Meta'nın AI destek botu Instagram hesap ele geçirmek için kullanıldı
Meta'nın Mart 2026'da hayata geçirdiği yapay zekalı destek asistanında ciddi bir güvenlik açığı keşfedildi. Saldırganlar, bota yalnızca birkaç satır mesaj göndererek hedef hesabın e-posta adresini değiştirebildi ve ardından şifreyi sıfırlayarak hesabı tamamen ele geçirebildi. Meta açığın kapatıldığını duyurdu; ancak Obama'nın Beyaz Sarayı hesabı dahil pek çok profil bu yöntemle ele geçirilmişti.
Bir Chatbot Nasıl Hesap Korsanlığına Dönüştü?
Meta, Mart 2026'da Instagram kullanıcılarına şifre sıfırlama, iki adımlı doğrulama kurulumu ve hesap kurtarma gibi işlemlerde yardımcı olması amacıyla yapay zekalı bir destek asistanı kullanıma açtı. Ne var ki bu araç, ağır bir güvenlik açığıyla birlikte geldi.
Telegram'da yayılan bir videoda bir saldırgan, hedefe ait hesabın kullanıcı adını bilerek bota şu mealde bir mesaj gönderiyor: "Yeni mail adresime bağla, sana kodu gönderiyorum." Bot, doğrulama kodunu saldırganın belirttiği e-posta adresine iletiyor. Buradan itibaren şifre sıfırlama adımları otomatik olarak tamamlanıyor ve gerçek hesap sahibi kendi profilinden çıkarılmış oluyor.
404 Media'nın ilk olarak ortaya koyduğu bu saldırı yöntemi, hesap ele geçirmek için ne teknik bir kod yazımı ne de hassas bir kimlik bilgisi gerektiriyor — yalnızca bir chatbot konuşması yeterli.
Hangi Hesaplar Etkilendi?
Açığın tespit edildiği dönemde, Obama'nın @obamawhitehouse adlı Instagram hesabının İran propagandası içerikli görüntüler paylaşmaya başladığı dikkat çekti. ABD Uzay Kuvvetleri'nin üst düzey bir astsubayına ait hesap ile Sephora'nın kurumsal profili de ele geçirilen hesaplar arasında yer aldı.
Güvenlik araştırmacısı ve uygulama tersine mühendisi Jane Manchun Wong da saldırıdan nasibini aldığını açıkladı: Şifresinin haberi olmaksızın değiştirildiğini ve art arda şifre sıfırlama girişimleriyle karşılaştığını belirtti. Saldırganların özellikle tek harf ya da tek kelimeden oluşan, dolayısıyla yüksek değer taşıyan kullanıcı adlarını hedef aldığı gözlemlendi.
Bazı saldırganların ise botla iletişim kurarken VPN kullanarak konumlarını hedefe yakın gösterdiği bildirildi. Bu adım, coğrafi konuma dayalı olası güvenlik denetimlerini atlatmaya yönelik olabilir.
Yapay Zekalı Destek Araçlarının Sistemik Riski
Bu olay, tek bir hata ya da münferit bir yazılım açığından öte bir soruya işaret ediyor: Hesap güvenliği gibi kritik işlemler yapay zekaya ne ölçüde devredilmeli?
Geleneksel destek sistemleri, hesap değişikliklerini onaylamadan önce manuel inceleme veya çok katmanlı kimlik doğrulama süreçlerine tabi tutardı. Meta'nın AI asistanı ise bu süreçleri hızlandırmak amacıyla tasarlanmıştı — ve bu hız, aynı zamanda istismar için bir kapı araladı. Bot, kimin gerçek hesap sahibi olduğunu bağımsız biçimde doğrulayamadı; yalnızca doğru biçimde yapılandırılmış bir isteğe yanıt verdi.
AI destekli müşteri hizmetleri uygulamaları hız ve ölçek avantajı sunarken, bu araçların yanlış ellerde nasıl bir koz haline gelebileceğini gösteren somut bir örnek ortaya çıkmış oldu.
Alternatif Bir Perspektif
Eleştirmenlerin haklı öfkesine karşın, farklı bir okuma da mümkün: Geleneksel insan destekli sistemler de sosyal mühendislik saldırılarına karşı bağışık değil. Çağrı merkezlerini kandırarak hesap ele geçirme vakaları yıllardır kayıtlarda mevcut. Dolayısıyla mesele AI'a karşı insan değil; kimlik doğrulama protokollerinin ne kadar sağlam tasarlandığıyla ilgili.
Meta, açığın giderildiğini duyurdu. Ancak şirket, etkilenen hesap sayısı, tespit süreci ve ileride benzer açıkları önlemeye yönelik alınan önlemler konusunda ayrıntılı bir açıklama yapmadı.
Ne Yapmalısınız?
Hesabınızı bu tür saldırılara karşı daha dirençli hale getirmek için Instagram güvenlik ayarlarınızı şimdi gözden geçirin: İki adımlı doğrulamayı SMS yerine bir kimlik doğrulama uygulamasıyla kullanın, kayıtlı e-posta adresinizin güncel ve yalnızca size ait olduğundan emin olun ve hesabınıza bağlı üçüncü taraf oturumlarını düzenli aralıklarla kontrol edin. Kurumsal hesap yöneticilerinin ise erişim denetimlerini ve hesap sahipliği kayıtlarını bu hafta yeniden değerlendirmesi önerilir.
