Instagram’da yeni tehlike! Risk yalnızca toplumsal medya ile sonlu değil… Bu işaretlere dikkat

Instagram’da kimi hesapların Meta’nın yapay zeka takviyeli yardım sistemi kandırılarak ele geçirildiği savı, dijital güvenlikte yeni bir tartışmayı başlattı. Saldırganların, takviye botuna gaye hesaba yeni bir e-posta adresi bağlattığı ve akabinde parola sıfırlama sürecini başlatarak hesaplara eriştiği öne sürüldü.

Instagram hesaplarının ele geçirilmesiyle ilgili sav, yapay zeka takviyeli müşteri hizmetleri sistemlerinin ne kadar yetkilendirilmesi gerektiği sorusunu tekrar gündeme taşıdı. Olayda saldırganların, maksat hesabın mevcut e-posta adresine erişmeden Meta AI takviye botunu yönlendirdiği ve yeni bir e-posta adresi üzerinden parola sıfırlama sürecini başlattığı belirtildi.

Meta, kelam konusu sorunun giderildiğini açıklasa da yaşananlar, yapay zeka dayanaklı sistemlerin sadece yanıt veren araçlar olmaktan çıkıp kritik hesap süreçlerini yapabildiğinde çok daha büyük bir güvenlik riskine dönüşebileceğini gösterdi.

YZ ASİSTAN AÇIĞA DÖNÜŞTÜ

İddiaya nazaran saldırganlar, Instagram’ın takviye sürecinde kullanılan yapay zeka dayanaklı asistanı kandırarak amaç hesaplara yeni bir e-posta adresi ekletti. Akabinde doğrulama kodu bu yeni adrese gönderildi ve parola sıfırlama adımı başlatıldı. Böylelikle saldırganların, hesabın gerçek sahibinin e-posta kutusuna erişmeden hesabı ele geçirebildiği öne sürüldü.

Siber Güvenlik Uzmanı Osman Demircan’a nazaran bu olay, artık riskin sadece klasik yazılım açıklarından ibaret olmadığını ortaya koyuyor. Demircan, yetki verilmiş yapay zeka casuslarının yanlış karar vermesinin de başlı başına bir güvenlik açığına dönüşebileceğini belirterek, “Yapay zeka takviye sistemlerine kritik hesap süreçleri yaptırmak önemli bir güvenlik riski doğurabiliyor” değerlendirmesinde bulundu.

Demircan’a nazaran Meta üzere büyük şirketlerde bu çeşit açıkların yaşanması, büyük ölçekli teknoloji şirketlerinin mutlak inançlı olduğu manasına gelmediğini de gösteriyor. Google, Apple ve Meta üzere şirketler gelişmiş güvenlik gruplarına sahip olsa da milyarlarca kullanıcıya hizmet verdikleri için atak alanları da çok geniş. Yanlış tasarlanmış bir hesap kurtarma süreci, müşteri dayanak botu, kimlik doğrulama akışı yahut üçüncü taraf entegrasyon, tek bir kusurla milyonlarca kullanıcıyı etkileyebilecek sonuçlar doğurabiliyor.

RİSK YALNIZCA INSTAGRAM DEĞİL

Uzmanlara nazaran bu tıp açıkların daha büyük teknoloji ekosistemlerinde ortaya çıkması halinde risk çok daha geniş bir alana yayılabilir. Zira günümüzde bir Google, Apple ya da Meta hesabı sırf tek bir toplumsal medya hesabı manasına gelmiyor.

Demircan, Google hesabının ele geçirilmesi halinde Gmail, Drive, Fotoğraflar, YouTube, Android aygıtlar ve diğer platformlardaki parola sıfırlama süreçlerinin de etkilenebileceğine dikkat çekiyor. Apple hesabında ise iCloud fotoğrafları, aygıt yedekleri, pozisyon bilgileri, App Store ödemeleri ve bağlı aygıtlar risk altına girebilir. Meta tarafında ise Instagram ve Facebook hesapları üzerinden prestij saldırısı, dolandırıcılık, reklam hesabı suistimali, arkadaşlara bildiriyle oltalama ve kimlik taklidi yapılabiliyor.

Bu nedenle yapay zeka dayanaklı sistemlerin yetkileri yine tartışmaya açılmış durumda. Demircan’a nazaran yapay zeka sadece cevap veren bir araç olarak kaldığında risk daha hudutlu. Lakin hesap kurtarma, e-posta değiştirme, parola sıfırlama, ödeme yahut data erişimi üzere süreçleri yapabiliyorsa artık “yetkili personel” üzere kıymetlendirilmesi gerekiyor. Bu sistemlerde insan onayı, güçlü kimlik doğrulama, süreç limiti ve denetlenebilir kayıt sistemi kritik değer taşıyor.

KULLANICILAR NE YAPMALI?

Bu tıp olaylarda kullanıcıların tek başına tüm riski ortadan kaldırması mümkün değil. Zira sorunun kıymetli kısmı platformun kendi dayanak ve hesap kurtarma süreçlerinden kaynaklanıyor. Lakin kullanıcılar, hesaplarının ele geçirilmesini zorlaştırmak için birtakım tedbirleri kesinlikle almalı.

Demircan’a nazaran birinci adım, iki faktörlü doğrulamayı açmak. Mümkünse SMS yerine doğrulama uygulaması, passkey yahut fizikî güvenlik anahtarı tercih edilmeli. Instagram, Apple ve Google üzere platformlar hesap güvenliği için farklı iki faktörlü doğrulama seçenekleri sunuyor. Google tarafında güvenlik denetimi, güçlü ve eşsiz parola kullanımı, gereksiz uygulama ve eklentileri kaldırma üzere temel denetimler de öneriliyor.

Kullanıcıların Instagram, Gmail, iCloud, Facebook ve banka hesaplarında tıpkı parolayı kullanmaması gerekiyor. Her büyük hesap için başka ve güçlü parola tercih edilmeli. Ayrıyeten hesaplara bağlı e-posta adresi ve telefon numarası yeni tutulmalı. Zira saldırganlar hesap kurtarma süreçlerinde eski e-posta adresleri, unutulmuş telefon numaraları yahut zayıf kurtarma formüllerinden yararlanabiliyor.

Bir öbür kritik nokta ise doğrulama kodları. Gerçek takviye işçisi ya da gerçek bir yapay zeka botu bile kullanıcıdan SMS yahut iki faktörlü doğrulama kodunu istememeli. “Kodu bana söyle, hesabını kurtarayım” üzere tabirler direkt dolandırıcılık işareti olarak görülmeli.

Kullanıcıların ayrıyeten hesaplarında açık olan oturumları sistemli olarak denetim etmesi gerekiyor. Tanınmayan aygıtlar, bilinmeyen ülke yahut kentlerden açılmış oturumlar, eski telefonlar ve artık kullanılmayan tarayıcı girişleri kapatılmalı. Toplumsal medya hesaplarına bağlı reklam hesabı, işletme hesabı, ödeme metodu ve üçüncü taraf uygulamalar da gözden geçirilmeli. Kullanılmayan uygulama temasları kaldırılmalı.

Yaşanan olay, dijital güvenlikte yeni periyodun sadece şifrelerden ibaret olmadığını bir defa daha gösterdi. Artık bir hesabın güvenliği; bağlı e-posta, telefon numarası, kurtarma sistemi, iki faktörlü doğrulama, platformların takviye süreçleri ve yapay zeka takviyeli sistemlerin ne kadar yetkilendirildiğiyle birlikte düşünülmek zorunda. Yapay zeka dayanaklı yardım sistemleri, gerçek denetlenmediğinde güvenlik zincirinin en zayıf halkasına dönüşebiliyor.