Siber güvenlik araştırmacıları, Google Play ekosistemindeki uygulamaların, özellikle de son dönemde popülerleşen üretken yapay zeka araçlarının, kullanıcı verilerini depolama biçimindeki kritik zafiyetleri tespit etti. Odak noktası, içerik oluşturma vaadiyle öne çıkan “Video AI Art Generator & Maker” uygulaması oldu.
Bu uygulamanın temel hatası, verileri barındırdığı bulut depolama (muhtemelen Amazon S3 veya Google Cloud Storage bucket’ları) sisteminin erişim ayarlarının ‘Herkese Açık’ (Public) olarak yanlış yapılandırılmasıydı. Bu ihmal sonucunda:
• 1.5 milyondan fazla kullanıcının özel görselleri internette tamamen korumasız kaldı.
• Yaklaşık 385 bin video dosyası, herhangi bir kimlik doğrulama gerektirmeden erişilebilir duruma geldi.
• Uygulamanın piyasaya sürülmesinden bu yana toplanan toplamda 8 milyonun üzerindeki medya dosyası, siber korsanların potansiyel hedefi haline geldi.
Sızıntının boyutu, sadece medya dosyalarıyla sınırlı kalmadı. Aynı geliştiriciye ait olan ve genellikle kurumsal doğrulama süreçlerinde kullanılan “IDMerit” uygulaması ise çok daha ciddi bir tehlikeyi işaret ediyor. Bu uygulama, Müşterini Tanı (Know Your Customer – KYC) prosedürleri kapsamında toplanan son derece hassas kişisel bilgileri tehlikeye attı. Sızan belgeler arasında 22 farklı ülkenin vatandaşlarına ait veriler bulunuyor. Bu veriler şunları içeriyor: tam yasal isimler, resmi kimlik numaraları (örneğin pasaport veya ehliyet bilgileri), fiziksel ev adresleri ve telefon numaraları.
Siber güvenlik araştırmacıları, bu tarz bulut depolama yapılandırma hatalarının Play Store’daki uygulamaların yaklaşık %72’sinde görülen yaygın bir problem olduğunu belirtiyor. Hatta bazı geliştiricilerin, güvenlik anahtarlarını veya API kimlik bilgilerini kaynak kodun içine gömmesi (hardcoding), siber saldırganlar için doğrudan bir davetiye oluşturuyor.
Kullanıcıların alabilecekleri önlemler:
1. Geliştirici Geçmişini Kontrol Edin: Yüzlerce benzer kopyası olan, kalitesiz veya yeni geliştirilmiş uygulamalardan kaçının. Mümkünse, geliştiricinin “Doğrulanmış Geliştirici” rozetine sahip olduğundan emin olun.
2. Şüpheli Abonelikleri İptal Edin: Cihazınızın pilini anormal derecede tüketen veya gizli/şüpheli abonelikler sunan yazılımları derhal kaldırın.
3. Düzenli Tarama: Android’in yerleşik güvenlik aracı olan Play Protect taramalarını haftalık olarak çalıştırmayı bir alışkanlık haline getirin.
Veri politikasındaki amaçlarla sınırlı ve mevzuata uygun şekilde çerez konumlandırmaktayız. Detaylar için Gizlilik Politikası ve Kullanım Koşulları sayfalarımızı inceleyebilirsiniz.