WhatsApp’ta Güvenlik Skandalı: 3,5 Milyar Kullanıcı Tehlikede
Dünyanın en çok tercih edilen anlık mesajlaşma uygulaması WhatsApp, kullanıcılarının güvenliğini sarsan büyük bir güvenlik açığı ile manşetlere çıkıyor. Viyana Üniversitesi’nden araştırmacıların hazırladığı rapor, Meta’nın bünyesindeki platformun yıllardır bilinen bu açığı kapatmadığını ve bunun “tarihin en büyük veri ifşasına” yol açabileceğini ortaya koydu.
“Rehber Senkronizasyonu” Açığı
Siber güvenlik uzmanlarını zora sokan bu zafiyet, karmaşık kodlardan değil, uygulamanın temel bir fonksiyonu olan Rehber Senkronizasyonu’ndan kaynaklanıyor. WhatsApp, rehbere kaydedilen bir numaranın platformda kayıtlı olup olmadığını otomatik olarak gösteriyor. Araştırmacılar, bu işlemi limitsiz şekilde tekrarlayarak sistematik bir tarama yapabildi. Yapılan araştırmalar sonucunda, kötü niyetli yazılımlar rastgele numara kombinasyonlarını kullanarak saniyeler içinde gerçek kullanıcıların kimliklerine ulaşıyor.
Viyana Üniversitesi ekibi, yalnızca 30 dakikalık bir süre zarfında 30 milyon ABD’li kullanıcının telefon numarasına erişmeyi başardı.
Meta’yı Suçlayan Cümleler
Skandalın en dikkat çekici boyutu, açığın yeni olmaması. Güvenlik uzmanlarına göre, Meta (o zamanlar Facebook) bu zafiyeti ilk kez 2017’de öğrenmişti. Ancak, 8 yıl boyunca kullanıcıların kişisel verilerini tehlikeye atan bu güvensiz duruma karşı herhangi bir önemli önlem alınmadığı belirlendi. Araştırmanın başındaki Aljosha Judmayer, mevcut durumu “telefon numaralarının ve ilgili kullanıcı verilerinin şimdiye kadarki en geniş çaplı ifşası” olarak nitelendirdi.
Meta’dan Yanıt: “Hız Limiti Getirdik”
Araştırmacılar, elde ettikleri büyük veritabanını Meta’ya sunarak güvenli bir şekilde imha edilmesini talep etti. Olayın ardından Meta, sisteme işlem sınırlaması (rate limiting) getirdiklerini duyurdu. Şirket yetkilileri, mesajların uçtan uca şifreli olduğunu ve içeriklere erişmenin mümkün olmadığını vurguladı. “Bu çalışma, savunma sistemlerimizin test edilmesinde kritik bir rol oynadı. Veriler silindi ve bu yöntemin kötü amaçlı bir saldırıda kullanıldığına dair elimizde bir kanıt bulunmamakta,” şeklinde bir açıklama yaptı.
Uzmanlar, mesaj içeriklerinin korunmuş olmasına rağmen, milyonlarca aktif telefon numarasının ve profil bilgilerinin ifşasının dolandırıcılık, kimlik hırsızlığı ve hedefli siber saldırılar açısından “bulunmaz bir maden” oluşturduğuna dikkat çekiyor.
