Siber güvenlik araştırmacıları, milyonlarca kullanıcıyı kimlik hırsızlığı ve hedefli kimlik avı saldırılarına karşı savunmasız bırakan önemli bir veri sızıntısını tespit etti. Bu sızıntı, geniş bir iletişim veri setini kapsamaktadır.

Karanlık ağda paylaşılan API sızıntısı

Söz konusu veri seti, bu hafta başlarında “Solonik” takma adıyla bilinen bir saldırgan tarafından popüler bir bilgisayar korsanı forumunda yayınlandı.

“INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK” başlığıyla paylaşılan ilan, JSON ve TXT formatında toplam 17,5 milyon kayda ulaştığını iddia ediyor.

Forumdaki paylaşıma göre, bu veriler 2024 yılının sonlarına doğru gerçekleşen bir “API sızıntısı” yoluyla ele geçirildi.

Saldırganların, standart güvenlik önlemlerini aşarak dünya genelindeki kullanıcı profillerini veri kazıma (scraping) yöntemiyle topladığı ifade ediliyor.

Sızdırılan veriler arasında kritik bilgiler de yer alıyor:

Tam isimler ve kullanıcı adları

Doğrulanmış e-posta adresleri

Telefon numaraları

Kullanıcı kimlik numaraları (ID)

Ülke ve kısmi konum bilgileri

Veri örneklerinden alınan ekran görüntüleri, siber suçluların hedefleri hakkında ayrıntılı profiller oluşturmalarına imkan tanıyan bu bilgilerin geçerliliğini kanıtlıyor.

Aktif riskler ve istismar uyarıları

Veri sızıntısı, yayınlandıktan sonra hızla bir tehdit haline geldi. Çok sayıda Instagram kullanıcısı, bu sızıntının ardından istenmeyen şifre sıfırlama bildirimlerinde önemli bir artış gözlemledi.

Sızıntıda şifrelerin yer almadığı tespit edilse de, e-posta ve telefon numaralarının kombinasyonu, dolandırıcılar tarafından “SIM kart değişimi” saldırıları ve ilerlemiş sosyal mühendislik taktikleri için yeterli bir zemin oluşturuyor.

Saldırganlar, kendilerini Instagram destek ekibi olarak tanıtmakta veya ifşa edilen kişisel bilgileri kullanarak kurbanlardan iki faktörlü doğrulama (2FA) kodları veya giriş bilgileri talep edebilmektedir.

Olay, Instagram’ın ana sunucularına doğrudan bir müdahale yerine, halka açık arayüzler aracılığıyla otomatik veri toplama işlemi olan “kazıma” olarak sınıflandırılmaktadır.

Ancak API sızıntısının büyüklüğü, hız sınırlaması veya gizlilik korumalarındaki eksikliklerin, saldırganların tespit edilmeden milyonlarca hesabı sorgulamasına imkan sağladığını gözler önüne seriyor.

Meta, 10 Ocak 2026 tarihi itibarıyla 17,5 milyonluk bu veri sızıntısına ilişkin resmi bir açıklama yapmamıştır.

Siber güvenlik uzmanları, tüm Instagram kullanıcılarına SMS yerine bir kimlik doğrulama uygulaması kullanarak çok faktörlü kimlik doğrulamayı (MFA) hemen etkinleştirmelerini ve istenmeyen şifre sıfırlama e-postalarına karşı dikkatli olmalarını öneriyor.

Ekonomim