2025 yılının en büyük veri sızıntısı ortaya çıktı. Siber güvenlik araştırmacıları, bugüne kadar görülmüş en büyük parola sızıntısını doğruladı: Toplamda 16 milyar giriş bilgisi, yani kullanıcı adı ve şifre, internette açıkta bulunuyor. Sızan veriler arasında Apple, Facebook, Google, Telegram, GitHub ve çeşitli devlet servislerine ait kullanıcı hesapları da yer alıyor.

16 milyar şifre sızdırıldı: Apple, Google, Facebook ve daha fazlası etkilendi

Araştırmayı yürüten Cybernews ekibi, yılın başından bu yana süren bir soruşturma kapsamında 30 ayrı veri kümesi tespit etti. Her bir veri kümesinde on milyonlar ile 3,5 milyar arasında hesap bilgisi yer alıyor.

Verilerin büyük bölümü daha önce kamuya açık şekilde sızdırılmamış, yani taptaze. Sadece daha önce 184 milyon şifre içeren bir veritabanının bu sızıntı içinde yeniden yer aldığı belirtildi. Geri kalan tüm içerikler daha önce bilinmeyen hesap bilgilerini içeriyor.

Sızan bilgiler çoğunlukla URL, kullanıcı adı ve şifre üçlüsünden oluşan klasik bir formatta yayıldı. Bu yapıyla birlikte sosyal medya platformlarından geliştirici portallarına, sanal özel ağlardan devlet kurumlarına kadar geniş bir yelpazede kullanıcı hesabı tehlikeye girmiş durumda. Araştırmacılar, bu büyüklükteki bir sızıntının sadece bir güvenlik açığı olmadığını, aynı zamanda “kitlesel sömürü için bir plan” olduğunu belirtti.

Araştırma raporunda kullanılan ifadeye göre, bu bilgiler “neredeyse hayal edilebilecek her çevrimiçi hizmete” erişim imkanı tanıyor. Uzmanlar, bu tür yeni ve kullanılabilir verilerin özellikle kimlik avı saldırıları (phishing) ve hesap ele geçirme olaylarında çok daha etkili biçimde kullanılabileceği uyarısında bulundu.

Keeper Security’nin kurucularından Darren Guccione, söz konusu devasa sızıntının yalnızca kötü niyetli yazılımların (infostealer) değil, aynı zamanda yapılandırma hataları sonucu kamuya açık hale gelen veri tabanlarının da katkısıyla oluştuğunu söyledi. Bulut sistemlerindeki yanlış yapılandırmaların, milyonlarca kullanıcıya ait parolanın kötü niyetli kişilerin eline geçmesini kolaylaştırdığına dikkat çekti.

Guccione, bireysel kullanıcıların şifre yönetimi yazılımları ve karanlık web izleme sistemleri kullanmasının önemine vurgu yaptı. Bu tür çözümler sayesinde kullanıcılar kendi şifrelerinin sızdırılıp sızdırılmadığını erkenden öğrenebiliyor ve gerekli önlemleri alabiliyor. Öte yandan şirketler de sıfır güven (zero-trust) yaklaşımına dayalı, kimlik doğrulama odaklı sistemleri devreye alarak zararı minimize edebiliyor.

KnowBe4’te güvenlik farkındalığı savunucusu olarak görev yapan Javvad Malik, siber güvenliğin sadece teknik bir konu değil, aynı zamanda herkesin sorumluluğunda olan bir alan olduğunu vurguladı. Kullanıcıların güçlü ve benzersiz şifreler tercih etmesi, mümkün olan her yerde iki faktörlü kimlik doğrulama kullanması gerektiğini belirtti.

Şu ana kadar bu sızıntının kaynağı netleşmiş değil. Ancak uzmanlar, olayın arkasında birden fazla infostealer yazılımının bir araya geldiği bir süreç olduğunu değerlendiriyor. Şifrelerin karanlık ağda satışa sunulması ise, bu tür bilgilerle nelerin yapılabileceği konusunda ciddi riskleri beraberinde getiriyor.

16 milyar hesabın şifresinin internete sızdığı bir dönemde kullanıcıların vakit kaybetmeden şifrelerini güncellemesi, tekrar eden parolalardan vazgeçmesi ve passkey gibi daha güvenli sistemlere yönelmesi hayati önem taşıyor.