Ne oldu?
Aralık 2025 ile Ağustos 2026 arasında bir saldırgan grubu otomatik bir tarama hattı kurdu. Farklı uygulama mağazalarından 1,8 milyon Android uygulaması indirildi, tersine derlendi ve içlerinde gömülü kalmış gizli bilgiler arandı.
Aranan şey karmaşık bir açık değildi: geliştiricilerin uygulamanın içine doğrudan yazdığı API anahtarları, erişim belirteçleri ve parolalar.
Bulunanlar gerçek zamanlı olarak bir mesajlaşma kanalına akıtıldı ve yüzden fazla kaynak türüne göre sınıflandırıldı. Yani bu bir tek seferlik saldırı değil, işleyen bir üretim hattıydı.
Rakamlar ne anlatıyor?
- 1,8 milyon uygulama tarandı
- 2.100'den fazla Azure AD kimlik doğrulama belirteci çıkarıldı
- Bu belirteçler 40'tan fazla ayrı kurumsal Microsoft hesabına bağlıydı
Sonra bu anahtarlar kullanıldı. Belgelenen sonuçlar arasında bir bulut yazılım sağlayıcısının ele geçirilmesi ve buradan yaklaşık 200 müşteri kurumun verisine ulaşılması, bir teknoloji sağlayıcısından 1 TB veri çalınması, ayrıca havayolu ve enerji şirketlerinin sistemlerine erişim var.
Dikkat edin: zarar gören kurumların çoğu o uygulamaları yazmamıştı. Uygulamayı yazan firmanın hatası, o firmadan hizmet alan 200 kurumun sorunu hâline geldi.
Yapay zekânın buradaki rolü
Haberin başlığı yapay zekâ üzerine kurulu, ama teknik gerçek daha sade.
Saldırganlar yapay zekâyı bir açığı istismar etmek için değil, işi ölçeklemek için kullandı: uygulamaları toplamak, ayıklamak, çıkan sonuçları sınıflandırmak ve hangisinin işe yarar olduğuna karar vermek. Bunların hepsi daha önce de yapılabiliyordu — sadece pahalı ve yavaştı.
Yapay zekâ yeni bir güvenlik açığı yaratmadı. Yıllardır var olan bir zafiyeti — koda gömülü sırları — toplu olarak taranabilir hâle getirdi.
Bunun pratik anlamı şu: dün "kimse benim uygulamamı tersine derleyip bakmaz" diye düşünebiliyordunuz. Bugün 1,8 milyon uygulamanın taranması birkaç haftalık bir iş.
Anthropic, olayı tespit ettikten sonra ilgili hesapları kapattığını, kötüye kullanım tespitini güçlendirdiğini ve yetkililerle sektör paydaşlarını bilgilendirdiğini açıkladı.
Sizi neden ilgilendiriyor?
İki farklı durumda bu haber doğrudan sizi ilgilendiriyor.
Bir mobil uygulamanız varsa. Müşteri uygulaması, saha ekibi uygulaması, bayi uygulaması fark etmez. Uygulamanın içine yazılmış her anahtar, uygulamayı indiren herkesin eline geçebilir. Uygulama mağazada yayınlandığı andan itibaren o anahtar "gizli" değildir.
Yazılım satın alıyorsanız. Kendi kodunuz kusursuz olsa bile, entegre olduğunuz sağlayıcının kodundaki bir anahtar sizin verinize açılan kapı olabilir. Yukarıdaki 200 müşteri kurum tam olarak bu şekilde etkilendi.
Ne yapmalısınız?
Uygulama yayınlıyorsanız:
- Hiçbir anahtarı, parolayı veya belirteci uygulamanın içine yazmayın. Uygulama doğrudan hassas servislere bağlanmak yerine sizin kontrolünüzdeki bir arka uç üzerinden geçsin.
- Kod deponuzu ve derleme çıktılarınızı sır taraması yapan araçlarla düzenli tarayın. Bu tarama derleme sürecinin parçası olsun, yılda bir yapılan bir denetim değil.
- Geçmişte uygulama içinde yayımlanmış her anahtarı yenileyin. Bir kez yayımlanmış anahtar geri alınamaz; yalnızca değiştirilebilir.
- Anahtarların yetkisini daraltın. Bir anahtar ele geçtiğinde neye erişebildiği, ele geçip geçmediğinden daha önemlidir.
Yazılım satın alıyorsanız:
- Sağlayıcınıza sırları nasıl yönettiğini sorun. Kod deposunda sır taraması yapıyor mu, anahtarları ne sıklıkla yeniliyor?
- Sağlayıcının entegrasyonunun sizin ortamınızda erişebildiği alanı sınırlayın. Tam yetkili bir servis hesabı vermek en kolay yoldur ve en pahalı olanıdır.
- Sağlayıcılara ait servis hesaplarının ve belirteçlerin kullanımını izleyin. Olağandışı bir erişim, sizin tarafınızda değil karşı tarafta bir şeyin bozulduğunu gösterebilir.
Asıl mesele
Bu olayın anlattığı şey, saldırganların akıllandığı değil; saldırı maliyetinin düştüğü.
Güvenlikte çoğu karar sessizce bir maliyet varsayımına dayanır: "bunu yapmak zahmetli, kimse uğraşmaz." Koda gömülü bir anahtarı orada bırakmak da böyle bir karardır. O varsayım geçerliliğini yitirdiğinde, yıllar önce alınmış ve unutulmuş kararlar bugünün açığı hâline gelir.
İkinci mesele tedarik zinciri. Kurumunuzun güvenliği artık yalnızca kendi sistemlerinizle sınırlı değil; bağlandığınız her sağlayıcının hijyeni sizin risk tablonuzun parçası. Bunu sözleşmeye yazmadan ve teknik olarak sınırlamadan yönetmenin bir yolu yok.