Sendika yazılımlarından veri sorgulatan Aydo Yazılım'a MİT operasyonunda 5 gözaltı

Milli İstihbarat Teşkilatı (MİT) koordinesinde, Siber Güvenlik Başkanlığı (SGB) ile Jandarma Genel Komutanlığı'nın (JGK) ortak çalışması sonucunda, sendikalara yazılım hizmeti sağlayan Ankara merkezli "Aydo Yazılım" adlı şirkete operasyon düzenlendi. Siber casuslara yönelik operasyonda, şirket sahibi ile çalışanlarından oluşan 5 şüpheli gözaltına alındı. Ankara'daki ev ve iş yerlerinde yapılan aramalarda çok sayıda bilgisayar, cep telefonu ve dijital materyale el konuldu.

Üye olmayanların bilgileri de sorgulanabiliyordu

MİT'in istihbari çalışmaları sonucunda, Aydo Yazılım'ın geliştirdiği bazı sendika yazılımlarına, sendika üyesi olmayan üçüncü kişilere ait bilgilere erişilmesine imkân sağlayan özel bir sorgu arayüzü eklendiği tespit edildi. Geçmiş dönemlerde çeşitli kaynaklardan internet ortamına sızdırılan veri setlerinin de bu sistem üzerinden sorgulanabildiği belirlendi.

T.C. kimlik numarasıyla yapılan sorgulamalarda kişilere ait kimlik ve nüfus bilgilerine ulaşılabildiği, sistemin arka planındaki veri tabanlarında ise çok daha geniş kapsamlı kişisel verilerin bulunduğu saptandı. Sorgu sisteminin sendikalara üye eklenmesi sırasında üyelik bilgilerinin tamamlanmasında kullanıldığı belirlenirken, veri tabanlarında 18 yaşından küçük kişilere ait kayıtların da bulunduğu ortaya çıkarıldı. Bunun üzerine geniş kapsamlı veri havuzunun hangi amaçlarla kullanıldığına yönelik incelemeler derinleştirildi.

Veriler doğrudan NVİ sistemlerinden alınmamış

Sunucularda yapılan incelemelerde, kişisel bilgilerin tutulduğu sistem kayıtlarında "NVİ" ibaresinin sistematik biçimde kullanıldığı tespit edildi. Söz konusu kullanımın verilerin Nüfus ve Vatandaşlık İşleri kaynaklı olduğu izlenimini oluşturduğu belirlendi; ancak elde edilen teknik bulgular sonucu verilerin doğrudan Nüfus ve Vatandaşlık İşleri sistemlerinden temin edilmediği ortaya çıkarıldı.

Bir yandan KVKK danışmanlığı veriyordu

Soruşturma kapsamında Aydo Yazılım'ın, "Clock&Wise" adı altında kurum ve kuruluşlara Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında danışmanlık hizmeti de verdiği belirlendi. Şirketin, bir taraftan kişisel verilerin korunmasına yönelik danışmanlık hizmeti verirken diğer taraftan sendika yazılımlarında kişisel bilgilerin sorgulanmasına imkân sağladığı ortaya çıkarıldı.

Sistemi hangi sendikaların ne ölçüde kullandığı ve elde edilen verilerin hangi amaçlarla işlendiğine yönelik incelemeler sürüyor. Dijital materyallerden elde edilecek yeni bulgular doğrultusunda soruşturmanın genişletilebileceği öngörülüyor.