Bir Milyon Kişinin Verileri Nasil Aciga Cikti
Yükseköğrenimle ilgilenen internet kullanıcılarına yönelik bir pazarlama ağında yaşanan devasa bir veri sızıntısı, bir milyondan fazla kişinin kişisel bilgilerini korumasız bıraktı. Olayın perde arkası ve sizi nasıl etkilediği...
Ne Oldu
İnternette daha iyi bir gelecek ararken, bir üniversite diploması hayali kurarken doldurduğunuz o formları hatırlıyor musunuz? İşte o formlardaki bilgilerin bir kısmı, tam bir milyon insanınkiyle birlikte, internetin ortasında savunmasız bir şekilde duruyordu. Siber güvenlik firması UpGuard'dan gelen rapor, yükseköğrenim odaklı bir pazarlama ve veri simsarlığı ağının, basit ama yıkıcı bir hata yüzünden bu devasa veri setini korumasız bıraktığını ortaya koydu. Olay bir hack değil, daha çok açık unutulmuş bir kapı. Kötü niyetli birilerinin içeri dalmasına bile gerek kalmadan, tüm bilgiler ortadaydı.
UpGuard araştırmacılarının 20 Mayıs 2026'da keşfettiği bu açık, TDM adlı bir şirkete ait bir sunucudan kaynaklanıyordu. Bu sunucu, "Learning Curve" ve "Degree Authority" gibi potansiyel öğrencilerden bilgi toplayan web sitelerinin verilerini barındırıyordu. Toplamda 147 gigabaytlık bir veri yığını, hiçbir şifre veya koruma olmadan internete bağlı herkesin erişimine açıktı. TDM'e 21 Mayıs'ta yapılan bildirimin ardından sunucunun 22 Mayıs'ta güvence altına alındığı belirtilse de, verilerin ne kadar süredir açıkta olduğu ve bu süre içinde kimlerin eriştiği belirsizliğini koruyor. Bu, dijital çağın en temel derslerinden birini bize tekrar hatırlatıyor: Verilerimiz, en zayıf halka kadar güvendedir. Bu vakada zayıf halka, basit bir sunucu yapılandırmasıydı.
Ele Gecirilen Veriler
Sızan verilerin listesi, bir dolandırıcının rüyalarını süsleyecek cinsten. Bu sadece isimler ve e-posta adreslerinden ibaret değil, çok daha fazlası. Tam bir dijital kimlik profili oluşturmak için gereken neredeyse her şey bu sızıntıda mevcuttu. Listeye bir göz atalım:
E-postanız sızdırıldı mı? Ücretsiz sorgulayın, saniyeler içinde öğrenin.
Hemen Sorgula →- Temel Kimlik Bilgileri: Ad, soyadı, ev adresi, telefon numarası ve e-posta adresi. Bu dörtlü, başlı başına birçok dolandırıcılık senaryosu için yeterli. Sizi evinizde, telefonunuzda veya e-posta kutunuzda hedef alabilirler.
- Demografik Detaylar: Doğum tarihi, cinsiyet ve hatta etnik köken bilgisi. Bu bilgiler, kimlik hırsızlığında veya daha kişiselleştirilmiş ve inandırıcı dolandırıcılık girişimlerinde kullanılabilir.
- Eğitim Geçmişi ve Hedefleri: Lise mezuniyet yılı, mevcut eğitim durumu, ilgilenilen üniversite programları, askeri bağlantılar ve hedeflenen diploma türü. İşte burası işin rengini değiştiriyor. Dolandırıcılar artık size sadece genel bir e-posta atmak zorunda değil. "Merhaba [Adınız], [İlgilendiğiniz Üniversite] için başvurunuz hakkında bir güncellememiz var" şeklinde, tamamen size özel ve tuzağa düşme ihtimali çok yüksek oltalama (phishing) saldırıları düzenleyebilirler.
- Teknik Veriler: Kayıt yaptığınız web sitesinin adı ve IP adresiniz. Bu, hangi platform üzerinden bilgilerinizi paylaştığınızı ve coğrafi konumunuzu açığa çıkarır.
- Finansal İpuçları: Bazı kayıtlarda mali yardım talebiyle ilgili bilgiler de yer alıyordu. Bu, finansal durumu hakkında bilgi vererek kişiyi daha cazip bir hedef haline getirir. "Size özel burs fırsatı" veya "öğrenim kredisi onayınız" gibi sahte vaatlerle para sızdırmaya çalışabilirler.
Bu verilerin bir araya gelmesi, tek tek her bir parçanın yarattığı tehlikeden çok daha büyük bir risk oluşturuyor. Bir insanın sadece kim olduğunu değil, ne istediğini, neye ihtiyacı olduğunu ve geleceğe dair hayallerini de ortaya koyuyor. Ve siber suçlular için hayaller, sömürülecek birer zaaf demektir. Bu verilerle bir kişinin adına kredi başvurusunda bulunmak, sosyal medya hesaplarını ele geçirmek veya onu ve ailesini hedef alan karmaşık sosyal mühendislik saldırıları düzenlemek çocuk oyuncağı haline geliyor.
Saldirnin Nasil Gerceklesti
Bu devasa veri ifşasının arkasında karmaşık bir siber saldırı, devlet destekli bir hacker grubu ya da aylarca süren bir operasyon yok. Gerçek çok daha basit ve belki de bu yüzden daha endişe verici. Sorunun kaynağı, 'rsync' adı verilen bir protokolü çalıştıran, yanlış yapılandırılmış bir sunucu.
Peki rsync nedir? Teknik detaya boğulmadan anlatalım: rsync, temel olarak iki bilgisayar arasında dosyaları senkronize etmek, yani eşitlemek için kullanılan bir araçtır. Bir sunucudaki verileri yedeklemek veya başka bir sunucuya kopyalamak için oldukça kullanışlıdır. Ancak bir kuralı vardır: Güvenli olması gerekir. Genellikle şifre koruması veya sadece belirli IP adreslerinin erişimine izin veren güvenlik duvarı kuralları arkasında çalıştırılır. TDM'in sunucusunda ise bu önlemlerin hiçbiri yoktu. Sunucu, adeta "herkese açık, buyurun alın" dercesine yapılandırılmıştı. İnternete bağlı ve doğru portu tarayan herhangi biri, 147 GB'lık bu veri hazinesini hiçbir engelle karşılaşmadan kendi bilgisayarına kopyalayabilirdi.
Bu durum, siber güvenlikte sıkça karşılaşılan "yanlış yapılandırma" (misconfiguration) hatalarının en somut örneklerinden biri. Şirketler, bulut bilişimin ve hızlı veri transferinin getirdiği kolaylıklara odaklanırken, en temel güvenlik adımlarını atlayabiliyorlar. Bir teknisyenin unuttuğu bir ayar, bir güvenlik kontrol listesindeki işaretlenmemiş bir kutucuk, milyonlarca insanın hayatını etkileyebilecek sonuçlar doğurabiliyor. Bu olay, en gelişmiş güvenlik duvarlarının ve antivirüs yazılımlarının bile, basit bir insan hatası veya ihmal karşısında ne kadar anlamsız kalabileceğinin acı bir kanıtı.
Etkilenenler Kim
Bu sızıntıdan etkilenen bir milyon kişi, rastgele bir grup değil. Onlar, hayatlarında yeni bir sayfa açmak isteyen, daha iyi bir eğitimle daha iyi bir kariyere ulaşmayı hedefleyen insanlar. Liseden yeni mezun olmuş, hangi üniversiteye gideceğine karar vermeye çalışan gençler. Mevcut işinden sıkılmış, kariyer değiştirmek için yeni bir yetenek kazanmak isteyen yetişkinler. Askerden dönmüş, sivil hayata adapte olmak için eğitim fırsatlarını araştıran gaziler. Kısacası, umut dolu ve bilgiye aç bir kitle.
Bu insanlar, "Learning Curve", "Degree Authority" gibi isimlere sahip, onlara en iyi okulları ve programları bulmayı vaat eden sitelere güvendiler. Kişisel bilgilerini, hayallerini ve hedeflerini bu platformlarla paylaştılar. Ancak bu sitelerin birçoğu aslında doğrudan eğitim kurumları değil, birer "lead generation" yani potansiyel müşteri bulma platformu. Sizin bilgilerinizi toplar, bir paket haline getirir ve bu bilgileri size ulaşmak için para ödeyecek olan, genellikle kâr amacı güden özel üniversitelere veya online eğitim programlarına satarlar. Bu zaten başlı başına tartışmalı bir endüstri. Şimdi ise bu endüstrinin topladığı verilerin ne kadar güvensiz bir şekilde saklanabildiği de ortaya çıkmış oldu. Etkilenenler, sadece verileri çalınan insanlar değil; aynı zamanda umutları ve güvenleri de sarsılan bireyler.
Ne Yapabilirsin
"Şifrenizi değiştirin" gibi klişe tavsiyeleri bir kenara bırakalım. Eğer son birkaç yıl içinde internet üzerinden bir okul, kurs veya sertifika programı hakkında bilgi almak için form doldurduysanız, bu sızıntıdan etkilenmiş olabileceğinizi varsaymak en güvenli yoldur. İşte bu duruma özel atabileceğiniz adımlar:
- Oltalama Saldırılarına Karşı Zırhını Kuşan: Dolandırıcılar artık senin hakkında çok şey biliyor. Hangi alanda okumak istediğini, hangi okullarla ilgilendiğini biliyorlar. Bu yüzden "[İlgilendiğin Okul] Finansal Yardım Teklifi" veya "Başvurunuz Onaylandı!" gibi başlıklarla gelecek e-postalara ve SMS'lere karşı aşırı dikkatli ol. Linklere tıklamadan önce gönderenin adresini on kez kontrol et. Unutma, hiçbir ciddi kurum senden şifreni veya finansal bilgilerini e-posta yoluyla istemez.
- Telefon Hattını Kilitle: Sızan bilgiler arasında telefon numaran da var. Bu, sadece can sıkıcı reklam aramaları demek değil. Dolandırıcılar, mobil operatörünü arayıp seni taklit ederek SIM kartını kendi telefonlarına kopyalayabilir (SIM Swapping). Bu olursa, bankacılık şifrelerin dahil olmak üzere telefonuna gelen tüm SMS'ler onlara gider. Hemen operatörünü ara ve hesabına ekstra bir güvenlik PIN'i veya şifresi ekle.
- Kredi Raporlarını Gözetle: Adın, adresin ve doğum tarihinle birileri senin adına kredi kartı başvurusu yapabilir veya kredi çekebilir. Türkiye'de Findeks gibi platformlar üzerinden düzenli olarak kredi raporunu kontrol et. Tanımadığın bir hareket görürsen hemen ilgili banka ve yasal mercilerle iletişime geç.
- Veri Paylaşım Alışkanlığını Sorgula: Bir daha internette bir forma bilgi girerken kendine şunu sor: "Bu site kim? Verilerimi ne yapacaklar? Bu bilgiyi paylaşmak zorunda mıyım?" Her bilgi talebi meşru değildir. Özellikle doğrudan bir üniversitenin resmi sitesi (.edu uzantılı) değil de, aracı bir pazarlama sitesi ise iki kere düşün.
Sirket Ne Diyor
UpGuard'ın raporuna göre, sızıntının kaynağı olan sunucuyu işleten TDM şirketi, durumdan haberdar edildikten sonra hızlı hareket etti. 21 Mayıs 2026'da yapılan bildirimin ardından, sunucu erişime kapatılarak 24 saat içinde güvence altına alındı. Bu, şirketin sorumluluk alıp teknik açığı kapattığını gösteriyor. Ancak haberin yazıldığı an itibarıyla, ne TDM'den ne de verileri toplayan The DataWorks gibi ilişkili şirketlerden, sızıntının tam kapsamı, verileri ne kadar süreyle açıkta kaldığı ve etkilenen bir milyon kişiye ulaşıp ulaşılmayacağı konusunda resmi bir kamuoyu açıklaması yapılmadı. Şirketlerin sessizliği, verileri sızan milyonlarca insanın belirsizlik içinde beklemesine neden oluyor.