Siber suç iddianamesi: 20 milyon kişilik veri ihlali

İstanbul Başsavcılığı, kamu kurumları ve özel şirketlerin veri tabanlarına izinsiz erişip geniş ölçekli kişisel veri hırsızlığı yaptığı öne sürülen bir siber suç örgütüne yönelik soruşturmayı tamamladı. Hazırlanan iddianameye göre olay, yaklaşık 20 milyon kişiye ait kişisel verinin ele geçirilmesini kapsıyor. Dosya, kritik kamu sistemlerinin hedef alınmasının kurumsal risk, ulusal güvenlik ve finansal suç boyutlarını aynı çerçevede birleştirdiğini ortaya koyuyor.

İddianamede, örgütün MERNİS ve Halk Sağlığı Yönetim Sistemi dahil kritik altyapılara sızdığı bilgisi yer aldı. Bu tür sistemlerdeki veriler kimlik doğrulama, hizmet erişimi, kayıt bütünlüğü ve dolandırıcılık önleme süreçlerinde kullanıldığı için ihlalin etkisi yalnızca bir kurumla sınırlı kalmıyor. Kurumlar arası veri akışının yoğun olduğu yapılarda, tek bir zafiyet farklı hizmet kanallarına risk taşıyabiliyor.

Saldırı yöntemi ve operasyonel model

İstanbul Başsavcılığı

İddianame, örgütün saldırılarını sunucu açıklarını tarayıp tespit ederek başlattığını ve süreçte kendi geliştirdiği özel yazılımlar ile fidye yazılımı bileşenlerinden yararlandığını belirtiyor. Bu yaklaşım, hem veri sızdırma hem de sistemleri baskı altına alma amaçlarının birlikte yürütüldüğünü gösteriyor. Kamu ve özel sektör hedeflerinin aynı kampanya içinde yer alması, tehdit aktörünün “fırsat odaklı” bir modelle hareket ettiğine işaret ediyor. Dosyada, çalınan verilerin suç örgütlerine satıldığı tespiti bulunuyor. Kişisel veriler, kimlik sahteciliği, hesap ele geçirme, sosyal mühendislik ve hedefli oltalama gibi ikinci aşama suçlar için ham madde niteliği taşıyor. Bu nedenle soruşturma, veri ihlalinin zaman içinde farklı dolandırıcılık türlerine dönüşme ihtimalini artıran bir risk tablosu çiziyor.

Finansal sistem bağlantısı ve aklama iddiası

İddianameye göre örgüt, elde ettiği yasa dışı gelirleri “kullanılmayan atıl banka hesapları” üzerinden aklamaya çalıştı. Bu unsur, siber saldırı zincirinin yalnızca teknik erişimle sınırlı kalmadığını, finansal hareketlerle tamamlandığını gösteriyor. Bankacılık tarafında, hesap hareketlerinin izlenmesi, şüpheli işlem bildirim süreçleri ve “hesap kiralama” benzeri yöntemlere karşı kontrollerin önemi bu tür dosyalarda öne çıkıyor. Dosyada anlatılan yapı Dosyada anlatılan yapı, veri hırsızlığı ile suç gelirinin finansal kanallara aktarılması arasında kurulan entegrasyonun altını çiziyor. Kurumsal tarafta bu, sadece güvenlik yazılımı yatırımı değil; erişim yönetimi, varlık envanteri, zafiyet yönetimi, loglama/izleme ve olay müdahale kapasitesinin birlikte ele alınmasını gerektiriyor. İddianamenin kapsamı, kişisel verilerin korunması yükümlülükleriyle birlikte itibar, hizmet sürekliliği ve hukuki sorumluluk başlıklarında da riskin büyüdüğünü gösteriyor.

Kurumsal risk ve yönetişim boyutu

İddianamede yer alan tespitler, kamu kurumlarının dijital güvenlik altyapısındaki zafiyetlerin ve kişisel veri güvenliği yönetişiminin kritik önemini yeniden gündeme taşıdı. Kritik sistemlerde yetki matrisi, ayrıcalıklı hesap yönetimi ve düzenli sızma testi gibi kontrollerin aksaması, saldırganın ilk girişinden veri çıkışına kadar olan süreyi kısaltabiliyor. Ayrıca veri minimizasyonu, maskeleme/şifreleme ve erişim kayıtlarının bütünlüğü, ihlal etkisini sınırlayan temel unsurlar arasında yer alıyor.

Ülke Etkisi: Bu dosya, kamu dijital altyapılarında zafiyet yönetimi ve kişisel verilerin korunması denetimlerinin kapsamını gündeme taşıyabilir. Soruşturma bulguları, ulusal güvenlik açısından kritik veri kümelerine erişim riskinin kurumlar arası etkiler yaratabileceğini gösteriyor.

Sektör Etkisi: Kamuya hizmet veren teknoloji tedarikçileri ve kritik sektörlerdeki şirketler, kimlik ve erişim yönetimi ile zafiyet tarama süreçlerini yeniden değerlendirmek zorunda kalabilir. Bankacılık tarafında “atıl hesap” kullanımı iddiası, müşteri hesap davranışı analitiği ve şüpheli işlem izleme kontrollerinin önemini artırabilir.

Piyasa Etkisi: Veri ihlali ve aklama iddiası, siber risk primini ve sigorta/uyum maliyetlerini etkileyen bir kanal oluşturabilir. Düzenleyici denetimlerin artması, teknoloji ve güvenlik harcamalarını bilanço kalemleri üzerinden görünür hale getirerek bazı sektörlerde maliyet yapısını değiştirebilir.