Instagram, Facebook ve WhatsApp gibi platformların çatı şirketi olan Meta, tarihinin en büyük veri ihlallerinden biriyle gündeme geldi. Siber güvenlik araştırmacıları tarafından doğrulanan olayda, 17,5 milyon kullanıcıya ait iletişim verilerini içeren devasa bir setin sızdırıldığı ortaya çıktı. "Solonik" takma adlı bir saldırgan tarafından paylaşılan ve 2024 yılı sonlarında bir API sızıntısı yoluyla elde edildiği belirtilen verilerin, kullanıcıları kimlik hırsızlığı ve hedefli saldırılara karşı savunmasız bıraktığı bildirildi.
"SOLONİK" İSİMLİ SALDIRGAN 17,5 MİLYON KAYDI FORUM ÜZERİNDEN PAYLAŞTI
Söz konusu veri seti, bu haftanın başlarında "Solonik" takma adını kullanan bir saldırgan tarafından bilinen bir bilgisayar korsanı forumunda yayınlandı. "INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK" başlığıyla paylaşılan ilanın, JSON ve TXT formatlarında 17,5 milyon kayıt içerdiği iddia edildi. Forumdaki paylaşıma göre verilerin, 2024 yılının sonlarında bir "API sızıntısı" yoluyla elde edildiği aktarıldı. Saldırganların, standart güvenlik önlemlerini atlayarak dünya çapındaki kullanıcı profillerini veri kazıma (scraping) yöntemiyle topladığı belirtildi. Sızdırılan veri tabanının; tam isimler, kullanıcı adları, doğrulanmış e-posta adresleri, telefon numaraları, kullanıcı kimlik numaraları (ID), ülke ve kısmi konum verilerini içerdiği kaydedildi. Veri örneklerinden alınan ekran görüntülerinin, siber suçluların hedefleri hakkında kapsamlı profiller oluşturmasına olanak tanıyan bu alanların geçerliliğini doğruladığı ifade edildi.
İSTENMEYEN ŞİFRE SIFIRLAMA BİLDİRİMLERİ ARTARKEN META KONUYA İLİŞKİN SESSİZLİĞİNİ KORUYOR
Veri sızıntısının yayınlanmasının ardından hızla aktif bir tehdide dönüştüğü ve çok sayıda Instagram kullanıcısının, verilerin sızdırılmasından bu yana istenmeyen şifre sıfırlama bildirimlerinde artış olduğunu bildirdiği gözlemlendi. Sızıntının şifreleri içermediği görülse de e-posta ve telefon numaralarının birleşiminin, "SIM kart değişimi" saldırıları ve gelişmiş sosyal mühendislik yöntemleri için yeterli kabul edildiği vurgulandı. Dolandırıcıların, kendilerini Instagram destek ekibi gibi tanıtarak veya ifşa olan kişisel detayları kullanarak kurbanları iki faktörlü doğrulama (2FA) kodlarını vermeleri için kandırabileceği belirtildi. Olayın, Instagram'ın ana sunucularına doğrudan bir sızma yerine, halka açık arayüzler üzerinden otomatik veri toplama işlemi olan "kazıma" olarak sınıflandırıldığı aktarıldı. Ancak API sızıntısının ölçeğinin, hız sınırlaması veya gizlilik korumalarındaki bir eksikliğin saldırganların tespit edilmeden milyonlarca hesabı sorgulamasına izin verdiğini gösterdiği kaydedildi. 10 Ocak 2026 itibarıyla Meta, 17,5 milyonluk bu veri sızıntısına ilişkin henüz resmi bir açıklama yapmadı. Siber güvenlik uzmanları, tüm kullanıcılara SMS yerine kimlik doğrulama uygulaması kullanmalarını tavsiye etti.
