TikTok, Instagram , Facebook ve YouTube gibi platformlara giriş yaparken
gönderilen tek seferlik kodları organize eden bir firmaya ait veri
tabanı sızdırıldı. Milyonlarca kullanıcıya gönderilen kodlar ve şifre
sıfırlama bağlantıları ifşa oldu.
Çevrim içi ortamda güvenliğimizi sağlamak için tercih ettiğimiz yöntemlerden biri de iki faktörlü doğrulama olarak da bilinen “2FA“. Bugün Google, Meta ve TikTok gibi dünyanın en büyük sosyal ağ sağlayıcılarından tutun da Binance gibi kripto para borsalarında bile 2FA teknolojileri uygulanıyor. Bazı firmalar kendi sistemlerini ortaya koyarken bazıları ise üçüncü taraf işletmelerden yardım alıyor. İşte şimdi, bununla ilgili çok önemli bir gelişme yaşandı.
Pek çok ülkede SMS üzerinden 2FA hizmeti sunan YX International
isimli bir şirket, eşi benzeri görülmemiş bir güvenlik açığının kurbanı
oldu. Günde 5 milyondan fazla SMS gönderip kullanıcıların iki faktörlü
kimlik doğrulama işlemlerini tamamlamasını sağlayan şirketin,
veri tabanlarından birini şifresiz olarak bıraktığı tespit edildi.
Yapılan incelemelere göre bu veri tabanı, kullanıcıların Google, Meta ve
TikTok’a girerken gönderilen tek seferlik giriş kodu ve şifre sıfırlama bağlantılarını içeriyordu.
YX International, güvenlik açığının kapatıldığını açıkladı
Veri tabanının ortaya çıkması üzerine YX International ile iletişime
geçildi. Yapılan açıklamalarda, sızdırılan veri tabanının ne zamandır
şifresiz olduğuna ilişkin hiçbir bilgi verilmedi. Ancak
incelenen dosyalar, Temmuz 2023 tarihi itibarıyla başlıyordu. Yani
şifreleme sorunu, büyük olasılıkla o tarihte başladı. YX
International’dan bir temsilci, olay üzerine gerekli çalışmanın
yapıldığını ve güvenlik açığının kapatıldığını açıkladı.
YX International’ın başına gelen olayın kaç kullanıcının güvenliğini ihlal ettiği belli değil. Burada bilinen tek şey, TikTok, Instagram,
Facebook ve YouTube gibi platformlara giriş yapmaya çalışan
kullanıcılara gönderilen kodlar ile şifre sıfırlama bağlantılarının açığa çıkmış olması.
Bilgisayar korsanlarının bu güvenlik açığını daha önceden tespit edip
etmedikleri ve açığı sömürüp sömürmedikleri gibi hususlar, şimdilik
gizemini koruyor.
Kaynak: Kaynak : https://techcrunch.com/2024/02/29/leaky-database-two-factor-codes/