olup olmadığını kontrol eder:

Test e-postası gönder → Teslim onayı → E-posta aktif → Hedef listesine ekle

Geçici e-postanın yardımı: [email protected] adresine gönderilen test e-postaları geri döner. Saldırganlar hesabın terk edildiğini varsayar ve devam eder.

İkincil Güvenlik Faydaları

Veri ihlallerinin ötesinde, tek kullanımlık e-postanın sağladığı güvenlik:

E-posta Numaralandırma Saldırılarını Önler

Bazı web siteleri saldırganların bir e-postanın kayıtlı olup olmadığını test etmesine izin verir:

Şifremi unuttum: "E-postanızı girin"
→ "E-posta bulunamadı" vs. "Şifre sıfırlama gönderildi"

Saldırganlar bunu geçerli e-posta listeleri oluşturmak için kullanır. Tek kullanımlık adreslerle yararlı hiçbir şey öğrenemezler.

Sosyal Mühendisliği Sınırlar

Dolandırıcılar "şifremi unuttum" özelliklerini kullanarak hangi hizmetleri kullandığınızı anlar:

[email protected]'u 100 popüler sitede dene
→ 15 site "Şifre sıfırlama gönderildi" yanıtını verir
→ Artık Netflix, Amazon, PayPal vb. kullandığınızı biliyorlar
→ Hedefli dolandırıcılıklar oluşturur

Tek kullanımlık e-posta ile saldırganlar çıkmaza girer.

İç Tehditlere Karşı Koruma

Tüm ihlaller dış saldırılar değildir. Bazen çalışanlar:

Pazarlamacılara kullanıcı listeleri satar (düşündüğünüzden daha sık olur)
Kişisel projeler için müşteri e-postalarını kullanır
Yanlış yapılandırma yoluyla yanlışlıkla verileri açığa çıkarır

Tek kullanımlık e-posta, X Sitesindeki bir çalışan e-posta listesini çalsa bile gerçek adresinizin listede olmamasını sağlar.

Saldırı Yüzeyi Azaltma Stratejisi

Güvenlik için tek kullanımlık e-postayı nasıl kullanmalısınız:

Kademe 1: Kritik (Gerçek E-posta veya Güvenilir Takma Ad Kullanın)

Banka ve finansal hesaplar
Birincil e-posta sağlayıcı
Şifre yöneticisi
İki faktörlü kurtarma
Devlet hizmetleri (vergiler, sağlık)
İş e-postası

Neden gerçek e-posta: Bunlar dijital yaşamınızın temelleridir. Tehlikeye girerse her şey çöker. Güçlü güvenlik (zorunlu 2FA, ihlal bildirimi, SOC 2 uyumu) olan sağlayıcıları seçin.

Kademe 2: Önemli (E-posta Takma Adı Kullanın)

Çevrimiçi alışveriş (Amazon, eBay)
Yayın hizmetleri (Netflix, Spotify)
Profesyonel ağlar (LinkedIn)
Bulut depolama (Dropbox, Google Drive)

Neden takma ad: Uzun vadeli erişim istiyorsunuz ama bölümlenmiş. [email protected] kullanarak ihlalleri izlenebilir hale getirin.

Kademe 3: Güvenilmeyen (Tek Kullanımlık E-posta Kullanın)

Ücretsiz denemeler ve indirmeler
Bülten kayıtları
Tek seferlik satın almalar
Forum kayıtları
İçerik "kapıları" (teknik rapor indirme, makale kilidi açma)
Yeni hizmetleri test etme
%100 emin olmadığınız her şey

Neden tek kullanımlık: Sıfır uzun vadeli değer. İhtiyacınız olanı alın ve adresi yakın.

Pratik Güvenlik Kontrol Listesi

✅ Tek kullanımlık e-posta kullanın:

Tanımadığınız herhangi bir site
Yalnızca bir kez kullanacağınız hizmetler
Kayıt gerektiren "ücretsiz" içerik
Güvenlik itibarı zayıf siteler
Deneysel veya yeni hizmetler

✅ Takma ad kullanın:

Çevrimiçi alışveriş ve abonelikler
Sosyal medya hesapları
Profesyonel ancak kritik olmayan hesaplar

✅ Gerçek e-postayı yalnızca şunlar için kullanın:

Bankalar ve finansal hizmetler
E-posta sağlayıcının kendisi
Şifre yöneticisi
Son derece güvenilir olması gereken hizmetler

Bileşik Etki

Güvenlik faydaları zamanla bileşik olarak artar:

1. Yıl:

20 siteye kaydolun
15'i için tek kullanımlık, 5'i için gerçek e-posta kullanın
Saldırı yüzeyi: 5 veritabanı

5. Yıl:

Toplam 100 siteye kaydolun
80'i için tek kullanımlık, 20'si için gerçek e-posta kullanın
Saldırı yüzeyi: Hâlâ yalnızca 20 veritabanı (100 yerine)

10. Yıl:

Toplam 200 siteye kaydolun
Tek kullanımlık: 170 | Gerçek: 30
Saldırı yüzeyi: 30 veritabanı (200 yerine)

Zamanla saldırı yüzeyiniz doğrusal olarak büyürken, tek kullanımlık e-posta olmadan üstel olarak büyüyecekti.

Sonuç

Tüm veri ihlallerini önleyemezsiniz. Ancak kaç veritabanının gerçek e-postanızı tuttuğunu kontrol edebilirsiniz.

Tek kullanımlık e-posta kullandığınız bir sitenin her ihlali, gerçek kimliğinize dokunmayan bir ihlaldir. Sızdırılan e-posta, aylar önce var olmayı bırakan bir adresi işaret eder.

Güvenlik mükemmel koruma değildir — riski azaltmaktır.

Deneyin: Bir dahaki sefere %100 güvenmediğiniz bir yere kaydolurken tempy.email kullanın. O site gelecek yıl ihlal edilirse fark bile etmezsiniz.