Milli İstihbarat Teşkilatı (MİT), siber casusluk faaliyetlerine yönelik yürütülen çalışma kapsamında Ankara merkezli bir yazılım şirketine operasyon düzenledi. MİT koordinesinde Siber Güvenlik Başkanlığı (SGB) ve Jandarma Genel Komutanlığı’nın (JGK) ortak çalışmasıyla, sendikalara yazılım hizmeti verdiği belirtilen “Aydo Yazılım” adlı şirket mercek altına alındı.
Operasyon kapsamında şirket sahibi ve çalışanlarının da aralarında bulunduğu 5 şüpheli gözaltına alındı. Ankara’daki adreslerde gerçekleştirilen aramalarda çok sayıda bilgisayar, cep telefonu ve dijital materyale el konuldu.
İstihbari çalışmalar sonucunda, şirket tarafından geliştirilen bazı sendika yazılımlarına özel bir sorgulama arayüzü eklendiği belirlendi. Söz konusu arayüz üzerinden, sendika üyesi olmayan kişilere ait bilgilere de erişim sağlanabildiği tespit edildi.
İncelemelerde, geçmiş yıllarda çeşitli kaynaklardan internete sızdırılan veri setlerinin sistem üzerinden sorgulanabildiği ortaya çıktı. T.C. kimlik numarasıyla yapılan sorgulamalar sonucunda kişilerin kimlik ve nüfus bilgilerine ulaşılabildiği, sistemin veri tabanlarında ise daha kapsamlı kişisel verilerin bulunduğu belirlendi.
Sorgu sisteminin, sendikalara üye eklenmesi sırasında üyelik bilgilerinin tamamlanmasında kullanıldığı belirlenirken, veri tabanlarında 18 yaşından küçük kişilere ait kayıtların da bulunduğu ortaya çıkarıldı. Bu durum üzerine, geniş kapsamlı veri havuzunun hangi amaçlarla kullanıldığına yönelik incelemeler derinleştirildi.
SİSTEM KAYITLARINDA “NVİ” İBARESİ DİKKAT ÇEKTİ
Sunucular üzerinde gerçekleştirilen incelemelerde, kişisel bilgilerin tutulduğu sistem kayıtlarında “NVİ” ibaresinin sistematik biçimde kullanıldığı tespit edildi. Bu kullanımın, verilerin Nüfus ve Vatandaşlık İşleri kaynaklı olduğu izlenimi oluşturduğu belirlendi. Ancak elde edilen teknik bulgular sonucu söz konusu verilerin doğrudan Nüfus ve Vatandaşlık İşleri sistemlerinden temin edilmediği ortaya çıkarıldı.
Yapılan soruşturma kapsamında, Aydo Yazılım’ın “Clock&Wise” adı altında kurum ve kuruluşlara Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında danışmanlık hizmeti de verdiği belirlendi.
Şirketin, bir taraftan kişisel verilerin korunmasına yönelik danışmanlık hizmeti verirken diğer taraftan sendika yazılımlarında kişisel bilgilerin sorgulanmasına imkan sağladığı ortaya çıkarılmış oldu. Söz konusu sistemin hangi sendikalar tarafından ne ölçüde kullanıldığı ve elde edilen verilerin hangi amaçlarla işlendiğine yönelik incelemeler sürüyor.
