Güvenlik kaynaklarından edinilen bilgilere göre, siber casusluk ve kişisel verilerin yasa dışı teminine yönelik yürütülen teknik takip çalışmaları neticesinde, kamu ve özel sektördeki sendikalara bilişim altyapısı sağlayan Ankara merkezli "Aydo Yazılım" firması tespit edildi. MİT koordinasyonunda harekete geçen siber güvenlik ve jandarma ekipleri, belirlenen adreslere eş zamanlı baskınlar düzenledi. Operasyonda şirket sahibi ile personellerinden oluşan 5 şüpheli yakalanırken, ev ve ofis aramalarında çok sayıda bilgisayar, cep telefonu ve dijital depolama aygıtına el konuldu.
Sendika yazılımlarına gizli sorgu arayüzü yerleştirilmiş
MİT’in istihbari ve teknik incelemeleri, şirketin geliştirdiği bazı sendika altyapı programlarına özel bir sorgu panelinin eklendiğini açığa çıkardı. Sendika üyesi olmayan milyonlarca üçüncü kişiye ait kişisel bilgilerin bu arayüz aracılığıyla filtrelenebildiği saptandı.
Yapılan detaylı adli bilişim incelemelerinde, geçmiş dönemlerde internet ortamına sızdırılmış gayriresmi veri tabanlarının bu arayüzle ilişkilendirildiği belirlendi. T.C. kimlik numarası girilerek kişilerin kimlik, aile ve nüfus kayıtlarına kolayca erişilebildiği, veri tabanının arka planında ise çok daha kapsamlı kişisel veri bloklarının arşivlendiği saptandı. Sistemin, sendikalara yeni üye kaydı açılırken eksik bilgilerin tamamlanmasında kullanıldığı ve sistem kayıtlarında 18 yaşından küçük bireylere ait bilgilerin de bulunduğu anlaşıldı.
"NVİ" ibaresiyle resmî kaynak algısı ve sahte KVKK kalkanı
Şirkete ait sunucu kayıtlarında yapılan incelemeler, kişisel verilerin tutulduğu bölümlerde sistematik olarak "NVİ" ibaresinin kullanıldığını ortaya koydu. Şüphelilerin bu yöntemle, verilerin Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü sistemlerinden anlık ve resmî olarak çekildiği algısını oluşturmaya çalıştıkları, ancak teknik doğrulamaların verilerin kamu sistemlerinden değil, dış sızıntı arşivlerinden temin edildiğini kesinleştirdiği belirtildi.
Soruşturmada dikkat çeken bir diğer ayrıntı ise şirketin kamufle yöntemi oldu. Aydo Yazılım’ın, "Clock&Wise" markası altında çeşitli kurum ve kuruluşlara Kişisel Verilerin Korunması Kanunu (KVKK) uyum ve danışmanlık hizmeti sunduğu belirlendi. Şirketin bir yandan kurumlara kişisel verilerin korunması yönünde rehberlik ederken, diğer yandan sendika yazılımları üzerinden yasa dışı veri sorgulama havuzunu işlettiği tespit edildi.
Yetkili birimler, yasa dışı sorgu sistemini kullanan sendikaların kapsamını ve toplanan verilerin olası başka amaçlarla servis edilip edilmediğini araştırıyor. El konulan dijital materyallerin incelemesi sürerken soruşturmanın yeni gözaltılarla genişleyebileceği kaydedildi.
