Giriş: Kodunuzu Güzelleştirirken Şirketinizi Batırmayın

Geliştiricilerin günlük hayatta sıkça kullandığı, karışık JSON veya XML verilerini düzenlemek için başvurduğu çevrimiçi araçlar (JSONFormatter ve CodeBeautify), devasa bir veri sızıntısının merkezi haline geldi.

WatchTowr Labs araştırmacıları, bu sitelerdeki “Son Linkler” (Recent Links) özelliğinin ve tahmin edilebilir URL yapısının, kullanıcıların kaydettiği özel dosyaları herkese açık hale getirdiğini ortaya çıkardı. Sonuç? Sadece kodu okunaklı hale getirmek isteyen binlerce geliştirici, farkında olmadan şirketlerinin en mahrem sırlarını internete saçtı.

🔍 Sızıntının Boyutu: 5 GB’lık Dijital Hazine

Araştırmacılar, bu servisleri basit bir şekilde tarayarak (crawling) 80.000’den fazla dosyayı (yaklaşık 5 GB) ele geçirdi. Bu dosyalar, JSONFormatter’ın 5 yıllık, CodeBeautify’ın ise 1 yıllık geçmişini kapsıyor.

URL Yapısı Zafiyeti

Saldırganlar ve araştırmacılar, aşağıdaki gibi basit URL yapılarını tarayarak verilere ulaştı:

• https://jsonformatter.org/{id}

• https://codebeautify.org/{formatter-type}/{id}

📂 Neler Çalındı?

Geliştiricilerin “sadece formatlayıp alacağım” diyerek yapıştırdığı verilerin içinden şunlar çıktı:

• 🔑 Active Directory ve LDAP Parolaları: Kurumsal ağlara giriş anahtarları.

• 🔑 GitHub/GitLab Tokenları: Kaynak kodlarına tam erişim yetkisi.

• 🔑 Bulut Kimlikleri: AWS, Azure ve Google Cloud erişim anahtarları (Access Keys).

• 🔑 Altyapı Şifreleri: Veritabanı bağlantı dizeleri (Connection Strings), FTP ve SSH şifreleri.

• 🔑 Sertifikalar: Özel anahtarlar (Private Keys) ve SSL sertifikaları.

⚠️ Tehlike Geçmedi: “Kaydet” Butonu Gitti Ama Veriler Duruyor

Raporlara göre, bu servisler Eylül 2025 itibarıyla “Kaydet” (Save) özelliğini devre dışı bıraktı. ANCAK, bu tarihten önce kaydedilen yüz binlerce dosya hala sunucularda ve erişilebilir durumda.

Daha da kötüsü, WatchTowr Labs, siber saldırganların bu verileri aktif olarak kullandığını ve sızan kimlik bilgileriyle şirketlere saldırdığını tespit etti.

🛠️ Teknik Özet

🛡️ Çıkarılacak Ders: “Yerel” Her Zaman Daha Güvenlidir

Bu olay, “Vibe Coding” (Ortamına göre, rahat kodlama) akımının güvenlik risklerini gözler önüne seriyor. Hassas veriler içeren hiçbir kod bloğunu, kaynağını ve saklama politikasını bilmediğiniz çevrimiçi sitelere yapıştırmayın.

Güvenli Alternatifler

Kodunuzu güzelleştirmek (beautify/format) için tarayıcı yerine yerel araçları kullanın:

1. IDE Eklentileri: VS Code, IntelliJ veya Sublime Text içindeki yerleşik formatlayıcılar (Prettier vb.) verinizi dışarı çıkarmaz.

2. CLI Araçları: JSON için jq gibi komut satırı araçlarını kullanın.

3. Yerel Uygulamalar: Notepad++ gibi editörlerin “JSON Viewer” eklentileri tamamen çevrimdışı çalışır.

Unutmayın: Bedava çevrimiçi servisler, ürünün siz (veya veriniz) olduğu yerlerdir.