Apple'ın 2021 yılında kullanıma sunduğu 'Hide My Email' (E-postamı Gizle) özelliği, kullanıcıların çevrimiçi hizmetlere kaydolurken gerçek e-posta adreslerini gizleyerek rastgele oluşturulmuş @icloud.com uzantılı adresler kullanmasını sağlıyor. Bu sayede şirketlere minimum kişisel bilgi verilmesi amaçlanıyor. Ancak 404 Media'nın bu hafta yayınladığı bir araştırma, bu sistemde ciddi bir güvenlik açığı olduğunu ortaya koydu. Güvenlik araştırmacısı Tyler Murphy, Haziran 2025'te keşfettiği açığın, oluşturulan gizli e-posta adreslerinin gerçek e-posta adreslerine bağlanmasına izin verdiğini belirtti. Murphy, yaptığı testlerde gizli adreslerin yüzde 100'ünün bu şekilde ifşa edilebildiğini söyledi.
Açığın tam teknik detayları, henüz çözülmediği için kamuoyuyla paylaşılmadı. Murphy, sorunu ilk olarak 2024 yazında Apple'a bildirdiğini ve şirketin Mart 2025'te sorunun 'çözüldüğünü' söylediğini ancak daha sonra yaptığı testlerde açığın hala var olduğunu tespit ettiğini aktardı. Apple, Murphy'ye birkaç ay önce konuyu araştırmaya devam ettiklerini belirtti. 404 Media'nın yorum talebine ise Apple yanıt vermedi. Bu durum, özellikle gizlilik bilincine sahip kullanıcılar için büyük bir risk oluşturuyor. Apple'ın bu özelliği kullanıcılarına sunduğu güvenlik vaadiyle çelişiyor.
Bu haftanın diğer önemli güvenlik haberleri arasında Avrupa Parlamentosu'nun PEGA Komitesi'ne yönelik Pegasus casus yazılımı saldırısı da yer alıyor. Geçtiğimiz hafta yayınlanan araştırma sonuçları, komitenin bir üyesinin Pegasus ile hedef alındığını ortaya koydu. Aynı zamanda Google'ın üst düzey güvenlik yetkilileri, AB'nin rekabet yanlısı düzenleme önerilerinin Google Arama ve Android sistemlerini saldırılara açık hale getirebileceği uyarısında bulundu.
Meta'nın, Gemini ve ChatGPT gibi sohbet robotlarının intihar, seks ve uyuşturucu gibi yüksek riskli konulardaki tepkilerini test etmek için müteahhitler aracılığıyla çocuk ve genç kılığına girdiği ortaya çıktı. WIRED'ın araştırması, bu testlerin etik sınırları zorladığını gösteriyor. Ayrıca bir araştırmacı, Anthropic'in Claude Opus 4.7 modelini kullanarak Front Gate'in web sitesine sızmayı ve Lollapalooza, Bonnaroo gibi ABD müzik festivallerine bilet almayı başardı.
Sonuç ve Değerlendirme
Scattered Spider hacker grubunun 19 yaşındaki bir üyesi, Finlandiya'da tutuklanarak ABD'ye iade edildi. Peter Stokes adlı Estonya-ABD çifte vatandaşı, Mayıs 2025'te lüks bir mücevher perakendecisine sızarak 8 milyon dolar kripto para fidyeyi talep etmekle suçlanıyor. Şirket fidyeyi ödemese de olay 2 milyon dolara mal oldu. Daha önce iki İngiliz Scattered Spider üyesi, 2024'te Transport for London'a yapılan saldırıyı kabul etmişti.
WhatsApp, Signal'ın ardından milyarlarca kullanıcıya yönelik kullanıcı adı özelliğini duyurdu. Bu özellik, kişilerin telefon numarası paylaşmadan mesajlaşmasına olanak tanıyarak gizliliği artırıyor. Ancak Hindistan hükümeti, bu özelliğin dolandırıcılığı artırabileceği gerekçesiyle WhatsApp'tan kullanıcı adı uygulamasını durdurmasını istedi. Hindistan, Signal ve Telegram'a da benzer uyarılar gönderdi.
ABD'de hızla yaygınlaşan otomatik plaka tanıma kameraları (ALPR), sürücülerin hareketlerini kaydederek büyük veri tabanları oluşturuyor. Ancak Institute for Justice'ın araştırması, bu kameraların hatalı okumaları nedeniyle masum kişilerin gözaltına alındığını gösteriyor. Son 8 yılda en az 24 yanlış kimlik tespiti vakası belgelenirken, bunların buzdağının görünen kısmı olduğu belirtiliyor. Bir bebekli çiftin silah zoruyla durdurulması ve büyükanne-büyükbabanın 'O' harfinin sıfır okunmasıyla gözaltına alınması gibi örnekler, yapay zeka destekli bu sistemlerin ne kadar güvenilmez olabileceğini gözler önüne seriyor.
Kaynak: wired.com
