Dünya genelinde yaklaşık 17,5 milyon Instagram kullanıcısının kişisel bilgilerini içeren büyük ölçekli bir veri ihlali yaşandı.
Siber güvenlik araştırmacılarına göre ele geçirilen hassas bilgiler halihazırda dark web forumlarında paylaşılıyor.
Sızıntı, milyonlarca kullanıcıyı kimlik hırsızlığı ve hedefli kimlik avı saldırılarına karşı savunmasız bırakıyor.
API sızıntısı dark web’de paylaşıldı
Araştırmacılar tarafından tespit edilip doğrulanan veri seti, bu haftanın başlarında “Solonik” takma adını kullanan bir saldırgan tarafından bilinen bir hacker forumunda yayımlandı.
“INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK” başlığıyla paylaşılan ilanda, JSON ve TXT formatlarında 17,5 milyon kayıt bulunduğu öne sürülüyor. Forumdaki bilgilere göre veriler, 2024’ün sonlarında bir API sızıntısı yoluyla elde edildi.
Saldırganların, standart güvenlik önlemlerini aşarak dünya çapındaki kullanıcı profillerini veri kazıma (scraping) yöntemiyle topladığı belirtiliyor.
Hangi bilgiler sızdırıldı?
Sızdırılan veri tabanı yalnızca kullanıcı adlarını değil, aşağıdaki kritik bilgileri de içeriyor:
- Tam isimler ve kullanıcı adları
- Doğrulanmış e-posta adresleri
- Telefon numaraları
- Kullanıcı kimlik numaraları (ID)
- Ülke bilgileri ve kısmi konum verileri
Veri örneklerine ait ekran görüntüleri, bu alanların geçerli olduğunu ve siber suçluların hedefler hakkında kapsamlı profiller oluşturmasına imkân tanıdığını ortaya koyuyor.
Aktif riskler ve istismar uyarıları
Veri setinin paylaşılmasının ardından tehdit hızla aktif bir istismar riskine dönüştü. Çok sayıda Instagram kullanıcısı, sızıntıdan sonra istenmeyen şifre sıfırlama bildirimlerinde belirgin artış yaşandığını bildirdi.
Sızıntının doğrudan parolaları içermediği görülse de, e-posta ve telefon numarası kombinasyonu, “SIM kart değişimi” saldırıları ve gelişmiş sosyal mühendislik yöntemleri için yeterli kabul ediliyor. Dolandırıcılar, kendilerini Instagram destek ekibi gibi tanıtarak ya da ifşa olan kişisel detayları kullanarak güven inşa edebiliyor; kullanıcıları iki faktörlü doğrulama (2FA) kodlarını veya giriş bilgilerini paylaşmaya ikna etmeye çalışabiliyor.
Meta’dan açıklama yok
Olay, Instagram’ın ana sunucularına doğrudan bir sızma olarak değil; halka açık arayüzler üzerinden otomatik veri toplama anlamına gelen “kazıma” faaliyeti olarak sınıflandırılıyor. Ancak sızıntının ölçeği, hız sınırlaması ya da gizlilik korumalarındaki bir açığın, saldırganların milyonlarca hesabı fark edilmeden sorgulamasına olanak tanımış olabileceğine işaret ediyor.
10 Ocak 2026 itibarıyla Meta, 17,5 milyon kullanıcıyı etkileyen bu veri sızıntısına ilişkin resmî bir açıklama yapmadı.
Verilerinizi korumak için ne yapmalısınız?
Siber güvenlik uzmanları, tüm Instagram kullanıcılarına şu önlemleri öneriyor:
SMS yerine kimlik doğrulama uygulaması ile çok faktörlü kimlik doğrulamayı (MFA) derhal etkinleştirmek
Talep edilmemiş şifre sıfırlama e-postalarını ve mesajlarını dikkate almamak
Hesap etkinliklerini düzenli kontrol etmek ve şüpheli girişleri raporlamak
