Cumhuriyet Halk Partisi (CHP) Küme Başkanvekili Gökhan Günaydın, şahsî bilgi hırsızlığı ve şahsî bilgilerin satışına ilişkin iddiaları Adalet Bakanı Yılmaz Tunç’a sordu.
Günaydın, “AKP elinde data güvenliği yok edilmiştir. 2016’da, 50 milyondan fazla Türk vatandaşının ferdî bilgileri çevrim içi olarak sızdırıldı. Bu, Türkiye’nin bilinen en büyük bilgi ihlali olarak kayıtlara geçti. Bilgi sızıntısına taammüden, ihmal yüzünden yahut yetersiz eğitim ve uzmanlık yüzünden sebep olan kurum çalışanları, taşeron şirket çalışanları tespit edildi mi” dedi.
Gökhan Günaydın, Türkiye’de ferdî bilgi hırsızlığı ve şahsî dataların satışına ilişkin iddiaları Adalet Bakanı Yılmaz Tunç’un yanıtlaması istemiyle verdiği soru önergesiyle TBMM gündemine taşıdı.
“TÜRKİYE’NİN BİLİNEN EN BÜYÜK BİLGİ İHLALI”
CHP’li Günaydın, önergenin münasebetinde şunları lisana getirdi:
“Türkiye’de yaşanan ferdî bilgi hırsızlığı ve yasa dışı satış savları ve şahsî bilgilerin güvenliğine yönelik zafiyet uzun vakittir tartışılıyor. AKP elinde bilgi güvenliği yok edilmiştir. 2016’da, 50 milyondan fazla Türk vatandaşının şahsî bilgileri çevrimiçi olarak sızdırıldı. Bu, Türkiye’nin bilinen en büyük bilgi ihlali olarak kayıtlara geçti. 2022’de e-Nabız datalarının eski AKP Gençlik Kolları Başkanı Adem Ali Yılmaz ile temaslı Bilbest isimli şirket tarafından Katar’a yaklaşık 100 milyon dolara satıldığı tez edildi.
2023’te ‘Sorgu Paneli’ isimli bir web sitesinin, Türk vatandaşlarının adres ve banka bilgileri üzere ferdî ve finansal datalarına erişim sağladığı ortaya çıktı. 2024’te Free Web Turkey, ortalarında ölen vatandaşlar ve yabancı ziyaretçilerin de bulunduğu 108 milyon kişinin ferdî bilgilerinin çalındığını ve beş Google Drive belgesinde saklandığını tez etti.”
“101 MİLYON KİŞİNİN BİLGİLERİ SATILIYOR”
Ankara Cumhuriyet Başsavcılığı tarafından yürütülen bir soruşturmanın Türkiye’deki ferdî dataların kapalılığına ait zafiyeti tekrar gündeme getirdiğine dikkat çeken CHP’li Günaydın, şunları kaydetti:
“Şüpheliler hakkında hazırlanan ve Ankara 28’inci Ağır Ceza Mahkemesi’nde kabul edilen iddianamede, çok kritik detaylar yer almaktadır. Toplam 101 milyon kişinin bilgilerinin paylaşıldığı paralı internet sitelerinden, MSB ve MİT çalışanının bilgisinin de paylaşıldığı ortaya çıkmıştır. Geçtiğimiz ay ‘veri sızıntısı’ argümanıyla haber yapanlara ve paylaşanlara mahpus cezası getiren Siber Güvenlik Yasası çıkarılırken, iktidarın tıpkı aylarda devletin bilgilerini çaldırdığı bu yeni İddianameyle kanıtlanmaktadır. O denli ki ‘veri sızmadı, palavra söyleniyor’ diyenler, yeni iddianamede mağdur ve müşteki olmuşlardır.
19-25 yaşları ortasında olan toplam 16 şüphelinin yargılandığı iddianamenin mağdurları, Sağlık Bakanlığı, Çevre ve Şehircilik Bakanlığı, MEB, SGK, İŞKUR, Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü, Ankara Büyük Kent Belediyesi, Adana Yüreğir Belediyesi, 6 üniversite, Yavuz Sultan Selim ve Kuzey Çevreyolu Otoyol İşletmesi’dir. Yeni iddianame devletin, MSB ve MİT üzere kritik değerdeki kurumların, kurum işçisinin ve vatandaşların temel bilgilerinin siber korsanların kripto para cüzdanında gezdirildiğini; data hırsızlarının abonelerden kripto hesaplarındaki soğuk para cüzdanlarına para yatırılmasını istediklerini ortaya çıkarmıştır.”
“SAHTE KİMLİK VE DOKÜMAN ÜRETİMİ ALTYAPISI KURULDU”
“İddianame açıkça vatandaşların E-Devlet, MERNİS, tapu ve kadastro, TC kimlik ve plaka, cep telefonu, okul öğrenci bilgilerinin, sıhhat datalarının hukuka muhalif yolla ele geçirildiği ve yasa dışı sorgu platformları açılarak paylaşıldığını, üçüncü bireylere para karşılığı satıldığını, farklı platformlar üzerinden işbirliği ve iştirak iradesiyle bu şüphelilerce para kazanma gayesiyle kabahat işlendiğini göstermektedir. Türkiye’ye sıhhat emelli gelen yabancıların da birçok verisi bu saldırganların altyapısına alınmıştır. MİT ve MSB çalışanının bilgileri, lojman ve adres bilgileri dahi sistemlere sızdırılmış, para karşılığı abonelere satılmış, bu bilgiler üzerinden düzmece kimlik ve doküman üretimi altyapısı kurulmuştur.
Devlete ilişkin sitelere sızılarak memurların şifre ve kullanıcı isimleri dahi çalınmıştır. MTV borcu olanlar dahi süzülerek bilgileri çalınmıştır. Bu yasadışı platformlara abone olan herkese, kripto soğuk para cüzdanlarına yatırdıkları fiyat karşılığı ‘mahrem’ bilgiler satılığa çıkarılmıştır. Çıkan kanun hususu ile bu iddianamenin zamanlaması kıyaslandığında, nelerin örtbas edilmek istendiği, basının bu iddianamedeki asıl tarafları neden daha detaylı yazamadığı daha düzgün anlaşılabilir. İddianamenin mevzu edindiği birkaç örnek sorgu sistemi (illegal panel) vardır. Tavşancık, illegalcity, xlog, privex, fearcheck, gusiche, perlaapi, hydra forums, dark deep yasadışı panel ve internet siteleri üzerinden milyarlarca şahsî ve kamusal data para karşılığı erişime açılmıştır.”
“DİPLOMALARIN SAHTELERİNİN ÜRETİLMESİ İÇİN…”
“Bu hata panellerinin geneline bakıldığında; 101 milyon şahsî bilgiye ek olarak, E-SINAV dataları, SGK ve ilaç bilgileri, tapu kayıtları, plaka bilgileri, aşı takibi, yatay geçişler, cep telefonları, tüm nüfus bilgileri yeni ve anlık paylaşıma açıktır. Bu panel yöneticileri organize biçimde TC aleyhine organize faaliyete iştirak etmiş, kritik dataların çalınması ve satılmasında birlikte hareket etmiştir. MİT, asker, polis jandarma kimlik kartı, TC kimlik kartları, ehliyet ve diplomaların sahtelerinin üretilmesi için hazır veritabanı sağlamıştır.
Suç tarihi 2024 yılında olmasına rağmen, ilgili site ve sorgulama sistemlerinin daha öncesinde de faaliyette olduğu düşünüldüğünde, şu an 19-25 aralığındaki bu gençlerin reşit yaştan evvel de bu data sızıntısı faaliyetine katıldıkları, münasebetiyle 18 yaş altındaki çocukların suça teşvik edilmesi, siber zorbalık, devlet kurumlarının alenen aşağılanması hatalarının oluştuğu savunulmaktadır. Üstelik, iddianameye nazaran bu gençlerin birçoklarının bilgisayar sistemleri ve bilgi idaresi konusunda çok donanımlı olmadığı, orta ya da alt seviyedeki deneyimleriyle ve kısıtlı yabancı lisanla de bu işi yapabildiği ya da onlara yaptırıldığı görülmüştür. Sistemde abonelik bedelleri kimi platformlarda soğuk cüzdan kripto para adresine transferle mümkündür.”
Günaydın, Bakan Tunç’a şu soruları yöneltti:
- Söz konusu datalar; vazifede olan işçi ve yakınları için hayati tehlike oluşturmakta mıdır?
- Eğer oluşturuyorsa bunun için tedbir alındı mı?
- Alınan tedbir varsa ne tıp tedbirler alındı?
- Veri sızıntısına taammüden, ihmal yüzünden yahut yetersiz eğitim ve uzmanlık yüzünden sebep olan kurum çalışanları, taşeron şirket çalışanları tespit edildi mi?
- Bu çalışanların mali hareketleri inceleniyor mu?
- Bu bilgilerin yayınlandığı platformlar yalnızca iddianamede geçenlerden mi ibaret?
- Verilere erişim sağlayan tüm kullanıcılar tespit edilebildi mi?
- Verilere erişim sağlayanlar içerisinde T.C. ile menfaat çatışmasına sahip olan ülkelerin istihbarat kurumları var mı?
- Dark Web üzerinde sızıntılar için tarama yapıldı mı, kurumlarda bu taramayı yapacak eserler var mı (SpyCloud, Recorded Future, IntSights, Kela, Digital Shadows, Constella Intelligence, vb.) ve rutin olarak kullanılıyor mu?
- Bu sızıntı özelinde TOR (Onion Ağları) ve OSINT (Açık İstihbarat) taraması yapıldı mı?
- Bu taramalar için standartlar ve görevlendirilmiş üniteler var mı?
- Kurumlarımızın sızıntı tespiti anında birinci yapılacaklar için rutin prosedürü belirlendi mi ve kurumlarda ilgili çalışana eğitimi verildi mi?
- Bu bilgi sızıntısında KamuNet ağında yer alan sistemlerde yer alan zafiyetlerin rolü var mı?
- Bu ağa erişen işçi ve entegrasyon yapan paydaşların hareketleri takip altında mıdır?
- Sızıntılarda ferdî erişim dışında kurumlar ortasındaki Web Servis entegrasyonlarının rolü nedir?
- Bu entegrasyonlarda hizmet verilen kurumdaki erişim sağlayan kullanıcı bilgisi izleniyor ve loglanıyor mu?
- Yine entegrasyon ve sistem geliştirme süreçlerinde yer alan taşeron şirketlerin/kurumların bu sızıntılardaki rolü nedir?
- Bu şirketlerin ve kurumların çalışanları için uygulanan prosedürler mevcut mudur?
- Tüm kamu kurumları için bu tip data sızıntılarını süreçler halinde tanımlayan, rutin sızıntı taramalarını tanımlayan, birinci sızıntı tespiti anında yapılacakları belirleyen, tüm geliştirme ve entegrasyon süreçlerini bu çeşit akınlara karşı koruyacak bir bilgi güvenliği siyaseti ne vakit oluşturulacaktır?
