Haziran 2025 ile Haziran 2026 arasındaki verileri inceleyen bir araştırma, tarayıcı çerezleri üzerinden gerçekleştirilen hesap ele geçirme riskinin boyutunu ortaya koydu. NordVPN araştırmacıları, dark web forumları ve Telegram üzerindeki suç pazarlarında satışa sunulan bilgi hırsızlığı kayıtlarında 52,4 milyardan fazla çerez tespit etti. Çerezlerin yalnızca küçük bir bölümü aktif durumdaydı ancak uzmanlar, özellikle aktif oturum çerezlerinin şifre ve çok faktörlü kimlik doğrulama sistemleri aşılmadan hesaplara erişim sağlayabileceği uyarısında bulundu.
Araştırmada reklam ve takip çerezlerinin sayıca en büyük grubu oluşturduğu belirlendi. Buna karşın güvenlik açısından asıl riskin, kullanıcının daha önce giriş yaptığını doğrulayan oturum çerezlerinden kaynaklandığı belirtildi.
TARAYICI ÇEREZLERİ NEDEN HEDEF HALİNE GELİYOR?
Çerezler, internet sitelerinin kullanıcı oturumlarını ve çeşitli tercihleri hatırlamasını sağlayan küçük veri dosyaları olarak kullanılıyor. Özellikle oturum çerezleri, kullanıcı giriş yaptıktan sonra her işlemde yeniden şifre sorulmasını engelliyor.
Picus Security'de güvenlik araştırma mühendisi Sila Özeren Hacıoğlu, oturum çerezinin sunucu açısından kullanıcının daha önce kimlik doğrulamasından geçtiğini gösteren bir kanıt olduğunu belirtti.
Hacıoğlu, "Bir şifreyle giriş yaptığınızda ve çok faktörlü kimlik doğrulamayı tamamladığınızda site, kim olduğunuzu tekrar sormayı bırakmak için bir oturum çerezi oluşturur. Saldırgan bu çerezi ele geçirir ve kendi tarayıcısından yeniden kullanırsa sunucu geçerli ve daha önce kimlik doğrulaması yapılmış bir oturum görür. Şifre yok, MFA istemi yok, geçiş anahtarı sorgulaması yok" dedi.
Bu nedenle güvenlik araştırmacıları arasında oturum çerezlerinin "yeni şifre" olarak değerlendirilmesi giderek daha fazla gündeme geliyor.
52,4 MİLYARDAN FAZLA ÇEREZ ANALİZ EDİLDİ
NordVPN araştırmacıları, bir yıl boyunca bilgi hırsızlığı yapan kötü amaçlı yazılımlardan elde edilen kayıtları inceledi. Haziran 2025-Haziran 2026 döneminde dark web forumlarında ve Telegram'daki suç pazarlarında satışa sunulan 52,4 milyardan fazla tarayıcı çerezi araştırmanın kapsamına alındı.
Çerezlerin büyük bölümünün reklam ve takip amacıyla kullanılan verilerden oluştuğu görüldü. Bu tür kayıtlar kullanıcıların çevrim içi davranışları hakkında bilgi sağlayabiliyor ancak çoğu durumda doğrudan hesap erişimi sağlamıyor.
Kimlik doğrulama çerezleri ise daha az sayıda bulunmasına rağmen farklı bir risk taşıyor. Aktif bir oturum çerezinin ele geçirilmesi halinde saldırgan, kullanıcının daha önce gerçekleştirdiği giriş işlemini yeniden kullanabiliyor.
NordVPN'den Domantas Lapinskas, çerezlerin bu ölçekte hedef alınmasının nedenlerinden birinin, bazı çerezlerin kullanıcıyı çevrim içi hesaplarında oturum açmış halde tutması olduğunu belirtti.
ŞİFRE DEĞİŞTİRMEK HER ZAMAN YETERLİ OLMAYABİLİR
Siber güvenlik araştırmacısı Adrian Cheek, oturum çerezlerinin ele geçirilmesi durumunda geleneksel hesap güvenliği adımlarından birinin etkisiz kalabileceğini söyledi.
Cheek, "Şifreyi değiştirmek çalınmış bir çerezin üzerinde hiçbir etki yaratmıyor. Oturum, açıkça iptal edilene veya kendiliğinden süresi dolana kadar aktif kalıyor" dedi.
Bu durum, saldırganın kullanıcı adı ve şifreyi bilmesine gerek kalmadan daha önce doğrulanmış bir oturumu kullanabilmesi anlamına geliyor. Özellikle e-posta, bulut depolama, bankacılık ve kurumsal yazılım hesaplarında aktif oturumların ele geçirilmesi daha geniş sonuçlara yol açabiliyor.
Security Everywhere CEO'su Francis West, çalınmış bir oturum çerezini daha önce okutulmuş bir giriş kartının ele geçirilmesine benzetti. West, tek bir zararlı yazılım bulaşmış cihazdan aynı anda çok sayıda aktif oturumun elde edilebildiğini ve bu verilerin suç pazarlarında satıldığını belirtti.
BİLGİ HIRSIZLIĞI YAPAN YAZILIMLAR NASIL ÇALIŞIYOR?
Araştırmacılara göre tarayıcı çerezlerinin büyük bölümü, doğrudan cihaz üzerinde çalışan bilgi hırsızlığı amaçlı kötü amaçlı yazılımlar aracılığıyla ele geçiriliyor.
Flare kıdemli siber suç araştırmacısı Adrian Cheek, bu yazılımların hızlı çalışabildiğini ve çoğu durumda yönetici yetkisine ihtiyaç duymadığını ifade etti. Tek bir çalıştırma sonrasında cihazdaki tarayıcı profilleri taranabiliyor.
Ele geçirilen bilgiler yalnızca çerezlerle sınırlı kalmıyor. Bilgi hırsızlığı kayıtlarında kayıtlı şifreler, otomatik doldurma verileri, internet geçmişi, yüklü yazılımlar, pano içerikleri ve saldırı sırasında alınan masaüstü görüntüleri de bulunabiliyor.
Bitdefender'dan Bogdan Botezatu ise sahte işe alım uygulamalarının ve kötü amaçlı yazılım içeren yazılım projelerinin özellikle teknik kullanıcıları hedeflemek için kullanıldığını belirtti. "ClickFix" olarak bilinen yöntemde ise sahte CAPTCHA ekranları üzerinden kullanıcıların tehlikeli komutları sistem terminalinde çalıştırmaları sağlanabiliyor.
Çerezler kötü amaçlı tarayıcı eklentileri, ele geçirilmiş internet siteleri ve gerçek giriş işlemini taklit eden kimlik avı sayfaları aracılığıyla da ele geçirilebiliyor.
ANTİVİRÜS YAZILIMLARI TEK BAŞINA KORUMA SAĞLAMIYOR
NordVPN araştırmasında, güvenlik yazılımı yüklü cihazlardan elde edilen çerezlerin de bulunduğu bildirildi. Güvenlik yazılımının tespit edilebildiği bilgi hırsızlığı kayıtlarının yüzde 96,3'ünde Windows Defender'ın adı yer aldı.
Comparitech'ten Paul Bischoff, antivirüs yazılımlarının birçok bilgi hırsızlığı türünü tespit edip kaldırabildiğini ancak kullanıcıların tamamen güvende olduğu anlamına gelmediğini söyledi.
ASC3ND Technologies Group'tan Deric Palmer da bilgi hırsızlığı yapan yazılımların kodlarını ve çalışma yöntemlerini değiştirerek güvenlik yazılımlarından kaçabildiğini belirtti. Palmer, antivirüsün yanı sıra işletim sistemi ve uygulamaların güncel tutulması, cihazların izlenmesi, tarayıcı güvenlik kontrolleri ve daha güvenli kullanıcı davranışlarının birlikte değerlendirilmesi gerektiğini ifade etti.
Zero Networks Teknoloji Direktörü Chris Boehm ise çalınan çerezlerin kullanılamaz hale getirilmesinin daha kalıcı bir çözüm olabileceğini savundu. Boehm, Chrome 146 ile sunulan Device Bound Session Credentials özelliğinin oturumları cihazdaki güvenli donanım anahtarlarına bağladığını, ancak bunun yaygınlaşması için internet sitelerinin de sistemi desteklemesi gerektiğini belirtti.
Siber güvenlik uzmanları, güçlü şifreler ve çok faktörlü kimlik doğrulamanın hâlâ hesap güvenliğinin temel unsurları olduğunu ancak giriş sonrasında oluşturulan aktif oturumların da korunması gerektiğini vurguluyor.