Steam'de Dev Veri Sızıntısı: 89 Milyon Kullanıcının 2FA Bilgileri Tehlikede! Şifreler Güvende Ama Güvenlik Önlemleri Şart!

Oyun dünyasının nabzını tutan Steam platformu, son günlerde yaklaşık 89 milyon kullanıcısını, yani toplam kullanıcı tabanının neredeyse üçte ikisini etkileyen devasa bir veri sızıntısıyla çalkalanıyor. Valve tarafından yapılan resmi açıklamaya göre, bu sızıntıda kullanıcı şifreleri, ödeme bilgileri veya diğer kritik kişisel veriler ele geçirilmedi. Ancak bu durum, özellikle SMS tabanlı iki faktörlü kimlik doğrulama (2FA) kullananlar için önemli bir güvenlik uyarısı niteliği taşıyor. Valve, kullanıcıların Steam mobil kimlik doğrulayıcı uygulamasına geçmelerini şiddetle tavsiye ediyor.

Sızıntının Detayları: Neler Tehlikede, Neler Güvende?

Steam tarafından yayınlanan güncel bir güvenlik bülteni, bilgisayar korsanlarının Steam hesaplarının büyük bir çoğunluğuyla bağlantılı telefon numaralarına ve SMS ile gönderilen iki faktörlü kimlik doğrulama (2FA) kayıtlarına erişim sağladığını doğruladı. Önemle belirtmek gerekir ki, Steam'in kendi iç sistemleri herhangi bir sızmaya maruz kalmadı ve Valve, kullanıcılara acil bir şifre değişikliği önerisinde bulunmadı. Yine de, içerisinde yüzlerce hatta binlerce liralık PC oyunu barındırabilen Steam hesaplarının güvenlik ayarlarını gözden geçirmek için şu anın tam zamanı.

Sızdırılan veriler arasında, şifrelenmemiş ancak süresi dolmuş 2FA kodları ve bu kodların gönderildiği telefon numaraları yer alıyor. Valve, bu telefon numaralarının doğrudan Steam hesaplarını tanımlamak için kullanılamayacağını ve en önemlisi hiçbir şifrenin sızdırılmadığını bir kez daha vurguladı. Sızıntının kesin kaynağı henüz netlik kazanmasa da, kullanıcılara SMS 2FA kodlarını ileten üçüncü taraf hizmetlerden birinin bu durumdan sorumlu olduğu tahmin ediliyor.

SMS 2FA Neden Riskli? Mobil Kimlik Doğrulayıcının Önemi

Sızdırılan kodların tek başına bilgisayar korsanlarına Steam hesaplarına erişim izni vermeyeceği belirtilse de, bu olay SMS üzerinden gönderilen 2FA kodlarının, özel kimlik doğrulayıcı uygulamalara kıyasla daha az güvenli olduğu gerçeğini bir kez daha gözler önüne seriyor. Çoğu çevrimiçi hizmet, Authy veya Google Authenticator gibi popüler üçüncü taraf kimlik doğrulayıcıları kullanırken, Valve, Steam mobil uygulaması aracılığıyla kendi tescilli sistemini sunuyor. Bu uygulama, geçici giriş kodları üretmenin yanı sıra, hesapla ilgili önemli işlemler (ticaret, pazar listelemeleri vb.) için onayları yönetiyor ve QR kodlarıyla hızlı giriş imkanı tanıyor.

Yesterday, an alleged major @Steam data breach occurred, compromising over 89 million user records (roughly two-thirds of all Steam accounts).

These datasets are being sold for over $5,000 on what appears to be a site akin to Mipped.

Mipped alongside their sister sites is a… — Mellow_Online1 (@MellowOnline1) May 11, 2025

Dark Web İddiaları ve Üçüncü Taraf Sorumluluğu

LinkedIn kullanıcısı "Underdark.ai" tarafından paylaşılan bilgilere göre, bir siber suçlu yakın zamanda Mipped adlı bilinen bir karanlık ağ (dark web) forumunda 89 milyon Steam hesabına ait olduğu iddia edilen verileri satışa sundu. Valve, bu verileri inceledikten sonra, gerçekten de SMS üzerinden 2FA kodları ileten bir üçüncü taraf hizmetin güvenlik ihlaline uğradığını teyit etti.

Başlangıçta, bu sızıntının Twilio adlı popüler bir iletişim platformu sağlayıcısının dahili bir hesabının ele geçirilmesiyle ilgili olduğu yönünde raporlar çıksa da, Twilio bu iddiaları kesin bir dille yalanladı. Dahası, Valve da "Sentinels of the Store" adlı güvenlik grubuna yaptığı açıklamada Steam'in Twilio'yu kullanmadığını belirtti. Bu durum, SMS iletimi yapan farklı bir veri işleyici firmanın yönetici hesabının saldırı vektörü olabileceği ihtimalini güçlendiriyor.

Kullanıcılar Ne Yapmalı? Güvenlik Önlemleri ve Tavsiyeler

Bu sızıntı ışığında, Steam kullanıcılarının alabileceği bazı önemli önlemler bulunmaktadır:

1. Steam Mobil Kimlik Doğrulayıcıya Geçin: Eğer hala SMS ile 2FA kullanıyorsanız, derhal Steam mobil uygulaması üzerinden sunulan kimlik doğrulayıcıya geçiş yapın. Bu, hesap güvenliğinizi önemli ölçüde artıracaktır.

2. Şüpheli İletişimlere Karşı Tetikte Olun: Bilgisayar korsanları, genellikle teknik destek mesajları veya cazip oyun promosyonları gibi görünen oltalama (phishing) saldırılarıyla kullanıcıları kandırmaya çalışır. Valve, yalnızca sizin açıkça talep ettiğiniz hesapla ilgili iletişimleri size göndereceğini belirtiyor. Bilinmeyen kaynaklardan gelen ve kişisel bilgilerinizi isteyen e-postalara veya mesajlara itibar etmeyin.

3. Hesap Hareketlerinizi İzleyin: Steam hesabınızda olağandışı bir aktivite (bilginiz dışında yapılan giriş denemeleri, satın alımlar veya envanter değişiklikleri) olup olmadığını düzenli olarak kontrol edin.

4. Yetkilendirilmiş Cihazları Gözden Geçirin: Steam ayarlarınızdan hesabınıza erişim yetkisi olan cihazların listesini kontrol edin ve tanımadığınız veya artık kullanmadığınız cihazları kaldırın.

5. Şifre Hijyeninizi Gözden Geçirin: Valve şifrelerin sızdırılmadığını doğrulamış olsa da, bu olayı bir fırsat bilerek eski şifrelerinizi daha güçlü ve benzersiz olanlarla değiştirmeyi düşünebilirsiniz. Güvenilir bir şifre yöneticisi kullanmak ve farklı hesaplarda aynı şifreyi kullanmaktan kaçınmak, genel dijital güvenliğiniz için kritik öneme sahiptir.

Proaktif Güvenlik Adımları Şart

Valve'ın Steam 2FA sızıntısını doğrulaması, şifrelerin güvende olması sevindirici olsa da, dijital dünyada %100 güvenliğin olmadığını bir kez daha hatırlatıyor. Özellikle SMS tabanlı 2FA sistemlerinin doğasında var olan zafiyetler göz önüne alındığında, Steam mobil kimlik doğrulayıcı gibi daha robust güvenlik katmanlarına geçmek, değerli oyun kütüphanenizi ve kişisel verilerinizi korumak adına atılacak en akıllıca adımdır. Unutmayın, hesap güvenliğiniz sizin sorumluluğunuzdadır ve proaktif olmak, olası tehditlere karşı en iyi savunmadır.