Merhaba
Yıllardır güvenlik farkındalığı eğitimleri veriyoruz, NIST standartlarını anlatıyoruz, kullanıcılara “şifreni tekrar kullanma, MFA aç, password manager kullan” diyoruz. Peki neden hiçbir şey değişmiyor?
Texas A&M University’den çıkan yeni bir akademik çalışma (Examining User Behavior and Cognitive Biases in Personal Password Security, Crowe ve ark., 2026) tam da bu soruyu ele alıyor. Ve vardığı sonuç, 20 yılı aşkın süredir sistem ve güvenlik tarafında çalışan bizlerin sahada zaten gözlemlediği şeyi akademik olarak doğruluyor: Şifre güvenliğinin asıl sorunu bilgi eksikliği değil, insan psikolojisi.
Bu yazıda çalışmanın bulgularını paylaşacağım, ama kuru bir özet olarak değil. Her bulguyu, kurumsal ortamlarda gördüklerimle birlikte yorumlayacağım. Çünkü bu rakamlar bir öğrenci anketinden geliyor olsa da, altında yatan davranış kalıpları tam olarak enterprise ortamda da karşılaştıklarımız.
Önce dürüst bir uyarı: Bu bir öğrenci çalışması
Rakamlara geçmeden önce metodolojiyi netleştirelim, çünkü içeriği doğru çerçevelemek önemli. Çalışma 248 üniversite öğrencisiyle (18-25 yaş aralığı, tek şehir, tek üniversite, %61,7 kadın katılımcı) yapılmış bir survey. 35 sorudan oluşan anket, hem çoktan seçmeli hem açık uçlu sorular içeriyor. Yazarların kendisi de “Limitations” bölümünde sınırları açıkça belirtiyor: sonuçlar tüm topluma genellenemez, veriler self-reported (yani katılımcıların kendi beyanı, gözlem değil) ve örneklem dar.
Yani “%93 herkes şifresini tekrar kullanıyor” değil, “bu öğrenci grubunun %93’ü öyle beyan etti” demek. Bunu neden vurguluyorum? Çünkü sahada gördüğüm en büyük problem, bu tür çalışmaların sosyal medyada “araştırmalar gösteriyor ki” diye evrensel gerçek gibi paylaşılması. Rakamı doğru kaynağıyla ve sınırlarıyla vermek, içeriği zayıflatmaz, aksine güvenilir kılar. Şimdi bu çerçeveyle bulgulara bakalım.
Bulgular: Bildikleri ile yaptıkları arasındaki uçurum
Çalışmanın en çarpıcı yanı, “bilgi” ile “davranış” arasındaki tutarsızlık. Katılımcılar doğruyu biliyor ama yanlışı yapıyor.
| Davranış | Oran | Yorum |
|---|---|---|
| Şifresini birden fazla hesapta tekrar kullanan | %93,1 | Ankette en yüksek risk göstergesi |
| Kişisel bilgi kullanmanın güvensiz olduğunu bilen | %72,1 | Farkındalık yüksek… |
| …ama yine de kişisel bilgi kullanan | %57,2 | …davranış tam tersi |
| Password manager kullanmayan | %78,2 | Çözüm ortada, adoption düşük |
| Sızıntı takibi (leaked credential) yapmayan | %89,1 | En ihmal edilen alan |
| Auto-generated şifre kullanan | %12,5 | Güçlü şifrenin en kolay yolu, en az tercih edileni |
Bu tabloya ilk baktığımda aklıma kurumsal denetimlerde gördüğüm klasik tablo geldi: kullanıcıya “bu şifre zayıf” dediğinizde size hak verir, başını sallar, sonra Sirket2024! yazıp geçer. Bilgi orada; eyleme dönüşmüyor.
İdeal vs Gerçek: Aynı insan, iki farklı cevap
Çalışmanın en zekice yanı şu: katılımcılara hem ne yaptıklarını, hem de ne yapılması gerektiğini düşündüklerini ayrı ayrı sormuş. Aradaki fark, bilgi-davranış uçurumunu çıplak gösteriyor.
| Konu | “İdeal” olan (bilgi) | Gerçek davranış |
|---|---|---|
| Şifre uzunluğu | %35,1‘i 13-20 karakteri savunuyor | %82,6’sı 12 karakter veya altında |
| Şifre tekrarı | %54,2‘si “tekrar edilmemeli” diyor | %93,1’i tekrar ediyor |
| Kişisel bilgi | %72,1‘i “güvensiz” olduğunu biliyor | %57,2’si yine de kullanıyor |
Aynı insanların, aynı ankette verdiği cevaplar bunlar. Doğruyu tarif ediyor, tersini yapıyorlar. Sahada bunu her farkındalık eğitiminde görürüz: sınav yüzde yüz geçilir, davranış değişmez.
Şifre uzunluğu: NIST ne diyor, kullanıcı ne yapıyor?
Çalışma, NIST Special Publication 800-63B’yi referans alıyor: tek faktörlü (single-factor) sistemlerde minimum 15 karakter, MFA ile birlikte kullanıldığında 8 karakter yeterli olabiliyor. Peki gerçek?
| Kullanılan şifre uzunluğu | Katılımcı oranı |
|---|---|
| 12 karakter | %51,2 |
| 8 karakter | %31,4 |
| Amaca göre değişiyor | %8,0 |
| 17 karakter | %7,6 |
| 22 karakter | %0,8 |
Katılımcıların yarısından fazlası 12 karakter veya altında kalıyor. NIST’in single-factor için önerdiği 15 karaktere ulaşan neredeyse yok. Burada dikkat çeken nokta şu: kullanıcılar daha uzun şifrenin daha güvenli olduğunu biliyor, çalışmada bunu kabul ediyorlar ama “hatırlaması zor” diye kısa olanı seçiyorlar. Bu, birazdan değineceğim hyperbolic discounting davranışının ta kendisi.
Sözlük kelimesi kullanımı
Zayıf şifrenin klasik göstergelerinden biri de sözlük kelimesi (dictionary word) kullanımı çünkü dictionary attack’lerin ilk hedefi bunlar.
| Şifrede sözlük kelimesi kullanıyor musunuz? | Oran |
|---|---|
| Evet | %40,3 |
| Bazen | %14,1 |
| Hayır | %45,5 |
“Evet” diyenlerin verdiği en yaygın gerekçe yine aynı: hatırlanabilirlik (%65,0). Küçük bir grup ise sözlük kelimesinin şifreyi “daha benzersiz” yaptığını düşünüyor ki bu tam bir yanılgı. Kullanıcı sezgisi ile saldırgan gerçeği burada taban tabana zıt.
Şifre değiştirme ve tekrar kullanım
| Şifre değiştirme davranışı | Oran |
|---|---|
| Sadece zorunlu olduğunda değiştiriyor | %63,3 |
| Hiç değiştirmiyor | %23,8 |
| Mevcut şifrede küçük değişiklik yapıyor (yeni oluşturmuyor) | %76,2 |
Bu son satır kritik. Kullanıcıların %76,2‘si şifre değiştirirken password123 → password124 mantığıyla ilerliyor. Bu, saldırgan açısından altın değerinde çünkü bir sızıntıda ele geçen şifrenin varyasyonlarını denemek, sıfırdan brute-force yapmaktan çok daha verimli. Zhang ve arkadaşlarının çalışması da tam bunu gösteriyor: öngörülebilir şifre güncellemeleri, saldırganın kırma süresini ciddi biçimde kısaltıyor. NIST’in artık “zorunlu periyodik şifre değişimi” önermemesinin sebebi de tam bu, zorlanan kullanıcı güçlü değil, tahmin edilebilir şifre üretiyor.
Şifre unutma ve reset sıklığı
Mevcut şifre yönetim alışkanlıklarının ne kadar verimsiz olduğu, unutma/reset rakamlarında görülüyor.
| Unutkanlık nedeniyle şifre reset sıklığı | Oran |
|---|---|
| Ara sıra reset ediyor | %67,3 |
| Somewhat frequently (oldukça sık) | %17,3 |
| Hiç reset etmiyor | %11,3 |
| Çok sık reset ediyor | %4,0 |
Katılımcıların üçte ikisi düzenli olarak “şifremi unuttum” akışına giriyor. Bu, aslında password manager’ın çözdüğü tam da bu problem ama birazdan göreceğimiz gibi kullanan az.
Güvensiz pratikler
| Pratik | Oran |
|---|---|
| Public Wi-Fi kullanan | %75,8 |
| MFA’yı her fırsatta açan | %33,3 |
| MFA’yı sadece zorunluysa kullanan | %38,3 |
| Password generator kullanmayan | %92,7 |
| Sızıntı takip servisi kullanmayan | %89,1 |
MFA tarafı özellikle can sıkıcı. Katılımcıların sadece üçte biri MFA’yı fırsat buldukça açıyor. Kurumsal tarafta bunu conditional access ve zorunlu MFA policy‘leriyle çözüyoruz ama bireysel kullanıcıda “zahmet” algısı her zaman kazanıyor.
Araçlar: Neyi, ne kadar kullanıyorlar?
Çalışmanın ilginç bir kısmı, password manager ve generator kullananların hangi araçları tercih ettiğini gösteriyor. Katılımcıların sadece %21,7‘si bir password manager kullanıyor ve kullananların çoğu da tarayıcı/işletim sistemi gömülü çözümlerinde.
| Password manager (kullananlar arasında) | Oran |
|---|---|
| iCloud password manager | %25,8 |
| Google Chrome | %25,8 |
| Google password manager | %12,9 |
| 1Password | %8,1 |
| LastPass / Microsoft / Bitwarden | ~%3’er |
Buradaki kritik nüans şu: kullanıcıların çoğu built-in (tarayıcı/OS gömülü) çözümlerde. Pearman ve arkadaşlarının çalışması, standalone password manager kullananların düzenli olarak rastgele ve benzersiz şifre ürettiğini, built-in kullananların ise generator özelliğinin varlığından bile çoğu zaman habersiz olduğunu gösteriyor. Yani “password manager kullanıyorum” demek, tek başına güçlü güvenlik demek değil nasıl kullanıldığı belirleyici.
İlginç bulgu: Teknik geçmiş = daha iyi güvenlik değil
Çalışmanın belki en çarpıcı tespiti bu. Katılımcıların %39,9‘u şifrelerini kağıda yazdığını söylüyor. Ve araştırmacılar bölümlere göre baktığında, mühendislerin %40’ından fazlası da şifresini kağıda yazıyor. Yani teknik altyapı, otomatik olarak daha iyi şifre hijyeni getirmiyor. Bu benim sahada defalarca gördüğüm bir gerçek: en iyi sistem yöneticisi bile kendi kişisel hesaplarında aynı zayıf alışkanlıklara sahip olabiliyor. Bilgi, davranışı garanti etmiyor.
En güçlü şifreler hangi hesaplar için?
Kullanıcılar bir “kademeli” (tiered) yaklaşım benimsiyor: önemli gördükleri hesaplara güçlü, önemsiz gördüklerine zayıf şifre. En güçlü şifreler için en sık sayılan hesaplar: banka, okul, iş, email ve devlet hesapları. Sorun şu ki, “önemsiz” sanılan bir sosyal medya hesabı, çoğu zaman email üzerinden diğer her şeye açılan kapıdır ve orada zayıf, tekrar kullanılan bir şifre tüm zinciri çökertir. İki katılımcı ise tüm önemli hesaplarında aynı şifreyi kullandığını, bunun güvensiz olduğunu bile bile itiraf etmiş.
Peki neden? İşin davranışsal ekonomi tarafı
Çalışmanın en değerli yanı, bu davranışları üç davranışsal ekonomi kavramıyla açıklaması.
Ben bunları sahadan örneklerle bağlayayım:
- Hyperbolic discounting (zamansal indirgeme): İnsan, yakın gelecekteki maliyeti uzaktakinden çok daha ağır algılar. Güçlü bir şifre oluşturmanın zahmeti şimdi ve kesin; bir data breach ise uzak ve belirsiz. Beyin, kesin ve yakın olan zahmetten kaçınmayı seçer. Sahada bunu şöyle görürüm: kullanıcı “bir gün başıma gelir ama bugün değil” der ve ertelenen risk birikir.
- Status quo bias (mevcut durumu koruma eğilimi): İnsan tanıdık olana yapışır, değişimin “kaybını” kazancından daha ağır hisseder. Password manager’a geçmek, MFA kurmak hepsi yeni bir şey öğrenmeyi gerektirir ve bu maliyetli hissettirir. Kurumsal migration projelerinde en büyük direnç teknik değil, psikolojiktir: “eskisi çalışıyordu ya.”
- Present bias (bugüne öncelik verme). Güvenlik görevleri sürekli ertelenir çünkü bugün hep “daha acil” bir şey vardır. “Şifrelerimi düzelteceğim” listenin en altında kalır, çünkü acil bir teslim, bir toplantı, bir yangın hep öne geçer. Çalışmanın atıf verdiği bir araştırma (Frik ve ark.), 1000’den fazla katılımcıyla yapılan deneyde hatırlatma ve commitment nudge’larının bu erteleme eğilimini ölçülebilir biçimde azalttığını gösteriyor özellikle otomatik güncelleme ve MFA benimsemede.
Burada çalışmanın kendi “Limitations” bölümündeki dürüstlüğünü de takdir etmek lazım: yazarlar, bu teorilerin insan davranışını fazla basitleştirebileceğini, kültürel ve bağlamsal faktörleri tam yansıtmadığını kabul ediyor. Bu, akademik olgunluk göstergesi.
“Privacy paradox” mu, yoksa başka bir şey mi?
Çalışma bu bilgi-davranış uçurumunu privacy paradox (mahremiyet paradoksu) çerçevesine oturtuyor: insanların mahremiyete değer verdiklerini söyleyip aksini yapması. Kavramsal olarak yakın olsa da, güvenlik bağlamında bunu daha çok intention-behavior gap (niyet-davranış açığı) olarak adlandırmak daha isabetli olur ki çalışmanın kendisi de asıl açıklamayı present bias ve status quo bias üzerinden yapıyor. Küçük bir terminoloji notu ama güvenlik okuru için önemli.
Sonuç: Ne yapmalı ve nereye gidiyoruz?
Bu çalışmanın en olgun tespiti şu: sadece farkındalık artırmak yetmiyor. 20 yıldır bunu sahada görüyoruz zaten eğitim veriyoruz, poster asıyoruz, kullanıcı yine Yaz2024! yazıyor. Çözüm, insan davranışını değiştirmeye çalışmak değil, doğru davranışı en kolay yol haline getirmek.
Pratik öneriler
Bireysel kullanıcı için:
- Password manager kullanın (Bitwarden, 1Password). “Aklımda tutamam” bahanesini kökten ortadan kaldırır ve unutma/reset döngüsünü de bitirir.
- Auto-generated şifreye geçin rastgele string,
annemin_adi!kombinasyonundan katbekat güçlü. - Her yerde MFA açın, sadece bankada değil.
- Tek faktörlü hesaplarda 15+ karakter hedefleyin (NIST önerisi).
- haveibeenpwned.com ile credential’larınızı düzenli kontrol edin.
- Şifre değiştirirken küçük varyasyon yapmayın tamamen yeni ve rastgele üretin.
- “Önemsiz” hesap yoktur; her hesabı zincirin bir halkası olarak görün.
Kurumsal taraf için:
- Kullanıcıyı “eğitmeye” değil, friction’ı azaltmaya odaklanın. Password manager’ı kurumsal olarak deploy edin, kullanıcının tercihine bırakmayın.
- MFA’yı zorunlu policy haline getirin; “isteğe bağlı MFA” pratikte %33 adoption demek.
- Conditional access, passwordless pilot, SSO ile parola sayısını azaltın yönetilecek şifre ne kadar azsa, riskli davranış o kadar düşer.
- Built-in ve standalone password manager farkını kullanıcıya öğretin; sadece “araç var” demek yetmiyor, generator’ın nasıl kullanılacağını göstermek gerekiyor.
- Nudge ve commitment device mantığını kullanın: çalışmanın atıf verdiği araştırmalar, hatırlatma ve nudge’ların security compliance’ı ölçülebilir biçimde artırdığını gösteriyor.
Ve geleceğe bakış: passwordless
Aslında bu çalışmanın tüm bulguları tek bir yöne işaret ediyor: şifre, insan psikolojisiyle temelden uyumsuz bir güvenlik mekanizması. İnsan hatırlanabilir olanı ister, güvenlik ise rastgele olanı gerektirir. Bu ikisi doğası gereği çelişir.
Bu yüzden sektörün yönü net: passwordless authentication. FIDO2, passkey, biyometrik ve donanım tabanlı kimlik doğrulama, “kullanıcının zayıf şifre seçmesi” problemini denklemden tamamen çıkarıyor. Passkey ekosistemi (Apple, Google, Microsoft üçlüsünün desteğiyle) son iki yılda ciddi olgunlaştı. Çünkü çözüm, insanı daha disiplinli olmaya zorlamak değil insanın zaten zayıf olduğu noktayı ortadan kaldırmak.
Bu akademik çalışma bize şunu hatırlatıyor: kullanıcıyı suçlamayı bırakıp, sistemi insan davranışına uyacak şekilde tasarlamaya başlamalıyız. Güvenlik ve kullanılabilirlik bir tercih değil, aynı denklemin iki tarafı olmalı.
Başka bir yazımızda görüşmek dileğiyle…
Kaynak: Crowe, E., Ghosh, P., Kumar, S., Schlegel, R., Ward, R., Gu, G. (2026). “Examining User Behavior and Cognitive Biases in Personal Password Security.” arXiv:2607.19586v1.
