Milli İstihbarat Teşkilatı (MİT) koordinesinde, Siber Güvenlik Başkanlığı ve Jandarma Genel Komutanlığı'nın ortak çalışmasıyla siber casusluk faaliyetlerine yönelik bir operasyon gerçekleştirildi. Operasyonun hedefinde, sendikalara yazılım hizmeti sağlayan Ankara merkezli Aydo Yazılım adlı şirket yer aldı. Şirket sahibi ve çalışanları dahil toplam 5 şüpheli gözaltına alınırken, ev ve iş yerlerinde yapılan aramalarda çok sayıda bilgisayar, cep telefonu ve dijital materyale el konuldu.
Operasyon Nasıl Başladı?
Anadolu Ajansı'nın güvenlik kaynaklarına dayandırdığı habere göre, MİT'in istihbari çalışmaları sırasında Aydo Yazılım tarafından geliştirilen bazı sendika yazılımlarına dikkat çekici bir eklenti tespit edildi. Söz konusu yazılımlara, sendika üyesi olmayan üçüncü kişilerin bilgilerine erişim sağlayabilecek özel bir sorgu arayüzü eklendiği belirlendi. Bu tespit, soruşturmanın başlangıç noktasını oluşturdu.
Sorgu Arayüzü Ne Yapabiliyordu?
Yapılan teknik incelemelerde, söz konusu sorgu arayüzünün işlevleri tek tek ortaya konuldu. Sistem üzerinden T.C. kimlik numarası kullanılarak kişilerin kimlik ve nüfus bilgilerine ulaşılabildiği saptandı. Sistemin arka planındaki veri tabanlarında ise daha kapsamlı kişisel verilerin bulunduğu tespit edildi. Bunların yanı sıra, daha önce farklı kaynaklardan internet ortamına sızdırılmış veri setlerinin de bu sistem üzerinden sorgulanabildiği belirlendi.
Sorgu arayüzünün, sendikalara yeni üye kaydı yapılırken üyelik bilgilerinin tamamlanması amacıyla kullanıldığı da ortaya çıktı. Soruşturmada dikkat çeken bir diğer bulgu ise veri tabanında 18 yaşından küçük kişilere ait kayıtların da yer almasıydı.
Sistem Kayıtlarında "NVİ" İbaresi
Sunucular üzerinde yürütülen teknik incelemelerde, kişisel bilgilerin tutulduğu sistem kayıtlarında sistematik biçimde "NVİ" ibaresinin kullanıldığı belirlendi. Bu kullanım, verilerin Nüfus ve Vatandaşlık İşleri kaynaklı olduğu izlenimi yaratıyordu. Ancak teknik incelemeler sonucunda söz konusu verilerin doğrudan Nüfus ve Vatandaşlık İşleri sistemlerinden alınmadığı tespit edildi.
Şirketin "Clock&Wise" Adıyla KVKK Danışmanlığı Verdiği Ortaya Çıktı
Soruşturma kapsamında gün yüzüne çıkan bulgular arasında çarpıcı bir ayrıntı daha yer alıyor: Aydo Yazılım'ın, "Clock&Wise" adıyla kurum ve kuruluşlara Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında danışmanlık hizmeti sunduğu tespit edildi. Şirketin bir yandan kişisel verilerin korunmasına ilişkin danışmanlık hizmeti verirken öte yandan sendika yazılımlarında kişisel bilgilerin sorgulanmasına imkân tanıyan bir sistem kullandığı vurgulandı.
Soruşturma Genişleyebilir
Yetkililerin aktardığı bilgilere göre, sistemin hangi sendikalar tarafından ve ne kapsamda kullanıldığı ile elde edilen verilerin hangi amaçlarla işlendiğine ilişkin incelemeler sürmektedir. El konulan dijital materyallerin incelenmesi sonucunda elde edilecek yeni bulgular doğrultusunda soruşturmanın genişletilebileceği de bildirildi.
Sıkça Sorulan Sorular
Operasyon hangi kurumların iş birliğiyle yürütüldü?
Operasyon, Milli İstihbarat Teşkilatı (MİT) koordinesinde, Siber Güvenlik Başkanlığı ve Jandarma Genel Komutanlığı'nın ortak çalışmasıyla gerçekleştirildi.
Aydo Yazılım hangi sektöre hizmet veriyordu ve operasyonda kaç kişi gözaltına alındı?
Ankara merkezli Aydo Yazılım, sendikalara yazılım hizmeti sağlayan bir şirketti. Operasyonda şirket sahibi ve çalışanları dahil toplam 5 şüpheli gözaltına alındı.
Sendika yazılımlarına eklenen sorgu arayüzü ne tür verilere erişim sağlıyordu?
Sorgu arayüzü üzerinden T.C. kimlik numarası kullanılarak kişilerin kimlik ve nüfus bilgilerine ulaşılabildiği belirlendi. Sistemin arka planındaki veri tabanlarında daha kapsamlı kişisel veriler bulunduğu ve daha önce internet ortamına sızdırılmış veri setlerinin de bu sistem üzerinden sorgulanabildiği tespit edildi.
Sistem kayıtlarında bulunan "NVİ" ibaresi ne anlama geliyor?
Sistem kayıtlarında sistematik biçimde kullanılan "NVİ" ibaresi, verilerin Nüfus ve Vatandaşlık İşleri kaynaklı olduğu izlenimi oluşturuyordu. Ancak teknik incelemeler, söz konusu verilerin doğrudan Nüfus ve Vatandaşlık İşleri sistemlerinden alınmadığını ortaya koydu.
Şirketin KVKK danışmanlığıyla bağlantısı nedir?
Soruşturma kapsamında Aydo Yazılım'ın, "Clock&Wise" adıyla kurum ve kuruluşlara KVKK danışmanlık hizmeti sunduğu tespit edildi. Şirketin aynı anda hem kişisel veri koruma danışmanlığı verdiği hem de sendika yazılımlarında kişisel bilgilerin sorgulanmasına olanak tanıyan bir sistem kullandığı belirlendi.
