Yemeksepeti Hackerları Konuştu: 20 Milyondan Fazla Kişinin Dataları Elimizde

2001 yılında Nevzat Aydın tarafından kurulan ve 2015 yılında 589 milyon dolar karşılığında Almanya merkezli besin dağıtım şirketi Delivery Hero’ya satılan Yemeksepeti yeni bir siber atak savıyla yine gündemde. Son olarak 25 Mart 2021’de benzeri bilgi ihlali tezleri ile gündeme gelen şirket, o periyot argümanları doğrulamıştı.

Sekiz ay evvel gerçekleşen bu hücum sonrası güvenlik tedbirlerini en üst düzeye çıkardığını belirten şirket, Ferdî Bilgileri Müdafaa Kurumu (KVKK) tarafından bilgi güvenliğine ait yükümlülüklere ters faaliyetten 2 milyon TL, Bilgi Teknolojileri ve İrtibat Kurumu (BTK) tarafından ise güvenlik sorumluluklarını yerine getirmemekten ötürü 1 milyon TL’lik ceza ile karşı karşıya.

Şimdi bu inceleme sonuçlanmamışken yeni bir siber hücum teziyle gündeme gelen Yemeksepeti, bu yeni argümana yönelik, bilgisayar korsanlarının kendilerine ulaşıp fidye talebinde bulunduklarını, uzman takımlar tarafından yapılan inceleme sonucunda sistemlerinden bilgi sızıntısının olmadığının tespit edildiği açıklamasını yaptı.

Mail yolu ile sorularımızı yanıtlayan takım Rusya merkezli bir oluşum olduklarını, güvenlik nedeniyle kümenin ismi ve kaç bireyden oluştuğuna dair bilgileri paylaşmayacaklarını belirtti. Birçok farklı ülkeden üyeleri bulunduğunu aktaran bilgisayar korsanları, Twitter’da yayılan Türk yahut Çinli oldukları istikametindeki savları ise kesin bir formda reddetti.

Ferdî dataları ele geçirdiğini tez eden küme birinci olarak 1 Kasım’da misyonundan ayrılan eski Yemeksepeti CEO’su Nevzat Aydın’a mail ile ulaşarak taleplerini sıraladığını tez ediyor. Yemeksepeti’ni seçmelerinin özel bir nedeni olmadığını aktaran küme, sadece şirketin o günkü CEO’su olan Nevzat Aydın’ın bu ihlal için bir ödeme yapabileceğini düşündüklerini fakat Aydın’ın ödeme yapmamasının kendilerini şaşırttığını söz etti:

“Maili attığımız tarihte şirketin CEO’su Nevzat Aydın’dı. Görüşmemizden sonra istifa etti. Yeni CEO Mert Baki’ye de taleplerimizi ilettik lakin ciddiye almadı. Tahminen de Delivery Hero (Yemeksepeti’nin bağlı olduğu üst kuruluş) onlara bu mevzuda baskı uyguladı, şimdilik bunu bilmiyoruz.”

Bilgisayar korsanları ne istiyor?

Bilgisayar korsanlarının aktardığı bilgilere nazaran hackleme süreci yaklaşık bir ay evvel gerçekleşti. Bu müddet zarfında şirketten olumlu bir cevap alamayınca bağlantıya geçtikleri birtakım toplumsal medya hesapları ile mevzuyu kamuoyuna duyurdular. Şirketin yaptığı açıklamayı ise “komik bulduklarını, gereği yansıtmadığını zira şirketin sistemi nasıl hacklediklerini bilmediklerini” söylediler. Verdikleri bir haftalık müddet içinde olumlu bir dönüş yapılmazsa Yemeksepeti çalışanlarının açık adreslerini ve telefon numaralarını yayınlayacakları tehdidinde bulunuyorlar. Hackerların şirkete tanıdıkları müddet 22 Kasım’da doluyor.

Ellerinde 20 milyonun üzerinde kullanıcıya ilişkin isim, soyisim, telefon numarası, açık adres, adres tanımı ve kredi kartlarının birinci ve son dört hanelerine ilişkin bilgilerin olduğunu, bu bilgilerin evvelki sızıntı ile ilgisi olmadığını, bilgilerin Kasım ayı itibarıyla güncel bilgiler olduğu tezlerini tekrarlıyorlar.

Twitter’da kimi kullanıcılar bu dataların 2016 yılında Merkezi Nüfus Yönetimi Sistemi’ne (MERNIS) yönelik siber akın sonucu elde edilen bilgiler olduğunu sav ediyor. Fakat bilgisayar korsanları, yazılı karşılıklarında şu anda ellerinde bulunan dataların MERNİS sızıntısıyla ilintili olmadığını savunuyor. Kümenin bilgileri paylaşmama karşılığında istedikleri ölçü ise 5 Bitcoin. Bugünkü bedeliyle yaklaşık 3 milyon TL.

Bilgisayar korsanları ayrıyeten şirket bu taleplerini kabul etmediği takdirde bu ölçüsü veren potansiyel alıcılarla görüşeceklerini, bu da olmazsa en yüksek teklifi veren şahsa bilgileri satacaklarını tez etti.

Hackerların şirkete tanıdıkları müddet 22 Kasım’da doluyor.

Avukat Göksoy: Bilgilerin sorumluluğu Yemeksepeti’nde

Pekala, yasa dışı faaliyetlerle siber akına uğrayan bir şirketi ne bekliyor ve sorumlulukları neler? Bilişim hukuku alanında doktora çalışması yapan avukat Resul Göksoy, ferdî dataların güvenliğini müdafaa yükümlülüğünün 6698 sayılı Ferdî Bilgilerin Korunması Kanunu’nun 12. unsurunda düzenlendiğini belirtti. Göksoy bilgilerin işlenmesinin ve erişilmesinin önlenmesi ile inançlı bir formda koruma edilmesinin sorumluluğunun gerçek yahut hukukî bireylerde, yani Yemeksepeti’nde olduğunu vurguladı.

Dataların çalınması nelere yol açar?

İnceleme sonucu tezlerin yanlışsız çıkması halinde en üst ceza 2021 yılı için 1.966.862,00 TL. Göksoy, bu durumda şirketin Ferdî Bilgileri Müdafaa Kurumu’na vaktinde bildirimde bulunmadığı için ekstra bir cezayla daha karşı karşıya olacağını belirtti. Göksoy’a nazaran şahsî bilgilerin büyüklüğü ve etkilenen insan sayısının fazlalığı dikkate alındığında cezalar kâfi ve caydırıcı değil.

Ele geçirilen dataların reklam ve pazarlama hedefli kullanılabileceği üzere, yeni telefon sınırı açılması, kredi çekilmesi, şirket kurulması, e-posta adreslerine gönderilecek casus yazılımlarla şantaj ögesi olabilecek bilgilere erişilmesi üzere kabahatlerin da işlenebileceği ikazında bulunan Gِِöksoy, önemli mağduriyetlerin doğacağının altını çiziyor.

“Bilgisayar korsanlığı suçtur”

Avukat Resul Göksoy bilgisayar korsanlarının faaliyetlerine yönelik ise şu hatırlatmayı yapıyor: “Bilgisayar korsanlığı cürümdür. Birinci olarak Türk Ceza Kanunu (TCK) 243. maddesi ‘bilişim sistemine girme’ hatasını düzenler. Bu kabahatin cezası ise ‘bir yıla kadar mahpus yahut isimli para cezası’dır. Bu hata dolayısı ile datalar yok olur yahut değişirse ‘altı aydan iki yıla kadar mahpus cezası’ söz konusu olur.”

Göksoy bunların dışında da bilgisayar korsanlığı sonucu, ihlal edilen bilgiler kullanılarak TCK’nın 134. unsurunda düzenlenen “özel hayatın kapalılığını ihlal” suçu, TCK’nın 135. maddesinde düzenlenen “kişisel dataların kaydedilmesi” suçu, TCK’nın 136. maddesinde düzenlenen “verileri hukuka alışılmamış olarak verme yahut ele geçirme” suçlarının da oluşabileceğine dikkat çekti.

Avukat, “Bu durumda ise TCK’nın 43. ve 44. hususları gündeme gelir; olayın niteliğine gِöre her bir hatadan başka ayrı ceza vermek yahut tek bir hatadan ceza verip bu cezayı artırmak sِöz konusu olabilir.” dedi.

Kazım Kızıl

Yemeksepeti hackerları konuştu: 20 milyondan fazla kişinin dataları elimizde