31 avukata gözaltı kararı: Yasa dışı veri panelleri nasıl çalışıyor?

Ahmet Taş | Yerel Gündem

İSTANBUL, TÜRKİYE — İstanbul merkezli yürütülen soruşturmada, vatandaşların kişisel verilerini yasa dışı sorgulama sistemleri üzerinden elde ettikleri iddiasıyla 31 avukat hakkında gözaltı kararı verilirken 39 hukuk bürosunda arama ve el koyma işlemi uygulandı.

Soruşturmayla birlikte kamuoyunda yeniden gündeme gelen “panel” sistemleri, herhangi bir gelişmiş bilgisayar bilgisi gerektirmeden isim, kimlik, adres, telefon, aile ve bazı mal varlığı bilgilerinin sorgulanmasına imkân veren yasa dışı veri tabanı arayüzleri olarak tanımlanıyor. Euronews Türkçe’nin aktardığı bilgilere göre bazı hukuk bürolarında “HukukBİS” ve “AsistBİS” isimleriyle kullanılan sistemlere ilişkin dijital kayıtlar tespit edildi.

31 avukat hakkında gözaltı kararı verildi

4 Eylül’de yürütülen operasyonda 31 avukat hakkında gözaltı kararı çıkarıldığı, 39 farklı avukatlık bürosunda arama ve el koyma tedbiri uygulandığı bildirildi.

Adalet Bakanlığının açıklamasına göre soruşturma dosyasında bazı hukuk bürolarında vatandaşların kişisel bilgilerinin hukuka aykırı şekilde temin edilmesini ve sorgulanmasını sağlayan dijital sistemlerin kullanıldığına ilişkin deliller bulunuyor.

İncelemelerde panel erişim kayıtları, kullanıcı bilgileri, doğrulama kodları, uzaktan bağlantı izleri, kişisel veri sorgu çıktıları, toplu Word ve Excel belgeleri ile sistem kullanımına ilişkin yazışmalar tespit edildiği belirtildi.

Soruşturma aşamasındaki bu bulgular, hakkında işlem yapılan kişilerin suçluluğunun kesinleştiği anlamına gelmiyor. Ceza sorumluluğu yargılama sonunda verilecek kesinleşmiş mahkeme kararlarıyla belirlenecek.

Yasa dışı “panel” sistemi nedir?

“Panel” ifadesi özel bir bilgisayar korsanlığı teknolojisinin adı değil.

Bilgisayar sistemlerinde kullanılan “yönetim paneli” veya “kontrol paneli” kavramlarına benzer biçimde, çok büyük veri kümelerini kullanıcı açısından kolay sorgulanabilir hale getiren bir internet arayüzünü ifade ediyor.

Yasa dışı sistemlerde bir kişinin adı veya başka bir tanımlayıcı bilgisi girildiğinde arka plandaki veri tabanlarında eşleşen kayıtlar aranıyor. Böylece kullanıcı milyonlarca satırlık ham veri arasında teknik bir işlem yapmak zorunda kalmadan hedef kişiye ilişkin kayıtları görüntüleyebiliyor.

Soruşturmada incelenen sistemlerde vatandaş, kimlik, aile, yerleşim yeri, SGK, çalışan, telefon, tapu, mükellef ve ada-parsel sorgulamaları gibi seçeneklerin bulunduğu kaydedildi.

Buradaki yasa dışılık, sorgulama ekranının teknik yapısından değil, arkasındaki kişisel verilerin hukuka aykırı yollarla elde edilmesi, saklanması, paylaşılması veya kullanılmasından kaynaklanıyor.

Milyonlarca kişinin verisi tek sistemde nasıl birleşiyor?

Yasa dışı panellerde yer alan bilgilerin tamamının tek bir veri sızıntısından gelmesi gerekmiyor.

Farklı tarihlerde alışveriş siteleri, çevrimiçi hizmetler, kamu sistemleri, şirketler veya kullanıcı cihazlarından ele geçirilen veri kümeleri zaman içinde bir araya getirilebiliyor. Kişisel Verileri Koruma Kurumu da hukuka aykırı şekilde elde edilen verilerin elden ele dolaşabildiğine, arşivlenebildiğine ve daha büyük veri kümeleri oluşturularak yeniden pazarlanabildiğine dikkat çekiyor.

Örneğin bir veri kümesinde isim ve kimlik bilgileri, başka bir veri kümesinde telefon numarası, üçüncü bir veri grubunda ise e-posta veya eski adres kayıtları bulunabiliyor.

Ortak tanımlayıcılar aracılığıyla bu kayıtlar aynı kişiyle ilişkilendirildiğinde ortaya daha kapsamlı bir profil çıkıyor. Kaynak haberde bu işlemin, veri tabanlarında yaygın olarak kullanılan normal ilişkilendirme yöntemleriyle yapılabileceği belirtiliyor.

Bu nedenle eski bir veri sızıntısı bile yıllar sonra yeni bir sızıntıyla birleştiğinde yeniden risk oluşturabiliyor.

Kişisel verilerin ele geçirilmesi neden tehlikeli?

Tek başına bir kişinin T.C. kimlik numarasını bilmek banka hesabına, e-Devlet’e veya mesajlarına doğrudan erişim sağlamıyor.

Asıl risk, isim, kimlik numarası, telefon, adres, aile ilişkileri ve başka kişisel bilgilerin aynı kişi üzerinde birleştirilebilmesinden kaynaklanıyor.

Bu bilgiler tehdit, şantaj, dolandırıcılık, sosyal mühendislik veya kişiye yakınlarını kullanarak ulaşma gibi suçları kolaylaştırabiliyor.

Örneğin kendisini banka çalışanı veya kamu görevlisi gibi tanıtan bir dolandırıcı, hedef kişinin gerçek adresini, yakınlarının isimlerini veya başka özel bilgilerini biliyorsa telefon görüşmesinde çok daha inandırıcı görünebilir.

Kaynak haberde 2025’te gerçekleştirilen başka bir “panel” operasyonunda 69 kişinin gözaltına alındığı, şüphelilerin 35’inin çocuk olduğu ve elde edilen verilerin tehdit ve şantaj amacıyla kullanıldığı iddialarının da soruşturmaya yansıdığı hatırlatılıyor.

Bazı hukuk bürolarında sistemlerin nasıl kullanıldığı araştırılıyor

Son soruşturmanın dikkat çekici yönü, yasa dışı veri sorgulama sistemlerinin bazı hukuk bürolarında kullanıldığı iddiası.

Euronews Türkçe’nin aktardığı soruşturma bulgularına göre bazı bürolarda sistemlerin uzaktan bağlantı programları aracılığıyla bilgisayarlara kurulmuş olabileceği, kullanıcı hesapları ve doğrulama yöntemleriyle aktif biçimde kullanıldığı değerlendiriliyor.

Soruşturmanın üzerinde durduğu ihtimallerden biri, bu sistemlerin borçlu veya hedef kişiye ulaşmak, kişinin mal varlığı ile gelir durumunu araştırmak veya ayrıntılı bir kişi profili oluşturmak amacıyla kullanılmış olması.

Panel seçenekleri arasında telefon, yerleşim yeri, SGK, çalışan ve tapu sorgularının bulunması, özellikle çok sayıda icra ve tahsilat işlemi yürüten bürolar bakımından bu ihtimali gündeme getiriyor.

Daha ciddi iddialardan biri ise vekâlet ilişkisi veya mevcut hukuki dosyayla ilgisi bulunmayan kişilerin de sistemlerden sorgulanmış olabileceği yönünde.

Soruşturma sonunda doğrulanması halinde bu durum, yasa dışı kişisel verilerin yalnız bilgi toplamak için değil, vatandaş üzerinde hukuki süreç varmış izlenimi oluşturmak amacıyla da kullanılmış olabileceği anlamına gelecek.

Dijital sistemler arkalarında iz bırakıyor

Yasa dışı panel sistemleri gizli bilgiye kolay erişim sağlasa da teknik açıdan tamamen izsiz çalışmıyor.

Bu tür sistemlerin internet üzerinde faaliyet gösterebilmesi için sunucu, alan adı, hosting veya başka bir altyapıya ihtiyaç duyuluyor. Dolayısıyla IP kayıtları, hesap hareketleri, bağlantı günlükleri, ödeme bilgileri ve cihaz kayıtları gibi dijital izler soruşturmalarda kullanılabiliyor.

Son operasyonda uzaktan bağlantı kayıtlarının, doğrulama bilgilerinin, kullanıcı hesaplarının ve ödeme hareketlerinin incelenmesi de soruşturmanın yalnız bilgisayarlarda bulunan dosyalarla sınırlı olmadığını gösteriyor.

Yetkililerin değerlendirmesine göre bulgular, bazı sistemlerin münferit şekilde indirilmiş veri arşivlerinden ziyade belirli kullanıcıların erişimine açılan ve ücret karşılığında kullanılan organize hizmetler olabileceği ihtimalini güçlendiriyor.

Verisi sızdırılan vatandaş ne yapabilir?

Bir kişinin bilgilerinin yasa dışı bir panelde bulunması, bütün dijital hesaplarının ele geçirildiği anlamına gelmiyor. Ancak özellikle aynı parolanın farklı hizmetlerde kullanılması riski artırıyor.

KVKK, farklı platformlarda aynı kullanıcı adı ve parolanın kullanılmaması ve mümkün olan hizmetlerde iki aşamalı kimlik doğrulamanın etkinleştirilmesi gerektiğini vurguluyor. Kaynak haberde OWASP’ın da ele geçirilmiş kullanıcı adı ve parola çiftlerinin başka platformlarda denenmesiyle gerçekleştirilen hesap ele geçirme girişimlerine dikkat çektiği aktarılıyor.

Parolalar değiştirilebilirken doğum tarihi, aile ilişkileri veya kimlik bilgileri gibi birçok veri kalıcı nitelikte. Bu nedenle yıllar önce gerçekleşmiş veri sızıntıları bile daha sonraki veri kümeleriyle birleştirildiğinde yeniden güvenlik riski oluşturabiliyor.

31 avukat hakkındaki mevcut soruşturma ise yasa dışı kişisel veri sistemlerinin yalnız yeraltı siber suç gruplarıyla sınırlı kalmadığı, profesyonel hizmet alanlarında da kullanılmış olabileceğine ilişkin iddiaları yeniden gündeme taşıdı.

Soruşturmanın ilerleyen aşamasında ele geçirilen dijital materyallerin incelenmesi, hangi kişilerin sistemlere eriştiği, hangi sorgulamaların yapıldığı ve elde edilen verilerin hangi amaçlarla kullanıldığı konusunda daha ayrıntılı bir tablo ortaya çıkaracak.

YerelGundem.com