Sorgu panelleri: bir haftanın dosyası açık, elimizde ne var, ne yok?

Masama bu hafta üç ayrı dosya düştü. Birincisi Bafra merkezli sorgu paneli operasyonu: beş il, on gözaltı. İkincisi İstanbul Cumhuriyet Başsavcılığı'nın açıkladığı kişisel veri satışı soruşturması: 43 il, 100 şüpheli. Üçüncüsü KVKK'nın 11 Kasım'da yayımladığı ihlal duyuruları. Üçünü yan yana koymak kolay. Aralarına ok çizmek de kolay. Ben o oku çizmeden önce soruyu soracağım: elimizde ne var, ne yok?

Elimizde ne var?

Olgular şunlar. Bafra dosyasında şüphelilere yöneltilen suç, kişisel verileri hukuka aykırı olarak ele geçirme ve yayma. On kişiden altısı adliyeye sevk edildi. Bilgisayarlara ve telefonlara el konuldu.

İstanbul dosyasında resmi açıklama daha ayrıntılı. Mesajlaşma gruplarında ad-soyad, telefon numarası ve kimlik numarası gibi bilgilerin paylaşıldığı ve ücret karşılığında satıldığı tespit edilmiş. Bu bilgilerin tehdit ve şantaj için kullanıldığı belirlenmiş. Yüz şüphelinin 22'si çocuk. 92 kişi hakkında gözaltı talimatı var.

KVKK tarafında ise veri sorumlularının kendi bildirimleri duruyor. Bir havayolunun bildiriminde ele geçirilen bir admin parolasıyla 11.762 kişinin kimlik ve iletişim verisine erişildiği, ihlalin iki hafta sonra fark edildiği yazıyor. Aynı gün yayımlanan diğer duyurularda bir ticaret odasındaki SQL injection ve bir lojistik şirketinin Türkiye'deki 10.622 çalışanını etkileyen ihlal var.

Bir de zararın nereye vardığını gösteren dosya: Aksaray'da adına izinsiz kredi çekilen bir vatandaşın şikâyeti 589 milyon liralık hesap hareketine uzanan bir soruşturmaya dönüştü.

Elimizde ne yok?

Asıl liste bu.

Bafra dosyasında panelin hangi veri türlerini sorguladığı açıklanmadı. Kaç kişinin verisinin etkilendiği açıklanmadı. Tutuklama kararı olup olmadığı haberde yok.

İstanbul dosyasında Başsavcılık, verilerin "yetkisiz erişimle" ele geçirildiğini söylüyor; hangi kurumdan ya da hangi sistemden ele geçirildiğini söylemiyor. Çocukların gruplardaki rolü de açıklamada yok.

Ve en önemlisi: KVKK'ya bildirilen ihlaller ile bu iki operasyon arasında kurulmuş, belgeli tek bir bağ yok. Bildirimi yapılan bir ihlaldeki verinin herhangi bir panele ya da gruba ulaştığını gösteren resmi bir açıklama okumadım. Böyle bir bağı yazan olursa kaynağını sorun.

Bu ayrım kılı kırk yarmak değil. "Şu kurumun verisi panelde" cümlesi, kanıtı yoksa hem o kuruma hem de soruşturmaya zarar verir. Şüpheliler için de aynı ölçü geçerli: yargı süreci sürüyor, masumiyet karinesi yerinde duruyor.

Boş kare: veri nereden geliyor?

Yine de dosyaların ortak bir sorusu var ve o soru cevapsız. Bir sorgu paneli veriyi kendisi üretmez. Veri ya bir sızıntıdan derlenir ya da yetkili bir hesabın yetkisiz kullanımıyla çekilir. İki yolun önlemi farklıdır. Birincisi için ihlal bildirimi, etkilenen kişiye haber ve hızlı parola yenileme gerekir. İkincisi için sorgu logu, toplu sorgu alarmı ve hesap paylaşımının bitmesi gerekir.

KVKK duyurularındaki iki ayrıntı bu yüzden dikkatimi çekiyor. Biri giriş yolunun bir zafiyet değil geçerli bir admin parolası olması. Öbürü saldırganın iki hafta fark edilmemesi. Bunlar panellerle bağlantı kanıtı değil. Ama kişisel veriye erişen bir yönetici hesabının iki hafta izlenmeden çalışabildiğini gösteren resmi kayıtlar.

Operasyon sayıları etkileyici. Ama gözaltı, zincirin son halkasını gösterir. İlk halka, yani verinin çıktığı kapı, açıklamalarda henüz yok. O kare dolmadan dosya kapanmış sayılmaz.

Son söz

Elimizdekiyle yetineceğim: iki operasyon gerçek, ihlal bildirimleri gerçek, aralarındaki bağ ise şimdilik yalnızca bir soru. Kurumlara düşen iş soruşturmanın sonucunu beklemek değil; kişisel veriye erişen her ekranda kimin, ne zaman, kaç kayıt sorguladığını bugün bilebilmek. Okura düşen iş daha sade: kimlik numaranızı bilen her ses resmi görevli değildir. Ben de boş karenin dolmasını bekleyeceğim; dolduğunda ilk buradan okursunuz.