Siber Güvenlik 2026: Serbest meslek sahibi hesabınızı nasıl korur?

E-posta kutunuz, Amazon veya Etsy hesabınız, online bankacılığınız — bugün işiniz budur. Bir saldırgan bu kanallara sızarsa, en kötü senaryoda geçiminiz tehlikeye girer. 2026'da phishing yeni bir düzeye ulaştı: Almanya'nın Federal Bilgi Güvenliği Ofisi BSI'a göre mesajlar artık çoğunlukla yapay zekâyla üretiliyor ve yazım hatalarından ayırt edilmesi neredeyse imkânsız. Bu yazı, serbest meslek sahibi ya da küçük işletme olarak makul çabayla nasıl etkili korunacağınızı gösterir.

İçindekiler

• Serbest meslek ve KOBİ'ler neden bugün özellikle hedefte?
• Yeni phishing dalgası: 2026'da ne fark var?
• Örnek: Etsy hesabı birden bire elden çıktığında
• Her serbest çalışanın hemen uygulayabileceği beş koruma önlemi
• Phishing'i tanımak: 2026'nın pratik kuralı
• Olduysa: İlk 24 saat
• Sıkça sorulan sorular
• Sonuç

Serbest meslek ve KOBİ'ler neden bugün özellikle hedefte?

BSI, Almanya'da BT güvenliğinden sorumlu federal otoritedir. 2025 durum raporunda küçük ve orta ölçekli işletmeleri özellikle risk altında sayıyor: Almanya'da bildirilen fidye yazılımı olaylarının yaklaşık yüzde 80'i KOBİ'leri vurdu, ekseriyetle klasik phishing veya şifreleme kampanyalarıyla.

Nedeni nadiren isteksizliktir, daha çok zaman yokluğudur. Günlük işin yanında fatura yazan, siparişleri yöneten ve müşterilere yanıt veren bir serbest çalışanın ayrı bir BT bölümü yoktur. Saldırganlar tam buraya yükleniyor. BSI ve ProPK'nın 2026 Siber Güvenlik Monitörü'ne göre Almanya'daki internet kullanıcılarının yaklaşık her dokuzdan biri geçen yıl siber suçtan mağdur olduğunu belirtiyor. Phishing ve yetkisiz hesap erişimi en sık görülen olaylar arasında.

Bu sizin için ne anlama gelir? Büyük müşterileriniz olmasa da kârlı bir hedefsiniz — çünkü pazar yeri hesaplarınız, banka erişimleriniz ve e-posta kutularınız somut parayı temsil eder.

Yeni phishing dalgası: 2026'da ne fark var?

Phishing e-postaları eskiden dökük Almanca ve garip gönderici adresleriyle tanınırdı. O dönem bitti. Metinler artık çoğunlukla yapay zekâyla üretiliyor, müşteri hizmetleri gibi geliyor ve sektörünüze özgü şekilde yazılıyor. 2025/2026 sektör anketleri yapay zekâ üretimi phishing e-postalarının yüzde 80 civarı olduğunu söylüyor — klasik uyarı sinyalleri yok.

Buna ek olarak BSI'ın Federal Anayasayı Koruma Dairesi BfV ile birlikte uyardığı yeni saldırı yolları var. 6 Şubat 2026'da iki kurum, Signal gibi mesajlaşma servisleri üzerinden phishing konulu ortak güvenlik bildirisi yayımladı ve 17 Nisan 2026'da güncelledi. Özelliği: Saldırganlar teknik bir zafiyetten yararlanmıyor, meşru işlevleri — örneğin ek bir cihazı bağlama — sosyal mühendislikle birleştiriyor. Sahte bir QR koduna tıklayan, yabancılara sohbet geçmişini açmış olur.

Pazar yeri hesapları paralelde klasik phishing ile saldırıya uğruyor: ekli sahte «alıcı mesajları», giriş bağlantısı içeren sahte engelleme uyarıları veya marka ihlali iddialarıyla satıcı kimlik bilgilerinizi girmenizi sağlamaya çalışan tuzaklar.

Örnek: Etsy hesabı birden bire elden çıktığında

Sabine'i düşünün, yan iş olarak Etsy satıcısı. Özel Gmail kutusuna sahte bir alıcı mesajı düşüyor: «Hasar fotoğrafını görün, yoksa iade.» Eki açıyor — tam Etsy'ye benzeyen bir giriş sayfası. Parolasını giriyor. Saatler sonra hesap ele geçirilmiş, ödeme IBAN'ı değiştirilmiş. Devam eden üç sipariş yabancı bir hesaba aktarılıyor, Sabine kargo masraflarıyla baş başa kalıyor.

Önleyebilecek üç şey: Etsy hesabında iki faktörlü doğrulama, e-posta adresine ayrı parola ve e-postalardaki giriş bağlantılarına karşı sağlıklı bir güvensizlik. Şimdi tam buna bakıyoruz.

Her serbest çalışanın hemen uygulayabileceği beş koruma önlemi

1. Mevcut her yerde iki faktörlü doğrulama

BSI, online hizmet imkân verdiğinde tüketicilere iki faktörlü doğrulamayı (2FA) her zaman kullanmalarını öneriyor. Parolayı bilen biri, ikinci faktör olmadan hesaba giremez. Tercih edilen, doğrulayıcı uygulamalar (zaman temelli kodlar) veya FIDO2 standartlı donanım anahtarlarıdır. SMS kodları hiç yoktan iyidir, ancak saldırıya açıktır.

2FA'yı en az şunlar için açın: e-posta kutusu, online bankacılık, her pazar yeri hesabı (Amazon Seller, eBay, Etsy, Otto, Kaufland, Shopify), bulut depolama ve muhasebe yazılımı.

2. E-posta hesabınızı kasa gibi koruyun

E-posta kutunuza erişen, hemen hemen her başka serviste «parolamı unuttum» tetikleyebilir. Üç kural: başka hiçbir yerde kullanmadığınız uzun ve benzersiz bir parola, e-posta hesabında 2FA ve ideal olarak künyenizde açıkça yer almayan ayrı bir kurumsal kutu. Hassas girişler için müşteri yanıtlarından farklı bir kutu.

3. Otomatik güncellemeler ve parola yöneticisi

Güncellemeler güvenlik açıklarını kapatır, bu nedenle «iş bitince yaparız» listesinde değil, otomatik olmalı. İşletim sistemi, tarayıcı, tüm uygulamalar. Bir parola yöneticisi 50 farklı parolayı aklınızda tutma yükünü kaldırır ve her hesabın gerçekten kendine ait bir parolası olmasını sağlar.

4. 3-2-1 kuralına göre yedekler

Önemli verilerinizin üç kopyası, iki farklı ortamda, biri ayrı yerde (örneğin şifreli bir bulut depolama). Düzenli yedekleme fidye yazılımlarına karşı çok daha iyi koruma sağlar — en kötü senaryoda bile faturalar, fişler ve ana veriler kaybolmaz. Belge arşivi değişmez kalıcı bir bulut uygulaması burada pratik bir yapı taşıdır.

5. BSI BT acil durum kartını yazdırın

BSI, BT Acil Durum Kartı'nı yangın talimatları gibi ofise asılacak şekilde ücretsiz sunar; üzerine acil durum numarası (örneğin BT sağlayıcınız) ve kısa kurallar yazılır. Bir önlemler kataloğu ve TOP 12 listesi de eşlik eder. Maliyeti yoktur ve acil durum gelmeden sizi bir kez düşünmeye zorlar.

Bu sizin için ne anlama gelir? Bu beş madde teori değil — 1–2 saatte uygulanır ve BSI'ın 2026'da gördüğü en sık saldırı desenlerini kapsar.

Phishing'i tanımak: 2026'nın pratik kuralı

Klasik işaretler işe yaramadığı için 2026'da basit bir kural geçerli: bir e-postadaki veya mesajlaşmadaki bağlantı üzerinden asla giriş yapmayın. Amazon uyarıyorsa Amazon'u tarayıcı yer iminden açın. Bankanız ararıyorsa, kartınızın arkasındaki resmi numarayı geri arayın. Signal'da biri «ek bir cihaz» bağlatmak isterse — reddedin, BSI tam bunun için uyarıyor.

İki uyarı daha: baskı («sadece bugün», «hesap 24 saat içinde kapanır») ve alışılmadık ödeme yolları (hediye kartı, kripto, yabancı IBAN). Yıllardır gelişmeyen dolandırıcılık göstergeleridir.

Olduysa: İlk 24 saat

Hesabınız ele geçirilmişse hız her şeydir:

1. Etkilenen hizmetin parolasını değiştirin — artık mümkün değilse destekle iletişime geçin (resmi yardım sayfası, arama reklamlarından aramayın, oradan sahte hatlar çıkıyor).
2. Aynı e-posta veya aynı paroladan beslenen tüm hizmetlerin parolasını değiştirin.
3. 2FA'yı yeniden kurun, tüm aktif cihaz/oturumlardan çıkış yapın.
4. Maddi zarar varsa: bankayı bilgilendirin, polise şikâyet edin (çevrimiçi de mümkündür).
5. Üçüncü şahısların kişisel verisini kapsayan bir veri olayında: yetkili veri koruma kurumuna 72 saatlik bildirim süresini gözden geçirin.

BSI şirketlere BT Acil Durum Kartı ve TOP 12 listesi ile somut talimatlar sunar — panik anında önceden hazırlanmış her adım işe yarar.

Sıkça sorulan sorular

SMS ile 2FA yeterli mi?

Sadece paroladan iyidir, ama ideal değildir. SMS'ler söz konusu SIM swapping ile kesilebilir. BSI öncelikle doğrulayıcı uygulamaları ya da donanım anahtarlarını öneriyor. Yalnızca SMS sunulan yerlerde yine de etkinleştirin.

Donanım güvenlik anahtarı ne kadar?

Basit FIDO2 anahtarları birkaç ile birkaç onlu Euro aralığında. E-posta ve bankacılık için mantıklı bir yatırım, özellikle yüksek ödemeli pazar yeri hesapları yönetiyorsanız.

Amazon satıcı hesabım hacklendi, ne yapmalıyım?

Hemen resmi Seller Central üzerinden Amazon desteğiyle iletişime geçin, parolayı değiştirin, tüm ödeme bilgilerini kontrol edin, son günlerin satış ve yazışmalarını inceleyin. Paralelinde, yabancı bir IBAN girilmişse bankanızın kayıtlı bilgileri bloke etmesini isteyin.

Bir siber olayı bildirmek zorunda mıyım?

Kişisel müşteri verileri etkilenmiş olabilirse, genellikle KVKK/GDPR bildirim yükümlülüğü 72 saat içinde yetkili veri koruma otoritesine yansır. Üçüncü taraf etkisi olmayan saf kurumsal olaylar bildirilmek zorunda değildir, ancak sigorta için belgelenmelidir.

Parolaları düzenli olarak değiştirmeli miyim?

BSI katı «90 günde bir» kuralından vazgeçti. Önemli olan hizmet başına uzun ve benzersiz parolalar ve 2FA. Şüphe ya da bir hizmette veri sızıntısı olduğunda değiştirilir.

Sonuç

2026'da siber güvenlik serbest çalışan için bir konfor sorunu değil, bir iş temeli. Beş temel önlem — 2FA, düzgün e-posta yapısı, güncellemeler, yedekler, acil durum planı — az zaman alır ve BSI'ın gördüğü en sık saldırı desenlerine karşı korur. İş süreçlerini fatura, banka içe aktarımı ve ödeme eşleştirme ve belge arşivi şeklinde modern bir bulut çözümünde yöneten, kritik parolaların dağınık bir karmaşası yerine 2FA ile tutarlı şekilde korunabilen merkezi erişimlerden de yararlanır.

Pazar yerlerinde çok satış yapanlar, platformların hesap güvenliğiyle ilgili haberlerini de takip etmelidir — örneğin ücretler veya ödemeler değiştiğinde ya da TikTok Shop gibi yeni pazar yerleri kurulduğunda. Yerel hizmet sağlayıcılar — esnaf gibi — de yararlanır: bugün iyi yönetilen bir Google Business profili sağlam korunan bir Google hesabı gerektirir.

Kaynaklar

1. BSI — Almanya'da BT Güvenliği 2025 Durum Raporu
2. BSI / BfV — Ortak güvenlik bildirisi: mesajlaşmada phishing (6 Şubat 2026)
3. BSI Basın — Signal phishing'i güncellenmiş uyarı ve kılavuz (17 Nisan 2026)
4. BSI — Siber Güvenlik Monitörü 2026
5. BSI — KOBİ'ler için BT Acil Durum Kartı
6. BSI — İki Faktörlü Doğrulama
7. BSI — KOBİ'ler için Siber Güvenlik

Not: Bu yazı hukuki danışmanlık teşkil etmez. Somut bir siber saldırı veya KVKK/GDPR bildirim yükümlülüğü soruları için bir hukukçuya veya yetkili veri koruma otoritesine başvurun.