MİT’in siber operasyon yaptığı şirketin dosyasında önemli kuruluşlar var

Aydo Yazılım operasyonu, sendika yazılımlarında kişisel veri sorgulama iddiasıyla Ankara’da 5 gözaltıyla sürüyor.

Milli İstihbarat Teşkilatı koordinasyonunda yürütüldüğü bildirilen çalışmaya Siber Güvenlik Başkanlığı ve Jandarma Genel Komutanlığı da katıldı. Şirket sahibi ile çalışanlarının da aralarında bulunduğu 5 kişi, Ankara merkezli operasyonda gözaltına alındı.

Sendika yazılımında gizli sorgu iddiası

Aktarılan bilgilere göre inceleme, Aydo Yazılım tarafından geliştirilen bazı sendika uygulamalarına eklenen özel bir sorgu arayüzüne odaklandı. Bu arayüzün, sendika üyesi olmayan kişilere ait bilgilere erişim sağladığı iddia edildi.

Sistemde, geçmiş dönemlerde farklı kaynaklardan internete sızdırıldığı belirtilen veri setlerinin T.C. kimlik numarasıyla sorgulanabildiği kaydedildi. Bu sorgularda kimlik ve nüfus bilgilerinin görüntülenebildiği, arka plandaki veri tabanlarında daha geniş kişisel veri kayıtlarının yer aldığı öne sürüldü.

Yetkililere dayandırılan bilgilere göre sorgu altyapısı, sendikalara yeni üye eklenirken eksik üyelik bilgilerinin tamamlanması için kullanıldı. Veri tabanlarında 18 yaşından küçük kişilere ait kayıtların da bulunduğu bildirildi.

Referans listesi incelemeye girdi

Operasyonun şirket bağlantılarına uzanan kısmında, Aydo Yazılım’ın internet sitesinde yer aldığı aktarılan referans listesi de inceleme konusu oldu. Listede sendika, vakıf, meslek kuruluşu ve özel şirket adlarının bulunduğu belirtildi.

Aktarılan referanslar arasında Diyanet-Sen, Türk Harb-İş Sen, TSK Eğitim Vakfı, Eğitim-Sen, Eğitim-Bir-Sen, Enerji-Bir-Sen ve Büro Memur-Sen gibi kuruluşlar sayıldı. Bu isimlerin listede geçmesi, ilgili kuruluşların soruşturmaya konu sisteme eriştiği ya da sistemi aynı biçimde kullandığı anlamına gelmiyor.

Aydo Yazılım’ın Kişisel Verilerin Korunması danışmanlığı verdiği belirtilen kuruluşlar arasında Diyanet-Sen, TÜRMOB, Adese Gayrimenkul Yatırım Şirketi, DoubleTree by Hilton ve Biolab Laboratuvarlar Grubu yer aldı. Şirketin Clock&Wise markası için aktarılan referanslar arasında ise TÜRMOB, Diyanet-Sen, Ziraat Sigorta, ETSTUR, Maxx Royal otelleri, İttifak Holding, Adese ve Selva Gıda sayıldı.

Soruşturmanın bu bölümü, referans ilişkilerinin niteliğini ve kapsamını belirlemeyi hedefliyor. İnceleme sonucunda, yazılım hizmeti, danışmanlık, teknik destek ya da başka tür bir ticari ilişkinin bulunup bulunmadığı netleşecek.

Dijital materyaller belirleyici olacak

Ev ve iş yerlerinde yapılan aramalarda bilgisayarlar, cep telefonları ve dijital materyallere el konulduğu bildirildi. Bu materyallerden elde edilecek bulguların, sistemin kimler tarafından ve hangi işlemler için kullanıldığını göstermesi bekleniyor.

Dosyadaki ana belirsizlik, sorgu arayüzünün kaç sendika tarafından görüldüğü, kullanıldığı ya da talep edildiği noktasında toplanıyor. Bir diğer açık konu, veri tabanlarında bulunduğu belirtilen kayıtların kaynağı, güncelliği ve işlenme biçimi.

Türkiye’de kişisel verilerin işlenmesi, Kişisel Verilerin Korunması Kanunu kapsamında açık rıza, meşru amaç ve veri güvenliği yükümlülükleriyle sınırlandırılıyor. İddiaların doğrulanması halinde soruşturma, yalnızca yazılım sağlayıcısını değil, veriye erişen veya veriyi işleyen kurumları da kapsayabilir.

Eğer dijital inceleme sorguların sınırlı teknik testlerden ibaret olduğunu gösterirse dosyanın odağı Aydo Yazılım’ın iç süreçlerinde kalabilir. Eğer kayıtlar düzenli kullanım ve dış erişim izleri ortaya koyarsa, soruşturmanın sendikalar, danışmanlık ilişkileri ve veri işleme zinciri boyunca genişlemesi gündeme gelebilir.

Siber güvenlik açısından dosya, sızdırılmış veri setlerinin kurumsal yazılımlara entegre edilmesi riskini yeniden öne çıkarıyor. Sendikalar ve hizmet aldıkları teknoloji sağlayıcıları için bundan sonraki aşama, üyelik yazılımlarında veri kaynağı, erişim yetkisi ve kayıt tutma kontrollerinin incelenmesi olacak.