• Yani Yemeksepeti’nin sistemi o kadar zayıftı ki, hırsızlar 18 Mart’ta sisteme sızmış, tam bir hafta sistemin içinde kimseye yakalanmadan gezmiş, kilitli tüm kapıları açarak kullanıcıların tüm bilgilerini almış, 25 Mart’ta işleri bittiğinde çıkıp gitmişlerdi. Muhtemelen giderken kapıyı biraz sert çarptıkları için sistem alarm vermiş, Yemeksepeti yetkilileri uyanmış ve içeride ne var yok çalındığını o gün anlamıştı.
Yemeksepeti, 21 milyon kullanıcısının tüm verilerini çaldırdığı için suçlu bulunsa bile, 6698 numaralı Kişisel Verilerin Korunması Kanunu’nun onuncu maddesi olan “öngörülen aydınlatma yükümlülüğünü yerine getirmemek”ten 196 bin TL, aynı kanunun on ikinci maddesindeki “veri güvenliğine ilişkin yükümlülükleri yerine getirmemek” suçundan ise 1 milyon 966 bin TL para cezasına çarptırılabilecek. Ayrıca BTK da şirkete güvenlik tedbirlerini uygulamadığı için 1 milyon liraya kadar ceza kesebilecek.
Yemek sepeti 22 milyon, Facebook 500 milyon, Linkedin 500 milyon, Clubhouse 1,3 milyon hesabın ‘çalındığını’ açıkladı. Aslında ortada bir hırsızlık yok. Yani hesapların bir yere gittiği yok. Tüm hesaplar olduğu yerde duruyor ve tıkır tıkır işliyor. Çalınan ‘tek şey’, size dair mahrem olan ve korunması gereken ‘her şey’. Telefon numaranız, adresiniz, kimlik bilgileriniz, internet şifreleriniz, kimlerle nerede ne zaman görüştüğünüz, kredi kartı bilgileriniz, siyasi-sosyal eğilimleriniz… Yani etiniz ve kemiğiniz hariç size dair ne varsa… Çalınan her hesap, aslında sizi bir başkasının dijital kölesi haline getiriyor ve üzerinizden çok büyük paralar kazanılmasına neden oluyor. Bu dijital köle ticaretinin cezası ise, gülünemeyecek kadar trajik ama ciddiye alınamayacak kadar komik.
Yemek sepeti 22 milyon, Facebook 500 milyon, Linkedin 500 milyon, Clubhouse 1,3 milyon hesabın ‘çalındığını’ açıkladı.
Yemeksepeti.com internet sitesinin 27 Mart’ta yaptığı bir açıklama, Türkiye’de gündemi değiştirmedi. Hatta merkez medyada, büyük haber kanallarında, yüksek tirajlı gazetelerde haber bile olmadı. Normalde olması gerekirdi. En azından reklam bütçesiyle basının sansürlenemediği bir ülkede olabilirdi. Çünkü açıklamada özetle şöyle deniliyordu: “İki gün önce sistemimize siber saldırı olduğunu fark ettik. Ama korkacak bir şey yok. Kredi kartı bilgilerinizin güvende olduğunu tahmin ediyoruz. Sadece kimlik bilgilerinizi, telefon numaranızı, mail bilgilerinizi ve adresinizi çaldılar. Bir de süper güvenlik algoritmalarıyla sakladığımız şifrelerinizi çaldılar. O kadar. Sorun yok, her şey kontrol altında. Zaten dünyada hiçbir sistem siber saldırılara karşı güvenli değildir. Hatta devletler bile hackerlar tarafından saldırıya uğruyor.”
Bu açıklama, şirket tarafından kullanıcılara yapılan açıklamaydı ve sadece ‘her şeyinizi çaldılar’ demekle yetiniyordu. Ve sık sık ‘Bizim bir suçumuz yok, herkesin başına geliyor. Büyütülecek bir durum değil’ noktalarına vurgu yapılıyordu.
Aynı şirket, devlete yani Kişisel Verileri Koruma Kurumu’na mecburen yaptığı açıklamada ise, durumun vahametini itiraf etmek zorunda kalmıştı. KVKK’ya yapılan açıklamada kısaca şöyle deniliyordu: “25 Mart’ta sistemimiz alarm verdi. Yaptığımız kontrolde 18 Mart’ta sunucularımıza sızıldığını, 21,5 milyondan fazla kullanıcının tüm bilgilerinin çalındığını fark ettik.”
Tüm kullanıcılar etkilenmiş
Yani Yemeksepeti’nin sistemi o kadar zayıftı ki, hırsızlar 18 Mart’ta sisteme sızmış, tam bir hafta sistemin içinde kimseye yakalanmadan gezmiş, kilitli tüm kapıları açarak kullanıcıların tüm bilgilerini almış, 25 Mart’ta işleri bittiğinde çıkıp gitmişlerdi. Muhtemelen giderken kapıyı biraz sert çarptıkları için sistem alarm vermiş, Yemeksepeti yetkilileri uyanmış ve içeride ne var ne yok çalındığını o gün anlamıştı.
Muhtemelen giderken kapıyı biraz sert çarptıkları için sistem alarm vermiş, Yemeksepeti yetkilileri uyanmış ve içeride ne var ne yok çalındığını o gün anlamıştı.
Yemeksepeti, vatandaşa yaptığı açıklamada, kaç kullanıcının bu hırsızlıktan zarar gördüğünü açıklamıyor. Ama KVKK’ya verdiği bilgiye göre tüm bilgileri çalınan kullanıcı sayısı 21 milyon 504 bin 83. Bu sayının bu kadar net ve küsuratlı olmasının nedeni ise, kısaca ‘sistemdeki tüm kullanıcılar’ diyememelerinden kaynaklanıyor. Şirketin açıklamasına göre 2020 yılı sonunda üye sayısı 19 milyondu. Ve Mart ayı ortasına kadar gelen 2,5 milyon yeni üye dâhil herkesin (Yemeksepeti.com üyeliği olan herkesin) tüm gizli bilgileri hırsızlar tarafından çalınmıştı.
Alarmın sesini 1 hafta duymamışlar
Yemeksepeti’nin açıklamasına göre sistemi kullanan herkesin yani 21 milyondan fazla kişinin tüm bilgileri çalınmıştı. KVKK da yaptığı açıklamada verilerin çalındığını doğruluyor, ama bu konuda Yemeksepeti’nin kendisine söylediği şeylerden fazlasını bilmediğini itiraf ediyordu. Yemeksepeti’nden KVKK’ya yapılan açıklamada ise bir nokta dikkat çekiyor. Şirket, sistemin 18 Mart’ta hacklendiğini 25 Mart günü fark ettiklerini ve bu 1 hafta süresince hiçbir şey yapmadıklarını belirtiyordu. Oysa KVKK’ya yapılan açıklamada, sistemin 18 Mart’ta saldırganlara karşı alarm verdiği de belirtiliyordu. KVKK’ya yapılan bildirimde bu durum şöyle açıklanıyordu:
Yemeksepeti’nin açıklamasına göre sistemi kullanan herkesin yani 21 milyondan fazla kişinin tüm bilgileri çalınmıştı. KVKK da yaptığı açıklamada verilerin çalındığını doğruluyor
“Normal şartlarda yetkisiz bir erişim olduğunda uyarı veren araç üzerinde sorun kaydı oluştuğu ancak bir aksaklık nedeniyle yetkisiz erişimin o an fark edilemediği…”. Yani sistem 18 Mart’ta Yemeksepeti’ni siber saldırıya karşı uyarmış ama şirket bunu ‘o an’ değil 1 hafta sonra fark etmişti.
Veriler gerçekten çalındı mı?
Bu sorunun cevabını net olarak vermek mümkün değil. Yemeksepeti’nin yaptığı açıklama tatmin edici değil ve çelişkilerle dolu. Şirket verilerin çalındığını iddia ediyor fakat 1 hafta boyunca soruna neden ve nasıl müdahale edemediğini açıklayamıyor. Neden sorunu anladıktan 2 gün sonra kullanıcılarını uyardığının açıklamasını da yapamıyor. Ve KVKK’nın aldığı karara rağmen, hesap bilgilerinin çalındığı konusunda müşterilere yapması gereken uyarı yazısı da sitenin görünür hiçbir yerinde yer almıyor. Yemeksepeti, bu çalıntı olayı hiç olmamış gibi davranıyor.
Aynı şekilde şirketin Alman sahipleri de bu konuda tam bir sessizlik içinde. 2015 yılında Alman Delivery Hero şirketine satılmış ve tüm kullanıcı bilgileriyle birlikte şirket sırları da Almanlara teslim edilmişti. Delivery Hero da bilgilerin çalınmasıyla ilgili bir açıklama yapmadı ve bu konuda tam bir sessizliğe büründü.
Sessizliğin nedeni komik cezalar mı?
Yemeksepeti ve Delivery Hero şirketinin Türkiye tarihinin en büyük siber hırsızlıklarından biri karşısında sessizliğe bürünmesinin, hatta hiç olmamış gibi davranmasının arkasında, bu konudaki cezaların yetersizliği yatıyor. Yani 21 milyondan fazla vatandaşın tüm özel bilgilerinin çaldırılmasının (ya da satılmasının) yaptırımı yok denecek kadar az.
Geride bıraktığımız bir aylık süreçte ‘veri hırsızlığı’ skandalı Yemeksepeti ile sınırlı değildi. Facebook, geçtiğimiz ayın başında 533 milyon kullanıcısının hesap bilgilerinin çalındığını açıkladı.
Yemeksepeti, 21 milyon kullanıcısının tüm verilerini çaldırdığı için suçlu bulunsa bile, 6698 numaralı Kişisel Verilerin Korunması Kanunu’nun onuncu maddesi olan “öngörülen aydınlatma yükümlülüğünü yerine getirmemek”ten 196 bin TL, aynı kanunun on ikinci maddesindeki “veri güvenliğine ilişkin yükümlülükleri yerine getirmemek” suçundan ise 1 milyon 966 bin TL para cezasına çarptırılabilecek. Ayrıca BTK da şirkete güvenlik tedbirlerini uygulamadığı için 1 milyon liraya kadar ceza kesebilecek. Tüm bu bahsettiğimiz meblağlar, cezaların üst sınırını teşkil ediyor. Yani KVKK ve BTK başka bir suç isnadından bulunmazsa, ya da Yemeksepeti hakkında ceza davası açılmazsa, 21 milyon kullanıcının hesabını çaldırmak şirkete sadece ve en fazla 3 milyon liraya mâl olacak.
19 milyon Türk’ün Facebook hesabı çalındı
Geride bıraktığımız bir aylık süreçte ‘veri hırsızlığı’ skandalı Yemeksepeti ile sınırlı değildi. Facebook, geçtiğimiz ayın başında 533 milyon kullanıcısının hesap bilgilerinin çalındığını açıkladı. Daha doğrusu açıklama Facebook’tan değil, çalınan hesapları yayınlayan internet sitesinden geldi.
Yapılan incelemelerde, bu 533 milyon hesabın yaklaşık 19 milyonunun Türk kullanıcılara ait olduğu tespit edildi. KVKK, Facebook hakkında derhal inceleme başlattı. Facebook daha önce de Türkiye’deki kullanıcıların kişisel bilgilerini üçüncü kişilere satmaktan soruşturma geçirmiş ve 2019’da şirkete bu nedenle 1,6 milyon lira ceza kesilmişti.
Benzer bir soruşturmayı ABD’de geçiren Facebook, 2014 yılında 50 milyon ABD’linin kişisel bilgilerini Cambridge Analytica isimli İngiltere merkezli bir siyasal araştırma şirketine satmaktan suçlu bulunmuştu. Facebook, 2019 yılında biten soruşturma sonucunda 5 milyar dolar cezaya çarptırılmıştı.
Çaldıracaksan büyük çaldır
2021’in hesap çaldırma modasına, daha çok profesyonellerin kullandığı LinkedIn de katıldı. Şirket, Nisan ayında 500 milyon kullanıcısına ait özel bilgilerin bilgisayar korsanları tarafından çalındığını açıkladı. Korsanlar, özel bilgilerin ellerinde olduğunu kanıtlamak için 2 milyon kişinin bilgilerini yayınladı. Ama bu numune bilgileri görmek için de 2 dolar vermek gerekiyor. Geri kalan bilgiler ise, açık artırma ile satılacak.
Apple kullanıcılarının sosyal medyası olan ve yeni bir tartışma platformu olarak piyasaya çıkan Clubhouse ise, popüler olmanın yükünü kaldıramadı. Sosyal medya şirketi, 1,3 milyon kullanıcısına ait kişisel bilgilerin hackerlar tarafından çalındığını açıkladı.
Kişisel veri piyasası el yakıyor
Yemeksepeti’nden kişisel veriler çalındığında, şirket hesabına çalıştığı iddia edilen troller sosyal medyadan şirketi savunmak için paylaşımlar yapmış, “köftemi soğanlı mı soğansız mı yediğimi öğrenseler ne olacak” gibi komikliklerle skandalın üstü kapatılmaya çalışılmıştı. İşin aslı ise çok farklı. Bu tür şirketlerden çalınan veriler, ‘Dark Web’ olarak da bilinen alternatif internet dünyasında çok değerli. Dark Web, 2000’li yılların başına doğru Türkiye’de de gündeme gelen, özel bir browser ile girilebilen Deep Web’in bugünkü hali. Bitcoin’in de çıkış yeri olan ve tüm ticaretin kripto paralarla yapıldığı bu alternatif internet dünyasında her bir kişisel bilginin fiyatı farklı. Ve pek çoğu da el yakıyor.
Gmail bilgileriniz en pahalısı
Klonlanmış kredi kartı bilgileri 25 dolardan başlarken, 5000 dolar ve üstü limiti olan bir kredi kartının bilgileri 240 dolara kadar çıkabiliyor. Paypal, TransferGo, Western Union gibi online ödeme hesaplarının bilgileri ise 14 dolar ile 1000 dolar arasında değişiyor. Doğrulanmış bir kripto para hesabı ise 800 dolara kadar alıcı buluyor. Türkiye’de de çok kullanılan Binance ve Coinbase hesaplarının kişisel bilgileri, 600 dolardan satılıyor.
İlginizi çekebilir7 soruda siber saldırılar
Hacklenmiş bir twitter hesabı 35 dolardan, instagram 45 dolardan, facabook hesabı ise 65 dolardan satılıyor. Pek çok kimlik hesabından bile değerli olan gmail hesabı ise 80 dolardan başlıyor ve 150 dolara kadar çıkıyor. Gmail hesabının bu kadar değerli olmasının nedeni ise, aynı şifreyle girilen Google hesabının bir özel bilgi hazinesi gibi görülmesi ve insanların çoğunun gmail şifrelerini diğer pek çok hesaplarında da değiştirmeden kullanması.
Netflix bilgileriniz Netflix’ten pahalı
Standart kimlik bilgileri ülkeden ülkeye değişmekle birlikte, 2 dolarla 20 dolar arasında alıcı bulabiliyor. Orijinal ABD kimliği eyaletine göre 200 dolara, Avrupa pasaportu 4000 dolara satılıyor. Yemeksepeti kadar detaylı bilgiler içermeyen Netflix hesapları bile özelliğine göre 4 dolarla 44 dolar arasında değişen fiyatlara alıcı buluyor. Yani oradaki kişisel bilgilerinizin, Netflix’e ödediğiniz ücretten bile daha yüksek bir piyasası bulunuyor.
Zarar gören kişi şikayetçi olabilir
Türkiye tarihinin en büyük veri hırsızlıklarından biri olan ‘Yemeksepeti hırsızlığı’nı değerlendiren Avukat Şebnem Taşan Kurt, konunun sadece KVKK ve BTK’nın ilgi alanında olmadığını, özel hayatın gizliliğinin Anayasa’nın 20. Maddesinde düzenlendiğini hatırlatıyor. Bu maddenin Yemeksepeti’ni ilgilendiren kısmında “Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar” deniliyor.
Yemeksepeti, verilerinizin çalınıp çalınmadığını başvurmanız hâlinde size bildireceğini vaat ediyor. Ama çalındığını öğrenseniz bile yapılacak çok bir şey yok.
Yemeksepeti, verilerinizin çalınıp çalınmadığını başvurmanız hâlinde size bildireceğini vaat ediyor. Ama çalındığını öğrenseniz bile yapılacak çok bir şey yok. Çünkü Kurt’a göre “kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde, zararın giderilmesini talep etme haklarına sahibiz.” Yani önce bu durumdan zarara uğramanız, daha sonra bu zararın Yemeksepeti’nden kaynaklandığını ispat etmeniz gerekiyor. Şirketleri umursamaz kılan da bu olsa gerek.
TÜRKİYE
HAYAT
YEMEK SEPETİ
SİBER SALDIRI
GMAİL
FACEBOOK
TWİTTER
GÜVENLİK
SUÇ
Haber Merkezi
+ GZT Haber Merkezi'nden çıkan tüm içeriklerde olduğu gibi burada da 'GZT bakış açısı' hakim... Son dakika ise en hızlı, merak edilen ise en anlaşılır, dolu dolu bir konu ise en doyurucu şekilde takipçilerimize sunuyoruz. Yine de soru işareti kaldı ise iletisim@gzt.com'a mail atmanız, sosyal medya hesaplarımızdan bize mesaj göndermeniz yeterli.
Bize Ulaşın
Bir proje fikrim var
Sizinle çalışmak istiyorum
Basın sponsoru arıyorum
Bir şeyler söylemek istiyorum
Sosyal Medya
Bip Kanalı
Instagram
Twitter
Facebook
YouTube
Hakkımızda
Medya Kiti
Gizlilik Politikası
Kişisel Verilerin Korunması
Mobil Uygulamalar
Sosyal Medya
Kullanım Koşulları
Çerez Politikası
Künye
Site Haritası
Muhabbetle
İstanbul'da yapıldı.Tüm hakları saklıdır, Net Medya 2020GZT.com altında yayınlanan köşe yazıları ve haberlerin tüm hakları Albayrak Medya A.Ş.’ye aittir. Kaynak gösterilse veya habere aktif link verilse dahi köşe yazıları ve haberlerin tamamı ya da bir bölümü kesinlikle kullanılamaz.
YASAL UYARI: BIST isim ve logosu "Koruma Marka Belgesi" altında korunmakta olup izinsiz kullanılamaz, iktibas edilemez, değiştirilemez. BIST ismi altında açıklanan tüm bilgilerin telif hakları tamamen BIST'e ait olup, tekrar yayınlanamaz. Piyasa verileri DirectFN Finansal Veri ve Teknoloji Hizmetleri Ltd. Şti. tarafından sağlanmaktadır. BİST hisse verileri 15 dakika gecikmelidir.
ÇEREZ POLİTİKASI
6698 sayılı Kişisel Verilerin Korunması Kanunundaki amaçlar ile sınırlı ve mevzuata uygun şekilde çerezler kullanılmaktadır. Detaylı bilgi için çerez politikamızı inceleyebilirsiniz.