Parola Yöneticilerinde Bulunan Açık Kullanıcı Verilerini Tehlikeye Atıyor
Güvenlik araştırmacılarının yaptığı bir inceleme, en çok kullanılan 11 parola yöneticisinin tamamında veri hırsızlığına yol açan ciddi bir güvenlik açığını ortaya çıkardı. Bu açık sayesinde siber saldırganlar, kullanıcıların giriş bilgilerine, kredi kartı verilerine ve hatta iki faktörlü doğrulama kodlarına bile erişebiliyor.
Araştırmacılar 11 Üründe Güvenlik Açığı Belirledi
Güvenlik uzmanı Marek Tóth liderliğindeki güvenlik ekibi parola yöneticilerinin tarayıcı eklentileri üzerinden yapılan işlemleri mercek altına aldı. Tóth, DOM tabanlı bir clickjacking tekniğiyle kullanıcı arayüzünde gizlenen ögelerin manipüle edilebildiğini ortaya koydu. Bu yöntemle saldırganlar, görünürde güvenli bir sayfada yapılan tek bir tıklamayla hassas verileri ele geçirebiliyor.
Araştırmada yer alan 11 parola yöneticisinin tamamının saldırıya açık olduğu belirlendi. 1Password, LastPass, iCloud Passwords, Bitwarden, Enpass ve LogMeOnce gibi milyonlarca kişi tarafından kullanılan ürünlerde hâlâ güvenlik açığı bulunduğu bildirildi. Tespitlere göre yaklaşık 40 milyon aktif kurulum etkileniyor.
Testlerde 6 ürünün kredi kartı bilgilerini, 8 ürünün ise kişisel verileri koruyamadığı ortaya çıktı. Ayrıca 10 parola yöneticisinin alt alan adlarında saklanan giriş bilgilerini de doldurduğu anlaşıldı. Bu durum saldırganların kullanıcı adı, şifre, hatta TOTP kodlarını tek bir tıklamayla ele geçirmesine yol açabiliyor.
Araştırmacı, bulguları Nisan 2025’te geliştiricilerle paylaştığını belirtti. Ancak bazı ürünlerde hâlâ gerekli güncellemeler yapılmadı. Bitwarden’ın son sürümünde düzeltme aşamasında olduğu, Enpass’ın 13 Ağustos 2025’te yayınladığı güncellemeyle açığı kapattığı, KeePassXC-Browser’ın ise hâlen savunmasız olduğu bildirildi.
Uzmanlar, özellikle Chromium tabanlı tarayıcı kullanan kişilerin parola yöneticisi eklentilerinde “tıklamayla etkinleştirme” ayarını kullanmasını öneriyor. Bu sayede otomatik doldurma işlemi yalnızca kullanıcının onayıyla gerçekleşiyor.
