haftalık özet: instagram hesap çalmaları, android sıfır-gün açığı ve github'da solucan

arkadaşlar, pazartesi günü yine geldi çattı. hafta sonu sessiz sakin geçecekti, öyle olmadı tabii. geçen hafta zehirli paketler, bozuk yapay zeka asistanları ve repoları talan eden solucanlarla doluydu. en çirkin yanı ise: en basit hileler hala işe yarıyor.

ne oldu ne bitti

şöyle özetleyeyim: bir chatbot kandırıldı, malware’in içinden bot tokeni sızdırıldı, aynı eski hatalar yine karşımıza çıktı. herkes gürültülü olayların peşinde koşarken, daha sessiz saldırganlar aylarca e-posta kutularında oturup mesajları okudular.

spoiler: bu hafta da temel güvenlik hatalarının bedelini ödemeye devam ediyoruz.

detaylar

geçen haftanın öne çıkan olayları:

instagram hesap çalmaları

klasik sosyal mühendislik saldırıları yine iş başında. kullanıcılar phishing linkleriyle kandırılıp hesap bilgileri çalınıyor. yani hala “şifreni sıfırla” maillerine tıklayanlar var arkadaşlar.

android sıfır-gün açığı

android’de aktif olarak sömürülen bir sıfır-gün zafiyeti keşfedilmiş. detaylar henüz tam açıklanmadı ama google’ın acil yama çıkaracağı kesin.

github solucani

github repolarında yayılan bir worm tespit edilmiş. bot tokenleri ve api anahtarları topluyor, ardından başka repolara bulaşıyor.

etkilenme durumu:

zehirli paketler

npm ve pypi gibi paket yöneticilerinde kötü niyetli paketler bulunmuş. dependency confusion saldırıları yine moda. aynı film devam ediyor yani.

yapay zeka asistanı kandırıldı

bir ai chatbot prompt injection ile kandırılmış. basit bir hile ile botun yetkilerini aşıp hassas bilgilere erişilmiş. agalar, ai güvenliği diye bir şey yok henüz, bunu kabul edelim.

yapmanız gerekenler

şimdi ne yapacaksınız:

github kullanıcıları için

# önce repolarınızı tarayın
git log --all --full-history --source -- "*token*" "*key*" "*password*"

# secrets'ları kontrol edin
git secrets --scan

# tokenleri rotate edin
# github settings > developer settings > personal access tokens
# eski tokenleri revoke edin, yenilerini oluşturun

android cihazlar için

# güvenlik yamalarını kontrol edin
# settings > system > system update

# bilinmeyen kaynaklardan uygulama yüklemeyi kapatın
# settings > security > unknown sources (disable)

instagram kullanıcıları için

• iki faktörlü kimlik doğrulamayı açın (2fa)
• phishing linklerine tıklamayın, ciddi ciddi tıklamayın
• şüpheli e-postalardaki linklere bakmayın bile
• oturum açma aktivitelerini düzenli kontrol edin

paket yöneticisi kullanıcıları için

# npm için
npm audit

# python için
pip-audit

# lock file'ları kullanın
npm ci # package-lock.json'dan yükler
pip install -r requirements.txt --require-hashes

geçici çözümler

hemen yama yapamıyorsanız:

github için:

• tüm personal access tokenleri rotate edin
• webhook secret’larını değiştirin
• deploy key’leri yenileyin
• repo’lara erişim loglarını inceleyin

android için:

• bilinmeyen kaynaklardan uygulama yüklemeyi kapatın
• play protect’i aktif tutun
• şüpheli izinler isteyen uygulamaları kaldırın

instagram için:

• şifrenizi değiştirin (güçlü bir şifre kullanın)
• aktif oturumları sonlandırın
• bağlı uygulamaları gözden geçirin

paket yöneticileri için:

• dependency pinning kullanın
• private registry kullanmayı düşünün
• checksum doğrulaması yapın

öneriler

dikkat: bu tip saldırılar temel güvenlik hatalarından kaynaklanıyor. şunları yapın:

1. secret management kullanın: github secrets, aws secrets manager, hashicorp vault gibi araçları kullanın
2. 2fa her yerde açık olsun: mail, github, npm, pypi her yerde
3. phishing eğitimi verin: ekibinize düzenli eğitim verin, test phishing mailleri gönderin
4. log monitoring: anormal aktiviteleri yakalayın
5. least privilege: kimseye gereğinden fazla yetki vermeyin

edit: bu hafta özellikle temel güvenlik önlemlerinin ne kadar önemli olduğunu gördük. fancy araçlardan önce temelleri sağlam yapın.

kaynaklar

• The Hacker News - Haftalık Özet
• GitHub Security Best Practices
• Android Security Bulletins
• Instagram Security Tips

sonuç olarak: agalar, 2026 yılındayız ama hala aynı hatalarla boğuşuyoruz. token’lar kod içinde, phishing’e hala takılıyoruz, paket isimlerini kontrol etmiyoruz. fancy ai güvenlik araçlarına para basmadan önce şu basit şeyleri düzeltin:

• secret’ları koda yazmayın
• 2fa kullanın
• linklere körü körüne tıklamayın
• paket isimlerini iki kere kontrol edin

bkz: temel güvenlik önlemleri, secret management, phishing awareness

hadi bakalım, hafta başı motivasyonuyla atlayın işlere. yedek almayı unutmayın, yoksa sonra ağlarsınız.

Bu içerik yapay zeka tarafından oluşturulmuştur.