X’in kısa süre önce kullanıma sunduğu ödeme hizmeti X Money, kullanıcı hesaplarını hedef alan yeni saldırı girişimleriyle gündeme geldi. Çok sayıda X kullanıcısı, kendileri talep etmedikleri hâlde art arda şifre sıfırlama e-postaları aldıklarını bildirdi. Şirket, gelen şikâyetler üzerine konuyu aktif biçimde araştırdığını ve saldırganların hesaplara izinsiz erişmeye çalıştığını açıkladı. Bununla birlikte X’in şimdiye kadarki incelemelerinde saldırıların başarılı olduğuna veya sistem çapında bir güvenlik ihlali yaşandığına dair kanıt bulunmadı. Yaşananlar, X Money ile platformdaki hesapların ödeme işlemleri açısından daha işlevsel hâle gelmeye başladığı bir dönemde hesap güvenliğini yeniden öne çıkarıyor.
X ürün mühendisi Mridul Singhai, salı günü LinkedIn üzerinden yaptığı açıklamada şirketin toplu şifre sıfırlama girişimleriyle ilgili kullanıcı bildirimlerini incelediğini belirtti. Singhai’ye göre saldırganlar, X Money’nin geniş ölçekte erişilebilir hâle gelmesinin ardından kullanıcı hesaplarına izinsiz erişim sağlayabileceklerini düşünüyor olabilir. Şirket bu nedenle olayın kapsamını araştırmayı sürdürüyor. Singhai, şu ana kadar herhangi bir hesap ihlaline ilişkin kanıt elde edilmediğini de özellikle vurguladı. Kullanıcılara gönderilen birden fazla şifre sıfırlama e-postası nedeniyle özür dileyen X yöneticisi, sorunun giderilmesi için çalışmaların devam ettiğini bildirdi.
X Money sonrası hesap güvenliği daha fazla dikkat gerektiriyor
X Money, sosyal ağın ödeme özelliklerini genişleten ve banka kartı gibi finansal araçları da kapsayan yeni hizmeti olarak kullanıma sunuldu. Hizmet, özellikle içerik üreticilerinin platform üzerinden ödeme almasını kolaylaştırabilecek özellikler sunarken X içerisindeki para transferlerinin kapsamını da genişletiyor. Finansal işlemlerin doğrudan kullanıcı hesaplarıyla ilişkilendirilmesi ise bu hesapları kötü niyetli kişiler açısından daha cazip hedefler hâline getirebilir. Mevcut olayda X’in açıklamaları, saldırganların doğrudan şirket sistemlerine girmek yerine şifre sıfırlama mekanizmasını yoğun biçimde tetiklediğine işaret ediyor. Dolayısıyla kullanıcının talebi olmadan gelen bir şifre sıfırlama mesajı tek başına hesabın ele geçirildiği anlamına gelmese de hesap sahibinin güvenlik ayarlarını kontrol etmesini gerektirecek bir uyarı niteliği taşıyor.
İLGİNİZİ ÇEKEBİLİR
Şirketin hukuk tarafı da olayla ilgili sert bir açıklama yaptı. X’in baş hukuk müşaviri James Burnham, platform kullanıcılarını mağdur etmeye çalışan kişilerin kimliklerinin belirlenmesi, yerlerinin tespit edilmesi ve cezai sorumlulukla karşı karşıya bırakılması için şirketin hukuk ve güvenlik ekiplerinin çalışacağını söyledi. Ne var ki X, haberin kaynak metninin hazırlandığı sırada kurumsal hesaplarından olayın teknik kapsamına ilişkin ayrıntılı bir açıklama yayımlamamıştı. Şirketin basın kanalı üzerinden yöneltilen sorulara da henüz yanıt verilmediği belirtiliyordu. Bu nedenle saldırı girişimlerinin kaç hesabı etkilediği, hangi tarihte başladığı ve X’in şifre sıfırlama sisteminde saldırıları sınırlamak amacıyla ek önlemler uygulayıp uygulamadığı konusunda henüz ayrıntılı bilgi bulunmuyor.
Kullanıcılar ise platform üzerinde birbirlerini şüpheli şifre sıfırlama e-postalarına karşı uyarıyor ve özellikle iki faktörlü kimlik doğrulamanın etkinleştirilmesini öneriyor. X’in yapay zekâ asistanı Grok da konuyla ilgili bazı gönderilere yanıt vererek iki faktörlü kimlik doğrulamanın nasıl açılabileceğine ilişkin adımları paylaştı. Grok’un verdiği bilgilere göre saldırganlar, herkese açık kullanıcı adlarını kullanarak şifre sıfırlama formunu toplu biçimde tetikliyor. Yapay zekâ asistanı aynı zamanda doğrulanmış bir sistem ihlali veya geniş çaplı hesap ele geçirme vakası bulunmadığını ifade etti. Buna rağmen kullanıcıların gelen şifre sıfırlama bağlantılarına doğrudan tıklamak yerine X uygulaması veya resmi web sitesi üzerinden hesaplarının güvenlik bölümünü kontrol etmeleri daha güvenli bir yaklaşım olacaktır.
Günün Öne Çıkan Fırsatları
REKLAM — Bu içerikte satış ortaklığı bağlantıları bulunmaktadır. Bu bağlantılar üzerinden yapılan alışverişlerden Teknoblog komisyon kazanabilir.
X Money’nin ödeme özellikleri nedeniyle kullanıcı hesaplarında güvenliğin yalnızca sosyal medya profilini korumaktan daha geniş sonuçları bulunabilir. Özellikle aynı parolanın farklı hizmetlerde kullanılması, saldırganların başka bir kaynaktan ele geçirilmiş kimlik bilgilerini X hesaplarında denemesine zemin hazırlayabilir. Bunun yanında iki faktörlü kimlik doğrulama, güçlü ve benzersiz parola kullanımı ile hesaba bağlı e-posta adresinin korunması, izinsiz erişim riskini azaltabilecek temel önlemler arasında yer alıyor. Şimdilik X’in paylaştığı bilgiler başarılı bir toplu hesap ele geçirme olayına işaret etmiyor ve görünen faaliyet daha çok şifre sıfırlama sisteminin kötüye kullanılmasına dayanıyor. Yine de X Money’nin finansal işlevleri genişledikçe şirketin bu tür otomatik girişimleri ne ölçüde engelleyebildiği, hizmetin güvenilirliği açısından kullanıcıların yakından takip edeceği konulardan biri olacak.
