- Google, hesabına erişimini kaybeden kullanıcılar için kısa bir selfie video kaydederek kimlik doğrulama yapmaya imkan tanıyan yeni bir kurtarma yöntemi duyurdu.
- Özellik parolanın veya geçiş anahtarının yerini almıyor, mevcut kurtarma seçeneklerine ek bir katman olarak konumlandırılıyor.
- Güvenlik uzmanları, canlılık testinin basit sahtecilikleri engellediğini ancak kamerayı tamamen devre dışı bırakan enjeksiyon saldırılarına karşı yetersiz kalabileceğini belirtiyor.
Google, hesabına erişimini kaybeden kullanıcılar için yeni bir doğrulama yöntemi duyurdu. “Selfie ile giriş” adı verilen özellik, kullanıcının kısa bir yüz videosu kaydederek kimliğini doğrulamasına imkan tanıyor.
Özellik, şirketin Ürün Yönetimi Direktörü John Gronberg ve Google Kimlik ekibinden Ürün Yöneticisi Claire Forszt imzalı bir blog yazısıyla 23 Temmuz 2026 tarihinde duyuruldu. Dağıtım aynı gün kademeli olarak başladı.
Google’ın hedeflediği senaryo net: Telefonunuzu kaybettiniz, parolanızı unuttunuz veya alıştığınız cihazlara erişemiyorsunuz. Bu durumlarda selfie video, hesaba geri dönmenin bir yolu haline geliyor.
Selfie ile giriş nasıl çalışıyor?
Sistem iki aşamalı işliyor. İlk aşamada kullanıcı, hesabına erişimini kaybetmeden önce bir referans video kaydediyor. Bu kayıt sırasında cihazın kamerasına bakılıyor ve ekranda beliren yönlendirmelere göre baş hareketleri yapılıyor. Sağa dönme, sola dönme ve başı sallama gibi hareketler, sistemin yüzü farklı açılardan görmesini sağlıyor.
Kayıt sırasında bazı koşullar aranıyor: Güneş gözlüğü veya şapka takılmaması, yüzün net görünmesi ve arka planda başka kişilerin bulunmaması gerekiyor.
İkinci aşama ise erişim kaybedildiğinde devreye giriyor. Kullanıcı yeni bir video kaydediyor, Google bu kaydı daha önce saklanan referans videoyla karşılaştırıyor. Aynı anda canlılık testi de uygulanıyor, yani sistem karşısındaki kişinin gerçekten canlı olduğunu doğrulamak için anlık hareket talep ediyor.
Özellik hem mobil cihazlarda hem masaüstünde kullanılabiliyor. Kamerası olmayan bilgisayarlarda doğrulama telefon üzerinden tamamlanabiliyor.
Parolanın yerini almıyor
Burada sık yapılan bir yanlış anlamayı düzeltmek gerekiyor. Selfie video, parolanın veya geçiş anahtarının (passkey) yerine geçmiyor. Google bunu ek bir kurtarma seçeneği olarak konumlandırıyor ve mevcut kurtarma telefon numarası, kurtarma e-postası, geçiş anahtarı ve kurtarma kişileri seçeneklerinin yanına ekliyor.
Şirket, kullanıcılara tek bir yöntem yerine birden fazla kurtarma seçeneği tanımlamalarını öneriyor.
Kimler kullanamıyor?
Özelliğin herkese açık olmadığını da belirtmek gerekiyor. Google Workspace hesapları, çocuk hesapları ve Gelişmiş Koruma Programı’na kayıtlı hesaplar kapsam dışında bırakılmış durumda. Şirket ayrıca özelliğin tüm bölgelerde, tüm cihazlarda ve tüm hesap türlerinde sunulmadığını belirtse de hangi ülkelerin dışarıda kaldığını açıklamıyor.
Hesabınızın uygun olup olmadığını kontrol etmek isterseniz g.co/signin-selfie adresini ziyaret edebilirsiniz. Masaüstünde kurulum yapmak içinse myaccount.google.com/video-verification adresini kullanabilirsiniz.
Veriler nerede saklanıyor?
Kaydedilen video, Google hesabı deposunda şifreli olarak tutuluyor. Google, videonun varsayılan olarak yalnızca giriş amacıyla kullanıldığını belirtiyor.
Ancak isteğe bağlı bir onay kutusu daha var. Kullanıcı izin verirse Google, bu videoyu yüz tanıma, yaş tahmini ve diğer doğrulama yöntemlerini geliştirmek için kullanabiliyor. Bu izin istendiği zaman geri alınabiliyor.
Video istenildiği anda silinebiliyor. Ancak Google, silinen kayıtları güvenlik gerekçesiyle bir süre daha saklayabileceğini, politika ihlali söz konusuysa daha uzun süre tutabileceğini belirtiyor. Ayrıca videoyu silen kullanıcıların bazı gelişmiş özelliklere erişimi kaybedebileceği not düşülüyor.
Google’ın destek belgelerinde özelliğin ikinci bir işlevi daha ortaya çıkıyor; hesabın bot tarafından oluşturulup oluşturulmadığını doğrulamak, yani spam gibi kötüye kullanımları engellemek.
Selfie ile giriş gerçekten güvenli mi?
Google, sahte fotoğraf ve yapay zeka üretimi deepfake videolara karşı çok katmanlı koruma sunduğunu söylüyor. Merkezde canlılık tespiti bulunuyor ve bu yöntem basılı bir fotoğrafı ya da önceden kaydedilmiş bir videoyu eleyebiliyor.
Ancak güvenlik uzmanları önemli bir boşluğa dikkat çekiyor. Modern deepfake teknolojisi komut üzerine göz kırpabiliyor, baş çevirebiliyor. Daha kritik olan senaryo ise “enjeksiyon” saldırısı: Saldırgan kamerayı tamamen devre dışı bırakıp sahte videoyu doğrudan uygulamaya besliyor. Hareket kontrolleri bu tür saldırıları önleyemiyor.
2022 yılında USENIX Security Konferansı’nda sunulan ve sıkça atıf alan bir çalışma, ticari canlılık tespit sistemlerinin otomatik olarak aşılabildiğini göstermişti. ISO 30107-3, iBeta ve FIDO gibi yaygın sertifikasyon programları da kamera önündeki saldırıları test ediyor, enjeksiyon saldırılarını değil.
Kimlik güvenliği şirketi Entrust’un 2026 Identity Fraud Report raporuna göre son dönemde deepfake selfie denemelerinde yüzde 58, enjeksiyon saldırılarında ise yüzde 40 civarında yıllık artış kaydedildi.
Amerikan güvenlik standardı NIST‘in konuya yaklaşımı ise net: Biyometrik doğrulama tek başına kullanılmamalı, her zaman ikinci bir faktörle ve biyometrik olmayan bir alternatifle desteklenmeli. Parolanızı değiştirebilirsiniz ancak yüzünüzü değiştiremezsiniz.
Pratikte şu sonuç çıkıyor: Birden fazla kurtarma seçeneğinden biri olarak selfie video kullanışlı ve SIM takas saldırılarına açık olan SMS ile kurtarmadan daha güvenli. Ancak asıl giriş süreci için geçiş anahtarları ve donanım güvenlik anahtarları hala daha güçlü tercih olmayı sürdürüyor.
Türkiye’deki kullanıcılar için ne anlama geliyor?
Türkiye’de yüz verisi, Kişisel Verilerin Korunması Kanunu kapsamında özel nitelikli kişisel veri sayılıyor. Bu tür verilerin işlenmesi kural olarak ilgili kişinin açık rızasına bağlı ve genel kişisel verilere göre daha sıkı korumaya tabi.
Dolayısıyla özelliği kullanmayı düşünen kullanıcıların, kurulum ekranındaki isteğe bağlı izin kutusunu dikkatle okuması önem taşıyor. Yalnızca giriş amacıyla kullanım ile modelin eğitimine katkı sağlama arasındaki fark, veri açısından ciddi bir ayrım oluşturuyor.
Özelliğin Türkiye’de kullanıma açılıp açılmadığını kontrol etmek için g.co/signin-selfie adresine girmeniz yeterli. Hesabınız uygunsa kurulum ekranı doğrudan karşınıza çıkıyor.
