400 Milyonu Aşkın Facebook Kullanıcısının Telefon Numarası İnternete Sızdı

Facebook hesapları ile ilişkili en az 419 milyon telefon numarasının yer aldığı sunucunun dışarıdan erişilebilir durumda olduğu anlaşıldı. Güvenlik açığı bulunan Facebook sunucusunda yer alan telefon numaraları birçok farklı coğrafyada yaşayan kullanıcılara ait. Bunlar arasında ABD’den 133 milyon ve Vietnam’dan 50 milyon kullanıcının yer aldığı ifade edildi. Şifre ile korunmayan sunucu, dışarıdan erişime tamamen açık haldeydi.

Veritabanında yer alan bilgiler, her bir kullanıcının Facebook kimliği (Facebook ID) ve telefon numarasını içeriyor. Kullanıcıların Facebook ID numarası genelde uzun, kopyası bulunmayan ve kamuya açık hesap ile ilişkilendirilen sayıyı temsil ediyor. ID numarası, bir hesabı diğerlerinden kolayca ayırt etmek için kullanılıyor.

Öte yandan telefon numaraları kamunun erişimine bir yıldan uzun süredir açık değildi. Facebook, Nisan 2018’de yaptığı güvenlik güncellemesi duyurusu ile kullanıcıların telefonlarına erişimi kısıtlamıştı.

Popüler teknoloji yayını TechCrunch tarafından yapılan incelemede, güvenlik açığı bulunan veritabanındaki bilgilerin kullanılabilir durumda olduğu anlaşıldı. Facebook kullanıcılarının telefon numaraları ile veritabanındaki Facebook ID numaralarının eşleştirilebildiği görüldü. TechCrunch aynı zamanda telefon numaralarını Facebook’un kendi şifre sıfırlama içeriği ile eşleştirdi. Bu sayede kullanıcıların hesapları ile bağlantılı numaraları kısmen ortaya çıkarılabiliyor.

Veritabanındaki kayıtların aynı zamanda kullanıcıların ismi, cinsiyeti ve ülke konumları hakkında da bilgi verdiği anlaşıldı.

Sunucunun internete erişimi kesildi

Yüz milyonlarca kullanıcının bilgilerini açığa vuran güvenlik açığı, Facebook’un federal soruşturmaya tabi tutulmasına neden olan Cambridge Analytica skandalının ardından gelen en yeni olayı temsil ediyor. Cambridge Analytica skandalında, 80 milyondan fazla Facebook profilinin ABD 2016 Başkanlık Seçimi analizlerinde kullanılmak üzere kullanıldığı anlaşılmıştı.

Kullanıcıların Facebook ID’leri aracılığıyla telefon numaralarını ortaya çıkaran güvenlik açığı, milyonlarca kişinin spam çağrı ve SIM-değiştirme saldırılarına maruz kalmasına neden olabilir. SIM-değiştirme saldırısında, siber saldırganlar gerçek kişilerin numaralarını elde etmek için cep telefonu operatörlerini çeşitli yollarla aldatıyor. Siber suçlular ardından, elde ettikleri telefonla bağlantılı herhangi bir çevrimiçi hesabın şifresini sıfırlayabiliyor.

GDI Foundation’da güvenlik araştırmacısı olan Sanyam Jain, veritabanını tespit ettikten sonra TechCrunch ile temasa geçti. Verilerin analizinin ardından sahibini anlamak mümkün olmadı. Web hosting firması ile temasa geçildikten sonra ise veritabanının bağlantısı kesildi.

Jain, bulduğu profillerdeki bazı numaraların birçok ünlü isme ait olduğunu belirtti. Facebook’tan yapılan açıklamada ise telefon numaralarına getirilen erişim yasağının öncesinde veritabanının devre dışı bırakıldığını kaydedildi. Açıklamada, “Söz konusu verilerin eski olduğu ve geçtiğimiz yıl yapılan güvenlik güncellemelerinin öncesine ait bilgiler içerdiği” belirtildi. Facebook ayrıca, “veritabanının devre dışı bırakıldığını ve bugüne kadar kullanıcı hesaplarının ihlal edildiğine dair herhangi bir durumun tespit edilmediğini” not düştü.

Gelişmeler merakla bekleniyor…

Açıklamanın ardından beliren sorular, ‘verileri kimin kenara attığı, bu işlemin ne zaman ve neden yapıldığı’ üzerine odaklanıyor. Facebook kullanıcıların numaralarına erişimi kısıtladığı gibi arkadaş profillerinin numaralarına erişimi de zorlaştırmıştı. Diğer taraftan, kamuya açık halde bulunan veritabanındaki bilgilerin geçtiğimiz ay yüklendiği görüldü.

Detaylarının ileride belirlemesi beklenen güvenlik açığı, şifresiz korunan çevrimiçi veritabanları ile ilgili en son ve önemli örnek anlamı taşıyor.
Genelde insan hatasından kaynaklanan bu tip güvenlik sorunlarının sayısı giderek artıyor.