Doğrulanmamış iddiayla yaşamak: Türkiye'de sızıntı haberlerini nasıl okumalıyız?

Neredeyse her hafta aynı başlığı görüyoruz: Bir tehdit aktörü, bir forumda Türkiye'ye ait olduğunu iddia ettiği bir veri setini satışa çıkarıyor. Ekran görüntüleri sosyal medyada dolaşıyor, rakamlar her paylaşımda biraz daha büyüyor. Birkaç gün sonra konu unutuluyor. Ne gerçekten bir ihlal olup olmadığını öğreniyoruz ne de olmadıysa bunun kayda geçtiğini görüyoruz.

SiberMagazin'de bu tür haberleri "İDDİA · DOĞRULANMADI" etiketiyle yayımlıyoruz. Bu bir hukuki önlem olduğu kadar bir okuma biçimi de. Bu yazıda o okuma biçimini biraz açmak istiyorum.

Satış ilanı bir kanıt değil, bir pazarlama metni

Yeraltı forumlarındaki ilanların amacı satmaktır. Satıcı, verisini olduğundan büyük, olduğundan taze ve olduğundan "özel" göstermek ister. Sık gördüğümüz örüntüler:

• Eski sızıntıların yeniden paketlenmesi. Yıllar önce kamuya düşmüş veri setleri birleştirilip yeni bir başlıkla satışa çıkarılır.
• Üçüncü taraf kaynakların ana kurum gibi sunulması. Bir tedarikçinin, bir alt yüklenicinin ya da bir sohbet altyapısı sağlayıcısının verisi, büyük bir kurumun adıyla pazarlanır.
• Tamamen uydurma ya da örneklemi manipüle edilmiş setler. Gerçek görünen birkaç kayıt, geri kalanı üretilmiş bir veri setini satmak için vitrine konur.

Bu, ilanların hepsinin yalan olduğu anlamına gelmiyor. Ama bir ilanın varlığı, söz konusu kurumun ihlal yaşadığını tek başına göstermez.

Doğru soru: "Kim, neyi, nereden doğruladı?"

Bir iddiayı okurken üç soru sorun:

• Kaynak kim? Tehdit aktörünün kendi beyanı mı, bağımsız bir araştırmacının incelemesi mi, kurumun resmi açıklaması mı?
• Resmi bir bildirim var mı? Türkiye'de veri sorumlularının ihlali Kişisel Verileri Koruma Kurulu'na bildirmesi gerekiyor ve Kurul bazı bildirimleri kamuoyuyla paylaşıyor. Bu hafta yayımlanan, bir sohbet altyapısı sağlayıcısı üzerinden yaşanan ihlal bildirimi, doğrulanmış bir olayın nasıl görünmesi gerektiğine iyi bir örnek: Kaynak belli, kapsam tarif edilmiş, sorumlu taraf açık.
• Örnek veri kimseye zarar vermeden doğrulanabiliyor mu? Bunu yapmak gazetecinin değil, yetkili kurumların ve ilgili şirketin işi. SiberMagazin sızdırıldığı iddia edilen verileri indirmez, incelemez, yayımlamaz.

Kurumlar ne yapmalı?

Adınız bir ilanda geçtiğinde en kötü tepki sessizlik, ikinci en kötüsü ise inceleme yapmadan "hiçbir ihlal yok" demektir. Doğru sıra şu: Tehdit istihbaratı ekibinizle ilanı kayıt altına alın. Örneklemi kendi sistemlerinizle ve tedarikçilerinizinkilerle karşılaştırın. Gerekiyorsa bildirim yükümlülüğünüzü değerlendirin. Kamuoyuna yalnızca bildiğiniz kadarını söyleyin.

Son söz

Siber güvenlik gündeminde hız önemli. Ama "satışa çıkarıldı" ile "sızdı" arasındaki farkı korumak, hem okuru hem de haksız yere adı geçen kurumu korur. Biz bu farkı korumaya devam edeceğiz.