Whatsapp: 3,5 milyar kullanıcının verileri çevrimiçi olarak mevcuttu

İnsanlığın neredeyse yarısı WhatsApp kullanıyor; bu muhtemelen tarihteki en büyük veri sızıntısının ne olduğunu gösteriyor. 3,5 milyar mesajlaşma hesabındaki verilere herhangi bir büyük engel olmadan herhangi bir zamanda erişilebiliyor. Bu düşündüğünüzden daha tehlikelidir.

Rekor veri sızıntısı, geçen yılın eylül ayında Viyana Üniversitesi'ndeki bilim adamları tarafından keşfedildi. Bulgularıyla WhatsApp'ın ana şirketi Meta ile iki kez karşı karşıya geldiler; Şirket, sonuçların yayınlanmasından kısa bir süre önce yalnızca ikinci kez tepki gösterdi. Erişilen verilerin boyutu patlayıcıdır.

Araştırmacılar, WhatsApp'a kayıtlı neredeyse tüm kullanıcıların verilerine ulaşmayı başardı. Sohbetlere erişimleri olmasa da birçok başka veriye erişimleri vardı. Görüntülenen adı, “Bilgi” altına girilen verileri, son değişiklik tarihini içeren profil resmini, çevrimiçi durumu, kullanılan cihazları ve hatta milyonlarca durumda şifreleme anahtarının parçalarını bile sorgulayabildiler.

Veriler iyi gizlenmiş sunuculardan değil, yalnızca WhatsApp'ın kendisinden geliyordu. Bunu yapmak için bilim adamları basitçe iletişim sorgusunun işlevselliğini kullandılar. Bu, kullanıcıların messenger'ın kullanıcı veritabanını kayıtlı telefon numaralarıyla karşılaştırmasına olanak tanır. Bu şekilde kişileri kolayca ekleyebilirsiniz. Ancak görünen o ki gerçek bir sınır yok: Özel bir kurulum kullanarak bilim insanları dünyadaki tüm ülkelerdeki neredeyse tüm telefon numarası aralıklarını sorguladı. Ve kontrol edilen 63 milyar telefon numarasını tam olarak buldum 3.546.479.731 Whatsapp hesabı halen kullanımda.

Herhangi bir gizleme yapmalarına gerek yoktu: Bilim adamları sayıları kasıtlı olarak Viyana Üniversitesi'ne atanabilecek aynı IP adresinden aldılar. Bu da güvenlik önlemlerinin ne kadar zayıf olduğunu gösteriyor: Her ne kadar aynı IP adresi saniyede 7.000 sorgu ile 63 milyar sorgu yapsa da WhatsApp'ta herhangi bir güvenlik mekanizması bulunmuyor gibi görünüyor. Messenger operatörü de sorguları fark etmediğini itiraf etti. Daha az iyi niyetli saiklere sahip diğer grupların verilere çoktan eriştiği göz ardı edilemez.

Veri sızıntısı kullanıcı başına yalnızca nispeten küçük miktarda veri içerse bile yine de risk teşkil etmektedir. Whatsapp varsayılan olarak numarayı sorgulayan herkese profil resmini, adını ve bilgi alanını verir. Bilim adamlarının değerlendirmesine göre profil resmi, tüm kullanıcıların yüzde 57'si için ücretsiz olarak erişilebiliyordu. 77 milyon Amerikan profil fotoğrafının tamamının analizi, fotoğrafların üçte ikisinde en az bir insan yüzünün bulunduğunu gösterdi. Tüm bu durumlarda, bir saldırgan, yalnızca deneyerek WhatsApp kullanıcılarının yarısının adını, telefon numarasını ve yüzünün bir kombinasyonuna sahip olabilir.

Kullanıcıların yaklaşık yüzde 30'u tarafından doldurulan bilgi alanı aynı zamanda bazı derinlemesine bilgiler de sağlıyor. Birçok kullanıcı mesleklerini, e-posta adreslerini ve ana sayfalarına veya diğer sosyal ağlara olan bağlantıları buraya giriyor. Araştırmacılara göre siyasi tutumlar, dini inançlar ve hatta Onlyfans profilleriyle bağlantılar da bulundu.

Bu verilere kolay erişim, WhatsApp'ın fiilen yasaklandığı ülkelerde özellikle hassastır. Örneğin Çin'de messenger yasağına rağmen 2,3 milyon Çinli telefon numarasına sahip hesaplar bulundu. İran'da 60 milyon hesap vardı; bu da oradaki nüfusun neredeyse üçte ikisini oluşturuyordu. Yasağın 2024'ün sonunda kaldırılması sürpriz değil; Kuzey Kore'de bile beş WhatsApp kullanıcısı var. Verilere serbest erişim, bu ülkelerdeki kullanıcılar için son derece tehlikelidir: Eğer rejimler hızlı ve kolay bir şekilde tüm messenger kullanıcılarını ortaya çıkarabilir ve verileri tahsis edebilirse, bu onların muhaliflere karşı sert eylemlerde bulunmalarına olanak tanıyacaktır.

Yayımlandıktan sonra Whatsapp, verilere kötü niyetli aktörlerin eriştiğine dair hiçbir kanıt bulunmadığını vurguladı; ancak şirket, araştırmacıların verilere eriştiğini fark etmemişti. Meta, keşfi ortak bir çaba olarak satmaya çalışıyor: “Bir açıklamada, “Bu işbirliği, amaçladığımız sınırlarımızı aşan ve araştırmacıların halka açık temel bilgileri çıkarmasına olanak tanıyan yeni bir numaralandırma tekniği belirledi” dedi.

Aslında grup, tek bir hesabın tüm kullanım süresi boyunca erişebileceği maksimum erişim sayısını tanımladı. Bunun amacı, özelliğin günlük kullanımını kısıtlamadan otomatik değerlendirmeleri önlemektir.

Bilim adamlarının çalışmadaki kullanıcılar için başka ipuçları da var: Profil resminin ve bilgi kutusunun görünürlüğünü, kendi numaranızı da kaydetmiş olan kişilerle sınırlandırmalısınız. Bu aynı zamanda kendi kullanıcı adınız için de geçerlidir.