Brute force (kaba kuvvet) saldırısı, saldırganın bir hesabın parolasını bulmak için olası parola ya da kullanıcı adı–parola çiftlerini otomatik araçlarla art arda denemesidir. Saldırı bir açığı değil, tahmin edilebilir parolaları ve sınırsız deneme hakkını kullanır. Bu yüzden en etkili savunma; uzun ve benzersiz parolalar, çok faktörlü doğrulama, deneme sınırı ve giriş ekranında bot doğrulamasının birlikte kullanılmasıdır.
Kısaca
- Brute force, parolayı tahmin etmek için yapılan otomatik ve çok sayıda giriş denemesidir; sözlük saldırısı, credential stuffing ve password spraying bu ailenin türleridir.
- Microsoft Digital Defense Report 2025'e göre kimlik saldırılarının %97'sinden fazlası parola saldırısıdır.
- NIST SP 800-63B, tek bir hesapta art arda başarısız denemeleri en fazla 100 ile sınırlamayı şart koşar.
- Tek başına "karmaşık parola" yetmez; MFA, deneme sınırı, bot doğrulaması ve giriş izleme birlikte çalışmalıdır.
- Ortak parolaları ortadan kaldırmak ve oturumları tek yerden kapatabilmek, saldırının başarılı olduğu günü de yönetilebilir kılar.
Brute force saldırısı nasıl çalışır ve hangi türleri vardır?
Saldırgan bir giriş ekranını (e-posta, VPN, uzak masaüstü, yönetim paneli) hedef alır ve bir yazılımla binlerce deneme yapar. Denemeler tek bir bilgisayardan değil, çoğu zaman binlerce farklı IP adresinden dağıtılarak gelir; böylece "aynı IP'den çok deneme" kuralına takılmaz. Amaç tek bir hesabı ele geçirip oradan e-postaya, dosyalara ya da ödeme süreçlerine ilerlemektir.
| Tür | Nasıl çalışır | Tipik hedef | En etkili önlem |
|---|---|---|---|
| Basit brute force | Tüm karakter olasılıklarını sırayla dener | Kısa parolalar, PIN'ler | Uzun parola, deneme sınırı |
| Sözlük saldırısı | Sık kullanılan parola ve kelime listelerini dener | "Sirket2026!" gibi kalıplar | Yasaklı parola listesi |
| Credential stuffing | Başka sitelerden sızmış e-posta–parola çiftlerini dener | Aynı parolayı her yerde kullananlar | Benzersiz parola, MFA |
| Password spraying | Birkaç yaygın parolayı çok sayıda hesapta dener | Kilitlemeye takılmamak isteyen saldırgan | MFA, giriş izleme, bot doğrulaması |
| Çevrimdışı kırma | Çalınan parola özetlerini kendi donanımında çözer | Veri sızıntısı sonrası | Güçlü özetleme, uzun parola |
Password spraying özellikle sinsidir: her hesapta yalnızca bir iki deneme yapıldığı için hesap kilitleme hiç devreye girmez. Credential stuffing ise şirketin kendi sisteminden değil, çalışanın kişisel olarak kullandığı başka bir siteden sızan parolayla başlar; bu türü credential stuffing nedir yazısında ayrıca ele aldık. Parola kalıplarının neden bu kadar kolay tahmin edildiğini kurumsal parola güvenliği rehberinde ayrıntılı anlattık.
Brute force saldırıları şirkete neye mal olur?
Parola tahmini hâlâ saldırganların en ucuz ve en çok kullandığı yoldur.
Microsoft Digital Defense Report 2025 verilerine göre kimlik saldırılarının %97'sinden fazlası parola saldırısıdır; oltalamaya dayanıklı çok faktörlü kimlik doğrulama bu saldırıların %99'undan fazlasını durdurabilir.
Ele geçirilen hesap da sıklıkla ihlalin kendisine dönüşür. Verizon 2026 Data Breach Investigations Report verilerinde çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylemdir. Buna karşın güvenlik üreticisi Sophos'un The State of Identity Security 2026 araştırmasında ankete katılan kurumların yalnızca %24'ü olağandışı giriş denemelerini sürekli izlediğini söylüyor.
Maliyet yalnızca teknik değildir. Ele geçirilen bir e-posta hesabından müşterilere sahte ödeme talimatı gidebilir, kişisel veri içeren yazışmalar dışarı çıkabilir ve bu durum KVKK kapsamında bildirim yükümlülüğü doğurabilir. Bildirim süreci için KVKK veri ihlali 72 saat yazımıza bakın.
Brute force saldırısı nasıl anlaşılır?
Saldırı çoğu zaman sessiz ilerler, ama kayıtlarda iz bırakır. Şu işaretleri düzenli olarak kontrol edin:
- Kısa sürede çok sayıda başarısız giriş denemesi, özellikle gece saatlerinde.
- Çok sayıda farklı hesapta aynı anda birkaç başarısız deneme (password spraying işareti).
- Çalışanın hiç bulunmadığı bir ülkeden ya da tanınmayan bir cihazdan başarılı giriş.
- Kullanıcıların "hesabım kilitlendi" ya da "parolam değişmiş" şikâyetleri.
- E-posta kutusunda kullanıcının kurmadığı yönlendirme kuralları.
Başarılı bir giriş tespit ettiyseniz ilk saatlerde yapılacakları mail hesabı ele geçirildiğinde ilk 24 saat rehberinde adım adım sıraladık.
Şirket hesaplarını brute force saldırısına karşı korumanın 7 adımı
Tek bir önlem saldırıyı durdurmaz; katmanlar birbirinin boşluğunu kapatır. Aşağıdaki sırayla ilerlemek, en büyük riski en hızlı azaltır.
- Çok faktörlü doğrulamayı (MFA) açın. Parola doğru tahmin edilse bile ikinci adım olmadan giriş yapılamaz; seçenekleri iki adımlı doğrulama (MFA) rehberinde karşılaştırdık. Terimin kısa tanımı sözlükte.
- Uzunluğu karmaşıklığa tercih edin. NIST SP 800-63B, tek başına kullanılan parolalar için en az 15, MFA'nın parçası olan parolalar için en az 8 karakter ister; zorunlu periyodik parola değişikliğini ve karakter türü kurallarını ise açıkça dışlar.
- Yasaklı parola listesi kullanın. Aynı NIST rehberi, yeni parolanın sık kullanılan ya da sızmış parolalar listesiyle karşılaştırılmasını şart koşar; "Firma123" gibi parolalar daha baştan reddedilmelidir.
- Deneme sınırı koyun. NIST, tek bir hesapta art arda başarısız denemeleri en fazla 100 ile sınırlamayı zorunlu tutar; pratikte birkaç başarısız denemeden sonra bekleme süresi uygulamak, hesabı tamamen kilitlemekten daha az kesinti yaratır.
- Giriş ekranlarına bot doğrulaması ekleyin. Otomatik denemeler insan değil yazılım tarafından yapılır; giriş isteği sunucuya ulaşmadan önce yapılan insan doğrulaması, dağıtık denemelerin büyük bölümünü kapıda bırakır.
- Ortak parolaları ve eski protokolleri kaldırın.
info@gibi kutulara herkesin bildiği bir parolayla girilmesi, tek sızıntının tüm ekibi açığa çıkarması demektir; tek kimlik yaklaşımını tek oturum açma (SSO) yazısında anlattık. - Girişleri izleyin ve ayrılan çalışanın erişimini anında kapatın. Açık oturumları görebilmek ve uzaktan kapatabilmek, başarılı bir tahmini saatler içinde etkisiz bırakır; süreç için işten ayrılan çalışanın tüm hesapları kontrol listesine bakın.
Bu adımları daha geniş bir güvenlik planına bağlamak için KOBİ siber güvenlik kontrol listesi iyi bir başlangıçtır. Çalışanların parola alışkanlıkları ise teknik önlemler kadar önemlidir; siber güvenlik farkındalık eğitimi bu boşluğu kapatır.
Hesap kilitleme mi, bot doğrulaması mı?
Hesap kilitleme saldırıyı durdurur ama bir yan etkisi vardır: saldırgan bilerek yanlış parola girerek çalışanları dışarıda bırakabilir. Password spraying ise kilitleme eşiğinin altında kalacak şekilde tasarlanır. Bot doğrulaması, denemeyi yapanın insan mı yazılım mı olduğuna baktığı için gerçek kullanıcıyı kilitlemeden otomatik trafiği ayıklar. En iyi sonuç, ikisinin bekleme süresiyle birlikte kullanılmasıdır.
Smart360 ile brute force riski nasıl azalır?
Digital Bridge'in Smart360 ürün ailesi, SmartMail, SmartFiles, SmartOperator ve SmartPass'i tek panelden yönetilen tek bir ekosistemde toplar. Ailenin güvenlik katmanı Smart360 Security, giriş ekranlarını ve formları otomatik bot trafiğine karşı korur; durdurduğu tehditler arasında parola deneme saldırıları, sahte hesap açma girişimleri ve formlara atılan otomatik gönderimler vardır. Doğrulama tamamlanmadan giriş isteği sunucuya ulaşmaz; doğrulama çoğu zaman arka planda ek işlem gerektirmeden tamamlanır, gerektiğinde tek dokunuşluk onay istenir.
Somut bir senaryo düşünelim: 40 kişilik bir lojistik firmasında muhasebe@ ve ihracat@ kutularına yıllardır aynı parolayla giriliyor. Smart360'a geçildiğinde posta kutusu parolalarını sistem üretir ve şifreli saklar; çalışanlar bu parolaları hiç görmez, kutuya erişim parola değil bir izindir. Her çalışan SmartID ile tüm ürünlere tek kimlikle girer; böylece tahmin edilecek, paylaşılacak ya da ayrılan çalışanla birlikte dışarı çıkacak ortak bir parola kalmaz.
Gece yarısı SmartMail giriş ekranına dağıtık denemeler başladığında Smart360 Security aynı doğrulamayı SmartMail, SmartFiles ve kurum paneli girişlerinde uygular; doğrulamanın beklenen sayfada çözülüp çözülmediğini de denetleyebildiği için başka bir adreste çözülmüş doğrulama geçerli sayılmaz. Bir çalışan parolasının ele geçtiğinden şüphelenirse açık oturumlarını cihaz bilgisiyle görür, şüpheli cihazı uzaktan kapatır; parola değiştiğinde tüm cihazlardaki oturumlar kapanır. Kurumdan ayrılan kişinin erişimini ise yönetici, kaç ürün kullandığından bağımsız olarak tek yerden kapatır.
Ayrıntılar için Smart360 ürün sayfasına ve kurumsal e-posta tarafı için SmartMail sayfasına bakabilirsiniz.
Digital Bridge nasıl yardımcı olur?
Brute force riskini azaltmak bir ürün kurmaktan çok, giriş noktalarının envanterini çıkarmak ve her birine doğru katmanı eklemektir. Digital Bridge siber güvenlik danışmanlığı kapsamında e-posta, VPN, uzak erişim ve yönetim panellerinizi gözden geçirir; MFA, parola politikası ve giriş izleme planını şirketinize göre hazırlar. Smart360'a geçişte alan adı, DNS kayıtları, posta kutuları ve yetkiler Smart360 ekibinin rehberliğinde yapılandırılır. Diğer güvenlik yazıları için güvenlik ve KVKK konu sayfasına göz atabilirsiniz.
Sonraki adım
Önce bu hafta üç şeyi yapın: tüm yönetici ve e-posta hesaplarında MFA'yı açın, ortak parolaları listeleyin ve son 30 günün başarısız giriş kayıtlarına bakın. Ortak parolaları kaldırmak, giriş ekranlarını bot doğrulamasıyla korumak ve oturumları tek panelden yönetmek istiyorsanız Smart360'ı inceleyin ve paketinizi Smart360 satın alma sayfasından seçin. Sorularınız için bizimle iletişime geçin.