4 Temmuz 2025’te “casusluk” suçlamasıyla tutuklanan Hüseyin Gün’ün etkin pişmanlık hükümlerinden yararlanmak amacıyla verdiği ifadeler, soruşturmanın kapsamını genişletti. Bu çerçevede, Cumhuriyet Halk Partisi’nin cumhurbaşkanı adayı ve İstanbul Büyükşehir Belediye Başkanı Ekrem İmamoğlu, gazeteci Merdan Yanardağ ve İmamoğlu’nun danışmanı ve kampanya direktörü Necati Özkan hakkında yeni bir iddianame hazırlandı.

İstanbul Cumhuriyet Başsavcılığı tarafından hazırlanan iddianamede, İmamoğlu, Yanardağ ve Özkan’a “siyasal casusluk” suçlaması yöneltildi.

İmamoğlu’nun tutuklu danışmanı Necati Özkan’ın avukatı Erkam Erdem, iddianameyle ilgili olarak Adli Bilişim Mühendisi ve Adli Bilirkişi uzmanından teknik bir mütalaa hazırlatmasını talep etti.

Uzman mütalaasında, yapılan incelemenin açık kaynak istihbaratı (OSINT) yöntemleri, Darkweb pazarları, forumlar ve açık internet üzerindeki teknik ve operasyonel verilerin derlenmesi, karşılaştırılması ve analitik değerlendirilmesi ile sınırlı olduğu, rapor bulgularının rapor tarihi itibarıyla geçerli sayılacağı ifade edildi. Ayrıca, raporda yer alan değerlendirmelerin teknik, operasyonel ve istihbari göstergelerin birlikte yorumlanmasına dayanıldığı vurgulandı.

Raporun, teknik bulguların adli bilişim perspektifinden açıklanması ile sınırlı olduğu belirtildi.

SORUŞTURMA KAPSAMINDA GEÇEN OSINT VE DARKWEB KAVRAMLARI NEDİR?

Uzman görüşünde, iddianamede yer alan OSINT ve Darkweb kavramlarının tanımları yapıldı.

OSINT (Open Source Intelligence – Açık Kaynak İstihbaratı), hukuka uygun bir şekilde herkesin erişimine açık bilgi kaynaklarından elde edilen verilerin toplanması, doğrulanması ve analiz edilmesi süreci olarak tanımlandı. Bu yöntemde, yetkisiz erişim, gizli veri elde etme veya sistemlere sızmanın söz konusu olmadığı vurgulandı.

Adli bilişim literatüründe OSINT’in, teknik iddiaların bağlamsal olarak değerlendirilmesi, iddiaların makuliyetinin test edilmesi ve senaryo analizi amacıyla kullanılan destekleyici bir yöntem olarak kabul edildiği ifade edildi.

Darkweb ise, standart internet tarayıcılarıyla erişilemeyen ve özel yazılımlar aracılığıyla ulaşılabilen ağ yapılarının genel adı olarak tanımlandı. Rapor, Darkweb’in hukuka aykırı kullanılmasının yanı sıra ifade özgürlüğü, sansürden kaçınma ve gizlilik ihtiyacı gibi meşru amaçlarla da kullanılabileceğini belirtti. Ancak, anonimlik sağlaması nedeniyle Darkweb ortamlarında hukuka aykırı yollarla elde edilen kişisel verilerin paylaşımı gibi faaliyetlerin de görülebileceği kaydedildi.

HÜSEYİN GÜN’ÜN İFADESİNDE GEÇEN İBB VERİLERİ NELER?

Uzman mütalaasında, “Hüseyin Gün’ün açık kaynaklarda yer alan emniyet ifadesinin 124 ve 125. sayfalarında geçen ve İstanbul Büyükşehir Belediyesi’ne ait olduğu iddia edilen veriler nelerdir?” sorusunun cevabı da verildi.

İfadenin ilgili sayfalarında bulunan İBB verilerinin, bir bilgisayar monitöründen fotoğraflandığı ve web tabanlı bir arama uygulamasının sonuç ekranında görüntülenen ibb.gov.tr uzantılı e-posta adresleri olduğu belirtildi. Uzman görüşünde, bu İBB e-posta adreslerinin, büyük veri üzerinde arama yapmak için geliştirilmiş bir uygulamada görüntülendiği kaydedildi.

İnternet üzerinde birçok benzer uygulamanın bulunduğu, ekran görüntüsünde arama kutusuna “leak” kelimesinin girildiği ifade edildi. Uzman raporunda, “Yıldız () karakterinin kullanılması, bu sistemin büyük ihtimalle Elasticsearch benzeri bir full-text arama altyapısı kullandığına işaret eder. Elasticsearch ve benzeri arama dillerinde joker karakteri, herhangi bir metinle eşleşebilen joker karakter olarak kullanılır. Türkçe’de ‘sızıntı’ anlamına gelen ‘leak’ ifadesi ile ‘leak’ ile başlayan tüm kategorilerdeki sonuçların aranması hedeflenmiştir.” denildi.

Arayüzdeki filtreleme yetenekleri değerlendirildiğinde, kullanıcıların veritabanında belirli bir sızıntı kümesini, tarih aralığını veya alan adını filtreleyebildiği anlaşıldığı aktarıldı. Her iki sayfadaki üstveri bilgilerinden sızan İBB verilerinin “leak-myspace20170910” ve “leakjan1920190314” isimleri altında bulunduğu kaydedildi. Bu isimlerin, 10 Eylül 2017 tarihli MySpace ve 14 Mart 2019 tarihinde yüklenen 19 Ocak sızıntılarına işaret ettiği belirtildi. İncelemelerde, arayüzde sızıntı kaynakları için kullanılan isimlerin geçmişte gerçekleşen veri sızıntıları ile tutarlı olduğu tespit edildi.

İBB.GOV.TR UZANTILI ŞAHSİ MAİLLER 31 MAYIS 2016 TARİHİNDE ÇALINMIŞ MYSPACE KULLANICI GİRİŞ BİLGİLERİ ARASINDA

Sosyal paylaşım sitesi MySpace’in, 31 Mayıs 2016 tarihinde resmi internet sayfasından çalınmış MySpace kullanıcı giriş bilgilerinin çevrim içi bir hacker forumunda paylaşıldığını açıkladığı aktarıldı. Uzman görüşünde, “Aralarında MySpace sitesine …..@ibb.gov.tr kullanıcı adı ve …. şifresi ile kaydolan bir şahsın da bulunduğu 359.1 milyon hesabın, 19 Temmuz 2008’de ele geçirildiği, bu bilgilerin 31 Mayıs 2016 tarihinde Darkweb’de ‘The Real Deal’ isimli sitede 6 Bitcoin (yaklaşık 2800-3000 dolar) karşılığında satıldığı anlaşılmıştır.” denildi.

Raporda, söz konusu satış ilanına ait ekran görüntüsüne de yer verildi.

Yapılan incelemelerde, ekran görüntülerinde yer alan diğer tüm İBB e-posta adreslerinin de Ocak 2019 sıralarında “Collections” (Koleksiyonlar) ismiyle Darkweb’e sızdırıldığı anlaşıldı. 12,000’den fazla web sitesinin bulunduğu 21 2,890 ayrı kaynaktan ele geçirilerek derlendiği tespit edilen 772,904,991 kullanıcı adı ve 21,222,975 şifre içeren 87GB büyüklüğündeki veritabanında, ibb.gov.tr veya İBB’ye ait herhangi bir şirkete rastlanmadığı ifade edildi. İnceleme konusu fotoğraflardaki verinin, üyelik ve benzeri nedenlerle İBB e-posta adreslerinin kullanıldığı farklı web sitelerinden ele geçirildiği anlaşılmıştır.” denildi.

BİR İBB ÇALIŞANINA AİT BİLGİLERİN 2016’DA DİĞER 14.022 SANAL MÜZE ÜYESİYLE BİRLİKTE SİBER KORSANLARIN ELİNE GEÇTİĞİ…

İnceleme kapsamında, turkeyforyou.com adresli turizm amaçlı siteye İBB e-postası ile üye olan bir İBB çalışanının e-posta adresi ve bu site için oluşturduğu şifrenin, 2017 yılında diğer 81.728 site üyesiyle birlikte, aynı şekilde 1999 yılında açılan sanalmuze.org isimli siteye üye olan bir başka İBB çalışanına ait giriş bilgilerinin 2016 yılında siber korsanların eline geçtiği aktarıldı. Raporda, “7 Ocak 2019 tarihinde, 12 binden fazla internet sitesi arasından rastgele seçilen 5 tanesinde ‘gov.tr’ anahtar kelimesi ile yapılan arama sonuçlarında, İBB haricinde aralarında TBMM, Adalet Bakanlığı, EGM, MEB, TÜBİTAK gibi kritik kurumların da bulunduğu 57 devlet kurumundan 27,171 kamu görevlisinin gov.tr uzantılı e-posta adresleri ile birlikte bu sitelerde kullandıkları şifrelerin siber korsanlarca ele geçirildiği anlaşılmıştır.”