Dünyanın En Büyük Veri Sızıntısı Tehlikesi Atlatıldı: WhatsApp Güvenlik Açığı 3.5 Milyar Kullanıcıyı Etkiledi
Araştırmacılar WhatsApp’ın temas keşfi özelliğinde yer alan bir API açığını inceleyerek 3.5 milyar mobil telefon numarasının platformda aktif olup olmadığını doğruladı. Olay, çevrim içi hizmetlerde zayıf API korumalarının ne kadar geniş ölçekli bilgi toplamaya yol açabileceğini gösterdi.
Sorun Yaratan API Açığına Dair Bulgular Ortaya Çıktı
Ekibin çalışması WhatsApp’ın GetDeviceList uç noktasında yeterli hız sınırlamasının olmadığını ortaya koydu. Araştırmacılar yalnızca beş oturumla tek bir sunucudan saatte 100 milyonun üzerinde numarayı sorguladı. Platformun bu yoğun trafiği durdurmaması araştırma sürecinin kesintiye uğramasını engelledi.
Yapılan kontrolsüz sorgular sayesinde 63 milyarlık potansiyel numara seti tarandı. Çalışma sonunda 3.5 milyar aktif hesabın varlığı doğrulandı. Listenin küresel dağılımı WhatsApp kullanımına yönelik güncel tabloyu da gözler önüne serdi. Hindistan 749 milyon hesapla ilk sırada yer alırken Endonezya 235 milyon, Brezilya 206 milyon, Amerika Birleşik Devletleri 138 milyon kullanıcıyla listede yer aldı.
Araştırmacılar GetUserInfo, GetPrekeys ve FetchPicture uç noktalarını da sorgulayarak numaralara ait ek bilgiler elde etti. Profil fotoğrafları, durum yazıları, zaman damgaları ve uçtan uca şifreleme anahtarlarına ait açık bilgiler herhangi bir engelle karşılaşmadan indirildi. ABD numaralarına yönelik denemede 77 milyon profil fotoğrafı indirildi. Birçok fotoğrafta kişilerin yüzleri açık şekilde görüldü.
Elde edilen veriler eski sızıntılarla karşılaştırıldığında 2021’deki Facebook telefon numarası sızıntısında yer alan numaraların yüzde 58’inin hâlen WhatsApp’ta aktif olduğu görüldü. Uzmanlar telefon numarası temelli sızıntıların uzun yıllar boyunca kullanılabildiğini belirtti.
WhatsApp örneği çevrim içi hizmetlerde hız sınırı uygulanmayan API uç noktalarının ne kadar geniş çaplı veri toplamaya açık olduğunu gösterdi. Geçmişte Meta’nın “Arkadaş Ekle” özelliğindeki hatanın 533 milyon kişinin verilerinin kopyalanmasına yol açması, Twitter’ın 54 milyon hesabın telefon numarası ve e-posta eşleştirilmesine neden olan açığı ve Dell’in 49 milyon müşteri kaydının API üzerinden toplanması buna benzer tabloya işaret etti.
WhatsApp araştırmasının ardından şirket ilgili API uç noktalarına hız sınırı getirdi. Bu düzenlemeler temas keşfi özelliğinin kötüye kullanılmasını engellemek için atılmış önemli bir adım olarak değerlendirildi.
Araştırma çevrim içi hizmet sağlayıcılarının API korumalarını güçlendirmesi gerektiğini gösterdi. Hız sınırı eksikliği hem kimlik doğrulanabilen hem herkese açık uç noktalarda geniş ölçekli taramaya kapı aralayabiliyor. Bu tür zafiyetler kullanıcı fotoğrafları, profil metinleri ve kişisel bilgiler gibi kimlik belirleyici verilerin yayılmasına neden oluyor. Bu çalışma dijital platformlarda API mimarisine yönelik güvenlik denetimlerinin önemini yeniden gündeme taşıdı.
