GİB Portal ve e-Devlet 2FA kimlik doğrulamasında oltalama ve MFA yorgunluğu (MFA fatigue) riski var mı?

Evet, e-Devlet Kapısı ve GİB portalı girişlerinde kullanılan geleneksel iki faktörlü kimlik doğrulama (2FA) mekanizmaları, özellikle basit onay bildirimleri (push notifications) ve SMS tabanlı OTP yöntemleri, MFA Yorgunluğu (MFA Fatigue / Push Bombing) ve ters proxy tabanlı oltalama (AitM) saldırılarına karşı ciddi risk taşımaktadır. Uber, Cisco ve Lapsus$ vakalarında görüldüğü gibi, modern saldırganlar kimlik doğrulama protokollerinin kriptografik yapısını kırmak yerine insan faktörünün bilişsel zaaflarını hedef almaktadır.

• MFA Yorgunluğu (Push Bombing): Hedef alınan bir kurum yetkilisinin veya mali müşavirin T.C. kimlik numarası ve e-Devlet şifresi veri sızıntılarından veya oltalama ile ele geçirildiğinde, saldırganlar otomatik betiklerle gece yarısı arka arkaya yüzlerce giriş denemesi başlatır. Kullanıcının mobil cihazına sürekli 'Giriş Yapmak İsteyen Siz misiniz? - Onayla / Reddet' bildirimi yağdırılır. Kullanıcı uyku sersemliğiyle, telefonunun bildirim sesini susturmak amacıyla veya yanlışlıkla 'Onayla' butonuna bastığı anda saldırgan sisteme tam erişim kazanır.
• Ters Proxy / AitM (Evilginx2): Gelişmiş oltalama saldırılarında saldırganlar, sahte bir GİB giriş sayfası açarak trafiği gerçek e-Devlet sunucularına iletir. Kullanıcı SMS kodunu veya e-Devlet onayını bu sahte arayüz üzerinden tamamlasa dahi, aradaki saldırgan ters proxy üzerinden oturum çerezlerini (session cookies / SAML tokens) çalarak 2FA aşamasını tamamen etkisiz hale getirir.

Kamu kimlik yönetiminde ve kurumsal erişim politikalarında bu riskleri sıfırlamak için şu teknik çözümler zorunlu standart haline getirilmelidir:

1. Sayı Eşleştirme (Number Matching / Contextual Authentication): NIST SP 800-63B ve CISA yönergeleri doğrultusunda, basit 'Onayla' butonlu bildirimler derhal terk edilmelidir. Web ekranında rastgele iki basamaklı bir sayı (örneğin '68') gösterilmeli; kullanıcının mobil uygulamaya bu sayıyı elle tuşlaması istenmelidir. Bu yöntem, ekranı görmeyen ve uzaktan bildirim bombardımanı yaşayan bir kurbanın kazara onay vermesini imkansız kılar. Bildirimde ayrıca giriş yapılan şehir, IP adresi ve tarayıcı bilgisi açıkça sunulmalıdır.
2. FIDO2 / WebAuthn Donanım Anahtarları (Oltalamaya Karşı Kriptografik Koruma): YubiKey gibi FIDO2/WebAuthn donanım token'ları, origin-binding (alan adı kriptografik bağlama) teknolojisine sahiptir. Kullanıcı sahte bir phishing sitesine girse bile tarayıcı, donanım anahtarına sitenin gerçek domain adını iletir. Sahte domain ile beklenen domain eşleşmediği için kriptografik imza üretilmez; böylece Evilginx gibi AitM proxy'leri tamamen işlevsiz kalır.
3. Akıllı Kart Mikrodenetleyicileri (CCID) ve E-İmza Zorunluluğu: GİB ve kamu sistemlerine kurumsal girişlerde TÜBİTAK KamuSM onaylı Mali Mühür veya Nitelikli Elektronik Sertifika (NES) USB token'larının kullanımı en üst düzey korumayı sağlar. Akıllı kart mikrodenetleyicisi (CCID), fiziksel olarak kart okuyucuya takılmadan ve kullanıcının yerel PIN kodu girilmeden uzaktan tetiklenemez; bu da uzaktan push bombing saldırılarını mimari olarak engeller.

Güvenlik Operasyon Merkezleri (SOC) kimlik sağlayıcı loglarını anlık izlemelidir. Bir kullanıcı hesabı için 5 dakika içinde 3'ten fazla yanıtsız veya reddedilmiş push bildirimi üretildiğinde hesap otomatik olarak 30 dakika kilitlenmeli, SMS ve e-posta ile kullanıcıya güvenlik uyarısı iletilmeli ve SIEM üzerinde yüksek öncelikli 'Potential MFA Fatigue' alarmı oluşturulmalıdır.