Ankara Cumhuriyet Başsavcılığı’nın yürüttüğü soruşturma çerçevesinde yapılan teknik analizler, yasa dışı bir sorgu paneline ait sunucuda 101 milyon kimlik bilgisi ile 118 milyon GSM numarasının T.C. kimlik numarasıyla eşleştirilmiş verilerini ortaya çıkardı. Bu panelin kişisel verilerin yasa dışı bir şekilde sorgulanmasına olanak sağladığı, ayrıca yasa dışı veri temini, oltalama altyapıları ve dolandırıcılık faaliyetleriyle bağlantılı kullanıldığı tespit edildi.

Prof. Dr. Ali Murat Kırık

“ASIL RİSK VERİNİN TEK BİR YERDE TOPLANMASI”

Adli bilişim uzmanı Prof. Dr. Ali Murat Kırık, 101 milyon kimlik bilgisinin tek bir panelde toplanmasının, yalnızca veri miktarı açısından değil, bu bilgilerin birlikte ve sorgulanabilir bir şekilde kullanılabilir olması açısından da dikkate alınması gerektiğini vurguluyor.

Kırık, “Buradaki temel risk, milyonlarca verinin tek bir sistemde toplanması ve aranabilir hale getirilmesidir. Kimlik bilgileriyle telefon numaralarının eşleştirilmesi, kötü niyetli kişilerin belirli vatandaşları daha kolay hedef almasına zemin hazırlayabilir. Özellikle oltalama ve sosyal mühendislik saldırılarında, karşıdaki kişi hakkında gerçek bilgilerin bilinmesi saldırının daha inandırıcı hale gelmesine yardımcı olabilir. Ancak soruşturma tamamlanmadan bu verilerin hangi kaynaklardan elde edildiği veya hangi kişilerin verilerinin hangi amaçlarla kullanıldığı konusunda kesin bir değerlendirme yapmak doğru olmaz” şeklinde konuştu.

PANEL SADECE VERİ SORGULAMAK İÇİN KULLANILMAMIŞ

Soruşturma kapsamındaki bulgular, panelin yalnızca kişisel verilerin sorgulanması amacıyla kullanılmadığını, aynı zamanda yasa dışı veri temini, oltalama altyapıları ve dolandırıcılık faaliyetlerine de aracılık ettiğini ortaya koydu.

Teknik incelemeler, panel üzerinden gerçekleştirilen yasa dışı sorguların, sistemi kullanan kişilerin ve olası dolandırıcılık faaliyetleriyle bağlantıların tespitine yönelik çalışmaların devam ettiğini gösteriyor.

“KİŞİSEL BİLGİLERİN BİLİNMESİ GÜVEN ALGISINI KÖTÜYE KULLANABİLİR”

Prof. Dr. Ali Murat Kırık, GSM numarası ile T.C. kimlik numarasının eşleştirilmesinin sosyal mühendislik açısından önemli bir risk taşıdığını belirtiyor.

Kırık, “Bir vatandaşın telefon numarası ve bazı kimlik bilgilerinin karşı tarafta bulunması, dolandırıcının kendisini banka çalışanı, kamu görevlisi veya başka bir kurumun temsilcisi gibi göstermesini kolaylaştırabilir. Çünkü bu durumda vatandaş, karşısındaki kişinin kendisi hakkında gerçek bilgileri bildiğini görünce güvenme eğilimine girebilir. Burada önemli olan nokta, bu bilgilerin tek başına her işlemi gerçekleştirmeye yeterli olmadığıdır. Ancak başka bilgilerle birleştirildiğinde hedefli oltalama ve sosyal mühendislik saldırılarının daha inandırıcı hale gelmesine neden olabilir” dedi.

BANKA HESAPLARI İÇİN DOĞRUDAN TEHDİT Mİ?

Kimlik ve GSM bilgilerinin yasa dışı bir şekilde ele geçirilmesi, vatandaşların banka hesaplarının doğrudan boşaltılabileceği anlamına gelmiyor. Bankacılık işlemlerinde farklı doğrulama mekanizmalarının bulunduğu unutulmamalıdır.

Bununla birlikte, ele geçirilen bilgilerin başka yöntemlerle bir araya getirilmesi halinde kişiye özel dolandırıcılık girişimleri gerçekleştirilebilir. Özellikle doğrulama kodu, internet bankacılığı şifresi veya kart bilgilerinin elde edilmesine yönelik senaryolar söz konusu olabilir.

“TEK BAŞINA T.C. KİMLİK NUMARASIYLA HESAP BOŞALTILMAZ”

Prof. Dr. Ali Murat Kırık, vatandaşların T.C. kimlik numarası veya telefon bilgilerinin bilinmesini doğrudan banka hesabının ele geçirildiği şeklinde değerlendirmemesi gerektiğini vurguluyor.

Kırık, “T.C. kimlik numarası ile GSM numarasının bilinmesi tek başına internet bankacılığına girilebileceği veya banka hesabının doğrudan boşaltılabileceği anlamına gelmez. Buradaki risk daha çok sosyal mühendislik aşamasında karşımıza çıkıyor. Dolandırıcı, vatandaşın gerçek bilgilerini kullanarak güven oluşturabilir ve daha sonra tek kullanımlık doğrulama kodunu, şifreyi veya kart bilgilerini almaya çalışabilir. Bu nedenle telefonla arayan kişi bazı kişisel bilgilerimizi doğru şekilde biliyor olsa bile, kesinlikle güvenilir kabul edilmemelidir” ifadesini kullandı.

VATANDAŞ VERİLERİNİ NASIL KORUYACAK?

Uzmanlar, vatandaşların kişisel bilgilerinin sızıp sızmadığını öğrenmek amacıyla internette faaliyet gösteren kaynağı belirsiz sorgu sitelerine bilgilerini girmemeleri gerektiğine dikkat çekiyor.

Vatandaşların banka hesaplarını, GSM aboneliklerini ve kendi adlarına gerçekleştirilen işlemleri düzenli olarak kontrol etmesi, şüpheli bir durumla karşılaşmaları halinde ilgili kurumlarla yalnızca resmi kanallar üzerinden iletişim kurmaları önemlidir.

“VERİM SIZDI MI DİYE BİLİNMEYEN SİTELERDE SORGULAMA YAPILMAMALI”

Prof. Dr. Ali Murat Kırık, vatandaşların “verim sızdı mı?” kaygısıyla yeni bir veri paylaşımında bulunmamaları gerektiğini vurguluyor.

Kırık, “İnternette kişisel verilerimizin hangi panellerde bulunduğunu sorguladığını iddia eden çok sayıda kaynağı belirsiz platform ortaya çıkabilir. Vatandaşların T.C. kimlik numarası, telefon numarası veya başka kişisel bilgilerini bu tür sitelere girerek sorgulama yapmaları yeni bir risk oluşturabilir. Bunun yerine resmi kurumlardan gelen bildirimler takip edilmeli, banka ve GSM hesapları düzenli bir şekilde kontrol edilmeli ve kişinin adına gerçekleştirilen olağan dışı işlemler konusunda dikkatli olunmalıdır” dedi.

DİJİTAL MATERYALLER İNCELEMEYE ALINDI

Operasyon sırasında şüphelilerin adreslerinde 2 cep telefonu, 2 SIM kart, 3 sabit disk ve 1 USB bellek ele geçirildi. Bu dijital materyaller incelemeye alındı.

El konulan materyaller üzerinde verilerin hangi kaynaklardan temin edildiği, sisteme hangi yöntemlerle aktarıldığı, kimlere sunulduğu ve paneli kullanan kişiler ile gerçekleştirilen yasa dışı sorguların araştırıldığı ifade edildi. Olası dolandırıcılık ve oltalama faaliyetleriyle bağlantıların da soruşturulduğu belirtildi.

“KRİTİK NOKTA VERİNİN KAYNAĞININ TESPİT EDİLMESİ”

Prof. Dr. Ali Murat Kırık, soruşturmanın önemli başlıklarından birinin verilerin kaynağının ve sisteme hangi yöntemlerle aktarıldığının belirlenmesi olduğunu dile getiriyor.

Kırık, “Adli bilişim açısından burada yalnızca panelin kapatılması yeterli değil. Verinin hangi kaynaktan geldiği, ne zaman sisteme aktarıldığı, kimlerin eriştiği ve hangi sorguların gerçekleştirildiği teknik olarak ortaya konulmalıdır. Dijital materyallerin incelenmesiyle birlikte erişim kayıtları, sunucu kayıtları ve veri hareketlerinin değerlendirilmesi soruşturmanın kapsamını genişletebilir. Böylece yalnızca paneli yöneten kişilerin değil, varsa veri temini ve kullanım zincirindeki diğer bağlantıların da ortaya çıkarılması mümkün olabilir” dedi.

“VERİ GÜVENLİĞİ SADECE SIZINTIYI ÖNLEMEKLE SINIRLI DEĞİL”

Prof. Dr. Ali Murat Kırık, olayın kişisel veri güvenliğinde yalnızca veri sızıntısını önlemeye odaklanılmaması gerektiğini belirtiyor.

Kırık, “Bir veri sızdığında bunun daha sonra nasıl kullanılabileceği de güvenlik planlamasının parçası olmalıdır. Erişim yetkilerinin sınırlandırılması, olağan dışı sorguların tespit edilmesi, kayıtların tutulması, çok faktörlü doğrulama