Windows Recall’ın hassas veri filtresine rağmen parola, kart ve sosyal güvenlik bilgilerini kaydedebildiği bildirildi

The Register tarafından 1 Ağustos 2025’te yayımlanan testte, Microsoft’un Copilot+ bilgisayarlar için geliştirdiği Windows Recall özelliğinin hassas bilgi filtresi etkin olmasına rağmen bazı parolaları, kredi kartı bilgilerini ve ABD sosyal güvenlik numaralarını ekran görüntülerine kaydedebildiği bildirildi. Recall, kullanıcının bilgisayardaki etkinliğini belirli aralıklarla görüntüleyerek daha sonra doğal dil aracılığıyla aranabilmesini sağlayan yerel bir kayıt ve arama sistemidir.

Test, Lenovo Yoga Slim 7x Copilot+ bilgisayarda gerçekleştirildi. Sistem bazı ödeme bilgilerini, parola alanlarını ve sosyal güvenlik numaralarının çoğunu başarıyla filtreledi; ancak verilerin farklı bağlamlarda veya alışılmadık biçimlerde gösterildiği örneklerde koruma mekanizması tutarlı çalışmadı. Banka hesaplarındaki bakiye ve para yatırma bilgileri kaydedilirken kredi kartı numaralarının belirli açıklayıcı ifadeler kaldırıldığında, sosyal güvenlik numaralarının ise farklı kısaltmalarla sunulduğunda ekran görüntülerine dâhil edilebildiği aktarıldı. Parola içerdiği açıkça belirtilmeyen belgelerin de kaydedildiği bildirildi.

Microsoft’un belgelerine göre hassas bilgi filtreleme ayarı varsayılan olarak etkinleştirilmekte ve parola, kredi kartı bilgisi ve benzeri veriler algılandığında ilgili ekran görüntüsünün kaydedilmesini önlemeyi amaçlamaktadır. Şirket, bu özelliğin tüm hassas verilerin yakalanmasını engelleyeceğine ilişkin mutlak bir garanti vermemekte ve filtreleme işlevini geliştirmeyi sürdürdüğünü belirtmektedir.

Recall tarafından oluşturulan ekran görüntüleri buluta gönderilmeden cihazda saklanmakta, şifrelenmekte ve özelliğin kullanılması için kullanıcının açık biçimde etkinleştirme yapması gerekmektedir. Recall’a erişim ve ayar değişiklikleri Windows Hello kimlik doğrulamasına bağlanmıştır. Bu nedenle kaynak metindeki, yalnızca kullanıcının PIN kodunu bilen herhangi bir kişinin görüntülere uzaktan erişebileceği yönündeki ifade mevcut Microsoft belgeleriyle doğrulanmamıştır. Bununla birlikte cihaz hesabının veya kimlik doğrulama bilgilerinin ele geçirilmesi hâlinde kaydedilen hassas içeriklerin kötüye kullanılma riski devam etmektedir.

Olay, filtrenin tamamen işlevsiz olduğunu değil, hassas verileri bağlam ve biçim farklılıkları altında her zaman doğru tanıyamadığını göstermektedir. Temel risk, kullanıcıların koruma özelliğinin bütün parola, finansal ve kimlik bilgilerini eksiksiz biçimde engellediğini varsayması durumunda, cihazda aranabilir hassas veri kayıtlar