W Social veri sızıntısını reddetti, herkese açık doğrulama kayıtları gizlilik risklerini ortaya koydu

W Social sızıntıyı reddetti

W Social, Haziran 2026'da beta sürümüyle lansman yapılan Avrupa merkezli sosyal platform, kişisel veri sızıntısını reddetti. Şirket 14 Ekim'de, Alman gazeteci Gavin Karlmaier'in W Social hesaplarıyla ilgili herkese açık bir veri tabanını ortaya çıkardığını açıkladı. Ona göre, 2 500'den fazla kullanıcının vatandaşlığı açıklanmıştı, neredeyse 2 000 kişinin tam adı vardı. Nadiren de olsa e-postalar da vardı.

W Social, gizlilik odaklı bir ağ olup botlara karşı gerçek kimlik talep eder ve kişisel verilerin sızdırılmadığını, izinsiz erişilemediğini ve yanlışlıkla açıklanmadığını belirtiyor. Şirket, veri görevlisiyle birlikte yaptığı inceleme sonucunda GDPR uyarınca bir ihlal olmadığını tespit etti.

Doğrulama kayıtları ve AT Protocol

W Social, verilerin kısmen açıklandığını kabul etti ve bunun nedeninin AT Protocol'ün herkese açık doğası olduğunu açıkladı. Bu teknolojiyi Bluesky Social PBC, Bluesky'nin arkasında duran Amerikan şirketi oluşturdu. Bir kullanıcı hesabını doğruladığında, W Social doğrulama kaydını AT Protocol üzerinde kendi moderasyon hesabına yazar. Kayıtta doğrulama durumu, pasaportal ülkenin adı, yaş aralığı için sentetik bir doğum tarihi ve yalnızca resmi ad paylaşımını seçenler için bu ad bulunur.

Karlmaier'in bulguları, platformun Haziran verilerine göre yaklaşık 55 000 kullanıcısı arasında endişeye yol açtı. İklim odaklı platform We Don't Have Time, ne kadar kişisel bilginin herkese açık olduğunu görmek için çevrimiçi bir kontrol aracı olan 'Have you been Wned?'i yayınladı.

Gizlilik riskleri ve eleştiriler

Cybernews'in kıdemli araştırmacısı Nasa Nizarov, W Social'in adı, soyadı, e-posta, vatandaşlık ve olası doğum tarihlerini herkese açık olarak yayınladığını söylüyor. Kayıtların çoğu anonimdir ve yalnızca ID'ler ve zaman damgaları gibi meta veriler içerir. Bazen soyadına gerçek bir doğum tarihi de eklenir, ancak bu tarih yaklaşık altı ay kadar hatalıdır.

Nizarov, saldırganların bu verileri doxing veya hedefli phishing için kullanabileceği konusunda uyarıyor, mesajları vatandaşlık, yaş ve ada göre kişiselleştirerek. Platformlar bu bilgileri telefon veya sohbet aracılığıyla ikinci düzey kimlik doğrulaması için kullanırsa, sızıntı hesapların ele geçmesini kolaylaştırır. Ayrıca saldırganların sık sık birden fazla sızıntı verisini birleştirdiğini ve bu nedenle bu bilginin daha önce sızmış olanları zenginleştirdiğini belirtiyor. Merkezi olmayan bir sistemden bu tür verileri silmek zordur.

W Social 2026'nın başında lansman yapıldı ve doğrulama yöntemleri eleştirilere yol açıyor. Kullanıcılar pasaport veya biyometrik verileri, örneğin selfie'leri, eşlik eden W Identity uygulamasına yüklemeli. Şirket, uygulamanın merkezi olmadığını, verileri cihazda sakladığını ve W Social sunucularında belgeler doğrulama anında silindiğini söylüyor. Cybernews araştırmacıları ise biyometrinin son derece hassas olduğunu ve paroladan farklı olarak iptal edilemeyen kalıcı bir kimlik kaydı oluşturduğunu vurguluyor. W Social, herkese açık verilerde asla pasaport fotoğrafları, numaralar, selfie'ler veya gerçek doğum tarihleri bulunmadığını belirtiyor.

Kaynaklar: Cybernews