Reklam Hesabı Ele Geçirildiğinde İlk 72 Saat: Kriz Rehberi

Reklam hesabı ele geçirilmesi, bir saldırganın Google Ads hesabınıza, Meta Business Manager yapınıza veya bu hesaplara erişimi olan e-posta hesabına yetkisiz şekilde girerek sizin adınıza harcama yapması, kampanya açması ya da varlıkları kendi yapısına taşımasıdır. Türkiye’de işletmelerin en sık karşılaştığı senaryo, hesabın teknik olarak “hacklenmesi” değil, kendisini Google veya Meta temsilcisi gibi tanıtan birine gönüllü olarak erişim verilmesidir. Sonuç aynıdır: kredi kartından yetkisiz çekimler, kapanan hesaplar ve günlerce duran reklam gelirleri. Bu rehber, olayı fark ettiğiniz andan itibaren ilk 72 saatte ne yapmanız gerektiğini, parayı geri alma ihtimalinizi nasıl artıracağınızı, hangi durumda KVKK bildirim yükümlülüğünüzün doğduğunu ve bu krizi tekrar yaşamamak için kurmanız gereken sistemi anlatır. Ana çıkarım: bu bir BT sorunu değil, bir operasyon ve yetkilendirme sorunudur; çözümü de şifre değiştirmek değil, erişim mimarisini yeniden kurmaktır.

Neden Bu Konu Kimsenin Yazmadığı Bir Boşlukta Duruyor

Türkçe kaynaklarda “Meta reklam hesabım kapatıldı”, “Google Ads hesabım askıya alındı” başlıklı onlarca rehber var. Bunların tamamı platformun sizi kısıtladığı senaryoyu anlatır: politika ihlali, ödeme sorunu, itiraz metni nasıl yazılır. Oysa şikâyet platformlarındaki gerçek vakaların önemli bir kısmı farklı bir hikâyedir: hesap kısıtlanmamıştır, tam tersine fazlasıyla çalışmaktadır, ama sizin için değil.

Bu iki senaryonun çözüm yolu birbirinden tamamen ayrıdır. Kısıtlama vakasında amaç ikna etmektir; ele geçirilme vakasında amaç önce kanamayı durdurmak, sonra parayı geri almak, sonra delil üretmektir. Sıra yanlış olduğunda ikisi de kaybedilir. Hesap kısıtlama tarafındaki süreci daha önce reklam hesabı itiraz formu ve kısıtlama kaldırma rehberinde ayrıntılı işlemiştim. Bu yazı, o rehberin kapsamadığı diğer yarıdır.

Ele Geçirilme mi, Kısıtlama mı, Fatura Hatası mı? Önce Doğru Teşhis

Panikle atılan ilk adım genellikle yanlış adımdır. Beklenmedik bir harcama gördüğünüzde bunun üç olası açıklaması vardır ve üçünün müdahalesi farklıdır.

Kritik nokta şudur: reklam hesabı nadiren ilk kırılan halkadır. Çoğu vakada asıl hedef, hesaba bağlı e-posta adresidir. E-posta duruyorsa saldırgan kilitlendiğinizde bile geri dönebilir. Bu yüzden müdahale sırası her zaman e-posta, sonra kimlik katmanı, sonra reklam hesabı olmalıdır.

İlk 72 Saat: Saat Saat Müdahale Planı

Aşağıdaki plan, gerçekleşen bir ele geçirilme vakasında yapılması gerekenleri öncelik sırasına göre dizer. Sıra tesadüfi değildir; her adım bir sonrakinin işe yaraması için ön koşuldur.

0 ile 2. Saat: Kanamayı Durdurun

1. Kimlik katmanını kurtarın. Google tarafında önce Google Hesabı’nı güvenceye alın. Google’ın güvenliği ihlal edilmiş hesabı kurtarma akışı bu iş için tasarlanmıştır. Meta tarafında Business Manager’a bağlı kişisel profilden başlayın; iş varlıkları kişisel profillere bağlıdır.
2. Tüm oturumları sonlandırın. Şifre değiştirmek tek başına yetmez. Aktif oturumların topluca kapatılması gerekir, aksi halde saldırganın açık oturumu çalışmaya devam eder.
3. İki adımlı doğrulamayı açın. Tercihen SMS değil, kimlik doğrulayıcı uygulama veya güvenlik anahtarı kullanın. SIM kartı hedef alan saldırılarda SMS koruma sağlamaz.
4. Kampanyaları duraklatın, silmeyin. Harcamayı durdurmanın yolu kampanyayı silmek değil duraklatmaktır. Silinen kampanya, itiraz sürecinde ihtiyaç duyacağınız kaydı zorlaştırır.
5. Ödeme yöntemini dondurun, hemen iptal etmeyin. Kartı doğrudan iptal etmek hesabı borca düşürüp askıya alınmasına yol açabilir ve bu, iade görüşmesini zorlaştırır. Önce bankayı arayıp işlemi şüpheli olarak işaretletin.

2 ile 12. Saat: Delil Toplayın ve Platformu Bilgilendirin

Bu aşamada yaptığınız kayıt, sonraki günlerde parayı geri alıp alamayacağınızı belirler. Reklam platformlarının iade kararları büyük ölçüde otomatiktir ve sunduğunuz kaydın tutarlılığına bakar.

• Değişiklik geçmişini tarih aralığıyla birlikte dışa aktarın; hangi kullanıcının hangi saatte ne yaptığı en güçlü delilinizdir.
• Ödeme geçmişini ve tüm yetkisiz işlemleri tutar, saat ve işlem numarasıyla listeleyin.
• Kaldırdığınız kullanıcıların e-posta adreslerini kaldırmadan önce not edin. Kaldırdıktan sonra bu bilgiye ulaşmak zorlaşır.
• Ekran görüntüsü alırken tarayıcı saatinin ve URL’nin görünür olmasına dikkat edin.
• Google Ads tarafında güvenlik ihlali bildirimi için platformun kendi akışını kullanın; genel destek formu yerine hesabınızın güvenliği ihlal edilirse izlenecek adımlar sayfasındaki yolu izleyin.
• Meta tarafında, tanımadığınız reklam etkinliğini bildirmek için Meta İşletme Yardım Merkezi’nin tanınmayan etkinlik akışını kullanın.

12 ile 48. Saat: Para ve Erişim Yarışı

İki paralel süreç yürütmeniz gerekir. Birincisi platform üzerinden iade talebi, ikincisi banka üzerinden itiraz. Bu ikisini aynı anda ve birbiriyle tutarlı yürütmek önemlidir; çelişkili beyan her iki tarafta da talebinizi zayıflatır.

Ters ibraz kararını hafife almayın. Banka itirazı platforma ulaştığında hesabın askıya alınması olasıdır. Eğer hesap sizin ana gelir kanalınızsa, önce platform iade yolunu deneyip sonuç alamadığınızda bankaya geçmek genellikle daha az maliyetlidir. Tutar işletmeniz için kritik boyuttaysa ve platform yanıt vermiyorsa sıralama tersine döner. Bu, tek doğrusu olan bir karar değildir; kesinti maliyetiyle kayıp tutarını karşılaştırarak vereceğiniz bir karardır.

48 ile 72. Saat: Yasal Yükümlülük Kontrolü

Burası işletmelerin en sık atladığı adımdır ve maliyeti en yüksek olanıdır. Ele geçirilen yapı yalnızca reklam hesabı değilse, yani özel hedef kitle listeleri, potansiyel müşteri formu kayıtları veya CRM entegrasyonu da saldırganın erişimine açıldıysa, ortada bir kişisel veri ihlali olabilir.

Kişisel Verileri Koruma Kurulu’nun 24.01.2019 tarih ve 2019/10 sayılı kararı uyarınca veri sorumlularının, ihlali öğrendikleri tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirimde bulunma yükümlülüğü bulunur. Bildirim usul ve esasları ile başvuru formu Kurum’un veri ihlali bildirimi sayfasında yayımlanmıştır. Gecikmeli bildirim, Kurul’un ayrıca değerlendirdiği bir konudur.

Pratikte şu soruyu sorun: saldırgan hesapta kaldığı süre boyunca müşteri listesi indirebilir miydi? Cevap “evet” veya “bilmiyorum” ise hukuk danışmanınızla derhal görüşün. Burada verdiğim bilgi genel niteliklidir ve hukuki görüş yerine geçmez. İhlalin müşteriye ve kamuoyuna nasıl anlatılacağı ayrı bir disiplindir; bu tarafı veri sızıntısı ve siber saldırı anında marka iletişimi yazısında ele almıştım.

Türkiye’de En Sık Görülen Üç Giriş Yolu

1. Sahte Platform Temsilcisi

Açık ara en yaygın senaryo. Kendisini Google Ads veya Meta temsilcisi olarak tanıtan bir kişi telefonla veya e-postayla ulaşır, “hesabınıza destek vereceğiz”, “ücretsiz kupon tanımlayacağız” ya da “hesabınız risk altında, doğrulama yapmamız gerekiyor” der. İşletme sahibi iyi niyetle erişim verir veya bir bağlantıya tıklayıp giriş bilgilerini bir kopya sayfaya girer.

Google’ın bu konudaki tutumu nettir: şifre veya hassas bilgi talep eden mesajlar Google’dan gelmez. Platformun kendi uyarısını Google Ads’den geldiği iddia edilen şüpheli e-postalar veya aramalar sayfasında görebilirsiniz. Buradaki asıl açık teknik değil, örgütseldir: işletmede “reklam hesabına kim erişim verebilir” sorusunun tek bir yazılı cevabı yoktur.

2. Ayrılan Ajansın veya Çalışanın Kalan Erişimi

Bu her zaman kötü niyetli değildir ama sonuçları aynı ölçüde ağır olabilir. Sözleşmesi biten ajansın yönetici erişimi aylarca açık kalır, ayrılan çalışanın kişisel Google hesabı hâlâ yetkilidir. Erişim kalmışsa, o erişim sizin değil o kişinin güvenlik hijyenine bağlıdır. Onun hesabı ele geçirildiğinde sizin reklam bütçeniz risk altına girer.

3. Kişisel Cihaz ve Tarayıcı Eklentileri

Reklam hesabına kişisel bilgisayardan, şifrelerin tarayıcıya kaydedildiği bir profil üzerinden giriliyorsa risk yüzeyi işletmenin kontrolünden çıkar. Oturum çerezini çalan zararlı yazılımlar, iki adımlı doğrulamayı da aşabilir çünkü zaten açılmış bir oturumu taşırlar. Bu nedenle ihlal sonrası yalnızca şifre değiştirmek değil, oturumları sonlandırmak gerekir.

Krizin Görünmeyen Faturası: Ölçüm ve Algoritma Hasarı

Çoğu işletme zararı yalnızca harcanan tutar olarak hesaplar. Gerçek fatura daha büyüktür ve haftalar sonra ortaya çıkar.

Buradaki en sinsi kalem ikincisidir. Yetkisiz kampanyalar dönüşüm etiketlerinizi tetiklediyse, akıllı teklif sistemi yanlış kitleyi öğrenmiştir. Hesabı kurtardıktan sonra performansın eski seviyeye dönmemesinin sebebi genellikle budur, saldırının kendisi değil. Ölçüm mimarisi sağlam kurulmuş hesaplarda bu hasar çok daha sınırlı kalır; bu konudaki yapıyı Google Ads, GTM ve GA4 ölçüm mimarisi yazısında anlattım.

Kurtarma Sonrası: Hesabı Yeniden Ayağa Kaldırma Sırası

Erişimi geri aldığınız an “her şeyi açalım” refleksi en pahalı hatadır. Doğru sıra şudur.

1. Erişim envanteri çıkarın. Hesaptaki her kullanıcıyı, her iş ortağını, her bağlı uygulamayı listeleyin ve her biri için “bu erişim bugün gerekli mi” sorusunu tek tek cevaplayın.
2. Yetki seviyelerini düşürün. Yönetici sayısını mümkün olan en aza indirin. Ajans ve serbest çalışanlar için standart kullanıcı seviyesi çoğu işi görür.
3. Dönüşüm eylemlerini doğrulayın. Etiketlerin yerinde olduğunu, değerlerin doğru geldiğini, test dönüşümlerinin üretim verisine karışmadığını kontrol edin.
4. Tek kampanyayla ve düşük bütçeyle başlayın. Tüm kampanyaları aynı anda açmak, hasar tespiti yapmanızı imkânsızlaştırır.
5. Olay dönemini raporlamada işaretleyin. Gelecek ay performansı kıyaslarken bu dönemi ayıramazsanız yanlış sonuca varırsınız.
6. Olay raporu yazın. Ne oldu, nasıl girildi, ne kaybedildi, hangi önlem alındı. Bu belge, benzer bir olay tekrarlandığında ve platformla yeniden muhatap olduğunuzda en güçlü savunmanızdır.

Tekrar Yaşamamak İçin: Erişim Mimarisi Kurmak

Reklam hesabı ele geçirilmesi, çoğu işletmede bir güvenlik açığından değil, bir yönetim boşluğundan doğar. Şifre güçlü olabilir, iki adımlı doğrulama açık olabilir; ama hesabın kime ait olduğu, erişimin kim tarafından verildiği ve ne zaman geri alınacağı yazılı değilse, sistem kırılgandır.

• Mülkiyet netleşsin. Reklam hesapları ve işletme yöneticisi yapısı şirkete ait bir kurumsal e-posta üzerinde olmalı, kurucunun kişisel adresi veya ajansın hesabı üzerinde değil.
• Erişim vermek bir onay süreci olsun. Kim talep etti, kim onayladı, hangi tarihte kalkacak. Üç satırlık bir tablo yeterlidir, araç gerekmez.
• Çeyrek dönemde bir erişim denetimi yapın. Takvime kaydedilmiş, atlanamayan bir iş olsun.
• Harcama uyarısı kurun. Günlük harcama belirli bir eşiği aştığında bildirim gelsin. Fark etme süresini saatlere indiren tek önlem budur.
• Ödeme yöntemini izole edin. Şirketin ana kartını değil, limiti tanımlı ayrı bir kartı kullanın. Zararın tavanını baştan belirlemiş olursunuz.
• Kriz senaryosunu bir kez prova edin. Hesabınızın ele geçirildiğini varsayıp kimin neyi kaç dakikada yapacağını yazın. Platform güvenlik önerilerinin özetini Google Ads hesap güvenliği rehberinde ve Meta’nın ele geçirilmiş hesabı güvenceye alma sayfasında bulabilirsiniz.

Bu altı maddenin hiçbiri teknik yatırım gerektirmez. Hepsi karar ve disiplin meselesidir. Kriz yönetiminin tamamında olduğu gibi burada da asıl mesele olayı önlemek değil, olay gerçekleştiğinde kaybın büyüklüğünü önceden sınırlamış olmaktır. Bu yaklaşımın genel çerçevesini dijital reklamcılıkta kriz yönetimi yazısında bulabilirsiniz.

Ajansla Çalışıyorsanız: Sorumluluk Kimde

Ele geçirilme vakalarının önemli bir kısmı ajans ile işletme arasındaki gri alanda patlar. Hesap ajansın yapısı altındaysa, ihlal ajansın tarafında gerçekleştiyse ve zarar sizin kartınızdan çıktıysa kimin ne yapacağı sözleşmede yazmıyorsa süreç haftalarca uzar.

Sözleşme tarafındaki diğer kritik maddeleri reklam ajansı sözleşmesinde dikkat edilmesi gerekenler yazısında derlemiştim. Reklam hesaplarınızın yönetimini ve güvenlik mimarisini birlikte kurgulamak isterseniz reklam yönetimi hizmetleri sayfasına, kriz anında sistem kurulumu için kriz yönetimi sayfasına bakabilirsiniz.

Sık Sorulan Sorular

Yetkisiz harcanan parayı geri alabilir miyim?

Garanti yoktur. İade ihtimalini belirleyen üç şey vardır: olayı ne kadar hızlı bildirdiğiniz, sunduğunuz kaydın tutarlılığı ve erişimin sizin tarafınızdan gönüllü olarak verilip verilmediği. Gönüllü erişim verilmiş vakalarda platform iadeye çok daha isteksizdir. Yine de hem platform iade akışını hem banka itirazını kullanma hakkınız vardır.

Kartımı hemen iptal etmeli miyim?

Önce bankayla konuşup işlemi şüpheli olarak işaretletin. Kartı doğrudan iptal etmek hesabı ödenmemiş bakiyeyle bırakıp askıya alınmasına yol açabilir; bu durumda hem hesaba hem de iade görüşmesine erişiminiz zorlaşır.

Hesabı kurtardım ama performans eskiye dönmedi, neden?

Büyük olasılıkla yetkisiz kampanyalar dönüşüm etiketlerinizi tetikledi ve akıllı teklif sistemi yanlış sinyallerle beslendi. Etkilenen dönemi raporlamadan ayırın, hedef kitle listelerini gözden geçirin ve kampanyaları kademeli olarak yeniden başlatın. Öğrenme aşamasının toparlanması birkaç hafta sürebilir.

Bu olay KVKK kapsamında bildirim gerektirir mi?

Eğer saldırganın erişimi kişisel veri içeren varlıkları da kapsıyorsa, örneğin özel hedef kitle listeleri veya potansiyel müşteri formu kayıtları, ortada bir kişisel veri ihlali olabilir. Bu durumda Kurul’un 2019/10 sayılı kararı uyarınca ihlali öğrendiğiniz andan itibaren gecikmeksizin ve en geç 72 saat içinde bildirim yükümlülüğü doğar. Değerlendirmeyi mutlaka hukuk danışmanınızla birlikte yapın; buradaki bilgi genel niteliklidir.

İki adımlı doğrulamam açıktı, nasıl girildi?

İki yaygın açıklama var. Birincisi, oturum çerezinin çalınması; bu durumda saldırgan zaten açılmış bir oturumu taşıdığı için doğrulama aşamasına hiç gelmez. İkincisi, doğrulamanın SMS ile yapılması ve telefon hattının hedef alınması. Bu yüzden kimlik doğrulayıcı uygulama veya fiziksel güvenlik anahtarı tercih edilmelidir.

Ajansım hesabı ele geçirildiğini söylüyor, zarar kimde?

Sözleşmede yazmıyorsa cevabı belirsizdir ve bu belirsizlik genellikle işletmenin aleyhine işler. Bu nedenle hesap mülkiyetinin işletmede olması, ihlal bildirim süresinin ve kusur paylaşımının sözleşmede tanımlı olması gerekir. Olay sonrası değil, sözleşme aşamasında çözülecek bir konudur.

Reklamlarımı hemen yeniden başlatabilir miyim?

Erişim envanterini temizlemeden ve dönüşüm ölçümünün sağlam olduğunu doğrulamadan başlatmayın. Başlattığınızda da tüm kampanyaları birden değil, tek kampanya ve düşük bütçeyle başlayın; hasar tespiti ancak böyle mümkün olur.

Küçük bir işletmeyim, bu kadar prosedür gerekli mi?

Listenin tamamı değil ama üç maddesi kesinlikle gerekli: hesap mülkiyetinin kurumsal bir e-postada olması, günlük harcama uyarısı ve limiti tanımlı ayrı bir ödeme kartı. Bu üçü birkaç saatlik iştir ve olası zararın tavanını belirgin biçimde düşürür.

Sonuç

Reklam hesabı ele geçirilmesi, Türkiye’de sanılandan çok daha yaygın ama hakkında en az yazılan dijital pazarlama krizlerinden biri. Yayımlanan Türkçe içeriklerin neredeyse tamamı hesap kısıtlamasını anlatırken, işletmelerin gerçekte yaşadığı ikinci senaryo, yani yetkisiz erişim ve harcama, rehbersiz kalıyor.

Bu krizin çözümü şifre değiştirmek değil. Sırasıyla kimlik katmanını kurtarmak, delil üretmek, para ve yasal süreci paralel yürütmek, ölçüm hasarını tespit etmek ve erişim mimarisini yeniden kurmaktır. Bu sırayı önceden yazmış olan işletmeler krizi saatlerle, yazmamış olanlar haftalarla ölçüyor. Aradaki fark, teknoloji yatırımı değil, önceden verilmiş birkaç karardır.

Okuma önerisi: Dijital Pazarlamada Kriz Yönetimi: Kaostan Sisteme Dönüşüm Rehberi.

Benzer bir sorunu kendi işletmenizde yaşıyorsanız üç yoldan biriyle çalışabiliriz: dijital pazarlama ajansı olarak Dijital İzler ekibiyle, dijital pazarlama danışmanı olarak doğrudan benimle ya da kapsamı belli tek bir iş için freelance dijital pazarlama uzmanı modeliyle. Durumunuzu iletişim sayfasından yazmanız yeterli.