GitHub Güvenli mi? Sahte Repolar, Virüs Riski ve Hesap Güvenliği (2026)

GitHub’ın kendisi güvenli bir platform; Microsoft’a ait, iki adımlı doğrulamayı zorunlu tutuyor ve dünyanın en büyük yazılım şirketleri kodlarını burada saklıyor. Risk platformda değil, herkesin yükleyebildiği repolarda. 2026’da sahte GitHub repoları üzerinden zararlı yazılım dağıtan kampanyalar binlerce repoya ve milyonlarca indirmeye ulaştı. Bu yazıda GitHub’ı güvenle kullanmak için sahte repoları nasıl ayırt edeceğinizi, hesabınızı ve kodunuzu nasıl koruyacağınızı anlatıyoruz.

Platform Olarak GitHub Ne Kadar Güvenli?

GitHub, 2018’den beri Microsoft’a ait ve 180 milyondan fazla geliştiricinin kullandığı bir altyapı. Google, Microsoft, Meta gibi şirketlerin kritik projeleri burada duruyor. Platformun kendisi şifreli bağlantı kullanıyor, kod yayınlayan hesaplarda iki adımlı doğrulamayı zorunlu tutuyor ve public repolarda yanlışlıkla yüklenen API anahtarlarını otomatik tarayan bir sisteme sahip.

Yani GitHub’a hesap açmak, kodunuzu orada saklamak veya bilinen projeleri indirmek güvenli. Sorun platformda değil, platforma yüklenen içerikte. Herkes ücretsiz hesap açıp istediği dosyayı yükleyebildiği için GitHub, internetteki her açık platform gibi kötüye kullanılabiliyor.

Asıl Risk: Sahte Repolar ve Zararlı Yazılımlar

2026, GitHub üzerinden zararlı yazılım dağıtımının en çok konuşulduğu yıl oldu. Haziran 2026’da bağımsız bir araştırmacı, gerçek projelerin kopyalanıp README dosyasına zararlı indirme linki eklendiği yaklaşık 10.000 sahte repo tespit etti. Bu klonlar bazen arama sonuçlarında orijinal projelerden üstte çıkıyordu.

Temmuz 2026’da güvenlik firması Island, FakeGit adını verdiği kampanyada yaklaşık 7.600 zararlı repo buldu. Bunların 800’den fazlası yapay zeka araçları ve MCP sunucuları gibi görünüyordu ve 200 kadarının Releases dosyaları 14 milyondan fazla indirilmişti. Aynı ay Arctic Wolf, güvenlik yazılımları, kripto araçları ve oyunlar gibi görünen 292 sahte repo üzerinden şifre ve kripto cüzdan bilgisi çalan bir yazılımın dağıtıldığını açıkladı. Eylül 2026’da ise LastPass dahil 40 şirketin taklit edildiği yeni bir kampanya ortaya çıktı.

Bu saldırıların ortak noktası GitHub’ın bir açığından yararlanmamaları. Saldırganlar güvenilir görünen bir repo kuruyor ve kullanıcıyı kendi isteğiyle zararlı dosyayı indirip çalıştırmaya ikna ediyor. GitHub bu repoları buldukça kaldırıyor ama otomatik açılan yeni hesaplarla kampanyalar devam ediyor.

Sahte GitHub Reposu Nasıl Anlaşılır? 8 İşaret

Bir dosyadan emin olamıyorsanız açmadan önce virustotal.com’a yükleyip taratın. İndirme yöntemlerinin güvenli kullanımını GitHub’dan proje indirme rehberimizde anlattık.

Yapay Zeka Asistanları da Kandırılabiliyor

FakeGit araştırmasının dikkat çeken bir bulgusu daha vardı: Claude Code, Gemini ve ChatGPT gibi asistanlar, kendilerine link verilmeden bile bu kampanyaya ait zararlı repoları önerebildi. Bir testte asistan doğru projeyi önerirken aynı yanıtta zararlı reponun kurulum adımlarını da aktardı.

Yapay zeka ajanlarıyla kod yazıyorsanız ajanın önerdiği her repoyu ve paketi kendiniz kontrol edin, özellikle .exe indirmenizi veya güvenlik uyarısını geçmenizi isteyen adımlarda durun. Claude Code ile kod denetimi yapabilirsiniz ama denetimi yapan aracın da yanılabileceğini unutmamak gerekiyor.

GitHub Hesabınızı Nasıl Korursunuz?

Kendi Kodunuzu ve Şifrelerinizi Korumak

Yeni başlayanların en sık yaptığı güvenlik hatası OpenAI, Claude veya bulut hizmeti API anahtarlarını içeren .env dosyasını public repoya yüklemek. Botlar GitHub’ı sürekli tarıyor ve böyle bir anahtar dakikalar içinde bulunup kullanılabiliyor; faturası size kalıyor.

Önlem için bu tür dosyaları .gitignore dosyasına ekleyin. GitHub’ın push protection özelliği public repolarda bilinen anahtar türlerini yüklemeden önce yakalayıp sizi uyarıyor; uyarıyı geçmeyin. Yanlışlıkla yüklediyseniz dosyayı silmek yetmez, çünkü değişiklik geçmişinde kalır. Anahtarı hizmetin kendi panelinden hemen iptal edin ve yenisini oluşturun. Repoyu tamamen kaldırmak isterseniz GitHub’da repo silme adımlarına bakabilirsiniz.

Private Repolar Gerçekten Gizli mi?

Private repolar yalnızca size ve davet ettiğiniz kişilere görünür; arama motorlarında çıkmaz ve başkaları içeriğini göremez. GitHub çalışanları ise destek talebi veya güvenlik incelemesi gibi sınırlı durumlarda erişebiliyor. Copilot’un iş planlarında private kodun model eğitiminde kullanılmadığı belirtiliyor; bireysel hesabınızdaki veri kullanımı ayarlarını Settings, Copilot bölümünden kontrol edebilirsiniz.

Çok hassas veriler, örneğin müşteri listeleri, kimlik bilgileri veya şifreler, private bile olsa repoda tutulmamalı. Repo kod içindir, veri saklama alanı değil.

Zararlı Bir Dosya İndirdiyseniz Ne Yapmalı?

Şüpheli bir programı çalıştırdıysanız önce bilgisayarın internet bağlantısını kesin ve antivirüs programınızla tam tarama yapın. Ardından temiz bir cihazdan e-posta, banka, GitHub ve kripto cüzdan şifrelerinizi değiştirin; bu tür yazılımlar özellikle tarayıcıda kayıtlı şifreleri ve oturum çerezlerini hedefliyor. Tarayıcılardaki açık oturumlardan çıkış yapın ve hesaplarınızda iki adımlı doğrulamanın açık olduğundan emin olun.

Zararlı repoyu GitHub’a bildirmek için repo sahibinin profil sayfasındaki Block or report seçeneğini kullanabilirsiniz. Bildirimler, bu repoların kaldırılmasını hızlandırıyor.

Sıkça Sorulan Sorular