Veri Güvensizliği ve Online Şantaj

İstanbul’da 4 Ekim günü, İkbal Uzuner ve Ayşenur Halil adlı 19 yaşındaki iki kadın, Semih Çelik adlı erkek tarafından vahşice öldürüldü. Kamuoyunda infial yaratan bu cinayetin ardından Discord ve Telegram platformlarındaki bazı kapalı gruplarda Semih Çelik’i öven paylaşımların sosyal medyada ifşa edilmesi ise reşit olmayan kız çocuklara ve kadınlara yönelik çok daha büyük bir tehdidi ortaya çıkardı. İddialara göre bu kapalı gruplar üzerinden organize olan bazı kişiler şantaj amaçlı hedeflerine aldıkları kadınların kimlik bilgilerine ulaşarak onları taciz etti ve birçok kadın ciddi mağduriyetler yaşadı. Bu iddialar üzerine söz konusu gruplardan birinin yöneticileri muhafaza altına alınırken Ankara 1. Sulh Ceza Hakimliği tarafından Discord’a erişim engeli getirildi. Yine içerisinde cinsel taciz ve kadına şiddet videolarının yer aldığı kereste.moe isimli siteye de İstanbul 2. Sulh Ceza Hakimliğinin kararıyla erişim engellendi. 

Kamuoyunda tartışmaların yönü aleni olarak kadın katillerinin övüldüğü ve kadınlara karşı online ve fiziksel tacizlerin organize edildiği bu gruplara çevrildi. İstem dışı bekarlık olarak Türkçeye çevrilebilecek “involuntary celibate” terimin kısaltması olan “incel” bu grupları nitelendirmek için sıklıkla kullanılıyor. Romantik veya cinsel partner bulmakta zorlanan, ancak böyle bir ilişki isteyen bireyleri tanımlayan bu terim özellikle ABD’de kadın nefreti motivasyonuyla gerçekleşen cinayetlerin ardından kamuoyunun gündemine yerleşmişti. online ortamda örgütlenen incel gruplar romantik ve cinsel başarısızlıkları toplumsal yapılarla, genetik özelliklerle ve modern flört kültürünün yüzeyselliğiyle gerekçelendiriyor. Dolayısıyla bu gruplarda öfke, hayal kırıklığı ve kadın düşmanlığı oldukça baskın. ABD Gizli Servisi 2022’de yayımladığı bir raporla bu grupların yaygınlaştırdığı kadın düşmanlığı motivasyonu üzerinden gerekçelenen şiddeti yükselen bir tehdit olarak nitelemişti. Son günlerde ortaya çıkan ifşalarda da bu gruplarda benzer motivasyonların oldukça yaygın olduğu görülüyor. 

Fakat bu konunun kamuoyunda çok tartışılmayan başka bir boyutu da var. Discord ve Telegram platformları üzerinden kadın düşmanı söylemi organize eden bu gruplar aynı zamanda internet ortamında yok pahasına erişilebilen kişisel verilere de erişebiliyor ve eriştikleri bu veriler üzerinden hedefledikleri kadınlara şantaj ve tacizde bulunuyorlar. 

Türkiye’de T.C. kimlik verilerine dair ilk büyük sızıntı haberleri 14 yıl öncesine, 2010 yılına dayanıyor. O dönemde, 72 milyon vatandaşın T.C. kimlik numaralarını satan bir çete, bir operasyonla çökertildi. Basına yansıyan haberlere göre, verileri 275 liraya avukatlık bürolarına satmaya çalışan 15 kişi tutuklandı, ancak daha sonra tutuksuz yargılanmak üzere serbest bırakıldılar. O dönem asgari ücretin 576 lira olduğu göz önünde bulundurulduğunda, verilerin yüksek bir fiyata satıldığı söylenebilir.

2016 yılında Türkiye, büyük bir veri sızıntısı skandalıyla tekrar sarsıldı. Bu kez, Türk vatandaşlarının T.C. kimlik ve adres bilgileri bir internet sitesinde yayınlandı. Verilerin doğruluğunu göstermek amacıyla Abdullah Gül, Recep Tayyip Erdoğan ve Ahmet Davutoğlu gibi önemli isimlerin bilgileri de paylaşıldı. Verilerin 2010’daki sızıntıya dayandığı düşünülürken, dönemin başbakanı Binali Yıldırım, bu bilgilerin MERNİS’ten (Merkezi Nüfus İdaresi Sistemi) değil, Yüksek Seçim Kurulu’nun siyasi partilere verdiği bilgilerden sızdırıldığını belirtti.

COVID-19 salgını döneminde, Halk Sağlığı Yönetim Sistemi (HSYS) en sık kullanılan devlet platformlarından biri haline gelmişti. Ancak 2022 yılında, HSYS üzerinden Cumhuriyet’in kuruluşundan Kasım 2022’ye kadar yaşamış olan 101 milyon kişinin T.C. kimlik numaraları, ad-soyadları, doğum tarihleri, genel konum bilgileri (şehir ve bölge), anne-baba adları ve kimlik numaraları internete sızdırıldı. İlk başta ücretli olarak satışa sunulan bu veriler, daha sonra çeşitli forumlarda ücretsiz olarak paylaşılmaya başlandı.

Aynı dönemde, 116 milyon kişiye ait Türkiye’nin en büyük GSM veri seti de internet forumlarında ücretsiz olarak paylaşıldı. Bu veri seti, GSM numaraları ve T.C. kimlik numaralarını içeriyordu. Ücretsiz olarak dolaşıma giren HSYS verileri ile bu GSM verileri birleştirilerek tek bir devasa veritabanı haline getirildi. Bu birleşik veri seti, vatandaşların kişisel bilgilerinin kapsamlı bir şekilde internette serbestçe dolaşmasına yol açtı.

İnternette Türk vatandaşlarına ait büyük miktarda veri dolaşıyor ve bunların önemli bir kısmı devlet sitelerinden elde edilmiş durumda. Geçtiğimiz aylarda, 25 milyon kişiye ait Sosyal Güvenlik Kurumu (SGK) verilerinin de internette satışa çıkarıldığı ortaya çıktı. Üstelik, asgari ücretin 17.002 lira olduğu Türkiye’de bu veriler sadece 35 liraya alıcı bulmaya çalışıyor. Bu durum, kişisel bilgilerin ne kadar düşük bedellerle tehlikeye atıldığını bir kez daha gözler önüne seriyor.

Yıllar içinde yayılan bu verilere karşı, Siber Güvenlik Dairesi Başkanı Salih Talay, kişisel verilerin E-Devlet sisteminden sızdırıldığı iddialarını reddetti. Uzun bir süre boyunca hiçbir hükümet yetkilisi veri sızıntısını kabul etmedi. Ancak geçtiğimiz Eylül ayında, BTK’nın (Bilgi Teknolojileri ve İletişim Kurumu) Türk vatandaşlarının kimlik bilgilerinin internetten silinmesi için Google’dan yardım talep ettiği ortaya çıktı. Bu gelişmenin ardından, Ulaştırma ve Altyapı Bakanı Abdulkadir Uraloğlu, pandemi döneminde Sağlık Bakanlığı sisteminden verilerin sızdırıldığını itiraf etti.

Bu sızdırılan veriler, büyük ve karmaşık yapıları nedeniyle profesyonel kullanım gerektiren SQL formatında saklanıyor.

Peki, açması karmaşık olan bu dosyalar nasıl bir tehdit oluşturabiliyor? Basit bir Google aramasıyla, YouTube’da MERNIS verilerinin nasıl açılacağını ve yükleneceğini adım adım gösteren videolara ulaşmak mümkün. Ne YouTube ne de BTK bu videoları engellemiyor. Dahası, bu videolardan içerik üretenlerin çoğunun reşit olmadığını seslerinden anlamak mümkün. Videolarda izleyiciler, daha fazla bilgi için Discord gruplarına yönlendiriliyor, bu da veri sızıntısının ne kadar kolay erişilebilir hale geldiğini gösteriyor.

Bu Discord grupları üzerinden kullanıcılar, “Panel” adı verilen çok daha gelişmiş yasadışı sorgu sitelerine yönlendiriliyor. Bu paneller, daha detaylı sorgulamalar yapabilme imkânı sunuyor ve kullanıcılara günlük, haftalık, aylık, hatta yıllık premium üyelikler satılıyor. Böylece kişisel verilerin ticareti, organize bir şekilde devam ediyor ve bu veriler kötü niyetli kişilerin elinde kolayca kullanılabiliyor.

Bu panellerde, kişinin adresi dışında üzerine kayıtlı plaka, tapu bilgileri, eğitim durumu, adresinde ikamet eden diğer vatandaşların MERNIS bilgileri, SGK kayıtları, çalıştığı kurum ve oradaki sigortalı çalışma arkadaşlarına dair bilgiler, GSM numarası, sağlık verileri ve hatta aldığı ilaçlar gibi pek çok hassas veri yasa dışı bir şekilde premium üyelik sistemiyle satılıyor. Bu kapsamlı kişisel veri ticareti, gizliliğin ciddi bir şekilde ihlal edildiğini gözler önüne seriyor.

Free Web Turkey, 2023 yılında yaptığı haberde panel satan kişilerle iletişime geçtiklerini ve bu verilerin nasıl alındığına dair bilgiler verdiklerini ifade ediyor. Panel satan kişiler, adres no, aile no, cilt no ve sıra no gibi kimlik bilgilerinin herhangi bir yetkili giriş gerekmeksizin İnternet Vergi Dairesi üzerinden alındığını belirtmiş. Ayrıca haberde, Ankara Valiliği’nin bir dönem boyunca adres verilerini herkese açık şekilde tuttuğu, ancak daha sonra bu verilere sadece yetkili girişle erişilebildiği ifade edilmiş.

Bunun yanı sıra, bu tür panel satışlarının Telegram üzerinden de gerçekleştirildiğini görmek mümkün. Söz konusu sitelere girip sağ tıklayarak ‘Sayfa kaynağını göster’ seçeneği seçildiğinde, sayfanın kodlarına ve sayfayı kodlayan kişinin imzasına ulaşılabiliyor. Bu, yasa dışı panel satışlarının ne kadar açık bir şekilde yürütüldüğünü gösteriyor.

Sayfa kodlarındaki imza Google’da aratıldığında, doğrudan kişiye ait bir Telegram sayfasına ulaşılabiliyor. Bu sayfada, kişinin diğer kanallarını gösteren bir bağlantı da yer alıyor. Bu durum, yasadışı faaliyetlerin ne kadar kolay erişilebilir olduğunu ve bu kişilerin internette iz bırakmaktan çekinmediklerini de gösteriyor.

Bağlantıya tıklandığında, yeni bir Telegram sayfası açılıyor ve bu sayfada yasa dışı kimlik hırsızlığıyla ilgili içeriklerin yanı sıra, kişilerin rızası olmadan kaydedilen ve “İfşa” adı verilen +18 içeriklere yönlendiren bağlantılar bulunduğu görülüyor. 

Aynı kişinin YouTube hesabındaki Instagram linkine tıklayarak, kişiye ait Instagram profiline de ulaşalabilmek mümkün. Mizah sayfası etiketi taşıyan bu profilde, yapılan paylaşımlar aracılığıyla hesap sahibinin insanları panel sitelerine yönlendirdiği görülüyor. Ayrıca, birçok Instagram kullanıcısının yorumlarda çeşitli Discord adreslerinin ve panel sitelerinin reklamını yaptığı da dikkat çekiyor.

Veri ticareti ile ifşa, çocuk pornosu gibi zararlı içeriklerin aynı hesaplarda veya gruplarda yer alması tesadüf değil. Çünkü internette ortaya saçılan veriler kötü niyetli kişilerin hedefledikleri kişilere şantaj yapması için bulunmaz bir kaynak sağlıyor. Şantajlar ise bu grupları taciz ve zorlamayla alınan ifşa videoları deposu haline getiriyor. Üstelik ifşa videolarını kaldırmak konusunda etkili bir şey yapabilmek de oldukça güç. 

Şantaj ve çocuklara cinsel taciz iddialarıyla gündeme gelen gruplardan biri Telegram’daki “C31K” adlı gruptu. Bu grubun üyelerinden beşi, yılın başında terör örgütü propagandası yapmak, Atatürk’e hakaret ve hayvanlara işkence suçlamalarıyla tutuklandı. İçişleri Bakanı Ali Yerlikaya, geçtiğimiz günlerde yaptığı açıklamada, çocuk yaşta olan grubun yöneticileri E.K. ve A.T.’nin yakalandığını ve emniyet müdürlüğünde gözaltında olduklarını duyurdu.

Ne yazık ki, bu tür yasa dışı faaliyetlere karışan başka gruplar da var. Bunlardan biri de Discord’da faaliyet gösteren “atatv44” grubu. Bu grup, 6 Şubat depremi sırasında enkaz altındaki insanları AFAD görevlisi gibi arayarak alay etmeleriyle tanınmıştı. Olayın medyada geniş yankı bulmasının ardından grup üyeleri tutuklandı. Grubun, şu anda rap müzisyenliği ve yapımcılık yapan bir genç tarafından kurulduğu iddia ediliyor. Ayrıca, grup içerisinde çalıntı kredi kartlarıyla alışveriş yapıldığı, çocuklara şantaj ve taciz edildiği de iddialar arasında yer alıyor.

Sonuç olarak, Türkiye’de kişisel veri sızıntılarından yasa dışı platformlara, kadınlara ve çocuklara yönelik şantaj ve tacizlere kadar uzanan dijital suç ağları ciddi bir tehdit oluşturmaya devam ediyor. Kişisel verilerin kolayca elde edilebildiği internet ortamında, kötü niyetli gruplar kadın düşmanlığını ve cinsel tacizi organize bir şekilde yürütüyor. İfşa siteleri, şantaj grupları ve incel toplulukları, kişisel verilere erişimi kullanarak hedef aldıkları bireylere zarar veriyor. Özellikle internet üzerindeki mahremiyetin korunması, bireylerin güvenliği ve gizliliği açısından büyük önem taşıyor.