Türkiye'de kişisel verilerin güvenliğiyle ilgili sorun giderek büyüyor. 

Ankara Adliyesi'nde devam eden bir yargılama, T24 yazarı Tolga Şardan tarafından aktarıldı. Şardan’ın ayrıntılarını ele aldığı iddianameye göre, Milli İstihbarat Teşkilatı (MİT) verilerin çalınmasıyla ilgili bu iddianamenin tek müştekisi.

İddianamede dikkat çeken ve çarpıcı bir tespit bulunuyor, “Dijital materyallere yönelik yapılan incelemelerde, MİT lojmanlarına ait adres bilgileri ile bu lojmanlarda ikamet eden MİT personelinin listesinin, MİT logosu bulunan illegal sorgu sistemine ait fotoğrafların, kolluk kuvvetlerinin sahte kimliklerinin, ‘gizli’ gizlilik derecesine sahip bazı belgelerin yer aldığı tespit edilmiştir” deniliyor.

Şardan iddianameye ilişkin yazısında şunları yazdı:

“Söz konusu iddianame 49 sayfadan oluşuyor. Dosyanın konusu; ‘Türkiye Cumhuriyeti vatandaşlarının başta E-Devlet, Mernis, Tapu ve Kadastro, TCKN numarası üzerinden yapılan GSM abonelikleri, öğrenci okul bilgileri gibi kamuya ait sistemlerde yer alan kişisel bilgilerinin, sistemlere aykırı biçimde girerek oluşturulan yasa dışı sorgu sistemleri (paneller) aracılığıyla 3. kişilerin erişimine para karşılığında açılarak paylaşılması.’

İddianameye göre, şikayetlerle başlayan soruşturmada savcılık, yeni tespitlerde bulundu.

Delillerin toplanmasıyla, şüphelilerin suç faaliyetini süreklilik içeren bir koordinasyon ve iş bölümüyle hiyerarşik bir düzen içerisinde kamu kurumlarına yönelik siber saldırılar veya sistem açıklarından yararlanarak, kurumlardan ele geçirdikleri kişisel verileri paneller arasında paylaşarak, panel yapılarının içindeki veri miktarını artırıp zenginleştirdikleri ve paneller arası veri değiş tokuşu yoluyla, her bir panel üzerinden faaliyetlerini devam ettirdikleri belirlendi.

Ayrıca savcılık, iddianamede, ‘bu şekilde kurulan çalışma düzeniyle faaliyet alanlarının genişletildiği de anlaşılmakla, söz konusu sistemin tesadüfi olmadığı ve şüphelilerin eylemlerinin bir bütün halinde değerlendirildiğinde, belirli bir sistematik içerisinde organize bir suç şebekesi şeklinde olduğu, bu haliyle de şüphelilerin örgütsel bir yapı içinde yer aldıkları anlaşılmaktadır’ tespitine yer verdi.

Mağdurlar ve müştekiler kim?

Dosyanın 17 ayrı mağduru var:

‘Adana Yüreğir Belediyesi, Altınbaş Üniversitesi Rektörlüğü, Ankara Büyükşehir Belediye Başkanlığı, Gelir İdaresi Başkanlığı, Sağlık Bakanlığı, Tapu ve Kadastro Genel Müdürlüğü, Çevre Şehircilik ve İklim Değişikliği Bakanlığı, Dumlupınar Üniversitesi, İzmir Tınaztepe Üniversitesi, Milli Eğitim Bakanlığı, Nişantaşı Üniversitesi Rektörlüğü, İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü, On Dokuz Mayıs Üniversitesi, Sosyal Güvenlik Kurumu Başkanlığı, Tekirdağ Namık Kemal Üniversitesi Rektörlüğü, Türkiye İş Kurumu Genel Müdürlüğü ile Yavuz Sultan Selim Köprüsü ve Kuzey Çevre Otoyolu İşletmesi.’

Görüldüğü gibi, devletin epeyce önemli kurum ve kuruluşu dosyanın mağduru. Yani siber korsanlar söz konusu kurumların bilişim sistemlerine girip istedikleri kişisel verileri elde etmeyi başarmışlar.

Sıra geldi, dosyadaki en önemli noktaya. ‘Bomba’ demek de mümkün.

Dosyanın 17 mağdur kurum ve kuruluşuna karşın tek ‘müşteki’si var:

Milli İstihbarat Teşkilatı Başkanlığı!

Yürürlükteki hukuk sistemine göre, ‘müşteki’ suça konu olayı şikâyet eden kişi/kurum. Aynı zamanda ‘şikayetçi’ anlamına gelmekte. ‘Mağdur’ ise, suça konu olayda zarar gören kişi/kurum. Müşteki, aynı zamanda mağdur olmak zorunda değil.

Sistem kurulmuş, verilere ulaşılmış

İddianamede yer aldığı şekliyle, bilişim sistemlerinde yapılan detaylı araştırmalarda, ‘hackerdede’ kod ismini kullanan M.E.’nin MİT ve Milli Savunma Bakanlığı personelinin kimlik bilgilerinin deşifre edildiği ‘Privex’ adlı yasa dışı sisteminin kurucusu ve yöneticisi olduğu belirlendi.

Ayrıca yine aynı panelin kurucusu ve yönetici M.E.’nin MİT’e ait lojmanların adres bilgilerini ‘kanakan/temizadam1’ kod adını kullanan E.S.’den sağladığı ve çalışmalar sonucunda MİT personeline ait detaylı bilgileri ele geçirdiği, MİT’e ait lojmanlara ait bilgileri Privex’e ekleyip kullandığı tespit edildi.

İddianameye göre, Privex’e veri sağlama işleminin E.S ile sınırlı kalmadığı görülüyor ne yazık ki.

Tıpkı iki siber korsan gibi bilişim sistemlerine yasa dışı sızarak faaliyette bulunan ‘Codesloji’ kod adlı B.B.’nin de hem Privex’e sunucu veya alan adı gibi teknik alt yapı hizmeti verdiği, hem de ‘Xainn’ kod adını kullanan F.Z.I. ile birlikte kurumlara yönelik siber saldırı çalışmalarında yer aldığı anlaşıldı.

Yanı sıra ‘soulfly’ kod adlı M.F.K., ‘Fur die Familia’ kod adını kullanan S.M.D.’nın, ‘Cyber rate’ kod adını kullanan M.B., ‘Hoster’ kod adını kullanan Ö.K.’nın ve ‘Y3ELLOW / Kesh’ kod adını kullanan S.S.’nin Privex’e diğer şüpheliler gibi MİT Başkanlığı ve Milli Savunma Bakanlığı’na bağlı verileri sağladığı ortaya çıktı.

Yargılanan şüphelilerden ‘hydrad’ kod adını kullanan H.M.’nin ise, Privex’in web sitesi tasarımını yaptığı belirlendi.

Savcılığın dikkat çeken tespiti

İddianamede, ‘dijital materyallere yönelik yapılan incelemelerde, Milli İstihbarat Teşkilatı lojmanlarına ait adres bilgileri ile bu lojmanlarda ikamet eden MİT personelinin listesinin, MİT logosu bulunan illegal sorgu sistemine ait fotoğrafların, internet tarayıcı geçmişinde MİT tesislerinin adreslerine yönelik keşif çalışmalarının, askeri tesislere ilişkin muhtelif bilgilerin, MİT, polis, asker gibi kolluk kuvvetlerinin sahte kimliklerinin, ‘gizli’ gizlilik derecesine sahip bazı belgelerin yer aldığı tespit edilmiştir’ ifadeleri yer alıyor. Dikkati çeken, çarpıcı bir tespit.”

İran-İsrail Savaşı Dersleri - 4: Siber güvenlik ve gözetleme teknolojilerinde tehlike ne?