biri microsoft accountuma girmeyi onlarca defa denemiş.

[czorgormez]

Unusual sign-in activity başlıklı bi mail geldi, önce kesin phishing bu dedim ama baktım domainler vs herşey microsofta ait. bi girip bakayım dediğimde recent login activity sayfasında dünden beri amerikadan bir hesabın onlarca defa giriş denemesi yaptığını ve son bir tanesinde denk getirdiğini gördüm. zaten bunu şüpheli olarak işaretlemiş. bu ben değilim seçtikten sonra şifremi daha önce hiç kullanmadığım bir şifre ile değiştirip 2FA aktif ettim. open sessionlara baktığımda benden başka birini de göremedim.

belli ki bir güvenlik açığı oluşmuş. çünkü en fazla 20-30 denemede şifreyi tutturmuş demek rastgele denemiyor. tabi hangi şifreleri denediğini bilemiyorum ama elinde benimle ilgili bir liste olmalı burası ilginç. muhtemelen patlayan yemeksepeti-hepsiburada vs gibi sitelerin aldığı databaseleri kullanıyor ama 20 deneme yaptığına göre elinde 20 tane benim mail adresimle ilgili güvenlik açığı mı var ?

onedrive, outlook vs microsoftla ilgi başha hiçbir servisi kullanmıyorum.

- yapmam ve kontrol gereken başka bir ektra güvenlik önlemi var mıdır ?
- bir de biri microsoft accountunu hackleyerek ne elde edilebilir ?

 

[JKramer]

Bütün şifreleri değiştirmeniz, kullanmıyorsanız da şifre yöneticisi bir program kullanmanız lazım. Böylece aynı şifreyi birden fazla yerde kullanmamış olursunuz.

Bunun dışında microsoft hesabınıza ait e-postayı (şifreden değil, e-posta adresinin kendisinden bahsediyorum) başka yerlerde kullanmamak lazım.

 

[mikron24]

Muhitinizden biridir.
Amerika'dan denememiştir. Proxy nedeniyle ip adresi öyle görünmüştür.

 

[Gokrtl]

Son zamanlarda bunu çok deniyorlar.
Ben mümkün olan her yerde iki adımlı doğrulama kullanıyorum.
İki ayrı şifre kullanıyorum.
Gmail ve hotmail gibi maillerim farklı şifre. Diğer platformlara üye olurken kullandığım şifre farklı.
Gmailimi kıramayan diğer platformlara da pek erişemiyor. Her türlü iki adımlı doğrulamada takılıyor.

 

[Andromeda]

İki adımlı doğrulamada posta hesabına girerken şifreden sonra telefona kod gelmesi gerekmiyor mu..? şifre ile doğrudan girebiliyorum.
neden böyle?

 

[czorgormez]

gmailim ve birçok hesabım 2FA ile korunuyor. benim anlamadığım microsoft hesabına erişerek ne elde edebilir. reddit'de bu konu epey tartışılmış bu durumda olan çok kullanıcı var.

ayrıca ya sen microsoft aynı lokasyondan onlarca başarısız login denemesi var. neden hesap çalınana kadar bekliyorsun. baktın 5 deneme başarısız login bloke et 1 saat baktın gene aynı yerde başarısız deneme var 6 saat bloke et. bu konuda mail at vs. herşey geçtikten sonra neden mail atıyorsun.

güvenlik konusunda ms kadar saçma firma görmedim.

 

[Ahmet]

gmailim ve birçok hesabım 2FA ile korunuyor. benim anlamadığım microsoft hesabına erişerek ne elde edebilir. reddit'de bu konu epey tartışılmış bu durumda olan çok kullanıcı var.

ayrıca ya sen microsoft aynı lokasyondan onlarca başarısız login denemesi var. neden hesap çalınana kadar bekliyorsun. baktın 5 deneme başarısız login bloke et 1 saat baktın gene aynı yerde başarısız deneme var 6 saat bloke et. bu konuda mail at vs. herşey geçtikten sonra neden mail atıyorsun.

güvenlik konusunda ms kadar saçma firma görmedim.

Mevzu çok farklı aslında,
ms gibi köklü olarak hayatına entegre olmayı hedeflemiş bilişim şirketlerinde senin hakkında binlerce satır bilgi bulunuyordur.

Kendimden örnek vereyim;
Banka kartım, ev,iş,gittiğim tamircinin adresi,
Binlerce fotoğraf,ekran görüntüsü,
Oyun konsolumu açtığım kapattığım saatler,
Bilgisayarımı açtığım kapattığım saatler,
İnternet geçmişim.

Bunlara kötü niyetli birinin erişmesi belki sizi sosyal hayatınızdan tamamen izole edebilecek kadar ciddi şeyler.

Maaşınız yattığı anda hepsinin yok olduğunu düşünün.

Buna çözüm olarak 2fa, sanal kart(her banka bunu destekler ihtiyacınız kadar para aktarıp kullanırsınız. Ama bir otomatik ödeme rahatlığı var şifrketlerin oluşturduğu ben bunu garanti bankası ile şöyle çözdüm. Belirlenen tarih ve saat'de sanal kartıma o dijital ürünü alabilecek kadar para transferini otomatik yaptırıyorum böylelikle unutmak gibi bir derdim kalmıyor tavsiye ederim.
zorunlu olmadıkça olmayan bir isim olmayan bir soyad, mutlaka !?:,&€%()\ içeren şifreler kullanmak.

Bir brute force veya veri tabanı kopyalayan yazılımın bu karakterlerin tamamını destekliyor olması ve check listine ekleyebiliyor olması gerekir.
Oldu da destekledi 2fa engelini geçmesi geçse bile size en minimal zararı verebilmesi gerekir.