Instagram Veri Sızıntısı (2026), 2024 yılında dünya genelinde yaklaşık 17,5 milyon kullanıcının kişisel bilgilerinin izinsiz şekilde ele geçirilmesi ve bu verilerin 2026 yılı başlarında karanlık ağda yayımlanmasıyla sonuçlanan kapsamlı bir güvenlik ihlali olayıdır. Sızıntı, 2024 yılının sonlarında Instagram’ın API sistemindeki bir güvenlik zafiyetinden yararlanarak başlamıştır. Siber saldırganlar, standart güvenlik önlemlerini atlayarak kullanıcı profillerinden otomatik şekilde bilgi toplamış ve bu verileri sistematik biçimde depolamıştır.
Sızıntının Ortaya Çıkışı
Sızıntı, 2026 yılının Ocak ayında siber güvenlik firması Malwarebytes tarafından kamuoyuna duyurulmuştur. Sızıntının kaynağı, 2024 yılının sonlarında Instagram’ın API sistemindeki bir güvenlik açığıdır. Bu açık, saldırganların standart koruma önlemlerini aşarak dünya genelindeki kullanıcı profillerine ait bilgileri otomatik veri kazıma (scraping) yöntemiyle toplamasına olanak tanımıştır.
Elde edilen veri seti, “Solonnik” takma adını kullanan bir saldırgan tarafından 2026 yılının başında BreachForums platformunda “INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK” başlığıyla yayımlanmıştır. Paylaşımda, yaklaşık 17,5 milyon kullanıcıya ait kayıt içerdiği belirtilmiştir. Verilerin karanlık ağda ücretsiz şekilde sunulması, olayın yayılımını hızlandırmış ve kısa sürede aktif bir tehdide dönüşmesine neden olmuştur.
Saldırı Yöntemi ve Teknik Arka Plan
Instagram veri sızıntısı, doğrudan sunucu ihlali yoluyla değil, halka açık uygulama programlama arayüzleri (API) üzerinden gerçekleştirilen otomatik veri toplama işlemi olan “scraping” yöntemiyle gerçekleştirilmiştir. 2024 yılının sonlarında başlayan bu süreçte, saldırganlar Meta’nın standart güvenlik önlemlerini atlayarak kullanıcı verilerini büyük ölçekli şekilde kazımışlardır. API üzerinden gerçekleştirilen bu toplu veri sorgulamalarının, Instagram’ın hız sınırlaması ve gizlilik korumalarındaki eksiklikler nedeniyle uzun süre tespit edilemediği değerlendirilmektedir. Olay, doğrudan bir sunucuya sızma değil; açık arayüzlerin istismarı yoluyla yürütülen otomatik veri toplama faaliyeti olarak sınıflandırılmıştır.
Sızdırılan Verilerin Kapsamı
Sızdırılan veri seti, yaklaşık 17,5 milyon Instagram kullanıcısına ait çeşitli kişisel ve iletişim bilgilerini içermektedir. Yayınlanan veri setinde kullanıcı adları, tam isimler, doğrulanmış e-posta adresleri, telefon numaraları, kullanıcı kimlik numaraları (ID), kullanıcıların ülkeleri ve kısmi konum verileri yer almaktadır.
Veriler JSON ve TXT formatlarında yapılandırılmış şekilde yayımlanmış, örnek ekran görüntüleriyle geçerliliği siber güvenlik araştırmacıları tarafından doğrulanmıştır. Sızıntının şifre bilgilerini içermediği belirtilmiş olsa da, ifşa edilen kişisel veriler kimlik avı, sosyal mühendislik ve dolandırıcılık gibi amaçlarla kötüye kullanılabilecek niteliktedir.
Kullanıcılara Yönelik Riskler
Sızdırılan veriler doğrudan şifre bilgilerini içermese de, kullanıcı adları, e-posta adresleri, telefon numaraları ve konum bilgileri gibi kişisel bilgilerin ifşa edilmesi, ciddi güvenlik riskleri doğurmuştur. Bu bilgiler, dolandırıcılar tarafından kimlik avı (phishing), sosyal mühendislik ve SIM kart değişimi (SIM swapping) gibi yöntemlerle kötüye kullanılabilmektedir.
Olayın ardından birçok kullanıcı, Instagram’dan gelen olağandışı şifre sıfırlama e-postalarında artış yaşandığını bildirmiştir. Saldırganların, sızdırılan veriler aracılığıyla güven inşa edip kendilerini Instagram destek ekibi gibi tanıtarak iki faktörlü kimlik doğrulama (2FA) kodlarını veya giriş bilgilerini ele geçirmeye çalıştığı görülmektedir. Riskler, yalnızca bireysel kullanıcılarla sınırlı kalmayıp kamuya açık hesaplar ve influencer hesaplarını da kapsamaktadır.
Meta'nın Yanıtı
11 Ocak 2026 itibarıyla Meta, Instagram veri sızıntısı iddialarına ilişkin kamuoyuna bir açıklama yaparak sistemlerinde herhangi bir ihlal (breach) yaşanmadığını bildirmiştir. Açıklamada, bazı kullanıcıların şifre sıfırlama e-postaları almasına neden olan durumun, dış kaynaklı bir tarafın bu e-postaları talep edebilmesine imkân tanıyan teknik bir sorundan kaynaklandığı ifade edilmiştir.【1】
Meta, bu durumun kullanıcı hesaplarının güvenliğini etkilemediğini vurgulayarak, gönderilen e-postaların dikkate alınmaması gerektiğini belirtmiş ve yaşanan karışıklık için kullanıcılardan özür dilemiştir. Ancak bu açıklama, bazı kullanıcılar ve güvenlik çevrelerinde sorgulanmış; e-posta taleplerinin dışarıdan tetiklenebilmesinin kendisinin bir güvenlik zafiyeti olduğu yönünde eleştiriler yöneltilmiştir.
Güvenlik Uzmanlarının Uyarıları
Güvenlik uzmanları, sızıntının ardından Instagram kullanıcılarını dikkatli olmaya çağırmıştır. Uzmanlar, SMS tabanlı doğrulama yöntemlerinin SIM kart değişimi saldırılarına açık olduğunu belirterek, çok faktörlü kimlik doğrulamanın (MFA) bir kimlik doğrulama uygulaması üzerinden etkinleştirilmesini önermektedir. Ayrıca, kullanıcıların Instagram hesaplarına bağlı e-posta adresi ve telefon numaralarının güncel ve güvenli olduğundan emin olmaları, olası yetkisiz erişim durumlarında hesap kurtarma süreçlerinin sağlıklı işlemesi açısından önem taşımaktadır.
