Credential stuffing (kimlik bilgisi doldurma), başka bir siteden sızdırılmış kullanıcı adı ve parola çiftlerinin botlarla toplu hâlde sizin giriş ekranınızda denenmesidir. Saldırgan parolayı tahmin etmez; çalışanın başka yerde kullandığı gerçek parolayı dener. Bu yüzden parola tekrarını kesmek, girişte insan doğrulaması yapmak ve oturumları tek yerden kapatabilmek temel savunmadır.
Kısaca
- Credential stuffing, sızmış parolaların otomatik olarak çok sayıda hesapta denenmesidir; çalışması için tek koşul aynı parolanın birden çok yerde kullanılmasıdır.
- Microsoft Dijital Savunma Raporu 2025'e göre kimlik saldırılarının %97'sinden fazlası parola saldırısıdır.
- Verizon DBIR 2026'da çalıntı kimlik bilgisi kullanımı ihlallerin %36'sında görülen bir eylemdir.
- En etkili önlemler: benzersiz parola, çok faktörlü kimlik doğrulama, girişte bot ayıklama, tek kimlik ve merkezi oturum kapatma.
- Belirti genellikle "çok sayıda başarısız giriş"tir; asıl tehlike ise az sayıdaki başarılı giriştir.
Credential stuffing nasıl çalışır?
Saldırı dört adımda ilerler. Önce bir alışveriş sitesi, forum ya da oyun platformu gibi bir hizmetten e-posta ve parola listeleri sızar. Bu listeler satılır, birleştirilir ve "kombo listesi" adıyla dolaşıma girer. Ardından saldırgan bu listeyi bir bot aracına yükler ve sizin kurumsal e-posta, dosya paylaşım ya da yönetim panelinizin giriş ekranında binlerce çifti sırayla dener.
Çalışanınız iş adresini kişisel bir sitede de kullanmış ve aynı parolayı seçmişse bot bir noktada doğru çifte denk gelir. Giriş başarılı olduğunda saldırgan meşru bir kullanıcı gibi görünür; şifreli bağlantı, doğru parola ve normal bir oturum vardır. OWASP'ın credential stuffing tanımı da bu saldırıyı otomatik hesap ele geçirme türü olarak sınıflandırır ve asıl nedenin parola tekrarı olduğunu vurgular.
Credential stuffing, brute force ve parola püskürtme farkı
Bu üç saldırı sık karıştırılır; savunmaları da farklı ağırlıktadır.
| Saldırı | Ne denenir? | Neye dayanır? | En etkili önlem |
|---|---|---|---|
| Credential stuffing | Başka siteden sızmış gerçek kullanıcı adı ve parola çiftleri | Parola tekrarı | Benzersiz parola, MFA, girişte bot ayıklama |
| Kaba kuvvet (brute force) | Tek hesapta çok sayıda olası parola | Kısa ve basit parola | Uzun parola, deneme sınırı, kilitleme |
| Parola püskürtme (password spraying) | Çok hesapta birkaç yaygın parola | Tahmin edilebilir parola | Yasaklı parola listesi, MFA |
Credential stuffing'i ayıran nokta, hesap başına deneme sayısının çok düşük olmasıdır. Bir hesaba bir ya da iki kez girilmeye çalışıldığı için klasik "beş hatalı denemede kilitle" kuralı çoğu zaman tetiklenmez.
Credential stuffing şirketlere neye mal olur?
Kimlik saldırıları artık siber olayların ana kapısıdır. Microsoft Digital Defense Report 2025 verilerine göre kimlik saldırılarının %97'sinden fazlası parola saldırısıdır ve oltalamaya dayanıklı MFA bu saldırıların %99'undan fazlasını durdurabilir.
Verizon 2026 Data Breach Investigations Report çalıntı kimlik bilgisi kullanımını ihlallerin %36'sında görülen bir eylem olarak kaydeder. Sophos'un The State of Identity Security 2026 araştırmasına göre ise ankete katılan kurumların yalnızca %24'ü olağan dışı giriş denemelerini sürekli izliyor.
Ele geçirilen bir kurumsal posta kutusu; sahte fatura göndermek, müşteri yazışmalarını okumak ve diğer çalışanlara oltalama maili atmak için kullanılır. Kişisel veri içeren bir kutuya yetkisiz erişim, KVKK'nın 12. maddesindeki veri güvenliği yükümlülüğü açısından bir veri ihlali olarak değerlendirilebilir; bildirim süreci KVKK veri ihlali 72 saat rehberinde anlatılıyor.
Bir credential stuffing saldırısı nasıl fark edilir?
Saldırının izleri çoğunlukla giriş kayıtlarındadır. Şu işaretleri haftalık olarak gözden geçirin:
- Kısa sürede çok sayıda farklı kullanıcı adıyla yapılan başarısız giriş denemeleri.
- Var olmayan ya da yıllar önce kapatılmış kullanıcı adlarına giriş denemeleri.
- Alışılmadık ülkelerden ya da çok sayıda farklı IP adresinden gelen istekler.
- Çalışanların "parolamı değiştirmedim ama oturumum kapandı" ya da "tanımadığım bir cihazdan giriş bildirimi aldım" şikâyetleri.
- Posta kutusunda kimsenin kurmadığı yönlendirme kuralları.
Son iki belirti hesabın zaten ele geçirildiğini gösterebilir. Bu durumda ilk saatlerde yapılacaklar mail hesabı ele geçirildi: ilk 24 saat yazısında adım adım sıralanmıştır.
Credential stuffing nasıl önlenir? 7 adımlık plan
Tek bir önlem yeterli değildir; aşağıdaki adımlar birbirini tamamlar.
- Parola tekrarını bitirin. Her çalışan iş hesapları için benzersiz ve uzun bir parola kullanmalı; bir parola yöneticisi bunu pratik hâle getirir. Kurallar ve örnek politika için kurumsal parola güvenliği rehberine bakın.
- Çok faktörlü kimlik doğrulamayı açın. Doğru parola tek başına yetmediğinde credential stuffing büyük ölçüde etkisizleşir. Yöntem seçimi iki adımlı doğrulama (MFA) yazısında; kısa tanım sözlükte MFA maddesinde.
- Giriş ekranında botları ayıklayın. İnsan doğrulaması, IP ve hız sınırlaması ile cihaz sinyalleri, isteğin bir insandan mı yoksa bir betikten mi geldiğini ayırt eder.
- Parola sayısını azaltın. Her uygulamanın ayrı parolası, tekrar riskini büyütür. Tek kimlikle giriş (tek oturum açma (SSO)) hem parola sayısını hem de saldırı yüzeyini küçültür.
- Oturumları görünür ve kapatılabilir yapın. Hangi cihazda açık oturum olduğunu görmek ve şüphede hepsini tek işlemle kapatmak, ele geçirilmiş bir parolanın ömrünü kısaltır.
- Ayrılan çalışanların erişimini aynı gün kapatın. Kapatılmamış eski hesaplar, kombo listelerindeki parolalar için hazır hedeftir; kontrol listesi işten ayrılan çalışanın tüm hesapları yazısında.
- Çalışanları bilgilendirin. Kişisel hesaplarda yaşanan bir sızıntının iş hesabını da tehdit ettiğini anlatın; parolaların çoğu zaman oltalama mailleriyle toplandığını hatırlatın.
Önceliği belirlemek için önce kurumda kaç farklı giriş ekranı ve kaç ayrı parola olduğunu listeleyin. Genel güvenlik tablosu için KOBİ siber güvenlik kontrol listesi iyi bir başlangıçtır.
Smart360 ile credential stuffing riski nasıl azalır?
Smart360, SmartMail, SmartFiles, SmartOperator ve SmartPass'i tek panelden yönetilen bir ekosistemde birleştiren kurumsal uygulama ailesidir. Credential stuffing açısından önemli olan, saldırının hedeflediği üç noktayı (giriş ekranı, parola sayısı ve açık oturumlar) yapısal olarak daraltmasıdır.
- Girişte bot ayıklama: Smart360 Security, kurum paneli girişini ve SmartMail ile SmartFiles giriş ekranlarını otomatik bot trafiğine karşı korur. Her girişte insan doğrulaması yapılır ve doğrulama tamamlanmadan giriş isteği sunucuya ulaşmaz; parola deneme saldırıları bu katmanda durdurulur.
- Tek kimlik (SmartID): Çalışan tüm ürünlere tek parolayla girer ve ürünler arasında yeniden giriş yapmadan geçer; ürün başına ayrı parola tutulmaz. Posta kutusu parolalarını sistem üretir, şifreli saklar ve çalışanlara dağıtmaz; ortak kutuya erişim bir parola değil bir izindir.
- Merkezi oturum yönetimi: Açık oturumlar cihaz bilgisiyle listelenir; tek bir cihaz ya da diğer tüm cihazlar uzaktan kapatılabilir. Parola değiştiğinde tüm cihazlardaki oturumlar kapanır.
- Tek yerden erişim kapatma: Kurumdan ayrılan kişinin erişimini yönetici, kaç ürün kullandığından bağımsız olarak tek yerden kapatır.
Senaryo: Bir mali müşavirlik bürosunda bir çalışan, aylar önce sızan bir alışveriş sitesinde iş adresini ve aynı parolayı kullanmış. Bot, bu çifti büronun e-posta giriş ekranında dener; Smart360 Security insan doğrulaması tamamlanmadığı için isteği sunucuya iletmez. Yönetici yine de önlem olarak çalışandan SmartID parolasını değiştirmesini ister; parola değiştiği anda telefondaki ve evdeki bilgisayardaki oturumlar da kapanır. muhasebe@ kutusunun parolası zaten hiç kimseye verilmediği için ortak kutular için ayrıca parola değiştirmek gerekmez.
Ürün ayrıntıları Smart360 ürün sayfasında; e-posta tarafındaki gelen mail denetimleri ise SmartMail sayfasında yer alıyor.
Digital Bridge nasıl yardımcı olur?
Digital Bridge, credential stuffing riskini yalnızca yazılımla değil, süreçle birlikte ele alır. Siber güvenlik danışmanlığı kapsamında zafiyet taraması ve sızma testiyle internete açık giriş ekranlarını ve zayıf kimlik doğrulama noktalarını tespit eder, bulguları risk sırasıyla ve her biri için düzeltme adımıyla raporlar; çalışanlara yönelik farkındalık eğitimiyle parola tekrarı ve oltalama riskini de ele alır.
Smart360'a geçişte alan adı ve DNS kayıtları, posta kutuları, yetkiler ve depo alanları Smart360 ekibinin rehberliğinde yapılandırılır. Mevcut sistemlerle birlikte çalışma ve geçiş takvimi için iletişim sayfamızdan görüşme isteyebilirsiniz.
Sonraki adım nedir?
Bu hafta üç işe başlayın: giriş kayıtlarında başarısız deneme yoğunluğuna bakın, iş hesaplarında MFA'yı açın ve kurumdaki ayrı parola sayısını çıkarın. Konuyla ilgili tüm yazılar Güvenlik ve KVKK rehberimizde bir arada.
Parola sayısını tek kimliğe indirip girişleri bot doğrulamasıyla korumak istiyorsanız Smart360'ı satın almak için Smart360 satın alma sayfasını kullanabilirsiniz; ürünü önce incelemek isterseniz Smart360 sayfamıza göz atın.