26 Mart 2026 sabahı İstanbul’da yedi kişi gözaltına alındı. Haberler kısa sürede yayıldı: “siyah şapkalılar hacker çetesi çökertildi”, “20 milyon kişinin verisi ele geçirildi.” Suç unsurları sayıldı, fotoğraflar paylaşıldı, operasyon başarıyla kapatıldı. Asıl soru şu: Bu örgüt tesadüfen mi ortaya çıktı, yoksa uzun süredir işleyen bir sistemin görünür hale gelen ucunu mu yakaladık?

I. Siyah Şapkalılar: Tek Operasyon Değil, Uzun Bir Sicil

İstanbul Cumhuriyet Başsavcılığı Örgütlü Suçlar Soruşturma Bürosu’nun yürüttüğü soruşturma kapsamında, bilişim dünyasında “siyah şapkalı hacker” (black hat hacker) olarak tanınan G.C.G. liderliğindeki suç örgütü deşifre edildi. Haberlerde Siyah Şapkalılar örgütü liderinin Gökay Celal Gülen olduğu ileri sürülüyor.

Soruşturmaya yansıyan bilgilere göre örgüt; Facebook kaynaklı veri setleri üzerinden yaklaşık 19 milyon 800 bin kişiye ait kişisel veriyi ele geçirmiş, 10 bin 768 kişinin Instagram, Facebook ve e-posta şifrelerini depolamış, kamu kurumlarının sistemlerinden çekilen verileri “Avatar” ve “Sor Gelsin” adlı sorgu panellerinde ücret karşılığı satışa sunmuş, bir sigorta şirketinden 5 bin 500 kaza poliçesi çalmıştır.

İddialara göre yurt dışındaki Volksbanken ve Kaaseler Sparkasse bankalarındaki “uyuyan hesaplar” da bilişim hırsızlığıyla boşaltılmıştır. Operasyonda 7 şüpheli gözaltına alındı.

“Siyah şapkalı hacker” aynı zamanda, bilişim sistemlerine izinsiz erişim sağlayan kişiler için kullanılan genel bir etiket. Bu etiket tekil bir teknik faile işaret eder; oysa burada gördüğümüz şey bireysel bir hacker değil, veri toplama, işleme ve satış süreçlerini içeren organize bir ekonomik yapı. Etiket değil, yapı önemli.

Gülen bu operasyonla ilk kez karşımıza çıkmıyor. Hâlen sahte e-imza ve diploma davasında tutuklu sanık sıfatıyla yargılanmaktadır: Milli Eğitim Bakanlığı personel hesabına yetkisiz erişim, Tapu Kadastro sistemine sızma, BTK Başkanı dahil çok sayıda kamu görevlisinin e-imzasını kopyalama, üniversite kayıt sistemlerinden sahte mezuniyet üretme iddiaları o davanın konusunu oluşturuyor.

Bugünkü soruşturma ayrı bir dosya; özne aynı. Bu yapı bireysel bir hacker faaliyetinden çok, kurumsallaşmış bir veri ticareti modelinin operasyonel fotoğrafı.

II. Sorgu Paneli Ekonomisi: Dark Web Değil, Telegram

“Avatar” ve “Sor Gelsin” panellerinin varlığı olayın en kritik ayrıntısı. Çünkü bu iki isim sıradan bir veri hırsızlığını değil, organize bir veri pazarını tarif ediyor. Veri çalınmıyor, depolanıyor, sınıflandırılıyor, satışa sunuluyor.

Bir kişi bu sorgu paneli üzerinden başka bir kişinin TC kimlik numarasını, adres bilgisini, araç kaydını, tapu durumunu sorgulayabiliyorsa ortada bir ürün var, bir fiyat listesi var, bir müşteri kitlesi var. Söz konusu paneller kamuya açık bir URL üzerinden değil, Telegram üzerinden özel erişimle çalışıyordu; soruşturmanın ardından bu isimlere erişim kesilmiş olmakla birlikte aynı ekosisteme ait benzer yapıların faaliyetini sürdürdüğü bilinmektedir.

Panel ekosistemi Türkiye’de yeni değil. Telegram üzerinden işleyen yarı açık bir pazarda yüzey katmanını oluşturuyor: raporlara göre aylık panel üyeliği yaklaşık 600-1000 TL düzeyinde; telefon numarası, adres, tapu ve araç bilgileri kademeli ücretlerle ayrıca satılıyor. Emniyet yüzlerce paneli kapattı; dark web’deki binlercesine erişim devam ediyor.

Önemli ayrım şurada: Avatar ve Sor Gelsin dark web’in derinliklerinde değil, Telegram üzerinde çalışıyordu. Bu, delil toplama ve tespit açısından dark web’e kıyasla çok daha erişilebilir bir katman — bu yüzden operasyon mümkün oldu.

Bu yapı Türkiye’ye özgü değil. FBI ve Europol’ün 2023’te çökerttiği Genesis Market, 2 milyonun üzerinde kimlik bilgisini kullanıcı dostu bir panel arayüzüyle satan bir platformdu. Europol’ün son raporları, siber suçun artık tekil faillerden değil, “hizmet olarak suç” (Cybercrime-as-a-Service) modeliyle çalışan platformlardan kaynaklandığını belgeliyor. Türkiye’deki panel ekosistemi bu yapının daha görünür ve daha düşük teknik bariyerli versiyonu. Pazar mantığı, fiyatlandırma modeli, müşteri segmenti — aynı.

Bu sistemlerin boyutu kimlik hırsızlığı veya dolandırıcılıkla sınırlı değil. Kamuoyuna yansıyan bir davada, yabancı istihbarat bağlantılı kişilere panel üzerinden Türkiye Cumhuriyeti vatandaşlarına ait kimlik, tapu ve adres bilgilerinin para karşılığı aktarıldığı ileri sürüldü. O davada da kanalın bir avukattan geçtiği tespit edilmişti.

Bu tesadüf değil; yapısal bir işaret. Sorgu paneli ekosisteminin en aktif kullanıcıları arasında hukuk profesyonellerinin yer alması şaşırtıcı değil. KVKK kararları incelendiğinde, avukatların icra takiplerinde borçlunun mal varlığını, adresini, iletişim bilgilerini tespit etmek için çeşitli sorgulama kanallarına başvurduğu görülüyor. Hukuk eğitimi olan, verinin ne işe yarayacağını bilen, müvekkil ilişkisi üzerinden hassas bilgiye erişimi normalize etmiş bir meslek grubu — panel ekonomisinin en kıymetli müşteri segmenti de bu.

Lawrence Lessig yıllar önce şunu yazmıştı: Kod yasadır. Ama burada kod, yasanın yerini almadı — yasanın görmezden geldiği bir pazarı inşa etti. Sorgu paneli arayüzü veri satışını sıradan bir işleme dönüştürüyor. Alıcı kim olduğunu sormak zorunda değil; satıcı da kim olduğunu açıklamak zorunda değil. Sistem çalışıyor.

III. Kamu Kurumu Zafiyeti: En Zayıf Halka Nerede?

Peki bu saldırılar nasıl mümkün oldu?

Facebook kaynaklı veri setlerine erişim ayrı bir kategori; Meta’nın güvenlik mimarisine yönelik teknik bir sorun — muhtemelen doğrudan veri tabanı sızması değil, scraping (veri kazıma) ya da daha önceki sızıntılardan beslenen veri derlemesi. Nitekim 2021’de 533 milyon Facebook kullanıcısına ait verinin sızdığı; bunun da doğrudan bir hack değil, platform API’sinden gerçekleştirilen veri kazıma yoluyla elde edildiği belgelendi.

Ama Milli Eğitim Bakanlığı personelinin hesabına sahte e-imzayla girilmesi, Tapu Kadastro sistemine erişilmesi, kamu kurumu veri tabanlarından vatandaş bilgilerinin çekilmesi başka bir şeyi anlatıyor. Kamu sistemlerinin kimlik doğrulama mekanizmaları, çok faktörlü erişim kontrolleri ve anomali tespit altyapıları ya yetersiz ya da yoktu.

Sistem düşüncesi çerçevesinden bakarsak: bu saldırılar sistemin kaldıraç noktasına değil, en zayıf halkasına yapılmış. En zayıf halka teknik güvenlik değil; kurumlar arası koordinasyon eksikliği ve kullanıcı hesabı yönetiminin ihmali. Sistem kendini koruyamıyor; dışarıdan uyarıya ihtiyaç duyuyor.

Ama meselenin daha derin bir katmanı var. Sorgu paneli ekosistemi dark web’in derinlerinde değil, Telegram’da çalışıyor. Bu, altyapının teknik olarak aşılmasından ziyade içeriden sızdırılan erişim bilgileriyle beslendiğine işaret ediyor. Eldeki bulgular, MERNİS veri tabanına erişimin yetkili kullanıcı hesapları üzerinden sağlanmış olabileceğine işaret etmektedir.

Yani sorun yalnızca dışarıdan gelen saldırı değil; içeriden erişim zafiyeti. ABD’de 2015’te yaşanan OPM ihlalinde 21 milyon kamu personelinin güvenlik izni bilgileri çalındığında da benzer bir örüntü saptanmıştı: içeriden erişim kolaylığı, dışarıdan saldırıyı mümkün kılmıştı.

Bu tespiti telekomünikasyon sektörüne taşıdığımızda tablo daha da kritikleşiyor. Türkiye’de mobil abonelik kaydı, numara taşıma ve SIM aktivasyonu MERNİS sorgulamasına dayanıyor. 5809 sayılı Elektronik Haberleşme Kanunu’nun 50. maddesiyle getirilen yeni yükümlülükler — biyometrik kimlik doğrulama zorunluluğu, EAL4+ çipli belge şartı, TS 13678 standartlı kart erişim cihazı — tam da bu zafiyeti kapatmak için tasarlandı.

Doğru bir teşhis, doğru bir ilaç. Ancak doğrulama altyapısının beslendiği MERNİS’in kendisi güvende mi? Panel ekosistemi MERNİS’e yetkili kullanıcı hesabı üzerinden girebiliyorsa, biyometrik doğrulama katmanı üzerine inşa edilen her şey sarsılmış bir zemine oturuyor demektir.

Paradoks burada açığa çıkıyor: BTK, SMS panellerine e-imza dışında başka kimlik doğrulama yöntemi tanınmasını reddetti — e-imzanın hukuki niteliği gerekçesiyle, ve bu kararın hukuki mantığı sağlam. Ancak Gülen davasının önceki ayağında BTK Başkanı dahil çok sayıda kamu görevlisi adına sahte e-imza üretildi.

Kilidi çekiçle kırmak yerine anahtarı kopyalamak daha kolay hale geldiğinde, kilidi güçlendirmenin tek başına yeterli olmadığı ortaya çıkıyor. Kimlik doğrulama zincirinin güvenilirliği en güçlü halkasına değil, en zayıf halkasına bağlıdır.

IV. Mevzuat Boşluğu: 7545 Ne Söylüyor, Ne Söylemiyor?

TCK m. 243 ve 244 bilişim sistemlerine yetkisiz erişimi ve veri tahribatını düzenliyor. TCK m. 136 kişisel verileri hukuka aykırı olarak ele geçirmeyi ve yaymayı yasaklıyor. TCK m. 220 suç örgütü kurma ve yönetmeyi karşılıyor. Bu üçlü mevcut soruşturma için yeterli bir cezai çerçeve sunuyor.

Ama mevzuatın görmediği şey “Avatar” ve “Sor Gelsin” tipi yapılar. Türk hukukunda organize veri ticareti — yani çalınan verinin sistematik biçimde bir ürüne dönüştürülmesi ve pazarlanması — bugün için TCK’nın dağınık hükümlerinden devşirilen bir yorum meselesine kalmış durumda. Bu boşluk yalnızca Türkiye’ye özgü değil: AB’de GDPR ağır yaptırımlar getiriyor ama çalınan verinin ticari ürüne dönüşmesini doğrudan hedeflemiyor; ABD’de data broker sektörü büyük ölçüde yasal zeminde işliyor. Organize veri ticaretinin hukuktaki karşılıksızlığı küresel bir sorun.

7545 sayılı Siber Güvenlik Kanunu bu boşluğu kısmen kapatıyor: 16. maddenin 4. fıkrası, veri sızıntısından elde edilen kişisel verileri ücretli ya da ücretsiz erişime açanlara 3 ila 5 yıl hapis cezası öngörüyor; 6. fıkra ise milli güç unsurlarına yönelik siber saldırılardan elde edilen veriyi yayan ya da satanlara 10 ila 15 yıla kadar hapis cezası getiriyor; örgüt faaliyeti çerçevesinde işlenmesi halinde ceza yarısından iki katına kadar artırılabiliyor. Bu yönüyle 7545, GDPR’ın göremediği noktayı görmeye çalışıyor.

Telekomünikasyon işletmecileri açısından ayrı bir çifte belirsizlik söz konusu: biyometrik veri saklama süresi, imha yöntemi ve KVKK Kurulu koordinasyonu henüz düzenlenmemiş. İşletmeci hem 5809 m. 50 kapsamındaki biyometrik yükümlülüğünü yerine getirecek hem de KVKK m. 6’daki özel nitelikli veri rejimini uygulayacak — ama iki yükümlülüğün nasıl bağdaştırılacağına dair rehber yok.

Sızdırılan biyometrik verinin ikincil piyasaya düşmesi halinde hem TCK hem KVKK hem de 7545 kapsamında eş zamanlı sorumluluk doğacak, işletmeci ise bu üç rejim arasında sıkışacak.

Kritik bir not: 7545, Mart 2025’te yürürlüğe girdi. Soruşturmanın hangi dönemdeki faaliyetleri kapsadığı henüz netleşmemiştir. Kovuşturmaya yer olup olmadığına dair karar verilmeden 7545’in zaman bakımından uygulanıp uygulanamayacağı sorusu, soruşturmanın kritik hukuki eksenlerinden biri olacak.

V. Asıl Mesele: Bu Bir İstisna Değil

Ulrich Beck’in risk toplumu kuramı bu davayı doğru çerçeveler: söz konusu olan gerçekleşmiş bir risk değil, kronik bir güvenlik açığının yüzeye vurmasıdır. Gülen yakalandı; ama sistemi besleyen açıklar hâlâ mevcut. MERNİS’e içeriden erişim riski devam ediyor.

Biyometrik doğrulama altyapısının güvenilir biçimde çalışabilmesi için gereken standartlar — cihaz sertifikasyonu, veri saklama protokolleri, kurumlar arası koordinasyon — henüz tam oturmamış. 7545’in alt düzenlemeleri yürürlüğe girmedi, kamu kurumlarının siber güvenlik uyum süreçleri tamamlanmadı, panel ekosistemi aktif. Hukuk profesyonellerinin bu pazarın hem müşterisi hem aracısı konumuna düştüğü gerçeği ise mesleki denetim mekanizmalarının bu alana hiç yetişemediğini gösteriyor.

Operasyon başarılı. Sorun devam ediyor.