Instagram’da dev güvenlik skandalı: Milyonlar risk altında

Dünya genelinde milyonlarca Instagram kullanıcısını ilgilendiren ciddi bir siber güvenlik ihlali gündemde. Karanlık ağ forumlarında paylaşılan bir veri setinde, yaklaşık 17,5 milyon kullanıcıya ait kişisel bilgilerin yer aldığı ortaya çıktı. Güvenlik araştırmacıları tarafından doğrulanan sızıntı, kimlik avı, hesap ele geçirme ve dolandırıcılık risklerini yeniden gündeme taşıdı.

API KAYNAKLI SIZINTI NASIL ORTAYA ÇIKTI?

Siber güvenlik çevrelerinde “Solonik” takma adını kullanan bir hacker, popüler bir yeraltı forumunda “INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK” başlığıyla büyük bir veri paketi paylaştı. JSON ve TXT formatlarında sunulan dosyaların, 2024 yılının sonlarında Instagram’ın bazı açık arayüzleri üzerinden otomatik sorgularla toplandığı ifade ediliyor.

Uzmanlara göre saldırganlar, hız sınırlaması ve gizlilik kontrollerindeki zayıflıkları kullanarak, dünya çapındaki kullanıcı profillerini geniş çaplı bir veri kazıma (scraping) operasyonuyla topladı.

Bu durum, platformun doğrudan hacklenmesinden ziyade, koruması yetersiz API uç noktalarının istismar edildiğine işaret ediyor.

SIZDIRILAN VERİLER NELERİ KAPSIYOR?

Ele geçirilen veri tabanı yalnızca kullanıcı adlarıyla sınırlı değil. Kayıtlarda şu bilgilerin bulunduğu belirtiliyor:

• Ad ve soyad

• Kullanıcı adı

• Doğrulanmış e-posta adresi

• Telefon numarası

• Kullanıcı ID bilgileri

• Ülke ve kısmi konum verileri

Paylaşılan örnek kayıtlar, bilgilerin büyük bölümünün güncel ve geçerli olduğunu ortaya koyuyor.

Uzmanlar, e-posta ve telefon bilgilerinin birlikte sızdırılmasının, hedefli dolandırıcılık ve SIM kart kopyalama saldırıları açısından son derece kritik olduğunu vurguluyor.

KULLANICILAR İÇİN AKTİF TEHDİT DÖNEMİ

Sızıntının duyulmasının ardından pek çok kullanıcı, hesaplarına yönelik şifre sıfırlama taleplerinde ve sahte destek mesajlarında ciddi artış yaşandığını bildirdi. Dolandırıcılar, kendilerini Meta veya Instagram destek ekipleri gibi tanıtarak, kullanıcılardan iki faktörlü doğrulama kodlarını veya giriş bilgilerini almaya çalışıyor.

Siber güvenlik uzmanları, bu tür sosyal mühendislik saldırılarının önümüzdeki haftalarda daha da artabileceği konusunda uyarıyor.

Her ne kadar veri setinde şifrelerin yer almadığı belirtilse de, mevcut bilgilerle hesap ele geçirme girişimlerinin kolaylaşabileceği ifade ediliyor.

META’DAN HENÜZ RESMİ AÇIKLAMA YOK

10 Ocak 2026 itibarıyla Meta cephesinden söz konusu sızıntıya ilişkin resmi bir doğrulama veya yalanlama gelmiş değil. Ancak güvenlik topluluğu, platformun API güvenliği, hız sınırlaması ve veri erişim politikalarının yeniden gözden geçirilmesi gerektiği görüşünde birleşiyor.

Uzmanların kullanıcılara önerileri ise net:

• SMS yerine kimlik doğrulama uygulamasıyla çok faktörlü doğrulama (MFA) kullanmak

• Şüpheli şifre sıfırlama e-postalarını ve mesajlarını dikkate almamak

• Hesap etkinliklerini düzenli kontrol etmek