Gelen kutusu baştan herkese açık
Bu siteler telefon numaralarını yayımlıyor ve gelen her mesajı açık bir web sayfasında gösteriyor. Sayfayı açan herkes, yeni hesabınızın kilidini açan kod dahil, sizin gördüğünüz mesajları aynı anda görüyor.
Araştırmacılar bunu ölçtü. İlk olarak 2016’da IEEE Security & Privacy’de sunulan, 2018’de ACM TOPS’ta genişletilen hakemli bir çalışma, herkese açık online SMS ağ geçitlerine 28 ay boyunca gelen 900.000’den fazla mesajı inceledi. Servislerin hassas güvenlik mesajlarını bu şifresiz kanaldan gönderdiğini, tek kullanımlık kodların kolay tahmin edilebildiğini ve bu ağ geçitlerinin çoğunlukla doğrulanmış telefon numarası isteyen hesap kurallarından kaçmak için kullanıldığını buldu.
Bir numarayı pek çok yabancı paylaşıyor
2023 tarihli bir çalışma, 29 herkese açık sitedeki 17.141 tek kullanımlık numarayı 12 ay boyunca izledi; 200’den fazla servis için gönderilmiş 70 milyonu aşkın mesajı kapsadı. Bu ekosistemin dünya genelinde sahte hesap açmayı ve hesaplara izinsiz erişimi desteklemek için kullanıldığı sonucuna vardı.
Sizin açınızdan bunun anlamı şu: açtığınız hesap, telefon numarasını tanımadığınız insanlarla paylaşıyor.
Kodu okuyan, hesabı da alabilir
Doğrulama kodu bir anahtardır. ABD Federal Ticaret Komisyonu (FTC) bunu açıkça söylüyor: hesap doğrulama kodunuzu sizden isteyen herkes dolandırıcıdır. Herkese açık bir gelen kutusunda kimsenin istemesine bile gerek yok.
Risk kayıttan sonra da bitmiyor. Telegram, numara kimdeyse hesabın da onda olduğunu söylüyor; bir servis SMS koduyla giriş yapmanıza ya da hesabı kurtarmanıza izin veriyorsa, aynı herkese açık numarayı sonradan okuyan herkes yeni bir kod isteyebilir. LINE daha da ileri gidiyor: zaten bir LINE hesabına bağlı olan bir numarayla kayıt olmak, eski hesabı siliyor.
Geri dönüştürülen numaralar eski hesapları taşır
Özel numaralar bile yeniden kullanılıyor. Princeton araştırmacıları 200 geri dönüştürülmüş numara edindi ve bunların 19’unun bir hafta içinde önceki sahiplere gönderilen güvenlik kodlarını almaya devam ettiğini buldu. Herkese açık kutulardaki numaralar zaten bilerek paylaşılıyor; yani aynı sorun bu sitelerin yapısında var.
Size ait olmayan bir kodu ya da hesabı asla kullanmayın.
SMS tek anahtarınız olarak kalmasın
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), SMS mesajları şifrelenmediği için SMS’in ikinci doğrulama adımı olarak kullanılmamasını öneriyor. Bazı servislerin hesap kurtarmada SMS’e geri döndüğünü belirtiyor ve bir doğrulayıcı uygulama kurulduktan sonra her hesapta SMS’in kapatılmasını tavsiye ediyor.
Hangi numarayla doğrulama yaparsanız yapın (ücretsiz, ücretli ya da kendi numaranız), hesap kurulur kurulmaz girişi bir doğrulayıcı uygulamaya veya geçiş anahtarına taşıyın ve kontrolünüzde olan bir kurtarma e-postası ekleyin.
Özel tek kullanımlık numara nerede farklı, nerede değil
DualLine tek kullanımlık numarası tek bir deneme için sizin siparişinize ayrılır ve kod yalnızca DualLine hesabınızda görünür. Kredinizle ödenir; kod gelmezse kredi bakiyenize otomatik olarak geri döner.
Yine de geçicidir. Kod geldikten ya da süre dolduktan sonra numara bırakılır ve ileride başka biri kullanabilir; hiçbir servis de onu kabul etmek zorunda değildir. Onu tek bir doğrulamayı tamamlamanın yolu olarak görün, sonra hesabınızı yukarıda anlatıldığı gibi güvenceye alın.
| Soru | Ücretsiz herkese açık SMS sitesi | DualLine tek kullanımlık numara |
|---|---|---|
| Kodu kim okuyabilir | Sayfayı açan herkes | Yalnızca siz, DualLine hesabınızda |
| Numarayı başka kim kullanıyor | Pek çok yabancı, çoğu zaman aynı anda | Bu deneme için sizin siparişinize ayrılır |
| Denemenizden sonra | Numara ve mesajları herkese açık kalır | Bırakılır; ileride yeniden kullanılabilir |
| Maliyet | Ücretsiz | Ödemeden önce uygulamada görünür |
| Kod gelmezse | Ödeme yapılmamıştır | Kredi bakiyenize otomatik olarak geri döner |
| Servisin kabul etmesi | Garanti değil | Garanti değil |
Yanınıza alacağınız kontrol listesi
- Herkesin açabildiği bir sayfadaki kodu asla kullanmayın.
- Önemsediğiniz bir hesabı herkese açık numarayla açmayın.
- Sunuluyorsa e-posta, geçiş anahtarı ya da doğrulayıcı uygulamayı tercih edin.
- Geçici bir numara kullandıktan sonra doğrulayıcı uygulama ya da geçiş anahtarı kurun.
- Kontrolünüzde olan bir kurtarma e-postası ekleyin.
- Size ait olmayan bir kodu ya da hesabı asla kullanmayın.
Sık sorulan sorular
Ücretsiz SMS sitesinde kodumu gerçekten başkaları görebilir mi?
Evet. Gelen kutusu baştan herkese açık: sayfayı açan herkes, kodunuz dahil aynı mesajları görür.
Ücretli geçici numara tamamen güvenli mi?
Sizde kalmayan hiçbir numara tamamen güvenli değildir. Özel tek kullanımlık numara kodu başkalarından uzak tutar, ama numara sonrasında bırakılır ve yeniden kullanılabilir. Hesabınızı geçiş anahtarı, doğrulayıcı uygulama ya da kurtarma e-postasıyla güvenceye alın.
Bazı servisler bu numaraları neden reddediyor?
Araştırmalar, herkese açık numaraların çoğunlukla doğrulanmış numara isteyen kurallardan kaçmak ve sahte hesap açmak için kullanıldığını gösterdi. Viber, LINE ve Microsoft gibi bazı servisler de sanal numaraları tamamen reddediyor.
Daha önce herkese açık bir numara kullandım. Şimdi ne yapmalıyım?
Hesabın telefon numarasını kontrolünüzde olan bir numarayla değiştirin, doğrulayıcı uygulama ya da geçiş anahtarı kurun, kurtarma e-postası ekleyin ve hesapta hangi cihazların oturum açtığına bakın.
Kaynaklar ve destek
Bu sayfadaki rakamlar aşağıda listelenen hakemli araştırmalardan ve ABD kamu kurumlarının rehberlerinden geliyor. DualLine ile karşılaştırma, tek kullanımlık kodların uygulamada nasıl çalıştığını anlatıyor.
- Reaves et al. — Sending Out an SMS (IEEE S&P 2016)
- Reaves et al. — Characterizing the security of the SMS ecosystem with public gateways (ACM TOPS 2018)
- Moreno et al. — Your Code is 0000: the disposable phone numbers ecosystem (TMA 2023)
- Princeton CITP — Phone number recycling risks
- US FTC — What’s a verification code and why would someone ask me for it?
- US CISA — Mobile Communications Best Practice Guidance
- Telegram FAQ — My phone was stolen
- LINE Help — Creating a new LINE account