Araştırma, yapay zeka destekli müşteri hizmetlerindeki açıkları gösterdi
Öne çıkanlar
- Araştırmacılar, birkaç hafta içinde 50 bin doların üzerinde hata ödülü aldı.
- E-posta başlıklarındaki tutarsızlıklar, aracıların kurban adına işlem yapmasına yol açtı.
- Hatalı oran sınırlamaları, bazı 2FA akışlarında ek denemeler sağladı.
- Aracılar, destek gelen kutusundaki üçüncü taraf OTP iletilerini işleyebiliyor.
Intigriti araştırmacıları Ayoub ve Inti De Ceukelaire, 2 Eylül 2026'da yapay zeka destekli müşteri hizmetleri aracılarının e-posta, kimlik doğrulama ve araç kullanımı üzerinden nasıl kötüye kullanılabildiğini açıkladı. DEF CON 34 kapsamındaki Bug Bounty Village sunumuna dayanan araştırma, birkaç hafta sonunda 50 bin doların üzerinde ödül alınan bulguları içeriyor. Araştırmacılar, insan denetiminin tek başına güvenlik açığı oluşturan akışları engellemeyebileceğini belirtti.
Çalışmada, e-posta başlıklarının taklit edilmesi, birden fazla From alanının kullanılması ve otomatik yanıtların kötüye kullanılmasıyla aracıların kurban adına işlem yapabildiği örnekler yer aldı. Araştırmacılar ayrıca e-posta adreslerinin farklı katmanlarda farklı yorumlanmasından yararlanarak hesap verilerine erişilebildiğini, hatalı oran sınırlamalarının da 2FA denemelerini artırabildiğini aktardı. IVR sistemlerindeki arayan numarası, güvenlik soruları ve tek kullanımlık kod kontrolleri de ayrı risk alanları olarak incelendi.
Araştırma, destek gelen kutularında çalışan aracıların üçüncü taraf hizmetlerden gelen parola sıfırlama kodlarını okuyup aktarabildiğini gösterdi. İnsanların gördüğü içerikle aracının işlediği HTML, düz metin veya görsel içeriğin farklılaştırılması da başka bir saldırı sınıfı oluşturdu. Sahte geçmiş onayları, işlenmemiş araç yanıtları ve bilgi tabanı içeriği üzerinden bağlamın değiştirilmesi, aracının yetkisiz iade veya veri erişimi gibi eylemler gerçekleştirmesine yol açabiliyor. Bulgular, e-posta doğrulama, veri normalleştirme, araç izinleri ve insan onayı süreçlerinin birlikte denetlenmesi gerektiğine işaret ediyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.