Basit bir işlemle tam 3.5 milyar kişinin Whatsapp verilerine ulaşıldı

Dünyanın en çok kullanılan mesajlaşma uygulaması WhatsApp’ta, 3.5 milyar kullanıcıyı ilgilendiren kritik bir güvenlik zafiyeti ortaya çıkarıldı. Uygulamanın temel çalışma prensibi olan “telefon numarasıyla hesap bulma” özelliğinin, büyük ölçekli veri sızıntısına kapı araladığı belirlendi.

BASİT BİR YÖNTEMLE TÜM NUMARA HAVUZU ÇEKİLDİ

Avusturyalı siber güvenlik araştırmacıları, herhangi bir hack tekniği kullanmadan tüm WhatsApp kullanıcılarının telefon numaralarını çekmeyi başardı. Araştırmacıların aktardığına göre:

3.5 milyar numara erişilebilir durumdaydı,
Kullanıcıların %57’sinin profil fotoğrafları,
%29’unun profil metinleri de görüntülenebildi.

YÖNTEM, HER KULLANICININ YAPABİLDİĞİ İŞLEMDEN FARKSIZDI

Sızma yöntemi son derece basitti. Bir numara rehbere eklenip WhatsApp’a kaydedildiğinde, uygulama o numaranın bir hesaba ait olup olmadığını ve gizlilik ayarlarına göre profil fotoğrafı ya da metnini gösteriyordu.

Araştırmacılar bu işlemi sadece milyonlarca kez tekrarlayarak büyük ölçekli tarama gerçekleştirdi.

WHATSAPP WEB ÜZERİNDEN DAKİKADA MİLYONLARCA SORGU

Araştırma ekibi, yılın başında WhatsApp Web aracılığıyla saatte yaklaşık 100 milyon telefon numarasını kontrol edebildiklerini açıkladı. Bu da sistemi “devasa veri toplama makinesine” dönüştürdü.

META 2017’DE UYARILMIŞTI: ÖNLEM YİNE GECİKTİ

Rapor, WhatsApp’ın ana şirketi Meta’nın bu açık hakkında 2017’de uyarıldığı, ancak yıllarca hiçbir önlem alınmadığını ortaya koydu. Şirket ancak bu yıl Nisan ayında yeniden uyarılınca harekete geçti ve Ekim ayında “oran sınırlaması” ekleyerek toplu taramayı engelledi.

META: “VERİLER ZATEN HERKESE AÇIKTI”

Meta, sızıntı iddialarına karşı kendini savundu. Şirket, elde edilen bilgilerin “kullanıcı gizlilik ayarlarına göre zaten herkese açık olduğunu” söyleyerek, gizli profil kullananların verilerine ulaşılamadığını vurguladı.

Ayrıca Meta, bu açığın kötü niyetli kişilerce kullanıldığına dair “herhangi bir kanıt bulunmadığını” ifade etti.