Mobil Bankacılık Uygulamalarında Güvenli Giriş Nasıl Yapılır
Kısa cevap: Mobil bankacılık uygulamasına güvenli giriş yapmak için üç şeyi kontrol etmeniz yeterli: uygulamayı yalnızca resmî uygulama mağazasından kurmak, girişte parola dışında ikinci bir doğrulama katmanı (SMS kodu, uygulama içi onay, parmak izi/yüz tanıma) kullanmak ve telefonun kendisini güncel, ekran kilitli ve temiz tutmak. Bunlar tamamsa, banka uygulaması bağlantıyı zaten şifreli kurar ve geri kalan risk büyük ölçüde sizin elinizdedir.
Neden telefonun kendisi bankadan daha kritik?
Çünkü banka tarafındaki şifreleme sizin müdahale alanınız dışında ve zaten güçlü. Saldırganın işine yarayan şey, sizin cihazınızda olup bitenler: ekran kilidi olmayan bir telefon, arka planda çalışan sahte bir uygulama, kaydedilmiş bir parola ya da SMS kodunu okuyabilen bir yazılım. Yani mobil bankacılık güvenliği aslında “telefon güvenliği” ile başlar.
Somut olarak şu üçü olmadan hiçbir şey yeterli değildir:
- Ekran kilidi: En az 6 haneli PIN veya parola. Dört haneli, doğum yılınıza benzeyen bir kod değil.
- Güncel işletim sistemi: Güncellemelerin çoğu güvenlik açığı kapatır; ertelemek doğrudan risktir.
- Bilinmeyen kaynaktan kurulum kapalı: Android’de “bilinmeyen kaynaklara izin ver” ayarı kapalı kalsın.
Uygulamanın gerçek olduğundan nasıl emin olurum?
Uygulamayı arama motorundan bulduğunuz bir bağlantı, e-posta eki ya da WhatsApp’tan gelen bir APK dosyası ile kurmayın. Sadece Google Play veya App Store üzerinden, bankanın adını yazarak arayın ve şunlara bakın:
- Geliştirici adı bankanın resmî tüzel adı mı?
- İndirme sayısı ve yorum sayısı bankanın büyüklüğüne uygun mu?
- Uygulama açıklamasında kırık Türkçe, garip yazım hataları var mı?
Zaten kurulu bir uygulamanız varsa, güncellemeyi de yine mağazadan yapın. “Uygulamanız güncel değil, buradan indirin” diyen SMS ve e-postalar tipik bir kimlik avı senaryosudur; bu konuyu sitede phishing saldırılarına ayrılmış bölümde daha ayrıntılı anlatıyoruz.
Girişte hangi doğrulama yöntemi daha güvenli?
Hepsi aynı seviyede değil. Kabaca en zayıftan en güçlüye doğru sıralamak gerekirse:
| Yöntem | Güç | Zayıf noktası |
|---|---|---|
| Sadece müşteri no + parola | Düşük | Parola sızarsa her şey biter |
| SMS ile tek kullanımlık kod | Orta | SIM kart dolandırıcılığı, bildirimlerin kilit ekranında görünmesi |
| Parmak izi / yüz tanıma | İyi | Cihaza bağlıdır; telefon başkasının elindeyse kısıtlı koruma |
| Uygulama içi onay (push) veya doğrulayıcı uygulama kodu | Yüksek | Onayı düşünmeden “kabul” etmek |
Bankanız birden fazla seçenek sunuyorsa, doğrulayıcı uygulama veya uygulama içi onayı tercih edin. İki katmanlı doğrulamanın mantığını hiç kurmadıysanız, iki faktörlü doğrulamayı anlattığımız rehber işe yarar bir başlangıç noktası.
Kilit ekranı bildirimleri neden sorun?
Telefonunuz kilitliyken gelen SMS’in içeriği ekranda görünüyorsa, telefonu masada gören biri doğrulama kodunu okuyabilir. Ayarlardan “kilit ekranında bildirim içeriğini gizle” seçeneğini açın. Bu tek dokunuşluk ayar, pek çok senaryoyu boşa çıkarır.
Parolamı uygulamada kayıtlı tutmam sorun mu?
Banka uygulamasında “beni hatırla” ile parolayı kayıtlı tutmak yerine, girişi biyometrik doğrulamaya bağlamak daha mantıklıdır: parola cihazın güvenli alanında saklanır, siz de her seferinde yazmak zorunda kalmazsınız. Parolanın kendisi ise başka hiçbir yerde kullanılmamış, uzun ve tahmin edilemez olmalı. Güçlü parola üretmeyi ve bunları bir parola yöneticisinde saklamayı anlattığımız yazılar bu noktada tamamlayıcıdır. Bankanın parolasını e-posta veya sosyal medya hesabınızla aynı yapmak, en sık görülen ve en pahalı hatalardan biridir.
Hangi ağdan giriş yapmalıyım?
Kendi mobil verinizden. Kafe, otel, havalimanı gibi yerlerdeki açık Wi-Fi ağları, ağ trafiğini izleyen ya da sahte bir ağ adıyla sizi kandırmaya çalışan kişiler için elverişli ortamlardır. Banka uygulaması bağlantıyı şifrelese bile, açık ağlarda başka riskler devreye girer. Zorunda kalırsanız VPN kullanmak yardımcı olur; ancak VPN’in ne yaptığı ve ne yapmadığı konusunda gerçekçi olmak gerekir — bu konuyu ayrı bir yazıda ele alıyoruz.
Giriş yaptıktan sonra nelere dikkat edeyim?
- Onay ekranını okuyun. Push bildirimi geldiğinde tutar, alıcı ve işlem türünü kontrol edin. “Ben bir işlem yapmıyordum” diyorsanız reddedin ve bankayı arayın.
- İşiniz bitince çıkış yapın. Uygulamayı sadece kapatmak yerine oturumu kapatın.
- Bildirimleri açık bırakın. Her harcamada bildirim gelmesi, sahte işlemi saatler değil saniyeler içinde görmenizi sağlar.
- Limit koyun. Günlük transfer ve temassız ödeme limitlerini kendi kullanımınıza göre düşürün.
- Telefon değiştirdiğinizde eski cihazı yetkisiz kılın. Bankalar genelde “kayıtlı cihazlar” listesi tutar; eski cihazı listeden silin.