Araştırmacılar uyardı: “Bu açık tarihin en büyük veri sızıntısı olabilirdi”

Dünyanın en popüler anlık mesajlaşma uygulaması WhatsApp, tarihinin en kapsamlı veri güvenliği tartışmalarından biriyle karşı karşıya. Meta çatısı altındaki platformda, Avusturya merkezli bir grup araştırmacı tarafından keşfedilen güvenlik açığı, siber korsanların milyarlarca veriye nasıl kolayca erişebileceğini gözler önüne serdi. Yapılan simülasyonlar, olayın basit bir "hata"dan ziyade, platformun temel mimarisindeki bir zafiyet olduğunu gösteriyor.

SANİYEDE BİNLERCE NUMARA: AÇIK NASIL ÇALIŞIYOR?

Araştırmacıların yayınladığı bulgulara göre, zafiyetin kaynağı WhatsApp’ın rehber senkronizasyonu ve kişi bulma (contact discovery) özelliğinde yatıyor. Normal şartlarda kullanıcıların arkadaşlarını bulmasını kolaylaştıran bu özellik, kötü niyetli bir otomasyonla devasa bir veri madenciliği aracına dönüştürülebiliyor.

Ekip, geliştirdikleri basit bir teknik ve tarayıcı tabanlı bir uygulama arayüzü kullanarak, saatte 100 milyon telefon numarasını tarayabildiklerini belgeledi. Bu hız, siber saldırganların kısa süre içinde ülke bazlı veri setleri oluşturabilmesine olanak tanıyor.

"TARİHİN EN BÜYÜK SIZINTISI OLABİLİRDİ"

Araştırma ekibi, yaptıkları çalışmanın etik sınırlar ve sorumlu ifşa süreçleri (responsible disclosure) çerçevesinde gerçekleştirildiğini vurgularken, şu korkutucu uyarıda bulundu:

"Eğer bu yöntem kötü niyetli bir grup tarafından, herhangi bir etik kaygı güdülmeden kullanılsaydı, tarihin gelmiş geçmiş en büyük veri sızıntısı vakasıyla karşı karşıya kalabilirdik."

PROFİL FOTOĞRAFLARI VE GİZLİ METİNLER İFŞA OLDU

Elde edilen veriler sadece "çıplak" telefon numaralarından ibaret değil. Araştırmacıların tarama sonuçları, kullanıcıların gizlilik ayarlarındaki dikkatsizliğinin boyutunu da ortaya koydu. Yapılan testlerde taranan numaraların:

Yüzde 57’sinin profil fotoğraflarına,

Yüzde 29’unun ise "Hakkımda" bölümündeki kişisel metinlere erişilebildi.

Bu veriler, siber dolandırıcıların "kimlik avı" (phishing) saldırılarında kullanabileceği en değerli materyaller arasında yer alıyor. Bir telefon numarasının gerçek bir insan yüzü ve kişisel bir notla eşleştirilmesi, o verinin karaborsadaki değerini katbekat artırıyor.

META’DAN TARTIŞMALI SAVUNMA: "BUNLAR KAMUYA AÇIK BİLGİ"

Olayın patlak vermesinin ardından gözler çatı şirket Meta'ya çevrildi. Teknoloji devi, araştırmacıların bulgularını teknik olarak kabul etse de, olayın ciddiyetini hafifleten bir açıklama yaptı. Meta, ifşa edilen verilerin zaten kullanıcılar tarafından "kamuya açık" olarak ayarlandığını ve bu durumun bir "sistem açığı" olmadığını savundu.

Ancak Avusturyalı ekip bu savunmayı yetersiz buluyor. Araştırmacılar, Meta'nın veri kazıma (scraping) girişimlerine karşı uyguladığını iddia ettiği güvenlik protokollerinin ve hız sınırlamalarının, yaptıkları testler sırasında devreye girmediğini belirtti. Yani sistem, saatte 100 milyon sorgu yapılmasına "dur" demedi.

UZMANLARDAN KRİTİK UYARI: TELEFON NUMARASI "KİMLİK" OLAMAZ

Bu olay, siber güvenlik dünyasında uzun süredir tartışılan "Telefon numarasının benzersiz tanımlayıcı (UID) olarak kullanılması" sorununu yeniden alevlendirdi.

Uzmanlar, milyarlarca kullanıcısı olan dev platformların, kullanıcı kimliğini sadece telefon numarası üzerine kurmasının büyük bir risk taşıdığını belirtiyor. Telefon numaralarının sınırlı kombinasyonlara sahip olması ve sıralı gitmesi, saldırganların rastgele numara üreterek (brute-force) veritabanlarını taramasını çocuk oyuncağına çeviriyor.

KULLANICILAR NE YAPMALI?

Bu tür "scraping" saldırılarına karşı bireysel olarak alınabilecek önlemler sınırlı olsa da, dijital ayak izinizi küçültmek sizin elinizde:

Gizlilik Ayarlarını Kontrol Edin: WhatsApp ayarlarından Profil Fotoğrafı ve Hakkımda kısımlarını "Sadece Kişilerim" olarak değiştirin.

Bilinmeyen Numaralara Dikkat: Tanımadığınız numaralardan gelen ve isminizle hitap edilen mesajlara şüpheyle yaklaşın.

İki Adımlı Doğrulama: Hesabınızın ele geçirilmesini önlemek için mutlaka iki adımlı doğrulamayı aktif tutun.

Teknoloji dünyası şimdi Meta'nın bu "kontrolsüz veri akışına" karşı kişi bulma özelliğinde bir kısıtlamaya gidip gitmeyeceğini merakla bekliyor.