Meta'nın AI Destek Botu Instagram Hesap Ele Geçirmede Kullanıldı

Meta'nın Yardımsever Botu Nasıl Bir Güvenlik Açığına Dönüştü?

Meta, Mart 2026'da Instagram kullanıcılarına şifre sıfırlama, iki faktörlü kimlik doğrulama kurulumu ve hesap kurtarma gibi işlemlerde yardımcı olmak amacıyla yapay zeka tabanlı bir destek asistanı sundu. Ne var ki bu asistanın doğrulama süreçlerindeki bir zayıflık, araç henüz birkaç aylıkken kötüye kullanıldı.

Telegram'da dolaşıma giren bir videoya göre saldırganlar, Meta'nın sohbet botuna kısaca şu yönde bir mesaj gönderiyor: "Yeni e-posta adresimi hesabımla ilişkilendir, kodu sana gönderiyorum." Bot bu talebe güvenerek hedef hesaba bağlı yeni adrese doğrulama kodu iletiyor. Kodu ele geçiren saldırgan şifreyi sıfırlıyor ve asıl hesap sahibi kendi profilinin dışında kalıyor. 404 Media'nın ilk haberleştiği bu yöntemi The Verge de doğruladı.

Kimler Etkilendi?

Açığın aktif kullanıldığı dönemle eş zamanlı olarak, eski ABD Başkanı Barack Obama'ya ait @obamawhitehouse Instagram hesabının ele geçirildiği fark edildi; hesapta İran propagandasını çağrıştıran görseller yayımlandı. ABD Uzay Kuvvetleri'ne bağlı bir astsubay ve kozmetik zinciri Sephora'nın hesapları da benzer saldırıların hedefi oldu.

Güvenlik araştırmacısı ve tersine mühendis Jane Manchun Wong da kendi hesabının ele geçirildiğini açıkladı. Wong, bilgisi dışında şifresinin değiştirildiğini ve art arda şifre sıfırlama denemeleri geldiğini aktardı. Saldırganların özellikle tek harf ya da tek kelimeden oluşan kullanıcı adlarını —"h" veya "eggs" gibi— hedeflediği görülüyor; bu tür "prestij" hesaplar yeraltı platformlarında yüksek fiyatla el değiştiriyor.

Saldırıların bir bölümünde VPN kullanılarak konum taklidi yapıldığı da dikkat çekiyor: Saldırgan, hedefin bulunduğu coğrafyadan bağlanıyormuş izlenimi yaratarak botun konum tabanlı güven mekanizmalarını aşmayı hedefliyor.

AI Desteğinin Güvenlik Boyutu: Kolaylık mı, Risk mi?

Bu olay, yapay zeka destekli müşteri hizmetlerinin önüne hızla geçen bir soruyu yeniden gündeme taşıyor: Otomasyon hızı ile kimlik doğrulama titizliği nasıl dengelenir?

Geleneksel destek sistemlerinde bir insan operatör şüpheli talebi fark edip durdurabilir ya da ek doğrulama isteyebilir. Bir dil modelinin temel amacı ise kullanıcı talebini en az sürtüşmeyle yerine getirmektir. Bu yapısal gerilim, botun aslında işlevini "doğru" biçimde yerine getirirken güvenliği ihlal ettiği bir senaryoya zemin hazırladı.

Alternatif bir perspektiften bakıldığında, hesap kurtarma süreçlerini bu denli açık bırakanın yalnızca AI değil, arkasındaki yetkilendirme mimarisi olduğu da söylenebilir. Benzer açıklar geçmişte insan destekli sistemlerde de gözlemlendi; sosyal mühendislik, otomasyondan çok önce var olan bir tehdit vektörü.

Meta, açığın tespit edildiği andan itibaren kapatıldığını açıkladı; ancak etkilenen hesap sayısı ve saldırıların tam kapsamı henüz netlik kazanmadı.

Hesap Güvenliğiniz İçin Ne Yapmalısınız?

Meta açığı gidermiş olsa da bu gelişme, platformun kendi araçlarının bile güvenlik riski üretebileceğini somut biçimde gösterdi. Şu adımları hemen uygulamanızı öneririz:

• Instagram hesabınızdaki e-posta adresini ve telefon numarasını doğrulayın; yetkisiz değişiklik olup olmadığını kontrol edin.
• Kimlik doğrulama uygulaması (authenticator app) tabanlı iki faktörlü kimlik doğrulamayı etkinleştirin; SMS tabanlı doğrulama, SIM taşıma saldırılarına karşı daha kırılgandır.
• Özellikle kısa ya da değerli kullanıcı adına sahipseniz hesabınızı düzenli aralıklarla aktif oturum ve bağlı uygulama açısından denetleyin.
• Şüpheli bir aktivite fark ettiğinizde yalnızca AI botuna değil, doğrudan Meta'nın resmi yardım merkezine başvurun.