Telefon numaraları, tapu kayıtları hatta röntgen filmleri...
Başta e-devlet olmak üzere kamuya ait platformlardan veri çalındığını her fırsatta yalanlayan devlet, bu defa çalınan verilerin nasıl satıldığını bizzat tespit etti...
Devlet çalındığını inkar ettiği verileri satılırken yakaladı: Telefon numaraları, tapu kayıtları hatta röntgen filmleri
Neredeyse birkaç
aylık periyotlarda on milyonlarca kişiye ait kişisel verilerin çalındığı
açığa çıkıyor. Üstelik bunlar ham veriler değil, satılmak üzere
işlenmiş ve bir sorgulama panelinde toplanmış veriler oluyor.
Gazeteciler bu panellerin varlığını test ederek gösteriyor, konu birkaç gün ülke gündeminde kendine yer buluyor, söz konusu siteler kısa sürede erişime kapatılıyor, aylar sonra tüm süreç bir kez daha yaşanıyor.
Devlet bilgi hırsızlığını hep inkar etti, hatta hırsızlığı haberleştirenlerin 5 yıla kadar hapisle cezalandırılması için kanun dahi çıkarıldı.
İlgili kurumlar sistemde sızıntı olduğunu hiçbir zaman resmen doğrulamadı, bazı olaylar inkar edilemez derecede ortaya çıktığında ise olan bitenin boyutunu küçük göstermeyi tercih etti.
Ancak iki hafta önce İstanbul’da Anadolu Cumhuriyet Başsavcılığı tarafından yürütülen ve Emniyet Müdürlüğü Siber Suçlarla Mücadele Dairesince yapılan bir operasyonda ortaya çıkanlar, her çeşit kişisel bilginin çalındığını ve satıldığını ortaya koydu.
“Panel” adı verilen bir sistemle satışa çıkarılan verilere yönelik başlatılan soruşturma kapsamında 44 kişi tutuklandı. Bir kısmı 18 yaşından da küçük olan sanıklar hakkında fezleke hazırlandı.
Çalanlar değil, satanlar yakalandı
İktidara yakın Sabah gazetesinin aktardığı fezlekeye göre, ele geçirilenler arasında iletişim, adres, tapu, eğitim vs. gibi kişisel veriler bulunuyor.
Soruşturmada aslında 76 şüpheli tespit edildi. Tespit edilen birçok yasa dışı “sorgu paneli” de kapatıldı.
Fakat 76 kişi bilgileri çalanlar değil, bu çalınmış ve bir süreden beri internette eleden ele dolaşan bilgileri derleyip satmaya çalışanlar.
Veri sızıntısının ana kaynağındaysa e-devlet yer alıyor.
Yüzlerce kuruma ait veriyi birleştiren bu arayüzden bilgi sızdırmak için tek tek kullanıcıların kimlik numaraları ve şifrelerini öğrenmeye gerek yok.
Tıpkı çok sayıda kişinin sağlıkla ilgili tüm kayıtlarına ulaşabilen hekimler, adres bilgilerine ulaşabilen kargo şirketleri ve adli sicil bilgilerini görebilen avukatlar gibi “süper kullanıcı” hesapları da mevcut.
Ayrıca kamu kurumlarında çalışan bazı “süper kullanıcı”lar da var. Onlar da kendi kurumlarında bütün bilgileri görebiliyor.
Fezlekeye göre şüpheliler, çeşitli "oltalama" yöntemleriyle kamu kurumlarındaki yetkili kullanıcı hesaplarını, kimlik numaralarını, tapu kayıtlarını, adli sicil kayıtlarını, adres, GSM, sağlık, seyahat gibi birçok kişisel bilgileriyle ele geçiriyor ve bu hesaplar üzerinden yurttaşlara ait kritik bilgilere erişim sağlıyor.
Bu veriler de “panel” adı verilen sorgulama sistemlerinde toplanarak internet üzerinden satışına sunuluyor.
İstanbul Cumhuriyet Başsavcılığı’na teslim edilen fezlekede, soruşturmada yalnızca yurttaşların değil, milletvekilleri, polisler, savcılar ve askerlerin de kişisel bilgilerinin ele geçirildiğini, ayrıca bu bilgilerin tehdit ve şantaj amacıyla kullanıldığını belirtildi.
Bu yasa dışı panellerin birçoğunun Telegram grupları, Dark Web platformları ve çeşitli internet siteleri aracılığıyla faaliyet gösterdikleri kaydedildi.
Panel kurucu ve yöneticileri sistemin ana omurgasını oluşturuyor; mernis, sicil, telefon, eğitim, tapu hatta röntgen sonucu gibi kişisel veri sorgulamalarının yapılmasını sağlıyordu.
Şüpheliler savcılık ifadelerinde suçlamaları çoğunlukla reddetti, bazılarıysa arkadaşlarının bilgilerini merak ettikleri için bu işe kalkıştıklarını söyledi.
Şüpheliler her ne kadar illegal siteleri oyun oynama amaçlı açtıklarını iddia etse de dosyaya giren bilirkişi raporları sitelerin yasa dışı sorgulamalar için kullanıldığını doğruladı.
Son 1 yılda 3 veri hırsızlığı açığa çıktı
Geçen yıl düzenlenen yerel seçimler öncesinde bir internet sitesinin haftalık 150 lira karşılığında İçişleri Bakanlığı’nın Merkezi Nüfus İdaresi Sistemi’ndeki ad-soyad, kimlik numarası, aile, soy, adres, hastane bilgileri ile cep telefonu numaraları bilgilerine erişim sağladığı fark edildi.
Ayrıca medeni hal, tapu, çalışma yeri, meslek, araç ve plaka, okul ve üniversite bilgileri ile IBAN bilgilerine de ulaşılabiliyor. Panelde hastane randevuları ve reçete edilen ilaç bilgileri de yer alıyor.
Sızıntıyı doğrulayan bir başka olay 2024 Temmuz’unda gündeme geldi. Kayseri'de göçmenlere yönelik saldırılar sırasında Türkiye’de kayıtlı 3 milyon 300 bin sığınmacıya ait kişisel verilerin yanı sıra pasaport kopyalarının sızdırıldığı ortaya çıktı. Sadece İçişleri Bakanlığı Göç İdaresi Başkanlığı'nda bulunan bu bilgilerin nasıl sızdığı tespit edilemedi. Ancak Göç İdaresi Başkanlığı sızıntıyı doğruladı. Başkanlık, buna karşın sızan bilgilerin güncel verilerle uyuşmadığını iddia etti.
Bu olaydan iki ay sonra resmi kurumlarda kaydı olan 108 milyon kişinin ad-soyad, kimlik numarası, aile sıra numarası, birey sıra numarası, doğum tarihi, doğum yeri, nüfusa kayıtlı oldukları il, ilçe ve köy, medeni durum, ölüm tarihi, ikamet adresi ve cep telefonu numarasından oluşan kişisel verilerinin satıldığı platformlar yeniden belirdi.
Siber saldırılara karşı kuruldu, kriz çıkınca ‘yardım’ istedi
Verilerin çalındığını fark eden Ulusal Siber Olaylara Müdahale Merkezi (USOM), Google ile iletişime geçti ve “Kanunen yurttaşları kimlik avı saldırıları, kullanıcı hesaplarının ele geçirilmesi ve veri sızıntıları gibi her türlü siber saldırıya karşı korumakla yükümlüyüz” diyerek yardım talep etti.
Bilgi Teknolojileri ve İletişim Kurumu (BTK) bünyesinde faaliyet gösteren USOM, “Bu doğrultuda, kritik öneme sahip olduğu iddia edilen bazı verilerin sisteminize başarıyla yüklendiğini önemle dikkatinize sunarız” ifadesiyle Google’a ilgili bağlantıları iletti ve “acil” koduyla “derhal” kaldırılmalarını istedi.
Ulaştırma Bakanı “olay 2018’de yaşanmıştı” diyerek olayı doğruladı. Bakan daha sonra sözlerinin çarpıtıldığını savundu. Bunun üzerine olayı açığa çıkaran Free Web Turkey, BTK’nın bilgilerin çalınması nedeniyle Google'dan yardım talep ettiği belgeleri yayımladı.
29 Temmuz, 3 Eylül ve 6 Eylül tarihlerini taşıyan bu belgelerde talep eden taraf USOM’du.
Siber saldırıları önlenmesi için kurulan USOM’un, milyonlarca yurttaşın verileri çalındıktan sonra yardım isteyen kurum olduğu görüldü.