Güvenlik şirketi Malwarebytes, Instagram’da 17,5 milyon hesabı etkileyen önemli bir bilgi sızıntısının tespit edildiğini açıkladı.
Siber güvenlik uzmanlarınca doğrulanan ihlalin, milyonlarca kullanıcıyı kimlik hırsızlığı ve amaçlı oltalama (phishing) taarruzlarına açık hale getiren kapsamlı bir irtibat verisi havuzunu içerdiği belirtildi.
17 BUÇUK MİLYON KAYIT İÇERİYOR
Söz konusu data seti, bu haftanın başlarında “Solonik” takma ismini kullanan bir saldırgan tarafından bilinen bir bilgisayar korsanı forumunda yayınlandı.
“INSTAGRAM.COM 17M KÜRESEL USERS — 2024 API LEAK” başlığıyla paylaşılan ilan, JSON ve TXT formatlarında 17,5 milyon kayıt içerdiğini argüman ediyor.
Forumdaki paylaşıma nazaran datalar, 2024 yılının sonlarında bir “API sızıntısı” yoluyla elde edildi.
Saldırganların, standart güvenlik tedbirlerini atlayarak dünya çapındaki kullanıcı profillerini data kazıma (scraping) tekniğiyle topladığı belirtiliyor.
Sızdırılan data tabanı, yalnızca kullanıcı isimlerini değil, şu kritik bilgileri de içeriyor:
– Tam isimler ve kullanıcı adları
– Doğrulanmış e-posta adresleri
– Telefon numaraları
– Kullanıcı kimlik numaraları (ID)
– Ülke ve kısmi pozisyon verileri
Veri örneklerinden alınan ekran imgeleri, siber hatalıların gayeleri hakkında kapsamlı profiller oluşturmasına imkan tanıyan bu alanların geçerliliğini doğruluyor.
AKTİF RİSKLER VE İSTİSMAR UYARILARI
Veri sızıntısı, yayınlanmasının akabinde süratle faal bir tehdide dönüştü. Çok sayıda Instagram kullanıcısı, bilgilerin sızdırılmasından bu yana istenmeyen şifre sıfırlama bildirimlerinde büyük bir artış olduğunu bildirdi.
Sızıntının şifreleri içermediği görülse de e-posta ve telefon numaralarının birleşimi, “SIM kart değişimi” atakları ve gelişmiş toplumsal mühendislik sistemleri için kâfi kabul ediliyor.
Dolandırıcılar, kendilerini Instagram dayanak takımı üzere tanıtarak yahut ifşa olan şahsî ayrıntıları kullanarak itimat inşa edip kurbanları iki faktörlü doğrulama (2FA) kodlarını yahut giriş bilgilerini vermeleri için kandırabiliyor.
Olay, Instagram’ın ana sunucularına direkt bir sızma yerine, halka açık arayüzler üzerinden otomatik bilgi toplama süreci olan “kazıma” olarak sınıflandırıldı.
Ancak API sızıntısının ölçeği, sürat sınırlaması yahut saklılık korumalarındaki bir eksikliğin, saldırganların tespit edilmeden milyonlarca hesabı sorgulamasına müsaade verdiğini gösteriyor.
VERİSİ ÇALINAN KULLANICILAR, ŞİFRE SIFIRLAMA BİLDİRİMİ ALIYOR
İletişim bilgileri çalınan kullanıcılar, şifrelerini sıfırlamalarını yahut kimliklerini doğrulamalarını isteyen ve olağan görünen e-postalar yahut bildiriler alabilir.
Malwarebytes, etkilenen birtakım kullanıcıların Instagram’dan şifre sıfırlama bildirimleri aldığını ve bu bildirimlerin olağan olabileceği üzere makûs niyetli bireyler tarafından devam eden suistimalin bir modülü da olabileceğini belirtti.
META’DAN AÇIKLAMA GELMEDİ
10 Ocak 2026 prestijiyle Meta, 17,5 milyonluk bu data sızıntısına ait şimdi resmi bir açıklama yapmadı.
Siber güvenlik uzmanları, tüm Instagram kullanıcılarına SMS yerine bir kimlik doğrulama uygulaması kullanarak çok faktörlü kimlik doğrulamayı (MFA) çabucak etkinleştirmelerini ve talep edilmeyen şifre sıfırlama e-postalarını dikkate almamalarını tavsiye ediyor.
Kaynak: Ensonhaber
Bir yanıt bırakın