MarmaraYerelHaber

Kurumsal bir devlet yapısı içinde, o ülkenin istihbarat servisinden daha gizli bir yapı olabilir mi?

Ya da soruyu şöyle sorayım; bir ülkenin gizli servisinin personelinin, yani ajanlarının isimleri deşifre olursa o ülkeyi kurumsal yapı içinde değerlendirmek mümkün mü?

Soruya yanıt vermeden evvel, nefes aldığımız coğrafyada sıradanlaşan/sıradanlaştırılan olaylardan birisinin “kişisel verilerin güvenliği” konusu olduğunu hatırlatayım.

Öyle ki genç-yaşlı, kadın-erkek, zengin-yoksul ayırmaksızın ülkede yaşayan hemen herkesin kişisel verileri -sahiplerinin iradesi dışında- ortalıkta elden ele dolaşıyor.

İçişleri Bakanlığı’ndan kişisel verilerin korunmasına muhalefet ettikleri, yani ülkenin ölmüş veya yaşayan yurttaşlarının kişisel bilgilerini yasa dışı biçimde ele geçiren suç örgütlerine yönelik operasyon yapıldığı açıklamaları sık sık kamuoyu ile paylaşılıyor.

Peş peşe yürütülen adli soruşturmalara, tespitlere rağmen kişisel veri çalma işlerinin nasıl ve neden engellemediği de ayrı konu elbette.

Böylesi bir vahim tabloyla yaşıyoruz ülkede.

Ankara’da başlayan yargılamadaki korkutucu bilgi

Yazının girişindeki iki sorunun yanıtlarına gelince, yanıtları elimdeki bir iddianameden alıntılarla verdiğimde, “bu kadarı olmaz” diyeceksiniz haklı olarak.

Ankara Adliyesi’nde devam eden bir davaya esas olan ve yakın zamanda soruşturma savcısınca kaleme alınan bir iddianameyi inceledim hafta sonunda.

İddianame 49 sayfadan oluşuyor. Dosyanın konusu; “Türkiye Cumhuriyeti vatandaşlarının başta E-Devlet, Mernis, Tapu ve Kadastro, TCKN numarası üzerinden yapılan GSM abonelikleri, öğrenci okul bilgileri gibi kamuya ait sistemlerde yer alan kişisel bilgilerinin, sistemlere aykırı biçimde girerek oluşturulan yasa dışı sorgu sistemleri (paneller) aracılığıyla 3. kişilerin erişimine para karşılığında açılarak paylaşılması.”

İddianameye göre, şikayetlerle başlayan soruşturmada savcılık, yeni tespitlerde bulundu. 

Delillerin toplanmasıyla, şüphelilerin suç faaliyetini süreklilik içeren bir koordinasyon ve iş bölümüyle hiyerarşik bir düzen içerisinde kamu kurumlarına yönelik siber saldırılar veya sistem açıklarından yararlanarak, kurumlardan ele geçirdikleri kişisel verileri paneller arasında paylaşarak, panel yapılarının içindeki veri miktarını artırıp zenginleştirdikleri ve paneller arası veri değiş tokuşu yoluyla, her bir panel üzerinden faaliyetlerini devam ettirdikleri belirlendi.

Ayrıca savcılık, iddianamede, “bu şekilde kurulan çalışma düzeniyle faaliyet alanlarının genişletildiği de anlaşılmakla, söz konusu sistemin tesadüfi olmadığı ve şüphelilerin eylemlerinin bir bütün halinde değerlendirildiğinde, belirli bir sistematik içerisinde organize bir suç şebekesi şeklinde olduğu, bu haliyle de şüphelilerin örgütsel bir yapı içinde yer aldıkları anlaşılmaktadır” tespitine yer verdi.

Mağdurlar ve müşteki

Dosyanın 17 ayrı mağduru var:

“Adana Yüreğir Belediyesi, Altınbaş Üniversitesi Rektörlüğü, Ankara Büyükşehir Belediye Başkanlığı, Gelir İdaresi Başkanlığı, Sağlık Bakanlığı, Tapu ve Kadastro Genel Müdürlüğü, Çevre Şehircilik ve İklim Değişikliği Bakanlığı, Dumlupınar Üniversitesi, İzmir Tınaztepe Üniversitesi, Milli Eğitim Bakanlığı, Nişantaşı Üniversitesi Rektörlüğü, İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü, On Dokuz Mayıs Üniversitesi, Sosyal Güvenlik Kurumu Başkanlığı, Tekirdağ Namık Kemal Üniversitesi Rektörlüğü, Türkiye İş Kurumu Genel Müdürlüğü ile Yavuz Sultan Selim Köprüsü ve Kuzey Çevre Otoyolu İşletmesi.”

Görüldüğü gibi, devletin epeyce önemli kurum ve kuruluşu dosyanın mağduru. Yani siber korsanlar söz konusu kurumların bilişim sistemlerine girip istedikleri kişisel verileri elde etmeyi başarmışlar.

Sıra geldi, dosyadaki en önemli noktaya. “Bomba” demek de mümkün.

Dosyanın 17 mağdur kurum ve kuruluşuna karşın tek “müşteki”si var:

Milli İstihbarat Teşkilatı Başkanlığı!

Yeri gelmişken küçük detay vereyim.

Yürürlükteki hukuk sistemine göre, “müşteki” suça konu olayı şikâyet eden kişi/kurum. Aynı zamanda “şikayetçi” anlamına gelmekte.

“Mağdur” ise, suça konu olayda zarar gören kişi/kurum.

Müşteki, aynı zamanda mağdur olmak zorunda değil.

Devam ediyorum.

Sistem kurulmuş, verilere ulaşılmış

İddianamede yer aldığı şekliyle, bilişim sistemlerinde yapılan detaylı araştırmalarda, “hackerdede” kod ismini kullanan M.E.’nin MİT ve Milli Savunma Bakanlığı personelinin kimlik bilgilerinin deşifre edildiği “Privex” adlı yasa dışı sisteminin kurucusu ve yöneticisi olduğu belirlendi.

Ayrıca yine aynı panelin kurucusu ve yönetici M.E.’nin MİT’e ait lojmanların adres bilgilerini “kanakan/temizadam1” kod adını kullanan E.S.’den sağladığı ve çalışmalar sonucunda MİT personeline ait detaylı bilgileri ele geçirdiği, MİT’e ait lojmanlara ait bilgileri Privex’e ekleyip kullandığı tespit edildi.

İddianameye göre, Privex’e veri sağlama işleminin E.S ile sınırlı kalmadığı görülüyor ne yazık ki.

Tıpkı iki siber korsan gibi bilişim sistemlerine yasa dışı sızarak faaliyette bulunan “Codesloji” kod adlı B.B.’nin de hem Privex’e sunucu veya alan adı gibi teknik alt yapı hizmeti verdiği, hem de “Xainn” kod adını kullanan F.Z.I. ile birlikte kurumlara yönelik siber saldırı çalışmalarında yer aldığı anlaşıldı.

Yanı sıra “soulfly” kod adlı M.F.K., “Fur die Familia” kod adını kullanan S.M.D.’nın, “Cyber rate” kod adını kullanan M.B., “Hoster” kod adını kullanan Ö.K.’nın ve “Y3ELLOW / Kesh” kod adını kullanan S.S.’nin Privex’e diğer şüpheliler gibi MİT Başkanlığı ve Milli Savunma Bakanlığı’na bağlı verileri sağladığı ortaya çıktı.

Yargılanan şüphelilerden “hydrad” kod adını kullanan H.M.’nin ise, Privex’in web sitesi tasarımını yaptığı belirlendi.

Savcılığın dikkat çeken tespiti

İddianamede, “dijital materyallere yönelik yapılan incelemelerde, Milli İstihbarat Teşkilatı lojmanlarına ait adres bilgileri ile bu lojmanlarda ikamet eden MİT personelinin listesinin, MİT logosu bulunan illegal sorgu sistemine ait fotoğrafların, internet tarayıcı geçmişinde MİT tesislerinin adreslerine yönelik keşif çalışmalarının, askeri tesislere ilişkin muhtelif bilgilerin, MİT, polis, asker gibi kolluk kuvvetlerinin sahte kimliklerinin, ‘gizli’ gizlilik derecesine sahip bazı belgelerin yer aldığı tespit edilmiştir” ifadeleri yer alıyor. Dikkati çeken, çarpıcı bir tespit.

* * *

Doğrusunu söylemek gerekirse, dosyanın içinde MİT ve Milli Savunma Bakanlığı dolayısıyla Türk Silahlı Kuvvetleri olması nedeniyle daha fazla detay vermek istemedim.

Ancak okuduğunuz bilgiler bile yaşananların ne kadar vahim olduğunun açık ve net göstergesi.

Tabii iddianameyi okuyunca insan düşünmeden edemiyor.

Ülke ve toplum olarak “suçlular yakalandı” diyerek sevinmeli miyiz, yoksa “eyvah, devlet ele geçirilmişse yurttaş ne yapsın” üzüntüsüne mi kapılmalıyız?

Bu satırların yazarı olarak ikincisinin dikkate alınmasından yanayım.

Son olarak devlet, kurumlarının verilerini korumakta zorlanıyorsa ya da başarısız oluyorsa yurttaşın kişisel verilerini korumanın üstesinden nasıl gelecek, bu da ayrı bir soru elbette.