Herkes bu soruyu soruyor: Signal hacklendi mi?

Habere göre saldırganlar, teknik bir yazılım açığını kullanmak yerine, kullanıcıyı kandırmaya dayalı kimlik avı yöntemiyle doğrulama kodu, PIN veya cihaz bağlama işlemi gibi hassas bilgileri ele geçirmeye çalıştı.

Güvenli haber kaynaklarinin aktardığı olayda Alman güvenlik kurumları, bu tür saldırıların son dönemde yaygınlaştığı konusunda uyarıda bulundu.

Bold'da yer alan habere göre burada altı çizilmesi gereken en önemli nokta şu: Bu olay, “Signal’in şifresi kırıldı” ya da “Signal artık güvenli değil” anlamına gelmiyor. Reuters’ın aktardığı FBI-CISA uyarısında da benzer şekilde, saldırganların uygulamaların uçtan uca şifrelemesini kırmadığı; güvenlik kodu veya doğrulama bilgisi paylaşmaya ikna edilen kullanıcıların hesaplarına erişmeye çalıştığı belirtildi.

Signal güvenli mi?

Signal, hâlâ en güçlü gizlilik ve güvenlik özelliklerine sahip mesajlaşma uygulamalarından biri olarak kabul ediliyor. Ancak hiçbir uygulama, kullanıcının kendi doğrulama kodunu, PIN’ini veya QR kodla cihaz bağlama iznini saldırgana vermesi durumunda tamamen koruma sağlayamaz. Yani risk, uygulamanın şifreleme altyapısında veya güvenlik özellikllerinde degil, saldirganlardan gelen sahte ve manipulatif mesajlar ile digital kimlik avı yöntemlerinden kaynaklanıyor.

Signal’in kendi güvenlik rehberinde de açıkça belirtildiği üzere Signal, kullanıcıdan sohbet veya arama yoluyla kod, PIN, anahtar ya da ödeme bilgisi istemez. Signal ayrıca şüpheli bağlantılara tıklanmamasını, QR kodların dikkatle değerlendirilmesini ve bilinmeyen hesaplardan gelen “hesabınız kapanacak”, “güvenlik doğrulaması gerekiyor” gibi mesajlara karşı dikkatli olunmasini öneriyor.

Kullanıcılar ne yapmalı?

Öncelikle hiçbir koşulda SMS doğrulama kodu, Signal PIN’i, yedek kurtarma anahtarı veya cihaz bağlama QR kodu başka biriyle paylaşılmamalıdir. Mesajı gönderen kişi kendisini “Signal destek”, “güvenlik ekibi” veya tanıdığınız biri gibi tanıtsa bile bu bilgi paylaşılmamalı.

Şüpheli bir mesaj geldiğinde konuşmayı sürdürmek yerine ilgili hesabı raporlamak ve engellemek en güvenli yoldur.

Signal hesabında PIN kullanılmalı ve mümkünse “Kayıt Kilidi” etkinleştirilmelidir. Signal PIN’i, hesabın profil, ayarlar ve kişi bilgileri gibi bazı unsurlarını korumaya yardımcı olur; ayrıca kayıt kilidiyle birlikte saldırganın yalnızca SMS kodunu ele geçirerek hesabı devralmasını zorlaştırır. Signal’in açıklamasına göre PIN, sohbet geçmişini geri getiren bir yedek değildir ve Signal bu PIN’i bilmez ya da sıfırlayamaz.

Telefonun ve uygulamanın güncel tutulması da temel güvenlik adımlarından biridir. Mobil cihazlariniz ve bilgisayarlarinizda güçlü ekran kilidi kullanılması, akilli telefon, otomatik yazilim güncellemelerinin açık tutulması ve güncellemelerin düzenli olarak yapılması, Signal’in gereksiz erisim izinlerinin kapatılması, mesajlasma verilerinizin sadece ilgili cihazda bulunmasini istiyorsaniz iCloud, Drive vb yedeklemelerin kapatilmasi, bildirim önizlemelerinin gizlik tutmak istediginiz bilgilerin aciga cikmamasi icin kapali tutulmasi, otomatik kaybolan ileti ayarlarinin yapilmasi ve grup bağlantılarının yalnızca güvenilen kişilerle paylaşılması öneriliyor.

Ayrıca hassas görüşmeler yapan kullanıcılar, Signal’de “güvenlik numarası” değişiklik uyarılarını ciddiye almalı. Signal’e göre her bire bir sohbetin kendine ait bir güvenlik numarası vardır; bu numaranın beklenmedik şekilde değişmesi, kişinin yeni telefona geçmesi gibi normal bir sebepten kaynaklanabileceği gibi, kontrol edilmesi gereken şüpheli bir duruma da işaret edebilir. Böyle bir durumda doğrulama, Signal üzerinden değil; telefon görüşmesi, yüz yüze görüşme ya da daha önce kararlaştırılmış güvenilir başka bir kanal üzerinden yapılmalıdır.

Sonuç: Panik değil, doğru ayar ve dikkat

Klöckner örneği ve benzeri olaylar, güvenli mesajlaşma uygulamalarının değil, kullanıcıları hedef alan sosyal mühendislik saldırılarının önemini gösteriyor. Signal kullanmak tek başına yeterli değildir; uygulamanın doğru ayarlanması, cihazlarin ve uygulamarin güncel tutulması ve özellikle “kod gönder”, “PIN paylaş”, “QR kod tara” gibi taleplere karşı dikkatli olunması gerekir.

Özetle: Signal’in uçtan uca şifrelemesinin kırıldığına dair bir bulgu yok. Asıl tehdit, kullanıcıyı kandırarak hesabın kapısını içeriden açtırmaya çalışan sahte destek hesaplarıdır. Bu nedenle kullanıcıların panik yapması değil; doğrulama kodlarını paylaşmaması, Signal PIN ve kayıt kilidi gibi korumaları etkinleştirmesi, cihaz izinlerini gözden geçirmesi ve şüpheli mesajları engelleyip raporlamasi gerekiyor.