Kişisel Veriler İnternete Sızarsa Ne Yapılmalı?

İnternet üzerinde kullanılan hizmetlerde ad, soyadı, telefon numarası, e-posta adresi, kimlik bilgileri, adres ve finansal bilgiler gibi birçok kişisel veri saklanmaktadır. Bu bilgilerin yetkisiz kişilerin eline geçmesi, kişisel veri ihlali olarak değerlendirilebilecek güvenlik olaylarına neden olabilir.

Kişisel verilerin internete sızması; dolandırıcılık girişimleri, kimlik bilgilerinin kötüye kullanılması, hesapların ele geçirilmesi ve kişisel gizliliğin zarar görmesi gibi riskler oluşturabilir.

Ancak her veri sızıntısı aynı düzeyde tehlike taşımaz. Açığa çıkan bilgilerin türü, sızıntının kapsamı ve bilgilerin nasıl kullanıldığı riskin büyüklüğünü belirler.

Kişisel Veri Sızıntısı Nedir?

Kişisel veri sızıntısı, kimliği belirli veya belirlenebilir bir kişiye ilişkin bilgilerin yetkisiz kişilere ya da ortamlara açığa çıkmasıdır.

Bu durum siber saldırılar sonucunda gerçekleşebileceği gibi yanlış yapılandırılmış sistemler, çalışan hataları veya güvenli olmayan veri paylaşım yöntemlerinden de kaynaklanabilir.

Sızdırılabilecek kişisel veriler arasında şunlar bulunur:

• Ad ve soyadı

• T.C. kimlik numarası

• Doğum tarihi ve doğum yeri

• Telefon numarası

• E-posta adresi

• Ev ve iş adresi

• Kullanıcı adı ve parolalar

• Banka hesabı ve ödeme bilgileri

• Sağlık ve sigorta kayıtları

• Kimlik belgesi görüntüleri

• Fotoğraflar ve özel belgeler

Bir veri ihlalinde bu bilgilerin tamamının açığa çıkması gerekmez. Bazı olaylarda yalnızca e-posta adresleri etkilenirken bazı olaylarda daha hassas bilgiler ele geçirilebilir.

1. Hangi Kişisel Verilerin Sızdırıldığını Öğrenin

Kişisel bilgilerinizin bir veri ihlalinden etkilendiğini öğrendiğinizde öncelikle hangi bilgilerin açığa çıktığını belirlemeye çalışın.

Örneğin yalnızca e-posta adresinin sızdırılması ile kimlik belgesi görüntüsünün veya banka kartı bilgilerinin ele geçirilmesi farklı güvenlik riskleri oluşturur.

İhlalin gerçekleştiği hizmet sağlayıcısının açıklamaları ve gönderdiği güvenlik bildirimleri incelenebilir.

Şu soruların yanıtları araştırılmalıdır:

• Hangi kişisel bilgiler açığa çıktı?

• Veri ihlali ne zaman gerçekleşti?

• Bilgiler yetkisiz kişiler tarafından ele geçirildi mi?

• Parolalar veya finansal bilgiler etkilendi mi?

• Hizmet sağlayıcısı hangi güvenlik önlemlerini aldı?

Henüz doğrulanmamış sosyal medya paylaşımları, veri ihlalinin gerçekleştiğine ilişkin tek başına kesin kanıt olarak değerlendirilmemelidir.

2. Hesap Parolalarınızı Değiştirin

Sızdırılan bilgiler arasında hesap parolaları bulunuyorsa etkilenen hesapların parolaları değiştirilmelidir.

Parola değişikliği sırasında:

1. İlgili hizmetin resmî uygulaması veya internet sitesi açılmalıdır.

2. Hesap güvenliği bölümüne girilmelidir.

3. Yeni ve benzersiz bir parola oluşturulmalıdır.

4. Aynı parola başka hesaplarda kullanılıyorsa bu hesaplarda da değiştirilmelidir.

5. Şüpheli oturumlar sonlandırılmalıdır.

6. Çok faktörlü kimlik doğrulama etkinleştirilmelidir.

E-posta hesabının güvenliği özellikle önemlidir. Çünkü birçok dijital hizmette parola sıfırlama işlemleri e-posta üzerinden gerçekleştirilir.

3. Banka ve Kredi Kartı Bilgileriniz Sızdırıldıysa

Banka hesabı veya ödeme kartı bilgilerinin açığa çıkması durumunda ilgili finans kuruluşuyla gecikmeden iletişime geçilmelidir.

Alınabilecek önlemler şunlardır:

• Bankaya veri ihlali şüphesinin bildirilmesi

• Hesap hareketlerinin kontrol edilmesi

• Tanınmayan işlemlerin bankaya bildirilmesi

• Gerekli durumlarda ödeme kartının kullanıma kapatılması

• Yeni kart düzenlenmesinin talep edilmesi

• Mobil bankacılık güvenlik ayarlarının incelenmesi

• İşlem bildirimlerinin etkinleştirilmesi

Banka kartı bilgilerinin sızması, mutlaka yetkisiz para çekileceği anlamına gelmez. Ancak riskin değerlendirilmesi için bankanın bilgilendirilmesi önemlidir.

4. T.C. Kimlik Numaranız Sızdırıldıysa Ne Yapmalısınız?

T.C. kimlik numarası kişisel bir veridir. Başka bilgilerle birlikte ele geçirilmesi, kimlik taklidi ve dolandırıcılık girişimlerinde kullanılma riskini artırabilir.

Ancak yalnızca T.C. kimlik numarasının bilinmesi, kişinin adına her türlü resmî işlemin yapılabileceği anlamına gelmez. Farklı işlemlerde ek kimlik doğrulama yöntemleri uygulanır.

Kimlik bilgilerinin sızdırıldığından şüpheleniliyorsa:

1. e-Devlet hesabının güvenlik ayarları kontrol edilmelidir.

2. İki aşamalı giriş özelliği etkinleştirilmelidir.

3. Kişi adına gerçekleştirilmiş tanınmayan işlemler araştırılmalıdır.

4. Bankacılık ve finans hesapları incelenmelidir.

5. Şüpheli kredi veya finansal işlem tespit edilirse ilgili kuruluşla iletişime geçilmelidir.

6. Kimlik bilgilerinin dolandırıcılık amacıyla kullanıldığına ilişkin belirtiler varsa kolluk birimlerine veya Cumhuriyet Başsavcılığına başvurulmalıdır.

Kimlik kartının fiziksel olarak kaybolması veya çalınması hâlinde ayrıca kimlik belgesinin kayıp ya da çalıntı işlemleri için yetkili nüfus birimlerine başvurulmalıdır.

5. Telefon Numaranız Sızdırıldıysa

Telefon numaraları, dolandırıcılık aramaları ve sahte mesaj kampanyalarında kullanılabilir.

Numaranın veri ihlalinde bulunması, telefon hattının ele geçirildiği anlamına gelmez.

Ancak şu durumlara dikkat edilmelidir:

• Tanınmayan numaralardan gelen şüpheli aramalar

• Sahte banka veya kargo mesajları

• Beklenmeyen doğrulama kodları

• SIM kart değişikliği veya hat taşıma bildirimleri

• Mobil hattın beklenmedik biçimde hizmet dışı kalması

Telefon hattının izinsiz taşındığından veya SIM kart değişikliği yapıldığından şüpheleniliyorsa mobil operatörle derhal iletişime geçilmelidir.

SMS ile gelen doğrulama kodları başka kişilerle paylaşılmamalıdır.

6. E-Posta Adresiniz Sızdırıldıysa

E-posta adresleri, veri ihlallerinde sık karşılaşılan bilgi türlerinden biridir.

E-posta adresinin sızdırılması sonrasında istenmeyen mesajlarda veya oltalama girişimlerinde artış görülebilir.

Alınabilecek önlemler:

• E-posta hesabının güvenlik ayarlarını kontrol etmek

• Parolanın da etkilenip etkilenmediğini araştırmak

• Çok faktörlü kimlik doğrulamayı etkinleştirmek

• Tanınmayan oturumları sonlandırmak

• Şüpheli mesajlardaki bağlantıları açmamak

• Hesap kurtarma bilgilerini incelemek

Have I Been Pwned gibi veri ihlali sorgulama hizmetleri, e-posta adresinin bilinen veri ihlallerinde bulunup bulunmadığını kontrol etmeye yardımcı olabilir.

Ancak bu hizmetlerde sonuç bulunmaması, geçmişte hiçbir veri ihlali yaşanmadığını kesin olarak göstermez.

7. Kişisel Bilgileriniz İnternette Yayımlandıysa Kaldırılmasını Talep Edin

Kişisel verilerinizin izniniz dışında bir internet sitesinde yayımlandığını tespit ederseniz ilgili içerik veya hizmet sağlayıcısına başvurarak kaldırılmasını talep edebilirsiniz.

Başvuru öncesinde olayla ilgili delillerin saklanması yararlı olabilir.

Örneğin:

• İçeriğin görüntülendiği tarih

• Ekran görüntüleri

• Yayımlanan bilgilerin türü

• İlgili platformun adı

• Yapılan başvurular ve alınan yanıtlar

Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında, gerekli hukuki şartların oluşması hâlinde kişisel verilerin silinmesi veya yok edilmesi talep edilebilir.

Bununla birlikte bir içeriğin kaldırılması, daha önce farklı kişiler tarafından kopyalanmış bütün verilerin silindiğini garanti etmez.

8. KVKK Kapsamında Nereye Başvurulabilir?

Türkiye'de kişisel verilerin korunmasına ilişkin temel yasal düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur.

Kişisel verilerinin hukuka aykırı biçimde işlendiğini düşünen kişiler, kanunda belirtilen hakları kapsamında veri sorumlusuna başvurabilir.

İlk aşama: Veri sorumlusuna başvuru

Kişisel verilerin işlenmesinden sorumlu olan kuruma veya şirkete başvurularak:

• Kişisel verilerin işlenip işlenmediği

• Hangi verilerin işlendiği

• Verilerin hangi amaçlarla kullanıldığı

• Verilerin aktarıldığı üçüncü kişiler

• Hukuki şartlar oluşmuşsa verilerin silinmesi veya düzeltilmesi

hakkında talepte bulunulabilir.

Veri sorumlusu, başvuruyu en kısa sürede ve en geç 30 gün içinde sonuçlandırmakla yükümlüdür.

İkinci aşama: Kişisel Verileri Koruma Kuruluna şikâyet

Veri sorumlusuna yapılan başvurunun reddedilmesi, verilen yanıtın yetersiz bulunması veya süresinde yanıt verilmemesi durumunda Kurula şikâyet başvurusu yapılabilir.

Genel olarak şikâyet süresi, veri sorumlusunun cevabının öğrenildiği tarihten itibaren 30 gün ve her durumda ilk başvuru tarihinden itibaren 60 gün ile sınırlıdır.

Kurula şikâyetten önce veri sorumlusuna başvuru yapılması gerekir. Bu şart, doğrudan yargı yoluna başvurma hakkıyla karıştırılmamalıdır.

9. Kişisel Verilerle Dolandırıcılık Yapılırsa Ne Yapılmalı?

Sızdırılan kişisel bilgilerin dolandırıcılık amacıyla kullanıldığının tespit edilmesi durumunda deliller korunmalıdır.

Özellikle şu bilgiler saklanabilir:

• Dolandırıcılık mesajları

• Arama kayıtları ve numaralar

• İşlem bildirimleri

• Banka hareketleri

• Sahte başvuru veya sözleşme kayıtları

• Olayla ilgili ekran görüntüleri

Finansal kayıp veya hesap güvenliği sorunu varsa ilgili banka ya da hizmet sağlayıcısına derhal bildirim yapılmalıdır.

Suç şüphesi bulunan durumlarda polis, jandarma veya Cumhuriyet Başsavcılığına başvurulabilir.

10. Kişisel Verilerinizin Yeniden Sızmasını Önlemek İçin Alınabilecek Tedbirler

Kişisel verilerin güvenliğini artırmak için günlük internet kullanımında bazı önlemler uygulanabilir.

Gereksiz bilgi paylaşmayın: İnternet sitelerinde ve uygulamalarda ihtiyaç duyulmayan kişisel bilgilerin paylaşılmasından kaçının.

Uygulama izinlerini kontrol edin: Kamera, mikrofon, konum ve kişi listesi erişimlerini düzenli olarak inceleyin.

Benzersiz parolalar kullanın: Her hesap için farklı parola oluşturun ve mümkünse parola yöneticisi kullanın.

Çok faktörlü doğrulamayı açın: Desteklenen hesaplarda ek kimlik doğrulama yöntemlerini etkinleştirin.

Yazılımları güncel tutun: İşletim sistemleri, tarayıcılar ve uygulamaların güvenlik güncellemelerini yükleyin.

Eski hesapları gözden geçirin: Kullanılmayan hesaplarda tutulan kişisel bilgileri inceleyin ve gerekli olmayan hesapların kapatılmasını değerlendirin.

Şüpheli talepleri doğrulayın: Banka, kamu kurumu veya hizmet sağlayıcısı adına gelen mesajların gerçekliğini resmî kanallar üzerinden kontrol edin.

Kişisel Veriler İnternete Sızdıktan Sonra Tamamen Silinebilir mi?

İnternete sızdırılmış kişisel bilgilerin bütün kopyalarının tamamen silinmesi her zaman mümkün değildir.

Bir veri kümesi farklı kişiler tarafından indirilmiş, kopyalanmış veya başka platformlarda paylaşılmış olabilir.

Buna rağmen ilgili internet sitelerinden içerik kaldırma talebinde bulunulması, veri sorumlusuna başvurulması ve hukuki hakların kullanılması, bilgilerin daha fazla yayılmasını sınırlandırmaya yardımcı olabilir.

Sonuç

Kişisel verilerin internete sızması, açığa çıkan bilgilerin niteliğine bağlı olarak farklı güvenlik ve gizlilik riskleri oluşturabilir.

Böyle bir olayda öncelikle hangi bilgilerin etkilendiği belirlenmeli, hesap güvenliği sağlanmalı ve finansal veya kimlik bilgileriyle ilgili riskler değerlendirilmelidir.

Kişisel verilerin hukuka aykırı biçimde kullanılması durumunda ilgili kurumlara başvuru yapılabilir ve kanun kapsamında tanınan haklar kullanılabilir.