Ocak 2026 Olayı
Ocak 2026'da güvenlik araştırmacıları, 900.000'den fazla kullanıcıyı tehlikeye atan iki kötü amaçlı Chrome uzantısı keşfetti.
Uzantıların adları, meşru YZ geliştirme araçları gibi görünmek amacıyla kasıtlı olarak seçilmişti:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI" — 600.000'den fazla kullanıcı
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" — 300.000'den fazla kullanıcı
Her iki uzantı da aynı şeyi yapıyordu: ChatGPT ve DeepSeek konuşmalarının tamamını her 30 dakikada bir uzak bir komuta-kontrol sunucusuna sızdırıyordu.
Dışarı akan veriler arasında kaynak kodu, kişisel olarak tanımlanabilir bilgiler, görüşülen hukuki meseleler, iş stratejileri ve finansal veriler yer alıyordu. Kullanıcıların YZ sohbet oturumlarına yazdıkları her şey — özel saydıkları her şey — bilinmeyen taraflara iletiliyordu.
Uzantılar Güven Sinyallerini Nasıl Aştı
Uzantılar, izin incelemesi sırasında zararsız görünmek üzere tasarlanmış bir dille "anonim, kimlik bilgisi içermeyen analitik veriler toplamak" için izin istedi.
Gerçekte ise YZ konuşmalarının tam içeriğini yakalıyorlardı. Analitik izni bir araçtı; YZ konuşmalarını dışarıya sızdırmak ise gerçek amaçtı.
Bu teknik — zararsız görünen izinleri zararlı veri toplamayı mümkün kılmak için kullanmak — Chrome uzantısı tehdit kategorisini bu denli kalıcı kılan operasyonel el kitabını temsil ediyor. Kimlik avı bağlantısına asla tıklamayacak kullanıcılar, YZ üretkenlik avantajı sunduğu izlenimi yarattıkları için bu uzantıları Chrome Web Mağazası'ndan bilerek yüklediler.
Daha Geniş Örüntü: YZ Uzantılarının %67'si Verilerinizi Topluyor
Ocak 2026 olayı bir istisna değildi. Incogni'nin araştırması, YZ Chrome uzantılarının %67'sinin aktif olarak kullanıcı verisi topladığını ortaya koydu — bu rakam, uzantı ekosisteminin birden fazla bağımsız analiziyle de doğrulandı.
YZ gizlilik uzantısı pazarının temel paradoksu budur: kullanıcıların YZ gizliliklerini korumak için yükledikleri uzantılar, çoğunlukla aynı verileri toplamaktadır.
Pazar bir kategori yarattı — tarayıcılar için YZ gizlilik araçları — ancak kullanıcıların belirli bir uzantının gerçekten gizlilik sağlayıp sağlamadığını ya da yalnızca iddia edip etmediğini doğrulayabileceği güvenilir mekanizmalar oluşturmadı. Sonuç: koruma amacıyla yüklenen aracın kendisinin saldırı vektörü olduğu bir pazar.
Güvenli ile Güvensizi Birbirinden Ayıran Mimari
Ocak 2026 olayı, kullanıcıların herhangi bir YZ'ye yakın Chrome uzantısını değerlendirirken anlamaları gereken belirli bir teknik ayrımı gözler önüne seriyor.
Güvensiz mimari — uzantının sunucuları üzerinden yönlendirme:
- Kullanıcı ChatGPT'ye yazar
- Uzantı metni yakalar
- Uzantı, "işleme" için metni kendi arka uç sunucusuna iletir
- Arka uç sunucusu işlenmiş metni döndürür
- Uzantı metni ChatGPT'ye gönderir
Bu mimaride her komut, uzantı geliştiricisinin altyapısından geçer. Uzantı geliştiricisinin konuşma içeriğine tam erişimi vardır. Uzantı kötü amaçlıysa (ya da sonradan kötü amaçlı bir aktör tarafından satın alınırsa veya ihlale uğrarsa) tüm içerik açığa çıkar.
Güvenli mimari — yalnızca yerel işleme:
- Kullanıcı ChatGPT'ye yazar
- Uzantı metni yakalar
- Uzantı metni yalnızca tarayıcıda yerel olarak işler (uzantıya güç veren JavaScript çalışma zamanını kullanarak)
- İşlenmiş metin doğrudan ChatGPT'ye gönderilir
Bu mimaride, YZ hizmetine gönderilen son işlenmiş metin dışında hiçbir şey kullanıcının tarayıcısından çıkmaz. Uzantı geliştiricisinin altyapısı hiçbir zaman veri yolunda yer almaz.
Herhangi bir YZ gizlilik uzantısına sorulması gereken soru şudur: işleme nerede gerçekleşiyor? Yanıt uzantının kendi sunucularını içeriyorsa, verileriniz bir üçüncü taraftan geçiyor demektir.
YZ Gizlilik Uzantısı Kurmadan Önce Sorulacak Beş Soru
YZ Chrome uzantılarının %67'sinin kullanıcı verisi topladığı (Incogni araştırması) ve kötü amaçlı uzantıların yüz binlerce kullanıcıyla Chrome Web Mağazası'nda yer alabildiği göz önünde bulundurulduğunda, değerlendirme çerçevesi kritik önem taşıyor.
1. KKB tespiti nerede işleniyor? Doğrudan sorun ya da gizlilik politikasında bulun: KKB tespiti tarayıcıda yerel olarak mı yapılıyor, yoksa metin analiz için uzantının arka uç sunucularına mı gönderiliyor? Yerel işleme, uzantı geliştiricisinin metninizi hiçbir zaman görmediği anlamına gelir.
2. Konuşma içeriğine ne oluyor? Kendi proxy sunucularından geçirerek "koruyan" uzantıların yazdığınız her şeye tam erişimi vardır. Metni yerel olarak değiştirip doğrudan YZ hizmetine gönderen uzantıların ise yoktur.
3. Doğrulanmış yayıncı kim? Chrome Web Mağazası'nın yayıncı doğrulama sistemi kusurludur — Ocak 2026 uzantıları bu sistemi geçti — ancak veri toplamadan bağımsız kurulu bir iş modeli olan ve kimliği belirlenmiş bir yayıncı, görünürde hiçbir gelir modeli olmayan anonim bir yayıncıya kıyasla daha güvenilirdir.
4. Bağımsız güvenlik sertifikası var mı? ISO 27001 sertifikasyonu, uzantı geliştirme ve dağıtım uygulamaları dahil satıcının bilgi güvenliği yönetim sistemini kapsar. Bağımsız güvenlik denetimleri, ileri sürülen iddiaların dışarıdan doğrulanmasını sağlar.
5. İş modeli nedir? En kalıcı sinyal: Bu ücretsiz uzantı geliştiricisi nasıl para kazanıyor? Görünürde bir gelir modeli yoksa kullanıcı verileri muhtemelen ürünün kendisidir. Doğrulanabilir bir iş modeline sahip ücretli bir SaaS ürününün parçası olan bir uzantının, kullanıcı verilerini gizlice kullanma güdüsü daha azdır.
Ocak 2026 Olayının YZ Güvenliği Hakkında Ortaya Koyduğu
Ocak 2026'da tehlikeye giren 900.000'den fazla kullanıcı deneyimsiz değildi. Bunlar YZ üretkenlik araçları araştırmış, YZ etkileşimleri için gizlilik koruması isteyen ve Chrome Web Mağazası'ndan meşru görünen araçlar yükleyen profesyonellerdi.
Saldırı işe yaradı çünkü:
Uzantılar gerçek işlevsellik sunuyordu: Tamamen kötü amaçlı değillerdi — dışarıya veri sızdırmanın yanı sıra YZ ile ilgili özellikler de sunuyorlardı. Bu durum, onları gündelik kullanımda meşru araçlardan işlevsel olarak ayırt edilemez kılıyordu.
Güven sinyalleri kurgulandı: Yüz binlerce kullanıcı sosyal kanıt oluşturur. 600.000 kurulum gören kullanıcılar daha az değil, daha fazla yükleme eğilimindeydi.
İzin isteği endişe uyandırmamak üzere tasarlandı: "Anonim, kimlik bilgisi içermeyen analitik" tam olarak kullanıcıların incelemeden onayladığı türden bir izin ifadesidir.
Dışarıya veri sızdırma tespiti en aza indirecek biçimde zamanlandı: 30 dakikalık aralıklar tüm konuşmaları yakalayacak kadar sık, ancak anomali tabanlı güvenlik izlemeyi tetiklemeyecek kadar seyrek.
Olay Sonrası Güven Çerçevesi
Ocak 2026 olayının ardından, YZ gizlilik uzantılarını iş gücüne dağıtım için değerlendiren kurumsal BT ekipleri, önceki dönemden daha katı bir güven çerçevesi uygulamalıdır.
Asgari gerekli unsurlar:
- Yerel işleme mimarisi — yalnızca pazarlamada iddia edilmekle kalmayıp teknik inceleme ya da bağımsız denetimle doğrulanmış
- Yayıncı kimliği doğrulaması — doğrulanabilir iş modeli ve geçmişe sahip köklü bir şirket
- Bağımsız güvenlik sertifikasyonu — ISO 27001 veya eşdeğeri
- Uzantı veri akışlarını özellikle ele alan gizlilik politikası — neyin toplandığını, nereye gönderildiğini ve hangi koşullar altında aktarıldığını içeren
- Temel gizlilik işlevselliği için uzantı geliştiricisinin sunucularından geçirmeme
Yüzlerce veya binlerce çalışanına YZ uzantıları dağıtan kuruluşlar ayrıca şunları da değerlendirmelidir:
- Veri dışarı sızdırma davranışı için yüklü uzantıların düzenli denetimi
- Tarayıcı işlemlerinden gelen beklenmedik dış bağlantıları tespit etmek için ağ izleme
- Chrome Enterprise politikası aracılığıyla dağıtılan onaylı uzantıların izin listesi
Ocak 2026 olayı bir uyarıydı. YZ uzantıları genelindeki %67 veri toplama oranı, bu uyarının haklı olduğunu gösteriyor.
anonym.legal Chrome Uzantısı, KKB tespitini yerel olarak işler — KKB tespiti sırasında hiçbir konuşma içeriği anonym.legal sunucularına iletilmez. Anonimleştirme, değiştirilen komut YZ hizmetine gönderilmeden önce tarayıcıda gerçekleşir. ISO 27001 sertifikalı anonym.legal tarafından yayımlanmıştır.
Kaynaklar:
- The Hacker News: İki Chrome Uzantısı ChatGPT ve DeepSeek Konuşmalarını Çalarken Yakalandı
- OX Security: Kötü Amaçlı YZ Chrome Uzantıları ChatGPT/DeepSeek Konuşmalarını Çalıyor
- Incogni: YZ Destekli Chrome Uzantılarını Gizlilik Riskine Göre Sıralama
- Caviard.ai: YZ Asistanları için En İyi Gizlilik Chrome Uzantıları