Microsoft'un resmi X hesabı, perşembe günü kimliği belirsiz korsanlar tarafından ele geçirilerek eski Office asistanı 'Clippy' temalı izinsiz bir kripto paranın tanıtımında kullanıldı. Yaklaşık 30 dakika süren ihlalin ardından Microsoft hesabı güvenceye alırken, silinen bir açıklamada token ile şirket hisseleri arasında hiçbir bağ bulunmadığı vurgulandı ve hukuki süreç sinyali verildi.
Microsoft'un resmi X (eski adıyla Twitter) hesabı, Perşembe günü kimliği belirsiz saldırganlar tarafından gerçekleştirilen bir güvenlik ihlaliyle hedef alındı. The Verge tarafından aktarılan bilgilere göre korsanlar, şirketin eski Microsoft Office sürümlerinde yer alan ikonik ataş asistanı 'Clippy' figürünü kullanan izinsiz bir kripto paranın tanıtımı için hesabı kötüye kullandı. Yaşanan olay, büyük teknoloji şirketlerinin kurumsal sosyal medya hesaplarındaki güvenlik açıklarını bir kez daha gözler önüne serdi.
Saldırının Mekaniği ve Müdahale Süreci
Saldırganlar ihlal sırasında sadece standart bir paylaşım yapmakla kalmadı; Microsoft hesabının profil fotoğrafını bir Clippy görseliyle değiştirdi, gayriresmi token'ı destekleyen bir profili takibe aldı ve ilgili token mesajlarını platformda yeniden paylaştı (repost). Bu yetkisiz faaliyetler zinciri yaklaşık 30 dakika boyunca yayında kaldı.
Bu sürenin ardından söz konusu tanıtım gönderileri platformdan kaldırıldı ve Microsoft hesabı kısa süreliğine görünen ancak sonradan silinen bir açıklama yayımladı. Microsoft, The Verge'e yaptığı doğrudan açıklamada hesaba yetkisiz erişim sağlandığını resmen doğruladı: "Microsoft'tan kaynaklanmayan gönderiler de dahil olmak üzere hesabımıza yetkisiz erişim sağlandığını onaylıyoruz." Şirket yetkilileri, ihlalin nasıl gerçekleştiğine dair soruşturmanın sürdüğünü ve hesabın güvenceye alındığını bildirdi.
Silinen Açıklama ve Token İddiaları
Tanıtım faaliyetlerinin sona ermesinin ardından hesapta kısa süreyle beliren ancak hızla silinen metinde, Microsoft'un fikri mülkiyet haklarının Clippy dahil olmak üzere herhangi bir kripto para tanıtımı için onaylanmadığı net bir şekilde ifade edildi. Açıklamada, şirketin MSFT hisseleri ile benzer isimli kripto para arasında en ufak bir bağ bulunmadığı vurgulandı ve token sahiplerinin Microsoft Corporation üzerinde hiçbir mülkiyet hakkı elde etmeyeceği kaydedildi. Metinde ayrıca izinsiz marka kullanımını durdurmak ve ilgili pazarlamayı ortadan kaldırmak amacıyla hukuki yollara başvurulacağı belirtildi.
Öte yandan, CLIPPY token'ını öne çıkaran 'Clippy MSFT' adlı hesaplar, arkalarındaki likidite havuzlarının 200 bin doları aştığını iddia etti. Bazı promotörler ise söz konusu havuzların gerçek Microsoft hisseleriyle desteklendiğini öne sürdü. Ancak bu iddialar doğrulanmazken, Microsoft'un silinen açıklaması şirketin isim ve fikri mülkiyet haklarının izinsiz kullanımını açıkça reddetti.
X Platformunda Artan Kurumsal Hesap İhlalleri
Microsoft'un yaşadığı bu olay, son dönemde büyük teknoloji, finans kurumları ve üst düzey yöneticilerin X hesaplarını hedef alan bir dizi benzer güvenlik ihlalini akıllara getirdi:
- Microsoft India İhlali (Haziran 2024): 211 binden fazla takipçisi bulunan Microsoft India X hesabı ele geçirilmiş; saldırganlar 'Roaring Kitty' takma adıyla tanınan Keith Gill'i taklit ederek cüzdan boşaltma şemasıyla bağlantılı sahte bir GameStop token ön satışı duyurmuştu (Bitcoin.com). - Robinhood CEO'su Vlad Tenev (23 Temmuz): Hackerlar Robinhood CEO'sunun hesabını kullanarak 'Vladhood' adlı sahte bir meme coin'i tanıtmak için hesabı ele geçirmişti. Token, Robinhood Chain'in resmi maskotu olarak lanse edilmiş ve kısa sürede yaklaşık 10 milyon dolarlık piyasa değerine ulaşmış, borsanın ihlali doğrulaması ve gönderiyi kaldırmasının ardından 5 milyon doların altına gerilemişti. Robinhood Chain gezgini, 1.800'den fazla işlemin ardından tokene potansiyel dolandırıcılık uyarısı eklemişti. - SpaceX ve Starlink Hesapları (15 Temmuz): Hesapların ele geçirilmesiyle 'SCATMAN' token promosyonları yeniden paylaşılmıştı. Lookonchain analizine göre iki cüzdan, token'ları yaklaşık 73.7 ETH (yaklaşık 135.000 dolar) karşılığında satmıştı. Gönderiler aynı akşam kaldırılmış ve hesaplar eski haline getirilmişti. - Airbnb CEO'su Brian Chesky (17 Temmuz): Airbnb liderinin profili, blok zinciri tabanlı varlık tokenizasyonu hakkında bir dizi gönderi yayımlamış, Chesky sonradan hesabın ele geçirildiğini doğrulamıştı. Fortune'un haberine göre Airbnb, hesabı güvenceye almak için X ile birlikte çalışmıştı.
SEC'den Sosyal Medya Dolandırıcılıkları İçin Uyarılar
ABD Menkul Kıymetler ve Borsa Komisyonu (SEC) Yatırımcı Eğitimi Ofisi ve Yasal İşler Departmanı (Enforcement Division), sosyal platformlar üzerinden yayılan yatırım promosyonlarına karşı sık sık uyarılarda bulunuyor. 6 Şubat tarihli yatırımcı uyarısında, yatırımcıların kararlarını yalnızca sosyal medya paylaşımlarına veya uygulamalarına dayanarak vermemeleri gerektiği vurgulandı. Dolandırıcıların yatırım profesyonellerinin kimliğine bürünebileceği veya kayıtlı broker ve yatırım danışmanlarıyla çalıştıklarını iddia edebileceği belirtilen açıklamada, finans alanında tanınmış kişilerle bağlantı kurma iddiasıyla kullanıcıların yatırım grubu sohbetlerine yönlendirilebileceği ifade edildi.
SEC, çevrimiçi bilgilerin yanlış, eksik veya yanıltıcı olabileceği konusunda uyarırken; paylaşımların sahte bir meşruiyet izlenimi yaratabileceğini veya çok sayıda kişinin yatırım yaptığı algısı oluşturabileceğini kaydetti. Ajans; kimliğe bürünme, kripto yatırım dolandırıcılıkları ve piyasa manipülasyonunu sosyal medya üzerinden yürütülen şemalar olarak tanımlarken, yatırımcıların karar alırken ünlü onaylarına veya referanslarına güvenmemeleri gerektiğini hatırlatıyor.
