ANKARA Türkiye'de son günlerde gerçekleştirilen bir siber güvenlik operasyonu, yalnızca bir yazılım şirketine yönelik adli soruşturma olmaktan çok daha büyük bir soruyu gündeme taşıdı:
Bir kişinin yalnızca T.C. kimlik numarasını bilen bir kişi, onun kimliğinden aile bilgilerine, nüfus kayıtlarından sendika üyeliğine kadar uzanan verilere erişebilecek bir sisteme ulaşabiliyorsa, burada artık sadece “kişisel veri ihlali”nden mi söz ediyoruz, yoksa milli güvenliği ilgilendiren bir istihbarat riskinden mi? Sendika yazılımına yerleştirilen gizli sorgu paneli Türkiye'nin hangi güvenlik duvarlarını aşabilirdi?
16 Eylül 2026'da Ankara merkezli Aydo Yazılım'a yönelik operasyonda şirket sahibi ve çalışanlarının da aralarında bulunduğu beş kişi gözaltına alındı. Operasyonun MİT koordinasyonunda, Siber Güvenlik Başkanlığı ve Jandarma Genel Komutanlığı'nın ortak çalışmasıyla gerçekleştirildiği bildirildi. Aramalarda bilgisayar, telefon ve çeşitli dijital materyallere el konuldu. Soruşturmanın merkezinde ise sendikalara yönelik yazılımlara eklendiği belirtilen özel bir sorgu arayüzü bulunuyor. İddia edilen yapı doğruysa, mesele yalnızca “bir yazılımın amacı dışında kullanılması” değildir. Çünkü sistemin arkasında, geçmiş yıllarda internete sızdırılmış veri setlerinin bulunduğu ve T.C. kimlik numarası üzerinden kişilerin kimlik ve nüfus bilgilerine erişilebildiği bildiriliyor. Daha da önemlisi, arka plandaki veri tabanlarının yalnızca sendika üyeleriyle sınırlı olmadığı, sendika üyesi olmayan üçüncü kişilere ait bilgilerin de sorgulanabildiği aktarılıyor. Bu durum, Türkiye açısından siber istihbarat, personel güvenliği ve karşı-istihbarat başlıklarını aynı anda gündeme getiriyor.
1. OPERASYONUN MERKEZİNDE NE VARDI?
Soruşturma kapsamında yapılan teknik incelemelerde, Aydo Yazılım tarafından geliştirilen bazı sendika yazılımlarına, sendika üyesi olmayan kişilerin bilgilerine erişim sağlayan özel bir sorgu arayüzü eklendiğinin tespit edildiği bildirildi. Normal bir sendika yazılımının temel görevi bellidir: üyelik işlemleri, üye bilgilerinin yönetimi, aidat ve özlük işlemleri,-sendikal iletişim, üyelik başvurularının takibi. Ancak soruşturma kapsamında anlatılan sistem bundan daha geniş bir erişim kapasitesine sahipti. İddiaya göre sisteme T.C. kimlik numarası girilerek kişilerin kimlik ve nüfus bilgilerine ulaşılabiliyordu. Sistemin arka planında ise daha geniş kişisel veri kümeleri bulunuyordu. Veri tabanlarında 18 yaşından küçük kişilere ait kayıtların da bulunması soruşturmanın kapsamının genişletilmesine neden oldu. Burada kritik nokta şudur: Bir veri tabanının büyüklüğü tek başına güvenlik problemi değildir. Asıl güvenlik problemi, o veri tabanına kimlerin, hangi yetkiyle, hangi amaçla ve hangi kayıt mekanizması üzerinden erişebildiğidir.
2. “NVİ” İBARESİ NEDEN DİKKAT ÇEKTİ?
Soruşturmada teknik olarak dikkat çekici başka bir unsur daha ortaya çıktı. Sunucularda kişisel bilgilerin tutulduğu sistem kayıtlarında “NVİ” ibaresinin sistematik biçimde kullanıldığı bildirildi. Bu kullanımın, verilerin Nüfus ve Vatandaşlık İşleri kaynaklı olduğu izlenimi yaratabileceği değerlendirildi. Ancak teknik incelemede verilerin doğrudan NVİ sistemlerinden elde edildiğinin tespit edilmediği bildirildi. Bunun yerine, geçmişte çeşitli kaynaklardan internete sızmış veri setlerinin kullanıldığı belirtildi. Bu ayrıntı çok önemli. Çünkü burada iki ayrı güvenlik problemi vardır: Birinci problem: Devlet sisteminden doğrudan veri çalınması. İkinci problem: Daha önce herhangi bir nedenle internete sızmış verilerin yeniden birleştirilerek kullanılabilir, aranabilir ve ticari veya istihbari bir veri tabanına dönüştürülmesi. İkinci yöntem, modern siber istihbarat açısından son derece önemlidir. Çünkü saldırganın devlet sistemine doğrudan girmesine gerek kalmayabilir. Elindeki parçalı verileri birleştirmesi yeterli olabilir.
3. SENDİKA ÜYELİĞİ NEDEN SIRADAN BİR VERİ DEĞİL?
Burada KVKK açısından çok kritik bir nokta bulunuyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu'na göre sendika üyeliği özel nitelikli kişisel veridir. Kişisel Verileri Koruma Kurumu da sendika üyeliğinin özel nitelikli kişisel veri kapsamında bulunduğunu açıkça belirtiyor. Kurumun güncel rehberinde de bir kişinin sendika üyeliğine ilişkin bilginin işlenmesinin KVKK'nın 6'ncı maddesi kapsamında özel nitelikli veri işleme faaliyeti olduğu belirtiliyor. Bunun nedeni oldukça açık: Bir kişinin hangi sendikaya üye olduğu; siyasi eğilimleri, çalışma hayatındaki tercihleri, ideolojik veya mesleki yönelimi, örgütlenme biçimi, kamu kurumundaki sosyal çevresi hakkında hassas çıkarımlar yapılmasına imkân verebilir. Üstelik sendika üyeliği ile kişinin adı, T.C. kimlik numarası, görev yeri, mesleği ve diğer nüfus bilgileri bir araya getirildiğinde ortaya çok daha güçlü bir profil çıkar. İşte siber güvenlik açısından asıl tehlike burada başlıyor.
4. VERİLER BİRLEŞTİRİLDİĞİNDE NE OLUR?
Tek başına T.C. kimlik numarası bir bilgi olabilir. Tek başına kişinin sendika üyeliği başka bir bilgi olabilir. Tek başına görev yaptığı kurum başka bir bilgi olabilir. Ancak bunların tamamı bir araya getirildiğinde ortaya bir personel profili çıkar. Örneğin varsayımsal olarak:
Adı: X
T.C. kimlik no: XXXXX
Görevi: Kamu personeli
Kurum: Savunma alanında faaliyet gösteren kurum
Sendika: X Sendikası
Aile bilgisi: X
Telefon: X
Adres: X
Bu artık basit bir veri değildir. Bu, bir istihbarat analisti açısından hedef profilidir. Üstelik aynı sistem içerisinde binlerce veya milyonlarca kişi bulunuyorsa tek tek kişilerin değil, kurumsal yapının haritası çıkarılabilir.
5. TÜRKİYE AÇISINDAN ASIL RİSK: SİBER CASUSLUK
“Siber casusluk” kelimesi bu olay açısından dikkatli kullanılmalıdır. Şu aşamada mahkeme kararı olmadan belirli kişilerin casusluk yaptığı kesinleşmiş bir gerçek olarak sunulamaz. Ancak böyle bir veri altyapısının kötü niyetli bir devlet, istihbarat servisi, suç örgütü veya başka bir aktörün eline geçmesi halinde siber istihbarat amacıyla kullanılabilecek nitelikte bir kapasite oluşturabileceği açıktır. Çünkü modern istihbarat yalnızca gizli belgeleri ele geçirmekten ibaret değildir. Bazen daha değerli olan şey: “Kim kimdir?” sorusunun cevabıdır.
6. PERSONEL HARİTASI ÇIKARILABİLİR
Türkiye'nin kamu kurumlarında çalışan milyonlarca personel bulunuyor. Bu kişilerin: kimlik bilgileri, görev yerleri, meslekleri, sendika üyelikleri, aile ilişkileri, iletişim bilgileri, adres bilgileri aynı veya ilişkilendirilebilir veri kümelerinde bulunuyorsa, bunlar kullanılarak kurumların personel yapısı analiz edilebilir. Bu özellikle: güvenlik birimleri, savunma sanayii, askeri personel, kritik altyapı çalışanları, kamu yöneticileri, teknik uzmanlar açısından daha yüksek risk oluşturabilir.
7. TSK VE SAVUNMA SANAYİ AÇISINDAN NEDEN ÖNEMLİ?
Burada özellikle bir düzeltme yapmak gerekiyor. Bazı haberlerde TSK Güçlendirme Vakfı ile TSK Eğitim Vakfı birbirine karıştırılabiliyor.
Mevcut kamuya açık haberlerde Aydo Yazılım ile ilgili olarak geçen ifade TSK Eğitim Vakfı Yurt Otomasyonu şeklindedir. Bu bilgi, TSK Güçlendirme Vakfı'nın kendi iştiraklerine ilişkin resmî sayfasından farklı bir yapıyı ifade etmektedir. TSK Güçlendirme Vakfı'nın resmî sitesinde ise vakfın ASELSAN, TUSAŞ, ROKETSAN, HAVELSAN gibi savunma sanayii kuruluşlarında ortaklığı bulunduğu belirtilmektedir. Dolayısıyla şu aşamada: “TSK Güçlendirme Vakfı üyesi bütün personelin bilgileri ele geçirildi” şeklinde kesin bir cümle kurmak doğru değildir. Fakat savunma alanında çalışan kişilere ait bilgilerin böyle bir sistemde bulunması ihtimali doğrulanırsa, risk seviyesi ciddi biçimde yükselir. Çünkü savunma sanayiinde çalışan bir personelin kimliği yalnızca kişisel veri değildir. O kişi aynı zamanda: kurumsal erişim noktasıdır
8. SİBER SALDIRGAN İÇİN EN DEĞERLİ ŞEY BAZEN ŞİFRE DEĞİLDİR
Bir saldırganın elinde bir personelin: adı, görev yeri, telefon numarası, e-posta adresi, aile bilgisi, sendika üyeliği, kurum bilgisi bulunuyorsa, bu kişi hedefli sosyal mühendislik saldırısına açık hale gelebilir. Örneğin saldırgan gerçek bilgiler kullanarak kişiye güven veren bir iletişim kurabilir. Bu yöntemlerde amaç doğrudan bilgisayara saldırmak olmayabilir. Amaç: insana saldırmaktır. Bir telefon görüşmesi, sahte e-posta, sahte mesaj veya sosyal medya hesabı üzerinden gerçekleştirilen manipülasyon, kişiyi daha sonra başka bir güvenlik açığına sürükleyebilir. Dolayısıyla büyük veri sızıntılarının uzun vadeli etkisi, verinin kendisinden daha büyük olabilir.
9. “FİŞLEME” RİSKİ
Buradaki en hassas konu ise sendika üyeliğinin kişilerin kimlik bilgileriyle ilişkilendirilmesidir. Bir insanın hangi sendikaya üye olduğu, kanunen korunan özel nitelikli bir veridir. Bu nedenle hukuka aykırı şekilde elde edilen veya amaç dışı kullanılan sendika üyeliği bilgileri: personel fişlemesi için kullanılabilecek bir altyapı oluşturabilir. Burada “fişleme” kelimesi yalnızca geçmişteki klasik anlamıyla düşünülmemelidir. 21.yüzyılın fişleme yöntemi bir Excel dosyası olmak zorunda değildir. Bir algoritma; “Bu kişi hangi sendikaya üye?” sorusunu sorabilir. Ardından:“Hangi kurumda çalışıyor?” “Hangi şehirde görev yapıyor?” “Kaç yaşında?” “Ailesi nerede?” “Kimlerle bağlantılı?” gibi soruları aynı veri tabanından cevaplayabilir. Bu nedenle büyük veri sistemleri, geleneksel fişlemenin otomatikleştirilmiş ve ölçeklenebilir biçimine dönüşebilir.
10. KVKK AÇISINDAN SORUN NEREDE?
KVKK'nın 4'üncü maddesi kişisel verilerin; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü, gerekli süre kadar işlenmesini öngörüyor. Dolayısıyla bir kişinin sendika üyeliğinin, o kişinin sendika üyeliği işlemi dışında ve hukuki dayanağı bulunmadan sorgulanması veya depolanması, somut olayın şartlarına göre ciddi KVKK sorunları doğurabilir. Dahası, sendika üyeliği özel nitelikli kişisel veri olduğu için koruma standardı daha yüksektir. Burada önemli olan yalnızca verinin çalınıp çalınmadığı değildir. Şu sorular da sorulmalıdır: Veri neden toplandı? Kim topladı? Hangi hukuki dayanakla toplandı? Kim erişebildi? Ne kadar süre saklandı? Kimlerle paylaşıldı? Sistem erişim kayıtları tutuldu mu? Verinin amacı dışında kullanılmasını engelleyen teknik kontroller var mıydı?
11. OPERASYON NEYİ ENGELLEMİŞ OLABİLİR?
Burada “engelledi” yerine daha dikkatli bir ifade kullanmak gerekiyor. Çünkü operasyonun gelecekte gerçekleşebilecek hangi saldırıları kesin olarak önlediğine ilişkin bütün teknik sonuçlar henüz kamuoyuna açıklanmış değil. Ancak operasyonla birlikte: yetkisiz sorgulama altyapısının çalışmasının durdurulması, dijital materyallerin ele geçirilmesi ve veri akışının araştırılması açısından önemli bir müdahale gerçekleştirildiği bildiriliyor.
Eğer soruşturma kapsamında anlatılan sistemin kapsamı doğrulanırsa, böyle bir operasyon potansiyel olarak: kişisel veri havuzunun daha fazla büyütülmesini, yeni kişilerin sisteme eklenmesini, yetkisiz sorgulamaların sürdürülmesini, veri kümelerinin başka aktörlere aktarılmasını, personel profillerinin oluşturulmasını, verilerin sosyal mühendislik saldırılarında kullanılmasını engellemiş veya sınırlandırmış olabilir. Ancak bunların hangisinin gerçekten gerçekleştiğini söylemek için soruşturmanın teknik sonuçlarının açıklanması gerekir.
12. “İKİ MİLYON KAMU PERSONELİ” İDDİASI
Bazı haberlerde ve sosyal medya aktarımlarında sistemin yaklaşık 2 milyon kamu görevlisinin verilerine erişmeye çalıştığı ve bunun içinde yaklaşık 500 bin öğretmenin bulunduğu iddiası yer aldı. Ancak bu rakamların soruşturmanın kesinleşmiş adli bulgusu olarak kabul edilmesi için savcılık veya mahkeme tarafından doğrulanması gerekir. Bu nedenle bu rakamları: “2 milyon kişinin verisi ele geçirildi” şeklinde yazmak gazetecilik açısından doğru olmaz. Doğru ifade: “2 milyon kamu görevlisinin verilerine erişim sağlandığı veya sağlanmaya çalışıldığı yönünde iddialar bulunuyor; soruşturmanın kapsamı bu iddiaların doğruluğunu belirleyecek.” şeklindedir. Bu ayrım son derece önemlidir.
13. ASIL TEHLİKE VERİNİN BÜYÜKLÜĞÜ DEĞİL, BİRLEŞTİRİLEBİLİRLİĞİ
Siber güvenlik uzmanlarının üzerinde durduğu en önemli konulardan biri artık budur. Bir veri tabanında yalnızca isimlerin bulunması başka bir şeydir. Aynı kişinin: adı + T.C. kimlik numarası + telefon + adres + meslek + kurum + sendika + aile bilgisi şeklinde eşleştirilmesi ise tamamen farklı bir güvenlik problemidir. Bu nedenle modern siber casuslukta “veri madenciliği” büyük önem taşır. Saldırganın tek tek kişileri takip etmesine gerek kalmaz. Algoritma bunu yapabilir.
14. DEVLET İÇİN ÇIKARILMASI GEREKEN DERS
Bu operasyonun Türkiye açısından en önemli sonucu yalnızca bir şirketin soruşturulması olmamalıdır. Asıl soru: Türkiye'de kamu personeline ilişkin hassas veriler kaç farklı özel yazılım şirketinde tutuluyor? olmalıdır. Çünkü bir kamu kurumu hizmet satın aldığında veri güvenliği yalnızca kurumun kendi sunucularıyla sınırlı kalmaz. Verinin bulunduğu: yazılım şirketi, bulut hizmeti, bakım firması, danışman, taşeron, teknik destek personeli de güvenlik zincirinin parçasıdır. Zincirin en zayıf halkası bütün sistemi etkileyebilir.
15. BUNDAN SONRA NE YAPILMALI?
Türkiye açısından beş başlık özellikle önem taşıyor:
1. Hassas personel verileri için bağımsız güvenlik denetimi: Sendika, kamu personeli ve kritik altyapı verilerini işleyen bütün üçüncü taraf yazılımlar düzenli olarak denetlenmeli.
2. “Kim, neye erişti?” sistemi: Her sorgunun kullanıcı, zaman, IP, amaç ve yetki bilgisiyle kayıt altına alınması gerekir.
3. T.C. kimlik numarası tek başına anahtar olmamalı: Tek faktörlü sorgulama yerine çok katmanlı yetkilendirme kullanılmalı.
4. Özel nitelikli veriler ayrı güvenlik katmanında tutulmalı: Sendika üyeliği gibi veriler, sıradan iletişim veya üyelik bilgilerinden daha yüksek güvenlik seviyesinde korunmalı.
5. Tedarikçi firmalar da güvenlik soruşturmasının parçası olmalı: Bir kurumun veri güvenliği, yalnızca devlet kurumunun kendi personeliyle sınırlı değildir.
Yazılımı geliştiren şirket de sistemin güvenlik zincirinin bir parçasıdır.
SON SÖZ: YENİ ÇAĞIN FİŞLEME DEFTERİ BİLGİSAYARDIR
Türkiye'nin önündeki mesele yalnızca bir yazılım şirketinin ne yaptığı değildir. Daha büyük soru şudur: Devletin, kamu çalışanlarının ve vatandaşların kişisel verileri hangi şirketlerin sistemlerinde tutuluyor ve bu verilere kimler erişebiliyor? Çünkü geçmişte bir insan hakkında bilgi toplamak için dosyalar, fişler ve fiziksel arşivler gerekiyordu. Bugün ise bir bilgisayar programı saniyeler içinde binlerce kişinin profilini çıkarabilir. Bir kişinin sendika üyeliği, görev yeri ve kimlik bilgileri tek başına küçük bilgiler gibi görünebilir. Ama milyonlarca kayıt bir araya geldiğinde ortaya bir toplumun sosyal, mesleki ve kurumsal haritası çıkabilir. İşte siber güvenliğin asıl sınırı burada başlıyor. Bir veri tabanı yalnızca veri tabanı değildir. Doğru ellerde kamu hizmetidir. Yanlış ellerde ise istihbarat aracıdır. Bu nedenle Aydo Yazılım operasyonunun Türkiye açısından en önemli sonucu, beş kişinin gözaltına alınması değil; kamuoyunun şu soruyu sormaya başlamasıdır: “Vatandaşın kim olduğunu bilen sistemler, vatandaşın kim olduğunu bilmemesi gereken kişilere karşı gerçekten ne kadar güvenli?” Bu sorunun cevabı yalnızca KVKK açısından değil, Türkiye'nin milli güvenliği, kamu personel güvenliği ve gelecekteki siber casusluk tehdidi açısından da belirleyici olacaktır.
Bu metinde özellikle “TSK Güçlendirme Vakfı personeli” iddiasını kesin gerçek gibi yazmadım; mevcut kaynaklarda doğrulayabildiğim ifade TSK Eğitim Vakfı Yurt Otomasyonu. Ayrıca “2 milyon kamu görevlisinin verisi ele geçirildi” iddiasını da kesinleşmiş bulgu olarak değil, basına yansıyan iddia olarak belirttim.
