🇹🇷 Turkish

Dil

WhatsApp Sohbet Geçmişleri macOS ve iOS'ta Şifresiz Saklanıyor

WhatsApp Sohbet Geçmişleri macOS ve iOS'ta Şifresiz Saklanıyor

Odadaki Fil: Yerel Şifreleme

Güvenlik araştırmacıları Mysk, 24 Mayıs 2026'da bulgularını yayınladığında, gizlilik topluluğu toplu olarak nefesini tuttu. Uçtan uca şifrelemeyi amiral gemisi yapan dünyanın en popüler mesajlaşma uygulaması WhatsApp, tüm sohbet geçmişinizi iOS ve macOS'ta düz metin olarak saklıyor. Bekleyen verilerde şifreleme yok. Koruma yok. Sadece paylaşılan bir kapsayıcıda duran ve okunmayı bekleyen basit bir SQLite veritabanı.

Bu bir hack veya hata değil. Yıllardır var olan ve iki milyardan fazla kullanıcıyı etkileyen mimari bir karar. Axolotl.sqlite adlı veritabanı, group.net.whatsapp.WhatsApp.shared etiketli paylaşılan bir uygulama grubu kapsayıcısında yaşıyor. Bu kapsayıcı, aynı geliştirici grubundaki herhangi bir uygulama tarafından erişilebilir - bu durumda Meta. Bu, Facebook ve Instagram'ın aynı cihaza kurulu olması durumunda, herhangi bir izin iletişim kutusu veya kullanıcı bildirimi tetiklemeden özel konuşmalarınızı sessizce okuyabileceği anlamına gelir.

Uçtan Uca Şifrelemenin Kapsamadığı Şeyler

Uçtan uca şifreleme (E2EE) genellikle yanlış anlaşılır. Mesajları cihazınızdan alıcının cihazına giderken korur ve aradaki hiç kimsenin - WhatsApp sunucuları bile - okuyamamasını sağlar. Ancak, bir mesaj geldiğinde ve cihazınızda şifresi çözüldüğünde, yerel bir veritabanına yazılır. Bu veritabanı bekleyen verilerde şifrelenmez. E2EE yolculuğu güvence altına alır, varış noktasını değil.

Mysk araştırmacıları bu güvenlik açığını halka açık bir videoda göstererek, bir Meta uygulamasının herhangi bir izin istemi olmadan WhatsApp'ın tüm mesaj veritabanına erişip okuyabildiğini gösterdi. Bu, aktarımdaki şifrelemenin savaşın sadece yarısı olduğunun açık bir hatırlatıcısıdır. Yerel veri güvenliği de aynı derecede kritiktir ve bu durumda Meta, güvenlik yerine rahatlığı seçmiştir.

Kimler Risk Altında?

WhatsApp'ı iPhone veya Mac'te kullanıyorsanız, potansiyel olarak maruz kalıyorsunuz. Aynı cihazda Facebook veya Instagram da yüklüyse risk artar, çünkü bu uygulamalar rızanız olmadan WhatsApp sohbet geçmişinizi okuyabilir. Bu sadece teorik bir endişe değil; tasarlanmış bir yetenek. Meta bu erişimi aktif olarak kullanmasa bile, mimari buna izin veriyor.

Etki bireysel gizliliğin ötesine uzanıyor. Çalışanların iş iletişimleri için WhatsApp kullandığı kurumsal ortamlarda, bu güvenlik açığı hassas kurumsal verileri ifşa edebilir. Devlet kurumları da Meta'ya yönelik yasal talepler yoluyla şifrelenmemiş yerel verilere erişebilir ve E2EE korumalarını tamamen devre dışı bırakabilir.

CVE-2026-28910 Bağlantısı

Ateşe yakıt ekleyen bir başka gelişme, yakın zamanda açıklanan macOS sandbox güvenlik açığı CVE-2026-28910, Apple'ın Arşiv Yardımcı Programı'nı etkiliyor. Bu kusur, App Sandbox ve Şeffaflık, Rıza ve Kontrol (TCC) korumalarını atlayarak neredeyse sınırsız dosya sistemi erişimine izin verebilir. WhatsApp'ın şifrelenmemiş depolamasıyla birleştirildiğinde, bir saldırgan kullanıcı etkileşimi olmadan ele geçirilmiş bir Mac'ten sohbet geçmişlerini çıkarabilir.

Siber güvenlik topluluğu endişeli. Aktif bir istismar bildirilmemiş olsa da, bu güvenlik açıklarının kombinasyonu veri hırsızlığı için mükemmel bir fırtına yaratıyor. Bu, Apple ve Meta'nın özellikle uygulama grubu kapsayıcıları ve yerel veri şifrelemesi konusunda güvenlik duruşlarını yeniden değerlendirmeleri için bir uyandırma çağrısı.

Kendinizi Korumak İçin Hemen Atılacak Adımlar

Bu adımlar altta yatan sorunu çözmeyecek, ancak Meta'nın sorunu ele almasını beklerken riski azaltacaktır.

Şifrelemenin Ötesinde: Doğru Soruları Sormak

Bu olay, mesajlaşma platformlarını nasıl değerlendirdiğimizdeki kritik bir boşluğu vurguluyor. Sık sık "Şifreli mi?" diye soruyoruz, ancak nadiren daha derine iniyoruz. Bir iletişim aracı seçerken zor soruları sorun: Mesajlar cihazda bekleyen verilerde şifreli mi? Şifreleme anahtarlarını kim tutuyor? Platform sağlayıcısı mesajlarımı okuyabilir mi? Paylaşılan kapsayıcılardaki verilere ne olur? Platform bağımsız olarak denetlendi mi?

Kuruluşlar için net bir iletişim güvenliği politikası oluşturmak tartışılmaz. Hangi kanalların hangi bilgi türleri için onaylandığını tanımlayın ve özellikle düzenlemeye tabi sektörlerde bunu uygulayın. Yeşil kilit simgesinin tam gizlilik anlamına geldiğini varsayma günleri sona erdi. Gerçek güvenlik, verilerin her aşamada - aktarım, depolama ve yedekleme - uçtan uca korunmasını gerektirir.

Bu ifşanın ardından Meta sessiz kaldı ve sorunu çözmek için bir zaman çizelgesi sunmadı. Kullanıcılar kendi seçimlerini yapmak zorunda. WhatsApp baskın bir güç olmaya devam ederken, bu ifşa günlük olarak kullandığımız platformlara olan güvenimizi yeniden değerlendirmemize yol açmalı. Sonuçta, gizlilik sadece iletim sırasında ne olduğuyla ilgili değildir; kimse bakmadığında verilerinizin nerede durduğuyla ilgilidir.

Geri