Milyonlarca Instagram kullanıcısını ilgilendiren ciddi bir güvenlik riski ortaya çıktı. Siber güvenlik araştırmacılarına göre 17,5 milyon kullanıcıya ait kişisel verilerin, karanlık ağda (Dark web) paylaşıldığı tespit edildi. İşte detaylar...
Siber güvenlik araştırmacıları tarafından tespit edilip doğrulanan yeni bir API kaynaklı veri sızıntısı, milyonlarca Instagram kullanıcısını kimlik hırsızlığı ve hedefli kimlik avı saldırılarına karşı savunmasız hale getirdi. Sızıntının, geniş çaplı bir iletişim veri setini kapsadığı belirtiliyor.
Söz konusu veri tabanı, bu haftanın başında "Solonik" takma adını kullanan bir saldırgan tarafından bilinen bir hacker forumunda paylaşıldı.
Paylaşım, "INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK" başlığıyla yayımlandı ve JSON ile TXT formatlarında toplam 17,5 milyon kayıt içerdiği iddia
edildi.
Forumdaki bilgilere göre veriler, 2024 yılının sonlarında yaşanan bir API sızıntısı üzerinden elde edildi. Saldırganların, standart güvenlik önlemlerini aşarak dünya genelindeki kullanıcı profillerini veri kazıma (scraping) yöntemiyle topladığı ifade ediliyor.
SIZDIRILAN VERİLER NELERİ İÇERİYOR?
Sızdırılan veri setinin yalnızca kullanıcı adlarıyla sınırlı olmadığı, kritik kişisel bilgileri de kapsadığı belirtiliyor.
Sızdırılan veriler şu şekilde;
-Tam isimler ve kullanıcı adları
-Doğrulanmış e-posta adresleri
-Telefon numaraları
-Kullanıcı kimlik numaraları (ID)
-Ülke bilgileri ve kısmi konum verileri
Veri örneklerinden alınan ekran görüntülerinin, bu bilgilerin geçerliliğini doğruladığı ve siber suçluların HEDEF kullanıcılar hakkında detaylı profiller oluşturmasına olanak tanıdığı aktarılıyor.
UYGULAMADA DOLANDIRICILIK GİRİŞİMLERİ ARTTI
Veri setinin karanlık ağda paylaşılmasının ardından sızıntı, aktif bir güvenlik tehdidine dönüştü. Çok sayıda Instagram kullanıcısı, son günlerde istenmeyen şifre sıfırlama bildirimlerinde ciddi bir artış yaşandığını bildirdi.
Her ne kadar sızıntının şifre bilgilerini içermediği belirtilse de, e-posta adresleri ve telefon numaralarının birlikte bulunması;
SIM kart değişimi saldırıları ve gelişmiş sosyal mühendislik yöntemleri için yeterli kabul ediliyor.
Dolandırıcıların, kendilerini Instagram destek ekibi gibi tanıtarak ya da ifşa edilen kişisel bilgileri kullanarak güven kazandığı; bu yolla kullanıcıları iki faktörlü doğrulama (2FA) kodlarını veya giriş bilgilerini paylaşmaya zorladığı belirtiliyor.
DOĞRUDAN SİSTEM İHLALİ YOK, ANCAK ÖLÇEK ENDİŞE VERİCİ
Olay, Instagram ana sunucularına doğrudan bir sızma olarak değil, herkese açık arayüzler üzerinden yapılan otomatik veri kazıma işlemi olarak sınıflandırıldı.
Buna rağmen uzmanlar, API sızıntısının bu denli büyük ölçekte gerçekleşmesinin; hız sınırlaması veya gizlilik korumalarında ciddi bir zafiyet bulunduğuna işaret ettiğini vurguluyor.
META'DAN HENÜZ AÇIKLAMA YOK
10 Ocak 2026 itibarıyla Meta, 17,5 milyon kullanıcıyı etkilediği belirtilen bu veri sızıntısına ilişkin resmi bir açıklama yapmadı.
UZMANLARDAN GÜVENLİK UYARISI
Siber güvenlik uzmanları, tüm Instagram kullanıcılarına şu uyarılarda bulunuyor;
-SMS yerine kimlik doğrulama uygulaması ile çok faktörlü kimlik doğrulamayı (MFA) aktif edin
-Talep etmediğiniz şifre sıfırlama e-postalarını ve mesajlarını dikkate almayın
-Destek ekibi olduğunu iddia eden kişilerle kişisel bilgi paylaşmayın
İLGİNİZİ ÇEKEBİLİR
