Meta Platforms tarafından sunulan yapay zeka destekli müşteri hizmetleri sistemi, siber saldırganların bazı önemli Instagram hesaplarını ele geçirmesine olanak tanıyan bir güvenlik açığı nedeniyle gündeme geldi.
- Saldırı Nasıl Gerçekleşti?
- Ünlü ve Değerli Hesaplar Hedef Alındı
- Resmi Kurum Hesapları da Etkilendi
- Güvenlik Araştırmacılarından Sert Eleştiriler
- Meta Acil Güvenlik Güncellemesi Yayınladı
- Çok Faktörlü Kimlik Doğrulama Hesapları Korudu
- Yapay Zeka Ajanları İçin Yeni Uyarı
- Yapay Zeka Destek Sistemleri Daha Fazla Denetim Gerektirebilir
Güvenlik araştırmacılarının paylaştığı bilgilere göre saldırganlar, Meta’nın AI destek botunu kandırarak hedef hesapların e-posta adreslerini değiştirebildi ve böylece hesap kontrolünü ele geçirebildi. İddiaya göre saldırı yöntemi aylar boyunca aktif olarak kullanıldı ve binlerce Instagram hesabı bu yöntemle tehlikeye girdi.
Saldırı Nasıl Gerçekleşti?
404 Media tarafından aktarılan bilgilere göre saldırganlar oldukça basit bir yöntem kullandı. Öncelikle VPN aracılığıyla hedef hesabın bulunduğu bölgeyi taklit eden bir bağlantı oluşturuldu. Ardından hesap için parola sıfırlama süreci başlatıldı. Son aşamada ise Meta’nın yapay zeka destek botuna hesabın kayıtlı e-posta adresini değiştirmesi yönünde talimat verildi.
Bu yöntem, yapay zeka sistemlerini manipüle etmeyi amaçlayan “prompt injection” saldırılarının bir örneği olarak değerlendiriliyor. Siber güvenlik uzmanlarına göre saldırının başarısı, yapay zekanın kullanıcı kimliğini yeterince doğrulamadan kritik hesap değişikliklerine izin vermesinden kaynaklandı.
Ünlü ve Değerli Hesaplar Hedef Alındı
Saldırganların özellikle yüksek değere sahip Instagram kullanıcı adlarını hedef aldığı belirtiliyor. Güvenlik araştırmacıları, @hey ve @jowo gibi kısa ve prestijli kullanıcı adlarının ele geçirilerek yeniden satılmaya çalışıldığını aktardı. Siber güvenlik blogu CyberSec Guru’ya göre yalnızca bu iki hesabın gri piyasadaki toplam değeri 1 milyon doların üzerinde olabilir.
Bu tür hesaplar:
- Marka taklidi yapmak,
- Takipçi kitlesini kullanmak,
- Yeniden satış gerçekleştirmek,
- Sosyal medya etkisi kazanmak
gibi nedenlerle siber suçlular için oldukça değerli kabul ediliyor.
Resmi Kurum Hesapları da Etkilendi
Olaydan etkilenen hesaplar arasında dikkat çeken isimler de bulunuyor. Haberlere göre bir dönem Barack Obama yönetimine ait olan resmi Beyaz Saray Instagram hesabı ile ABD Uzay Kuvvetleri Baş Astsubayı hesabı kısa süreliğine ele geçirildi. Bu hesaplarda geçici olarak İran yanlısı mesajlar ve görseller paylaşıldığı bildirildi.
Güvenlik Araştırmacılarından Sert Eleştiriler
Açık kaynak istihbarat araştırmacısı ZachXBT, sosyal medya platformu X üzerinden yaptığı paylaşımda Meta’nın yapay zeka destek sistemini sert şekilde eleştirdi.
Araştırmacı, sistemin kullanıcı kimliğini doğrulamadan parola sıfırlama işlemleri gerçekleştirebildiğini ve kritik yetkilere sahip olduğunu öne sürdü. Bir diğer güvenlik araştırmacısı olan Dark Web Informer da aynı güvenlik açığını doğrulayarak Meta’nın daha sonra sistemi yamaladığını belirtti.
Meta Acil Güvenlik Güncellemesi Yayınladı
Gelen tepkilerin ardından Meta’nın 29 Mayıs’ta acil bir güvenlik güncellemesi yayınladığı bildirildi. Şirket henüz olayın kapsamına ilişkin ayrıntılı bir açıklama yapmasa da söz konusu açığın kapatıldığı ifade ediliyor.
Meta, yapay zeka destekli müşteri hizmetleri asistanını Mart 2026’da tanıtmış ve sistemin kullanıcılara günün her saatinde destek sunabileceğini açıklamıştı.
Çok Faktörlü Kimlik Doğrulama Hesapları Korudu
Uzmanlar, saldırının önemli bir güvenlik dersini de ortaya koyduğunu belirtiyor. Araştırmalara göre çok faktörlü kimlik doğrulama (MFA) kullanan hesaplar saldırılara karşı büyük ölçüde korundu.
Hatta Instagram’ın en temel MFA yöntemi olan SMS ile gönderilen tek kullanımlık doğrulama kodlarının bile birçok saldırıyı engellediği aktarıldı.
Yapay Zeka Ajanları İçin Yeni Uyarı
Olay, yüksek yetkilere sahip yapay zeka sistemlerinin oluşturabileceği güvenlik risklerini yeniden gündeme taşıdı. Siber güvenlik uzmanlarına göre kullanıcı hesaplarını değiştirme, veri silme veya kritik işlemler gerçekleştirme yetkisine sahip AI ajanlarının ek güvenlik katmanlarıyla korunması gerekiyor.
CyberSec Guru’nun değerlendirmesine göre daha güvenli bir yapı için:
- Hesap değişikliklerinden önce ek doğrulama yapılması,
- Şüpheli işlemler için hız sınırlamaları uygulanması,
- Yapay zeka kaynaklı değişikliklerin kayıt altına alınması,
- Kritik işlemler öncesinde insan veya deterministik doğrulama mekanizmalarının devreye girmesi
gibi önlemler alınmalı.
Yapay Zeka Destek Sistemleri Daha Fazla Denetim Gerektirebilir
Meta olayının, müşteri hizmetleri ve hesap yönetiminde kullanılan yapay zeka sistemlerinin güvenliği konusunda teknoloji sektöründe daha geniş tartışmalara yol açması bekleniyor.
Uzmanlar, üretken yapay zekanın kullanıcı deneyimini geliştirebileceğini ancak kritik hesap işlemlerinde insan denetimi ve güçlü kimlik doğrulama mekanizmalarının hâlâ vazgeçilmez olduğunu vurguluyor.
