Meta’nın yapay zekâ destek botu, 20.225 Instagram hesabının ele geçirilmesine nasıl alet oldu?

Meta, kendi yapay zekâ destek botunun kandırılması sonucu 20.225 Instagram hesabının izinsiz ele geçirildiğini doğruladı. Olaylar 17 Nisan-1 Haziran 2026 arasında yaşandı; aralarında Obama döneminden kalma bir Beyaz Saray hesabı ve bir ABD Uzay Kuvvetleri yetkilisinin hesabı da vardı. En çarpıcı kısım şu: bu hesapların çoğunda iki faktörlü doğrulama (2FA) aktifti — ve yine de işe yaramadı. Yani karşımızdaki, klasik yöntemlerle açıklanamayacak bir Instagram hesabı ele geçirme vakası.

Instagram hesabı ele geçirme bu kez insana değil, bota karşı yapıldı

Krebs on Security ve TechCrunch’ın haberine göre saldırganlar, Meta’nın hesap kurtarma sürecinde kullanıcılara yardımcı olan yapay zekâ destek botunu manipüle etmeyi başardı. Normalde bir hesap kurtarma talebinde doğrulama kodu, hesaba kayıtlı e-posta adresine gider. Saldırganlar botu, bu kodu kendi seçtikleri bir e-posta adresine göndermeye ikna etti. Yani sorun bir şifre kırma ya da kaba kuvvet saldırısı değildi — botu ikna etme meselesiydi.

İşin ayrıntılarına inildiğinde yöntem daha da rahatsız edici görünüyor: saldırganlar, hedef kullanıcının gerçek konumundan bağlanıyormuş gibi görünmek için VPN kullanmış — bu sayede Meta’nın olağan dışı konum girişlerini yakalayan dolandırıcılık tespit sistemlerini de atlatmışlar. Yani tek bir zayıflık değil, art arda dizilmiş birkaç güvenlik katmanının aynı anda boşa çıkarılması söz konusu.

SecurityWeek’in aktardığına göre Meta, olayı haziran ayı başında etkilenen kullanıcılara bildirdi ve güvenlik açığını kapattı. Ancak açığın ne kadar süredir istismar edildiği ve kaç saldırganın bundan haberdar olduğu netlik kazanmadı — TechCrunch, Instagram’ın sonradan hedef alınan kullanıcıları tek tek uyarmaya başladığını aktarıyor.

2FA’nın atlatılması neden endişe verici?

İki faktörlü doğrulamayı önerdiğimizde genelde varsayım şu olur: saldırgan şifrenizi bilse bile ikinci adımı geçemez. Bu vakada ikinci adım zaten çalışıyordu — sorun, kurtarma sürecinin kendisiydi. Bir hesabı “unuttum” akışıyla ele geçirmek, doğrudan saldırmaktan çoğu zaman daha kolay; çünkü kurtarma akışları genellikle güvenlik yerine kullanıcı kolaylığına göre tasarlanır.

Bu, Instagram ve WhatsApp hesap çalma konusunda daha önce ele aldığımız yöntemlerin kurumsal boyutu gibi düşünülebilir: oradaki saldırılar bireysel kullanıcıyı SMS veya sahte giriş sayfasıyla kandırmaya çalışıyordu, burada ise hedef platformun kendi otomasyon katmanıydı. Sonuç aynı: Instagram hesabı ele geçirme, kullanıcının hiçbir hata yapmadığı bir senaryoda bile mümkün olabiliyor.

Yapay zekâ destek botları, yeni bir sosyal mühendislik hedefi

Destek botlarının yaygınlaşmasının bir bedeli var: artık sosyal mühendislik saldırısının hedefi bir müşteri temsilcisi değil, bir yapay zekâ modeli olabiliyor. Daha önce yazdığımız gibi, bir yapay zekâ ajanına yetki verildiğinde, o yetkinin nasıl kötüye kullanılabileceğini de aynı titizlikle düşünmek gerekiyor. Burada da örüntü benzer: bot, “kullanıcıya yardımcı ol” hedefiyle tasarlanmış, ama bu hedef “kimliği doğrula” hedefinin önüne geçmiş.

Instagram hesabı ele geçirmeye karşı ne yapabilirsiniz?

Meta’nın kendi sistemindeki bir açığı kullanıcı olarak kapatamazsınız, ama kurtarma akışının sizin aleyhinize işlemesini zorlaştırabilirsiniz:

• Hesabınıza kayıtlı e-posta ve telefon numarasının güncel ve yalnızca sizin eriştiğiniz hesaplar olduğundan emin olun.
• 2FA’yı SMS yerine bir kimlik doğrulama uygulamasıyla (authenticator app) yapın — SIM takas saldırılarına karşı daha dayanıklıdır.
• Giriş ve hesap değişikliği bildirimlerini açık tutun; “e-postanız değiştirildi” gibi bir bildirim görürseniz ve bunu siz yapmadıysanız hemen harekete geçin.
• Yedek kurtarma kodlarınızı (varsa) güvenli, çevrimdışı bir yerde saklayın.

Kaynak: Krebs on Security, TechCrunch, SecurityWeek.