Teknoloji devi Meta, sahibi olduğu popüler sosyal medya platformu Instagram'da yaşanan büyük bir veri sızıntısı skandalıyla bir kez daha gündemde. Siber güvenlik araştırmacıları, platformun API sistemindeki bir açıktan yararlanan saldırganların 17,5 milyon kullanıcıya ait kişisel verileri çaldığını ve karanlık ağda (dark web) paylaşıma açtığını doğruladı.
Sızıntının Detayları ve Saldırganın Yöntemi
Olay, 10 Ocak 2026 tarihinde gün yüzüne çıktı. "Solonik" takma adlı bir bilgisayar korsanı, bilinen bir hacker forumunda "INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK" başlıklı bir ilanla veri setini paylaştı. İlanda, JSON ve TXT formatlarındaki dosyanın 17,5 milyon kayıt içerdiği iddia edildi.
Paylaşılan bilgilere göre, veriler 2024 yılının sonlarında bir "API sızıntısı" yoluyla elde edildi. Saldırganlar, Instagram'ın halka açık arayüzlerini kullanarak ve standart güvenlik önlemlerini atlayarak, dünya çapındaki kullanıcı profillerini "veri kazıma" (scraping) yöntemiyle topladı. Sızıntının, platformun ana sunucularına doğrudan bir saldırı değil, API'deki denetim eksikliğinden kaynaklanan bir veri kazıma operasyonu olduğu belirtiliyor.
Hangi Kritik Bilgiler Ele Geçirildi?
Sızdırılan devasa veri tabanı, kullanıcıların sadece kimliklerini değil, siber dolandırıcılık için oldukça değerli olan hassas bilgilerini de içeriyor. Çalınan veriler arasında şunlar yer alıyor:
- Tam isimler ve kullanıcı adları
- Doğrulanmış e-posta adresleri
- Telefon numaraları
- Kullanıcı kimlik numaraları (ID)
- Ülke ve kısmi konum verileri
- Aktif riskler ve istismar uyarıları
Paylaşılan ekran görüntüleri, bu bilgilerin geçerliliğini doğrular nitelikte. Uzmanlar, bu kadar kapsamlı bir veri setinin, siber suçluların hedef kitleler hakkında detaylı profil çıkarmasına olanak tanıdığı konusunda uyarıyor.
Kullanıcılar İçin Somut Riskler ve Uzman Tavsiyeleri
Veri sızıntısı, teorik bir tehdit olmaktan çıkıp hızla aktif bir riske dönüştü. Olayın duyulmasının ardından, birçok Instagram kullanıcısı istenmeyen şifre sıfırlama bildirimlerinde büyük bir artış olduğunu bildirdi.
Çalınan veriler arasında şifreler olmasa da, e-posta ve telefon numarası kombinasyonu dolandırıcılar için yeterli bir başlangıç noktası oluşturuyor. Saldırganlar, "SIM kart değişimi" (SIM swap) saldırıları veya gelişmiş sosyal mühendislik yöntemleriyle kendilerini Instagram destek ekibi gibi gösterip, kurbanların güvenini kazanarak iki faktörlü doğrulama (2FA) kodlarını veya giriş bilgilerini ele geçirebiliyor.
Siber güvenlik uzmanları, tüm Instagram kullanıcılarına acilen aşağıdaki adımları atmalarını öneriyor:
- Çok faktörlü kimlik doğrulamayı (MFA/2FA) hemen etkinleştirin. SMS yerine bir kimlik doğrulama uygulaması (Google Authenticator, Microsoft Authenticator gibi) kullanmak çok daha güvenlidir.
- Talep etmediğiniz halde gelen şifre sıfırlama veya doğrulama e-postalarına ve mesajlarına kesinlikle tıklamayın ve yanıt vermeyin.
- Instagram hesabınızda ve aynı e-posta/şifreyi kullandığınız diğer platformlarda güçlü ve benzersiz şifreler kullanın.
10 Ocak 2026 itibarıyla, Meta şirketi bu devasa veri sızıntısı hakkında resmi bir açıklama yapmış değil. Bu sessizlik, kullanıcılar ve siber güvenlik çevreleri tarafından eleştiri konusu oluyor. Olay, Meta'nın kullanıcı verilerini koruma konusundaki siciline bir yeni ve ciddi bir leke daha eklemiş görünüyor.
