Geçtiğimiz hafta popülaritesini artıran ve kullanıcılarına telefon görüşmelerini kaydedip yapay zeka şirketlerine veri satarak para kazanma vaadinde bulunan viral çağrı kayıt uygulaması Neon, büyük bir güvenlik açığı skandalının ardından çevrimdışı oldu. Uygulama, on binlerce kullanıcının telefon numaralarını, çağrı kayıtlarını ve görüşme transkriptlerini istenmeyen kişilere ifşa ettiği için faaliyetlerini durdurmak zorunda kaldı.

Neon'un Hızlı Yükselişi ve Riskli İş Modeli

Appfigures'ın verilerine göre, kısa sürede iPhone'un en iyi beş ücretsiz uygulaması arasına giren Neon, sadece bir günde 75.000 kez indirilerek büyük bir ilgi odağı haline geldi. Uygulama, yapay zeka modellerinin eğitilmesi, geliştirilmesi ve test edilmesi için kullanıcılardan çağrı kayıtları toplayarak bu verilere karşılık ödeme yapacağını duyuruyordu. Bu model, kolay para kazanma vaadiyle pek çok kullanıcıyı kendine çekti.

Güvenlik Açığı Nasıl Ortaya Çıktı?

TechCrunch tarafından yapılan bir araştırma, Neon uygulamasının sunucularındaki kritik bir güvenlik açığını ortaya çıkardı. Bu açık, giriş yapmış herhangi bir kullanıcının, diğer kullanıcıların hassas verilerine, yani telefon numaralarına, çağrı kayıtlarına ve hatta bu kayıtların metin transkriptlerine erişmesine olanak tanıyordu. TechCrunch ekibi, Burp Suite gibi ağ trafiği analiz araçları kullanarak uygulamanın teknik işleyişini incelemiş ve bu korkutucu durumu belgelemiştir. Açığın temel nedeni, sunucuların yetkilendirme kontrollerinin yetersiz olmasıydı.

TechCrunch, test amaçlı bir çağrı sırasında bile, uygulamanın arka uç sunucularının halka açık ses dosyası bağlantıları ve metin tabanlı transkriptler dahil olmak üzere diğer kullanıcıların çağrı kayıtlarını ve meta verilerini kolayca sağlayabildiğini tespit etti. Bu, uygulamanın iddia ettiğinin aksine, kullanıcı verilerinin ne kadar korunmasız olduğunu gözler önüne serdi.

Sızan Verilerin Kapsamı ve Potansiyel Tehlikeler

Sadece telefon numaraları ve ses kayıtları değil, çağrıların ne zaman yapıldığı, süreleri ve her bir çağrıdan ne kadar para kazanıldığı gibi meta veriler de açığa çıktı. Bu tür verilerin kötü niyetli kişilerin eline geçmesi, kimlik avı saldırılarından kişisel bilgilerin kötüye kullanılmasına kadar geniş bir yelpazede ciddi sonuçlar doğurabilir. Özellikle, bazı kullanıcıların para kazanmak amacıyla, diğer kişilerin gerçek dünya konuşmalarını gizlice kaydetmek için uygulamayı kullandığına dair işaretler bulunması, etik tartışmaları da beraberinde getiriyor. Bu tür etik dışı veri toplama pratikleri, yapay zeka modellerinin eğitildiği verilerin kalitesi ve güvenilirliği konusunda ciddi endişelere yol açmaktadır. Özellikle de yapay zeka sistemlerinin güvenilir gerçek dünya verileriyle beslenmesi ve halüsinasyonlarla mücadele etmesi gerektiği düşünüldüğünde, bu durumun önemi daha da artmaktadır.

Kurucunun Tepkisi ve Şeffaflık Eksikliği

Güvenlik açığı TechCrunch tarafından Neon'un kurucusu Alex Kiam'a bildirildikten kısa bir süre sonra, Kiam uygulamanın sunucularını kapattı ve kullanıcılara uygulamanın geçici olarak durdurulduğunu bildiren bir e-posta gönderdi. Ancak bu e-postada dikkat çekici bir şekilde, veri sızıntısından veya kullanıcı verilerinin ifşa olduğundan bahsedilmedi. Kiam, “Veri gizliliğiniz bir numaralı önceliğimizdir ve bu hızlı büyüme döneminde bile tamamen güvenli olduğundan emin olmak istiyoruz. Bu nedenle, ekstra güvenlik katmanları eklemek için uygulamayı geçici olarak yayından kaldırıyoruz” ifadelerini kullandı. Bu şeffaflık eksikliği, birçok kullanıcıda endişe uyandırdı ve olayın üzerinin kapatılmaya çalışıldığı yorumlarına neden oldu.

Geniş Resim: Uygulama Mağazaları ve Güvenlik Sınavları

Bu olay, Apple ve Google gibi büyük uygulama mağazalarının güvenlik inceleme süreçlerinin ne kadar etkili olduğu konusundaki tartışmaları yeniden alevlendirdi. Daha önce de Tea gibi popüler arkadaşlık uygulamaları veri ihlalleri yaşamış, Bumble ve Hinge gibi uygulamaların kullanıcı konumlarını açığa çıkardığı tespit edilmişti. Uygulama mağazaları, düzenli olarak zararlı uygulamaları platformlarından temizlemek zorunda kalıyor. Bu durum, hızlı büyüme ve yenilik vaat eden uygulamaların güvenlik standartlarını yeterince karşılayıp karşılamadığı sorusunu akıllara getiriyor. Kiam'ın uygulamayı piyasaya sürmeden önce herhangi bir güvenlik denetiminden geçip geçmediği veya herhangi bir kullanıcı verisinin çalınıp çalınmadığını belirlemek için teknik imkanlara sahip olup olmadığı soruları yanıtsız kaldı.

Neon'un ne zaman tekrar çevrimiçi olacağı veya bu güvenlik açığının uygulama mağazalarının dikkatini çekip çekmeyeceği belirsizliğini koruyor. Bu olay, hızla büyüyen teknoloji dünyasında veri gizliliğinin ve kullanıcı güvenliğinin ne denli kritik olduğunu bir kez daha gösterdi.

Kaynak: TechCrunch (Neon Uygulaması Veri Sızıntısı Sonrası Çevrimdışı Oldu)