Epin Satış Paneline Kimse Zorla Girmiyor: Yetkisiz Erişimi Sen Fark Etmeden Aylarca Gizleyen Sessiz İzler ve Tespit Yöntemleri

Çoğu işletme sahibi panel güvenliğini bir kapı meselesi sanır: şifre güçlüyse kapı kapalıdır, kapı kapalıysa içeride kimse yoktur. Oysa dijital ürün satışında yaşanan olayların büyük kısmında kapı kırılmaz — kapı normal şekilde açılır, çünkü anahtar zaten karşı taraftadır. Sızmış bir personel şifresi, açık kalmış bir oturum, bir kere paylaşılmış bir API anahtarı. Sistem bunu "yetkili giriş" olarak kaydeder ve sen hiçbir alarm görmezsin.

İşin daha rahatsız edici tarafı şu: yetkisiz erişim genelde ilk gün büyük bir hasar bırakmaz. Bırakmaz, çünkü iz bırakmak istemez. Önce izler: hangi ürünler stokta, hangi saatlerde bakıyorsun, hangi bayi hangi limitle çalışıyor. Sonra küçük dokunur: bir kupon, bir manuel bakiye, bir iade kaydı. Fark edilmezse büyütür. Bu yazıda, bir e-pin satış scripti üzerinde yetkisiz erişimin bıraktığı sessiz izleri, bunları hangi kayıtlarda arayacağını ve fark etmeyi haftalardan dakikalara indiren erken uyarı kurgusunu adım adım açıyorum.

Yetkisiz erişim neden "hack" gibi görünmez de muhasebe hatası gibi görünür?

Panelinde bir gün şunu görürsün: bir siparişin teslim edildi ama ödeme kaydı yok. Ya da bir bayinin bakiyesi, yaptığın yüklemelerin toplamıyla tutmuyor. İlk tepki her zaman aynıdır: "script hata vermiş", "muhasebe yanlış girmiş", "sağlayıcı çift kesmiş". Saldırganın en büyük avantajı bu refleks. Çünkü yetkisiz erişimin ilk belirtisi bir hata mesajı değil, bir tutarsızlıktır.

Bu yüzden tespit çalışmasının başlangıç noktası güvenlik ekranı değil, mutabakattır. Günlük üç sayı birbirini tutmak zorundadır: tahsil edilen tutar, düşen stok adedi, oluşan sipariş kaydı. Bu üçlüden biri sapıyorsa ve sapmanın teknik bir açıklaması yoksa, o sapma bir izdir. Sağlam bir e-pin satış yazılımı bu üç sayıyı aynı ekranda karşılaştırabilmeni sağlar; sağlamayan bir kurulumda tutarsızlığı ancak ay sonunda görürsün, o da çoğu zaman çok geç olur.

Log dosyaları yalan söylemez ama sen doğru soruyu sormazsan konuşmaz

Elinde üç ayrı kayıt katmanı var ve her biri farklı bir hikâye anlatır. Web sunucusu erişim kaydı hangi IP'nin hangi yolu hangi saatte çağırdığını söyler. Uygulama kaydı hangi kullanıcının hangi işlemi yaptığını söyler. Veritabanı değişiklik kaydı hangi satırın ne zaman ne hâle geldiğini söyler. Yetkisiz erişim genelde ilk katmanda görünür, ikinci katmanda meşru durur, üçüncü katmanda ise çelişir.

Aramaya şu dört kalıpla başla: aynı hesabın kısa aralıkta iki farklı şehir veya otonom sistemden girmesi; yönetim yollarına gece saatlerinde gelen istekler; normalde sayfa gezinmeyen bir hesabın doğrudan uç nokta çağırması; başarısız girişlerin ardından gelen tek bir başarılı giriş. Bu kalıpların hiçbiri tek başına kanıt değildir, ama ikisi aynı zaman diliminde üst üste gelirse bu bir olaydır ve olay gibi ele alınmalıdır.

Oturum anomalisi nedir ve neden şifre değiştirmek yetmez?

Panelde en çok gözden kaçan konu oturumdur. Şifreni değiştirdiğinde saldırganın elindeki şifre geçersiz olur, ama elindeki aktif oturum çerezi çalışmaya devam ediyorsa hiçbir şey değişmez. Bu yüzden bir olay şüphesinde yapılacak ilk iş şifre değişimi değil, tüm oturumların topluca sonlandırılmasıdır.

Tespit tarafında ise şu sinyalleri izleyeceksin: aynı oturum kimliğinin farklı tarayıcı parmak iziyle kullanılması, oturumun beklenenden uzun yaşaması, yönetici oturumunun mobil ağdan sabit IP'ye ani geçişi. Ek olarak eşzamanlı oturum sayısına sınır koymak, tespit değeri en yüksek ve maliyeti en düşük önlemlerden biridir. İki kişilik bir ekipte aynı anda üç aktif yönetici oturumu varsa, açıklaması gereken biri vardır.

Bayi ve API tarafı: en sık ihmal edilen kör nokta

Yetkisiz erişim her zaman yönetici ekranından gelmez. Bayi hesapları ve entegrasyon anahtarları, saldırgan için çok daha sessiz bir yoldur, çünkü bu tarafta yapılan işlemler zaten "otomatik" olduğu için kimse tek tek bakmaz. Bir bayi anahtarı sızdığında görülen tipik desen şudur: alışılmış hacmin dışında ani bir sipariş kümesi, aynı ürünün üst üste çekilmesi, iade veya iptal talebinin hemen ardından yeni bir çekim.

Buna karşı üç kural işini görür. Birincisi her bayi anahtarına IP kısıtı koymak. İkincisi saatlik ve günlük hacim limiti tanımlamak; limit aşımı bir engel değil, bir alarmdır. Üçüncüsü anahtarları dönemsel olarak yenilemek. Bu üç kural kurulduğunda sızan bir anahtarın ömrü haftalardan saatlere düşer. Sistemin yetki ve limit tarafındaki yeteneklerini özellikler bölümünde gözden geçirmen, kendi kurgunu planlamak için iyi bir başlangıç olur.

Şüphe anında sırayı bozmak neden delili yok eder?

Bir şey fark ettiğinde ilk dürtü paniktir: sunucuyu kapatmak, hesabı silmek, logu temizlemek. Üçü de yanlıştır. Doğru sıra şudur: önce dondur, sonra kaydet, sonra kes, en son temizle. Dondurmak, aktif oturumları sonlandırmak ve şüpheli hesabı askıya almaktır. Kaydetmek, ilgili log dosyalarının ve veritabanı yedeğinin o anki hâlini ayrı bir yere kopyalamaktır — çünkü loglar döner ve birkaç gün sonra o kanıt yok olur.

Kesmek, anahtarları ve şifreleri toplu yenilemek, ödeme ve teslimat akışını geçici olarak elle onaya almaktır. Temizlemek ise en sona bırakılır; aksi hâlde saldırganın nasıl girdiğini asla öğrenemezsin ve aynı kapı açık kalır. Bir olayın en pahalı sonucu para kaybı değil, tekrar etmesidir. Aşağıdaki kontrol listesi bu sırayı tek tablo hâlinde tutar; olay anında bunu okumak, hatırlamaya çalışmaktan güvenlidir.

Yetkisiz erişim tespiti pahalı araçlarla değil, düzenli bakılan birkaç ekran ve net bir olay sırasıyla çözülen bir disiplindir. Kayıtları okunabilir, mutabakatı görünür, oturum ve limit kontrolü elinin altında olan bir panelde saldırganın saklanacak yeri kalmaz. Bu kayıtların pratikte nasıl göründüğünü merak ediyorsan canlı demo üzerinden işlem geçmişi, oturum yönetimi ve bayi limit ekranlarını inceleyerek kendi kontrol listeni bugün kurmaya başlayabilirsin.