Instagram veri sızıntısı iddiası, 17,5 milyon kullanıcıya ait kişisel bilgilerin karanlık ağ (dark web) forumlarında dolaşıma girdiği yönündeki paylaşımlarla gündemde. Araştırmacıların doğruladığı belirtilen sızıntıda şifreler yer almasa da e-posta ve telefon gibi alanlar hedefli saldırılar için yeterli görülüyor.
Karanlık ağdaki ilan: “INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK”
Söz konusu veri setinin, bu haftanın başlarında “Solonik” takma adını kullanan bir saldırgan tarafından bilinen bir bilgisayar korsanı forumunda yayınlandığı aktarıldı. İlanın başlığı “INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK” olarak verildi ve paylaşımda JSON ile TXT formatlarında 17,5 milyon kayıt bulunduğu iddia edildi.
Forum paylaşımına göre verilerin 2024 yılının sonlarında bir “API sızıntısı” yoluyla elde edildiği öne sürülüyor. Toplama yönteminin ise standart güvenlik önlemlerini atlayarak, dünya çapındaki kullanıcı profillerinin veri kazıma (scraping) ile derlenmesi olduğu ifade ediliyor.
Hangi bilgiler sızdı, risk neden büyüyor?
İddiaya konu sızdırılan veri tabanında sadece kullanıcı adlarının değil; tam isimler, doğrulanmış e-posta adresleri, telefon numaraları, kullanıcı kimlik numaraları (ID) ile ülke ve kısmi konum verilerinin de yer aldığı belirtiliyor. Veri örneklerinden alınan ekran görüntülerinin, bu alanların geçerliliğini doğruladığı aktarılıyor.
Sızıntının ardından birçok Instagram kullanıcısının istenmeyen şifre sıfırlama bildirimlerinde artış yaşadığını bildirdiği kaydedildi. Şifrelerin doğrudan sızdırılmadığı ifade edilse de e-posta ve telefon numarası kombinasyonunun “SIM kart değişimi” saldırıları ve gelişmiş sosyal mühendislik yöntemleri için yeterli olabileceği vurgulanıyor.
Uzmanlara göre dolandırıcılar, kendilerini Instagram destek ekibi gibi tanıtarak veya ifşa olan kişisel detayları kullanıp güven kazanarak kullanıcıları iki faktörlü doğrulama (2FA) kodlarını ya da giriş bilgilerini paylaşmaya ikna etmeye çalışabiliyor.
Olayın, Instagram’ın ana sunucularına doğrudan bir sızma yerine halka açık arayüzler üzerinden otomatik veri toplama işlemi olan “kazıma” olarak sınıflandırıldığı ifade edildi. Ancak iddia edilen ölçeğin, hız sınırlaması veya gizlilik korumalarındaki bir eksiklik nedeniyle saldırganların milyonlarca hesabı tespit edilmeden sorgulayabilmiş olabileceğine işaret ettiği belirtiliyor.
10 Ocak 2026 itibarıyla Meta’nın 17,5 milyonluk bu veri sızıntısı iddiasına ilişkin resmi bir açıklama yapmadığı aktarıldı. Siber güvenlik uzmanları ise Instagram kullanıcılarına SMS yerine bir kimlik doğrulama uygulamasıyla çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmelerini ve talep edilmeyen şifre sıfırlama e-postalarını dikkate almamalarını tavsiye ediyor.
