Tedarik Zincirinde Truva Atı: Kurumsal Yazılımlar, Yasa Dışı Veri Sorguları ve Siber İstihbarat Tehdidi

Hukuki Hatırlatma ve Masumiyet Karinesi: Bu yazı, 16 Eylül 2026 tarihinde resmî haber ajansları (AA, İHA, DHA) ve basın organları tarafından kamuoyuna duyurulan güvenlik operasyonunu ve bu operasyona konu olan iddiaları teknik, sistemsel ve siber güvenlik boyutlarıyla inceleyen bağımsız bir vaka analizidir. Yürütülen adli soruşturma kapsamında Anayasa’nın 38. maddesi uyarınca kesinleşmiş bir yargı kararı bulunana kadar şüphelilerin masumiyet karinesine sahip olduğu esastır. Bu inceleme, şahısların nihai suçluluğunu tayin etmeyi değil; kamusal tedarik zinciri güvenliği ve istihbarat tehdit modelleri üzerine yapısal bir siber güvenlik perspektifi sunmayı amaçlamaktadır.

Giriş: Dijital Vatanın Görünmeyen Arka Kapıları

Türkiye’de kişisel verilerin korunması ve veri sızıntıları tartışması uzun yıllardır kamuoyunun gündemindedir. Ancak yakın zamana kadar bu mesele, çoğunlukla Discord veya Telegram sunucularında yasa dışı veri tabanı kopyalarını sorgulatan (“panelci” olarak adlandırılan) siber zorbaların amatör eylemleriyle özdeşleştirilirdi.

16 Eylül 2026 tarihinde Milli İstihbarat Teşkilatı (MİT) koordinesinde; yeni ihdas edilen Siber Güvenlik Başkanlığı ve Jandarma Genel Komutanlığı ortaklığıyla Ankara merkezli bir yazılım firmasına yönelik gerçekleştirilen operasyon, meselenin amatör bir suç olmanın çok ötesine geçerek kurumsal tedarik zincirlerini hedef alan sofistike bir siber güvenlik ve ulusal istihbarat krizine dönüştüğünü tescilledi.

Basına yansıyan bilgilere göre; sendikalara, vakıflara ve çeşitli kurumlara yönetim ve üye takip yazılımları sunan bir şirketin, geliştirdiği kurumsal yazılımların arka planına üye olmayan üçüncü kişilerin kişisel verilerine erişim sağlayan gizli bir sorgu arayüzü entegre ettiği belirlendi. Üstelik bu şirketin, kurumlara Kişisel Verilerin Korunması Kanunu (KVKK) danışmanlığı vermesi ve bizzat kamu otoritelerinden geçmişte yazılım ihaleleri almış olması, tablonun vahametini ve yapısal çelişkisini gözler önüne seriyor.

Peki bu teknik düzenek nasıl çalıştı? Operasyona neden doğrudan MİT müdahil oldu? Bu durum yabancı istihbarat servisleri açısından ne anlam ifade ediyor ve kamuda hangi zincirleme sonuçları doğuracak? Bir sistem mimarı ve veri güvenliği araştırmacısı gözüyle bu soruların yanıtlarını derinlemesine inceleyelim.

1. Teknik Anatomi: “Panelciliğin” Kurumsallaşması ve Truva Atı Mimarisi

Bir siber tehdit aktörünün hedef kurumlara sızmak için en çok tercih ettiği yöntemlerden biri Tedarik Zinciri Saldırısıdır (Supply Chain Attack). Güvenlik duvarları güçlü olan bir kamu kurumunu veya sivil toplum örgütünü doğrudan hacklemek zordur; ancak o kurumun her gün kullandığı, iç ağlarına erişebilen güvenilir bir üçüncü parti yazılım şirketinin kod tabanına müdahale etmek çok daha sessiz ve yıkıcıdır.

Soruşturma dosyasından kamuoyuna yansıyan teknik detaylar üç kritik mekanizmayı ortaya koymaktadır:

1. Gömülü Sorgu Arayüzü (Embedded Backdoor Interface): Yazılımı kullanan kurumların olağan iş akışı üye kayıtları, aidat takibi veya evrak yönetimidir. Ancak sistem mimarisine, yalnızca belirli yetkilerle veya gizli parametrelerle açılan ek bir sorgulama modülü yerleştirilmiştir.
2. “NVİ” Maskesi ile Güven İllüzyonu: Sistem kayıtlarında ve kullanıcı ekranında verilerin kaynağına “NVİ” (Nüfus ve Vatandaşlık İşleri) ibaresi eklenmiştir. Bu durum, arayüzü kullanan kişilere sorgulamanın devletin canlı ve resmî sistemlerinden anlık çekildiği algısını vermiştir. Oysa adli ve siber incelemeler, verilerin doğrudan resmî kurumlardan değil; geçmiş yıllarda internete sızdırılmış devasa veri setlerinin bir araya getirilip yerel bir veritabanına indekslenmesiyle sunulduğunu göstermiştir.
3. 18 Yaş Altı Veriler ve Kapsam Genişliği: Veritabanında reşit olmayan bireylerin nüfus ve aile bağlarının da yer alması, kullanılan veri setlerinin bireysel veya sektörel bir liste değil; genel nüfus kütüğüne dayalı geniş kapsamlı sızıntı harmanları olduğunu doğrulamaktadır.

2. Neden MİT? Sıradan Bilişim Suçundan “Siber Casusluk” Eksenine

Türkiye’de siber dolandırıcılık veya veri ticareti vakaları olağan şartlarda Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığı tarafından yürütülür. Bu operasyonda soruşturmanın Milli İstihbarat Teşkilatı koordinasyonunda başlatılması ve dosyanın “Siber Casusluk” başlığı altında incelenmesi, olayın adli bir hırsızlıktan öte stratejik bir güvenlik meselesi olduğunu açıkça ortaya koymaktadır.

Bir veri tabanının kurumsal bir yazılım arkasından sorgulanabilir kılınması, istihbarat terminolojisinde şu üç büyük tehdit modeline tekabül eder:

A. Yabancı İstihbarat Servisleri İçin İstihbari Profilleme (HUMINT & OSINT)

Modern istihbarat örgütleri (Mossad, CIA, FSB, BND veya bölgesel servisler), bir ülkedeki hedeflerine yönelik operasyon planlarken açık kaynak istihbaratı (OSINT) ve insan istihbaratını (HUMINT) birleştirir.

• Kritik Hedeflerin Tespiti: Savunma sanayiinde (ASELSAN, ROKETSAN, TUSAŞ) çalışan mühendisler, TSK personeli, istihbarat görevlileri, emniyet mensupları veya kritik yargı mensuplarının tespit edilmesi için nüfus kütükleri ve adres bilgileri ilk duraktır.
• Şantaj ve İkna Zafiyetleri: Bir bürokratın ya da uzmanın aile bağları, akrabalık ilişkileri, geçmiş ikametgahları veya çocuklarının bilgileri; yabancı bir servis için doğrudan bir devşirme, yaklaşma veya şantaj vektörüdür.
• Son yıllarda MİT’in yabancı servis hücrelerine ve özel dedektif şebekelerine yönelik operasyonlarında, sahadaki yerel elemanların bilgi toplamak için bu tip “kurumsal görünümlü gizli sorgu sistemlerini” kullandığı somut olarak belgelenmişti.

B. Kamu Hiyerarşisinin ve Kurumsal Ağların Haritalandırılması

Sendikalar, kamudaki milyonlarca memur ve işçinin ideolojik, mesleki ve hiyerarşik bağlarını barındırır. Bu yazılımların içerisindeki sorgu logları; hangi kamu çalışanının, hangi bakanlık mensubunun veya hangi şube yöneticisinin kimlerle temasta olduğunu, kimlerin profilini araştırdığını ortaya koyar. Bu logların yabancı bir aktörün eline geçmesi, devlet bürokrasisinin sinir uçlarının röntgeninin çekilmesi anlamına gelir.

3. Kamuda Tedarik Zinciri Zafiyeti ve KVKK Paradoksu

Bu operasyonun en sarsıcı tarafı, şüpheli şirketin kurumlara Kişisel Verilerin Korunması Kanunu (KVKK) uyum danışmanlığı vermesi ve bizzat kamu kurumlarından yazılım ihaleleri almış olmasıdır.

Bu durum, siber güvenlik literatüründe “Güven Modelinin İstismarı” (Abuse of Trust) olarak tanımlanır:

Risk Alanı	Geleneksel Yaklaşım	Tedarik Zinciri Gerçeği
Yazılım Denetimi	Yazılımın yalnızca vadettiği işlevi yerine getirip getirmediğine bakılır (Fonksiyonel Test).	Arka planda hangi gizli API’lerin, yetkisiz uç noktaların (endpoints) veya veri madenciliği kütüphanelerinin çalıştığı denetlenmez.
Güvenlik Akreditasyonu	Kağıt üzerindeki ISO 27001 veya KVKK sertifikaları yeterli kabul edilir.	Statik ve dinamik kaynak kod analizleri (SAST/DAST) yapılmadığı sürece sertifikalar arka kapıları tespit edemez.
Yetki Ayrımı	Veritabanı yöneticisi veya yazılım sağlayıcısı mutlak güvenilir varsayılır.	Sağlayıcının kendi koduna yerleştirdiği arka kapı, kurumun en katı güvenlik duvarlarını bile içeriden baypas eder.

Bir veri koruma otoritesinin veya bir kamu sendikasının bu tür yazılımları iç ağında çalıştırması; kurumun kendi personeline ve vatandaşlara vadettiği gizlilik taahhüdünün temelden sarsılmasına yol açar.

4. Bu Olay Nelere Sebep Olur? Olası Sonuçlar ve Domino Etkisi

MİT ve adli makamların başlattığı bu operasyon, önümüzdeki dönemde bilişim ve kamu yönetimi sektöründe köklü değişiklikleri tetikleyecektir:

1. Geriye Dönük Dijital Adli Bilişim (Forensic Log Hunt)

El konulan sunucular ve veri tabanı işlem logları (audit logs) titizlikle incelenecektir:

• Kim, kimi sorguladı? Sendika panellerine erişimi olan kişiler, sistem üzerinden üst düzey bürokratları, siyasetçileri, iş insanlarını veya kamu görevlilerini sorguladı mı?
• Bu sorgular bir şantaj ağına, yetkisiz dedektiflik bürolarına veya yabancı IP adreslerine servis edildi mi?
• Soruşturmanın dijital delil safhası derinleştikçe, usulsüz sorgulama yapan kamu veya sendika görevlilerine yönelik yeni adli süreçlerin açılması kaçınılmazdır.

2. Kamuda Yazılım Tedarik Standartlarının Sertleştirilmesi

Kamuda üçüncü parti yazılım alımlarında yeni bir dönem başlayacaktır. Artık kamu kurumları ve sendikalar:

• Zorunlu Kaynak Kod Denetimi (Code Audit): Satın alınan hiçbir yazılım, bağımsız güvenlik laboratuvarlarında tersine mühendislik ve statik/dinamik kod analizinden geçirilmeden devreye alınamayacaktır.
• Yazılım Malzeme Listesi (SBOM - Software Bill of Materials): Yazılımın içinde kullanılan her bir harici kütüphane, API ve veri tabanı bağlantısı şeffaf biçimde belgelenecektir.

3. Siber Güvenlik Başkanlığı’nın Merkezi Rolü

Türkiye’nin siber savunmasını tek elden koordine etmek üzere kurulan Siber Güvenlik Başkanlığı, bu operasyonla birlikte sahadaki operasyonel ağırlığını göstermiştir. Kamu kurumlarının dijital altyapılarının sadece dış saldırılara karşı değil, içeriden kaynaklanan (insider threat) ve tedarikçilerden gelen tehditlere karşı da MİT ve Siber Güvenlik Başkanlığı tarafından proaktif olarak taranacağı bir denetim rejimi yürürlüğe girecektir.

5. Çıkarılması Gereken Dersler ve Savunma Stratejisi

Bu vaka, hem kamu idarecileri hem de bağımsız sistem yöneticileri için çok somut dersler barındırmaktadır:

1. Sıfır Güven (Zero Trust) İlkesi: İster yerli bir yazılım firması olsun ister uluslararası bir dev; kurumun ağında çalışan hiçbir koda “ön koşulsuz güven” duyulamaz. Veri tabanı çıkışları, API istekleri ve ağ trafiği sürekli anomali taramasından geçirilmelidir.
2. Yazma Korumalı ve Kriptografik Günlükleme (WORM Storage): Yapılan her bir sorgunun kim tarafından, hangi IP’den ve hangi gerekçeyle yapıldığı; sonradan silinemeyen ve tahrif edilemeyen (Write Once, Read Many) blokzincir veya kriptografik günlükleme sistemleriyle kayıt altına alınmalıdır.
3. Veri Minimizasyonu: Bir sendika veya kurum yazılımının işini yapabilmesi için tüm Türkiye’nin nüfus kayıtlarına erişim ihtiyacı olamaz. Bir sistemin ihtiyaç duymadığı hiçbir veri setini barındırmasına veya dışarıdan sorgulamasına izin verilmemelidir.

Sonuç: Dijital Egemenlik Kod Seviyesinde Başlar

Kişisel veriler, bir ulusun vatandaşlarının mahremiyeti olduğu kadar, o devletin kurumsal güvenliğinin ve beka mimarisinin de temel taşıdır.

MİT ve güvenlik birimlerinin bu operasyonu; yasa dışı veri sorgulama ağlarının artık merdiven altı mecralardan çıkıp kurumsal yazılımların içine sızdığı bir çağda olduğumuzu çok net bir şekilde göstermiştir. Şüphelilerin hukuki durumu ve iddiaların doğruluğu bağımsız Türk yargısı önünde açıklığa kavuşacaktır; ancak bu olayın açığa çıkardığı sistemik tedarik zinciri zafiyeti, tüm siber savunma stratejilerimizin en baştan gözden geçirilmesini zorunlu kılmaktadır.

Gerçek dijital egemenlik; yalnızca sınırları değil, kurumlarımızın sunucularında koşan her bir kod satırını, her bir API çağrısını ve her bir veri tabanı sorgusunu tavizsiz bir teyit ve denetim süzgecinden geçirebildiğimiz gün tesis edilecektir.