Milli İstihbarat Teşkilatı (MİT) koordinesinde, Siber Güvenlik Başkanlığı (SGB) ve Jandarma Genel Komutanlığı (JGK) ile yürütülen ortak çalışma kapsamında Ankara merkezli Aydo Yazılım şirketine operasyon düzenlendi. Sendikalara yazılım hizmeti sağlayan şirketin geliştirdiği bazı yazılımlara, sendika üyesi olmayan kişilerin bilgilerine erişim sağlayan özel bir sorgu arayüzü eklendiği tespit edildi.
Operasyon kapsamında şirket sahibi ile çalışanlarının da aralarında bulunduğu 5 şüpheli gözaltına alındı. Şüphelilerin ev ve iş yerlerinde yapılan aramalarda çok sayıda bilgisayar, cep telefonu ve çeşitli dijital materyale el konuldu.
Soruşturmanın, şirket tarafından geliştirilen sendika yazılımlarında yer aldığı belirlenen sorgu sistemi ve bu sistem üzerinden erişilebilen kişisel verilere ilişkin yürütüldüğü bildirildi.
SENDİKA YAZILIMLARINA ÖZEL SORGU ARAYÜZÜ EKLENDİ
MİT'in istihbari çalışmaları kapsamında yapılan incelemelerde, Aydo Yazılım tarafından geliştirilen bazı sendika yazılımlarına özel bir sorgu arayüzü eklendiği tespit edildi.
Söz konusu arayüzün, sendika üyesi olmayan üçüncü kişilere ait bilgilere erişim sağlanmasına imkan verdiği belirlendi.
İncelemelerde ayrıca geçmiş dönemlerde çeşitli kaynaklardan internet ortamına sızdırılan veri setlerinin de bu sistem üzerinden sorgulanabildiği ortaya çıkarıldı.
Sistem üzerinden T.C. kimlik numarasıyla yapılan sorgulamalarda kişilere ait kimlik ve nüfus bilgilerine ulaşılabildiği, sistemin arka planındaki veri tabanlarında ise daha geniş kapsamlı kişisel verilerin bulunduğunun belirlendiği aktarıldı.
VERİ HAVUZUNDA 18 YAŞINDAN KÜÇÜK KİŞİLERE AİT KAYITLAR BULUNDU
Sorgu sisteminin sendikalara yeni üye eklenmesi sırasında üyelik bilgilerinin tamamlanması amacıyla kullanıldığı tespit edildi.
Yapılan incelemelerde, sistemin veri tabanlarında 18 yaşından küçük kişilere ait kayıtların da bulunduğu ortaya çıkarıldı.
Bu bulgunun ardından geniş kapsamlı veri havuzunun hangi amaçlarla oluşturulduğu ve ne şekilde kullanıldığına ilişkin incelemelerin derinleştirildiği belirtildi.
SİSTEMDE "NVİ" İBARESİ KULLANILDI
Sunucular üzerinde yapılan teknik incelemelerde, kişisel bilgilerin tutulduğu sistem kayıtlarında "NVİ" ibaresinin sistematik şekilde kullanıldığı tespit edildi.
Bu kullanımın, söz konusu verilerin Nüfus ve Vatandaşlık İşleri kaynaklı olduğu izlenimini oluşturduğu belirlendi.
Ancak soruşturma kapsamında elde edilen teknik bulguların incelenmesi sonucunda, söz konusu verilerin doğrudan Nüfus ve Vatandaşlık İşleri sistemlerinden temin edilmediğinin ortaya çıkarıldığı bildirildi.
AYNI ŞİRKET KVKK DANIŞMANLIĞI DA VERİYORDU
Soruşturma kapsamında şirketin yalnızca sendikalara yönelik yazılım hizmetleri sunmadığı da belirlendi.
Aydo Yazılım'ın "Clock&Wise" adı altında kurum ve kuruluşlara Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında danışmanlık hizmeti verdiği tespit edildi.
Şirketin bir yandan kişisel verilerin korunmasına yönelik danışmanlık hizmeti sunduğu, diğer yandan sendika yazılımlarında kişisel bilgilerin sorgulanmasına imkan sağlayan bir sistem kullandığının ortaya çıkarıldığı aktarıldı.
SORUŞTURMANIN KAPSAMI DİJİTAL İNCELEMELERLE NETLEŞECEK
Söz konusu sorgu sisteminin hangi sendikalar tarafından ve ne ölçüde kullanıldığına ilişkin incelemelerin devam ettiği bildirildi.
Sistemde yer alan verilerin hangi amaçlarla işlendiğinin de soruşturma kapsamında araştırıldığı belirtildi.
Operasyon sırasında el konulan bilgisayar, cep telefonu ve diğer dijital materyaller üzerinde yapılacak incelemelerden elde edilecek yeni bulgular doğrultusunda soruşturmanın kapsamının genişletilebileceği ifade edildi.
