İnternette karşımıza çıkan “Ben robot değilim” doğrulamaları artık kullanıcıların üzerinde fazla düşünmeden tamamladığı rutin işlemlerden biri hâline geldi. Ancak siber saldırganlar da tam olarak bu alışkanlıktan yararlanmaya başladı.

“ClickFix” olarak adlandırılan sosyal mühendislik yönteminde saldırganlar; CAPTCHA, güvenlik doğrulaması veya teknik hata ekranına benzeyen sahte sayfalar aracılığıyla kullanıcıyı kendi cihazında zararlı bir komut çalıştırmaya yönlendirebiliyor.

İlk bakışta teknik bir siber güvenlik meselesi gibi görünen bu yöntem, saldırıya uğrayan cihazın bir şirket çalışanına ait olması hâlinde çok daha önemli bir hukuki soruyu gündeme getiriyor:

Çalışanın kandırılması sonucunda şirket sistemlerindeki kişisel verilere erişilirse sorumluluk kime ait olacaktır?

Tehlike Kutucuğa Tıklamaktan İbaret Değil

Öncelikle önemli bir yanlış anlamayı ortadan kaldırmak gerekiyor.

Her “Ben robot değilim” kutucuğuna tıklamak tehlikeli değildir. ClickFix yöntemini tehlikeli hâle getiren, kullanıcının gerçek bir doğrulama işlemi yaptığını düşünürken tarayıcının dışına çıkarılması ve bilgisayarında bir komut çalıştırmaya yönlendirilmesidir.

Saldırgan tarafından hazırlanan komut kullanıcının panosuna kopyalanabilmekte; ardından kullanıcıdan Windows “Çalıştır” ekranını, Terminal veya PowerShell'i açması, komutu yapıştırması ve çalıştırması istenebilmektedir.

Böylece kullanıcı, farkında olmadan saldırı zincirinin bir parçası hâline gelmektedir.

Üstelik saldırı artık yalnızca Windows sistemleriyle sınırlı değildir. ClickFix yönteminin farklı işletim sistemlerini hedef alan kampanyalarda da kullanıldığı güvenlik araştırmalarında ortaya konulmaktadır.

Bir Çalışanın Hatası Şirketin Sorumluluğunu Ortadan Kaldırır mı?

Kanaatimce konunun hukuken en dikkat çekici noktası burada ortaya çıkmaktadır.

Bir şirket çalışanının bu tür bir sosyal mühendislik saldırısına kanarak zararlı komutu çalıştırdığını ve saldırganların bu yolla şirket tarafından işlenen kişisel verilere eriştiğini düşünelim.

Şirket, “Saldırı çalışanın hatası nedeniyle gerçekleşti” diyerek sorumluluktan kurtulabilir mi?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi bu sorunun değerlendirilmesinde temel düzenlemedir.

Kanuna göre veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek, ayrıca kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almak zorundadır.

Dolayısıyla bir veri güvenliği olayının çalışan davranışı üzerinden gerçekleşmiş olması, veri sorumlusunun bu yükümlülüğünü kendiliğinden ortadan kaldırmaz.

Ancak bunun tersi de doğrudur: Bir çalışanın saldırıya kanmış olması, şirketin her durumda ve otomatik olarak KVKK'ya aykırı davrandığı anlamına gelmez.

Belirleyici olan, somut olayın koşullarında veri sorumlusunun gerekli teknik ve idari tedbirleri alıp almadığıdır.

Kurulun 2024 Tarihli Kararı Önemli Bir Örnek

Bu noktada Kişisel Verileri Koruma Kurulunun 10.09.2024 tarihli ve 2024/1523 sayılı kararı dikkat çekicidir.

Karara konu olayda, bir çalışana phishing içerikli bir e-posta gönderilmiş; çalışanın e-postadaki bağlantıya tıklaması sonucunda bilgisayarı yetkisiz üçüncü kişilerin kontrolüne geçmiştir.

Kurul değerlendirmesini yalnızca “çalışan yanlış bağlantıya tıkladı” tespitiyle sınırlı tutmamıştır. Çalışanların eğitimi ve farkındalığı, parola güvenliği, e-posta güvenliği, sistemlerdeki teknik zafiyetler ve diğer güvenlik önlemleri birlikte değerlendirilmiştir.

Karar, günümüzde sosyal mühendislik saldırıları bakımından önemli bir noktaya işaret etmektedir: İnsan hatası, veri güvenliği sisteminin dışında kalan bir unsur değildir.

Şirketlerin çalışanların hata yapabileceğini öngören bir güvenlik sistemi oluşturması gerekir.

Çalışanın Tıklaması Her Zaman “Kişisel Veri İhlali” midir?

Hayır. Bu ayrım özellikle önemlidir.

Bir çalışanın sahte CAPTCHA ekranına tıklaması veya zararlı bir komutu çalıştırması tek başına mutlaka KVKK anlamında kişisel veri ihlalinin gerçekleştiğini göstermez.

Öncelikle saldırganın hangi sistemlere eriştiğinin, kişisel verilere erişimin veya verilerin elde edilmesinin gerçekleşip gerçekleşmediğinin ve hangi verilerin etkilendiğinin teknik olarak araştırılması gerekir.

Ancak işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin belirlenmesi hâlinde KVKK'nın 12. maddesinin beşinci fıkrasında düzenlenen bildirim yükümlülüğü gündeme gelir.

Kanun bu bildirimin “en kısa sürede” yapılmasını öngörmektedir. Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararıyla “en kısa sürede” ifadesi, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak yorumlanmıştır.

Dolayısıyla şirket açısından olay sonrasında yapılması gereken yalnızca zararlı yazılımı temizlemek değildir. Hangi sistemlere erişildiğinin, kişisel verilerin etkilenip etkilenmediğinin, hangi veri kategorilerinin risk altında bulunduğunun, kaç kişinin etkilendiğinin ve ihlalin muhtemel sonuçlarının hızla ortaya çıkarılması gerekir.

Ceza Hukuku Boyutu da Gözden Kaçırılmamalı

ClickFix benzeri saldırıların sonuçları KVKK ile sınırlı değildir.

Saldırganın bilişim sistemine hukuka aykırı şekilde erişmesi hâlinde Türk Ceza Kanunu'nun 243. maddesinde düzenlenen bilişim sistemine girme suçu; sistemin işleyişine veya verilere müdahale edilmesi durumunda TCK'nın 244. maddesi gündeme gelebilir.

Kişisel verilerin hukuka aykırı olarak ele geçirilmesi veya başkasına verilmesi durumunda ise olayın özelliklerine göre TCK'nın 136. maddesi kapsamında ayrıca değerlendirme yapılması gerekebilir.

Saldırının yöntemi, amacı ve ortaya çıkan sonuçlara göre başka suç tiplerinin oluşup oluşmadığı da somut olay özelinde incelenmelidir.

Siber Güvenlik Artık Yalnızca Bilgi İşlem Biriminin Sorunu Değil

ClickFix örneğinin ortaya koyduğu asıl gerçek kanaatimce budur.

Şirketler uzun yıllar boyunca siber güvenliği ağırlıklı olarak antivirüs programları, güvenlik duvarları ve bilgi işlem departmanlarının sorumluluğu üzerinden ele aldı.

Oysa günümüzde saldırganların hedefinde yalnızca sistemlerin teknik açıkları değil, insan davranışları da bulunmaktadır.

Bu nedenle veri güvenliğinde çalışan eğitimi, erişim yetkilerinin sınırlandırılması, güçlü kimlik doğrulama yöntemleri, sistemlerin izlenmesi, olay müdahale planlarının oluşturulması ve düzenli güvenlik kontrolleri birbirinden bağımsız düşünülemez.

Bir çalışanın birkaç saniye içerisinde gerçekleştirdiği işlem, teknik bir güvenlik olayından kişisel veri ihlaline; oradan idari ve hatta cezai süreçlere kadar uzanan sonuçlar doğurabilir.

Bu nedenle şirketler açısından doğru yaklaşım, “çalışanlarımız hata yapmaz” varsayımı üzerine bir güvenlik sistemi kurmak değildir.

Asıl mesele, insan hatasının kaçınılmaz olabileceğini kabul ederek, tek bir hatanın şirket çapında bir veri ihlaline dönüşmesini engelleyecek teknik ve idari sistemi önceden kurmaktır.