MİT operasyonu sonrası milyonlarca memurun verisi gündemde: Sendika yazılımındaki sorgu sistemi araştırılıyor

Sendikalara yazılım hizmeti veren Ankara merkezli Aydo Yazılım’a yönelik MİT koordinasyonunda düzenlenen operasyon, kamu çalışanlarının kişisel verilerinin güvenliğiyle ilgili yeni bir tartışmayı gündeme getirdi.

MİT, Siber Güvenlik Başkanlığı ve Jandarma Genel Komutanlığı’nın ortak çalışmasıyla gerçekleştirilen operasyonda, şirket sahibi ve çalışanlarının da aralarında bulunduğu 5 şüpheli gözaltına alındı. Ankara’daki ev ve iş yerlerinde yapılan aramalarda çok sayıda bilgisayar, cep telefonu ve dijital materyale el konuldu.

Soruşturmanın merkezinde ise bazı sendika yazılımlarına eklendiği belirtilen özel bir sorgu arayüzü bulunuyor.

Sendika üyesi olmayan kişilerin bilgilerine erişim iddiası

Güvenlik birimlerinin tespitlerine göre Aydo Yazılım tarafından geliştirilen bazı sendika yazılımlarına, sendika üyesi olmayan kişilerin bilgilerine erişim sağlayan özel bir sorgu arayüzü eklendi.

İncelemelerde, geçmiş yıllarda farklı kaynaklardan internet ortamına sızdırılmış veri setlerinin de bu sistem üzerinden sorgulanabildiği belirlendi.

T.C. kimlik numarası üzerinden yapılan sorgulamalarda kişilere ait kimlik ve nüfus bilgilerine ulaşılabildiği, sistemin arka planındaki veri tabanlarında ise daha kapsamlı kişisel verilerin bulunduğu bildirildi. Veri tabanlarında 18 yaşından küçük kişilere ait kayıtların da bulunması soruşturmanın dikkat çeken başlıklarından biri oldu.

“NVİ” ibaresi bulundu ancak kritik ayrıntı ortaya çıktı

Sunuculardaki sistem kayıtlarında “NVİ” ibaresinin kullanıldığı da tespit edildi.

Ancak yapılan teknik incelemede, söz konusu verilerin doğrudan Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü sistemlerinden temin edilmediğinin belirlendiği aktarıldı. Bu nedenle mevcut bilgiler üzerinden “NVİ sisteminden veri çekildi” şeklinde kesin bir sonuç çıkarmak mümkün değil.

2 milyondan fazla kamu çalışanının verisi risk altında mı?

Operasyonun ardından en çok merak edilen konulardan biri, şirketin hizmet verdiği sendikalarda bulunan kişisel verilerin kapsamı oldu.

Aydo Yazılım’ın çok sayıda sendikaya yazılım hizmeti verdiği belirtilirken, şirketin kendi bilgileri ve sendikaların üye sayılarına ilişkin veriler üzerinden yapılan hesaplamalar, 2 milyondan fazla kamu görevlisinin bulunduğu geniş bir veri havuzunun söz konusu olabileceğine işaret ediyor.

Ancak burada önemli bir ayrım bulunuyor:

2 milyondan fazla kişinin verisinin şirket sistemlerinde bulunmuş olabileceği ile bu kişilerin tamamının verilerinin yasa dışı şekilde sorgulandığı veya başka kişilere aktarıldığı aynı şey değil.

Şu aşamada soruşturma makamlarının açıkladığı bilgiler, yasa dışı sorgu arayüzünün bulunduğunu ve kişisel verilere erişim imkânı sağladığını ortaya koyuyor. Buna karşılık kaç kişinin verisinin sorgulandığı, hangi verilerin dışarı aktarıldığı ve bu verilerin kimler tarafından hangi amaçla kullanıldığı henüz soruşturmayla belirlenmiş değil.

Hangi sendikaların sistemi kullandığı araştırılıyor

Soruşturmanın önemli başlıklarından biri de Aydo Yazılım tarafından geliştirilen sistemlerin hangi sendikalar tarafından ve ne ölçüde kullanıldığının belirlenmesi.

Güvenlik birimleri, dijital materyaller üzerinde yapılacak incelemelerden elde edilecek yeni bulgular doğrultusunda soruşturmanın genişletilebileceğini bildiriyor. Dolayısıyla şu aşamada herhangi bir sendikanın söz konusu yasa dışı sorgu mekanizmasını kullandığı sonucuna varmak da doğru değil.

Şirketin KVKK danışmanlığı da dikkat çekti

Soruşturma kapsamında Aydo Yazılım’ın “Clock&Wise” adı altında kurum ve kuruluşlara Kişisel Verilerin Korunması Kanunu kapsamında danışmanlık hizmeti verdiğinin de belirlendiği aktarıldı.

Şirketin bir yandan KVKK danışmanlığı hizmeti verirken diğer yandan soruşturmanın merkezindeki kişisel veri sorgulama sistemiyle gündeme gelmesi, incelemenin dikkat çeken ayrıntılarından biri oldu.

Soruşturmanın sonucu bekleniyor

Aydo Yazılım operasyonunda gözaltına alınan 5 şüphelinin işlemleri sürerken, dijital materyaller üzerinde yapılacak incelemeler soruşturmanın kapsamının netleşmesinde belirleyici olacak.

Özellikle hangi kişilerin verilerine erişildiği, kaç sorgulama yapıldığı, verilerin dışarı aktarılıp aktarılmadığı ve sistemin hangi sendikalarda ne ölçüde kullanıldığı sorularının soruşturma sonucunda açıklığa kavuşması bekleniyor.

Bu nedenle mevcut aşamada “milyonlarca memurun verileri çalındı” demek yerine, milyonlarca kamu çalışanını ilgilendirebilecek büyüklükteki kişisel veri havuzunun soruşturma kapsamında incelendiğini söylemek daha doğru.

Kaynaklar:
https://www.memurlar.net/haber/1178233/mit-ten-memur-sendikalarina-yazilim-saglayan-aydo-yazilim-a-operasyon-5-gozalti.html
https://www.dha.com.tr/yerel-haberler/ankara/mit-koordinesinde-yazilim-sirketine-yasa-disi-v-2945441
https://www.birgun.net/haber/mitten-aydo-yazilima-operasyon-5-kisi-gozaltina-alindi-734986