Comet Tarayıcısı 2026'da 1Password Şifrelerini Çaldı: Sosyal Mühendislik Saldırısı Detayları

Perplexity'nin AI odaklı Comet tarayıcısı, 2026'da bir takvim daveti aracılığıyla kullanıcıların 1Password şifrelerini çalmayı başardı. Bu saldırı, teknik bir yazılım hatası değil, tamamen insan davranışını hedef alan bir sosyal mühendislik saldırısı. TechCrunch’a göre, saldırganlar, Perplexity logosu ve resmi dil kullanan bir takvim etkinliği göndererek, kullanıcıları şifrelerini girmeye ikna etti.

Nasıl Çalıştı? Sosyal Mühendislik Saldırısının Detayı

Saldırganlar, kullanıcıların Comet tarayıcısına bir Google Takvim daveti gönderdi. Etkinlik başlığı: "Güvenlik Güncellemesi: Kimlik Doğrulama Gerekiyor". İçerikte, "1Password entegrasyonunuzu güncellemek için şifrenizi girin" ibaresi yer alıyordu. Kullanıcılar, AI asistanının otomatik olarak göndermiş olabileceğini düşündü ve şifrelerini girdi.

1. Takvim Davetisinin Görünümü

Davet, Perplexity’nin resmi rengi (mavi-mor) ve fontunu taklit ediyordu. Mobil ve masaüstü tarayıcılarda aynı şekilde görünüyordu.

2. AI Asistanının Rolü

Comet’in yan panelindeki AI asistanı, kullanıcıya sürekli "yardımcı" davranıyordu. Bu, saldırganın davetini "otomatik güvenlik uyarısı" olarak algılamalarını kolaylaştırdı.

3. Hızlı Kurulumun Tehlikesi

"Bir tıkla aktar" özelliği, kullanıcıların geçmiş verileri kolayca aktarmasını sağlıyordu. Ancak bu, güvenli bir giriş süreci olmadan şifre yöneticilerine erişim sağlıyordu.

1Password Nasıl Erişilebilir Hale Geldi?

1Password, Comet tarayıcısıyla entegre olmak için bir API sağlıyordu. Ancak bu entegrasyon, kullanıcıdan ek bir doğrulama istemeden otomatik şifre doldurmayı etkinleştiriyordu. Saldırganlar, bu özelliği kullanarak takvim davetisindeki "doğrulama" isteğini, 1Password’in kendi arayüzünde görünen bir işlem gibi gösterdi.

1. Otomatik Doldurma Devre Dışı Bırakılmamıştı

Kullanıcılar, "otomatik doldur" özelliğini açmışlardı. Bu, saldırganın davetiyle 1Password’in şifre kutusuna doğrudan erişmesini sağladı.

2. Multi-Factor Authentication (MFA) Yoktu

Comet, 1Password’e erişimde MFA gerektirmiyordu. Bu, saldırganın tek adımda şifreleri çalmasına izin verdi.

AI Tarayıcılar İçin 5 Güvenlik İpucu (2026)

• 1. Takvim davetilerini asla doğrulamayın — özellikle "şifre girin" içerenler.
• 2. 1Password gibi şifre yöneticilerinde "tarayıcı entegrasyonu"nun otomatik doldurmayı devre dışı bırakın.
• 3. AI tarayıcıları kullanıyorsanız, MFA’yı her zaman etkin tutun.
• 4. Perplexity gibi yeni platformlarda, "güvenli" algısı yerine doğrulama adımlarını kontrol edin.
• 5. Tarayıcıya özel güvenlik bildirimlerini açın — Comet’de "Güvenlik Uyarıları" sekmesini etkinleştirin.

Perplexity, olaydan sonra bir güncelleme yayınladı: artık tüm takvim davetileri kullanıcıdan açık onay ister. Ayrıca, 1Password entegrasyonu için ek bir doğrulama adımı eklendi. Ancak bu, bir düzeltme. Gerçek çözüm, kullanıcıyı eğitmek değil, tarayıcıyı kandırılamaz hale getirmek.

AI tarayıcılar geleceğin aracı — ama güvenlik, kolaylığın bedeli olmamalı. 2026’da, en tehlikeli delik, yazılım değil, insanın güveni.