Çalışanın Bir Tıklaması Şirket Verilerini Tehlikeye Atabilir mi?

Sosyal Mühendislik: Sahte Doğrulama Ekranından Zararlı Komuta

İnternet kullanıcıları günlük hayatta "Ben robot değilim" doğrulamalarını düşünmeden tamamlamaya alışmış durumdadır. Siber saldırganlar ise bu alışkanlıktan yararlanarak "ClickFix" adlı sosyal mühendislik yöntemini geliştirmiştir. Bu yöntemde saldırganlar, CAPTCHA veya güvenlik doğrulaması ekranına benzeyen sahte sayfalar oluşturarak kullanıcıyı kendi cihazında zararlı komut çalıştırmaya yönlendirmektedir.

Tehlike yalnızca bir kutucuğa tıklamaktan ibaret değildir. Saldırganlar, tarayıcı dışına çıkarılan kullanıcıyı Windows "Çalıştır" ekranı, Terminal veya PowerShell'i açmaya ve hazırlanmış komutu yapıştırıp çalıştırmaya yönlendirebilmektedir. Böylelikle kullanıcı farkında olmaksızın saldırı zincirinin bir parçası haline gelmektedir. ClickFix yöntemi yalnızca Windows sistemleriyle sınırlı değil; farklı işletim sistemlerini hedef alan kampanyalarda da uygulanmaktadır.

Veri Sorumlusunun Yükümlülüğü Ortadan Kalkar mı?

Konunun hukuki açıdan en dikkat çekici yanı şu sorudan kaynaklanmaktadır: Çalışanın sosyal mühendislik saldırısına kanıp zararlı komut çalıştırması sonucunda şirket sistemlerindeki kişisel verilere erişilirse, sorumluluk kime aittir?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve yetkisiz erişilmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almak zorunda olduğunu hükme bağlamaktadır. Dolayısıyla bir veri güvenliği olayının çalışan davranışından kaynaklanması, veri sorumlusunun bu yükümlülüğünü ortadan kaldırmaz.

Bununla birlikte bir çalışanın saldırıya kanmış olması, şirketin otomatik olarak kanunu ihlal ettiği anlamına da gelmez. Belirleyici olan, somut olayda veri sorumlusunun gerekli teknik ve idari tedbirleri almış olup olmadığıdır.

Kurul Kararının Vurguladığı Sistem Yaklaşımı

Kişisel Verileri Koruma Kurulu'nun 2024 yılında verdiği bir karar, bu konuya ışık tutmaktadır. Phishing saldırısına uğrayan bir çalışanın durumunun değerlendirilmesinde Kurul, yalnızca "çalışan yanlış bağlantıya tıkladı" tespitiyle kalmamış; çalışan eğitimi, parola güvenliği, e-posta güvenliği, sistemlerdeki teknik açıklar ve diğer önlemler bütünsel olarak incelenmiştir. Karar, insan hatasının veri güvenlik sisteminin dışında kalan bir unsur değil, tam aksine öngörülmesi gereken bir risk faktörü olduğunu göstermektedir.

Veri İhlali Bildirimi ve Cezai Sonuçlar

Çalışanın tıklaması tek başına mutlaka veri ihlalini göstermez. Saldırganın hangi sistemlere eriştiği, kişisel verilerin elde edilip edilmediği ve hangi veriler etkilendiği teknik olarak araştırılmalıdır. Ancak yetkisiz erişim sonucu kişisel verilerin başkaları tarafından elde edilmesi durumunda, KVKK uyarınca ilgili taraflar en geç 72 saat içinde bildirilmelidir.

Cezai açıdan, saldırganın bilişim sistemine hukuka aykırı şekilde erişmesi Türk Ceza Kanunu'nun 243. maddesini, sistemin işleyişine müdahale etmesi 244. maddesini; kişisel verilerin hukuka aykırı ele geçirilmesi veya başkasına verilmesi ise 136. maddesini tetikleyebilmektedir.

Güvenlik: Sadece Bilgi İşlem Sorunu Değil

ClickFix örneğinin ortaya koyduğu asıl sorun, siber güvenliğin yalnızca antivirüs ve güvenlik duvarları meselesi olmadığıdır. Günümüzde saldırganlar teknik açıkların yanı sıra insan davranışlarını hedeflemektedir. Bu nedenle veri güvenliğinde çalışan eğitimi, erişim yetkilerinin sınırlandırılması, güçlü kimlik doğrulama, sistem izlenmesi ve düzenli güvenlik kontrolleri ayrılmaz bir bütün oluşturmalıdır. Şirketler, insan hatasının kaçınılmaz olabileceğini kabul ederek, tek bir hatanın işletme çapında veri ihlaline dönüşmesini engelleyecek teknik ve idari sistemleri önceden kurmalıdır.