KVKK, Yıldız Teknik Üniversitesi veri ihlalini duyurdu

Kişisel Verileri Koruma Kurumu (KVKK), Yıldız Teknik Üniversitesi’nde yaşanan veri ihlaline ilişkin bildirimi kamuoyuyla paylaştı. Kurumun duyurusunda, olayın fidye yazılımı kaynaklı olduğu ve ihlalden 140 bin öğrenci ile 4 bin 500 personelin etkilendiği belirtildi. Paylaşılan kişi sayısı, olayın yalnızca belirli bir bölüm ya da sınırlı bir kullanıcı grubuyla kalmadığını gösteriyor.

Üniversiteler; öğrenci işlemleri, personel yönetimi, akademik süreçler ve idari hizmetler için çok sayıda dijital sistem kullanıyor. Bu sistemlerde öğrenciler, akademik çalışanlar ve idari personelle ilgili farklı kayıtlar tutulabiliyor. Ancak KVKK’nın mevcut bildiriminde hangi veri kategorilerinin etkilendiğine ilişkin ayrıntı yer almıyor. Bu nedenle olayın kullanıcılar açısından doğurabileceği risklerin kapsamı, şu an için kişi sayısıyla sınırlı olarak biliniyor.

İhlalin nedeni fidye yazılımı olarak açıklandı

Fidye yazılımı, bilgisayar sistemlerindeki dosya veya hizmetlere erişimi kısıtlayan ve saldırganların bu erişimi yeniden sağlama karşılığında ödeme talep edebildiği zararlı yazılım türlerinden biri. Kurumları hedef alan bu saldırılar, yalnızca dosyaların kullanılmasını engellemekle kalmayıp günlük operasyonların da aksamasına yol açabiliyor. Bir üniversitede yaşanan olay, eğitim faaliyetlerinin yanı sıra öğrenci hizmetlerini ve idari süreçleri de etkileyebilecek bir risk taşıyor.

Yıldız Teknik Üniversitesi’ne ilişkin KVKK duyurusunda saldırının hangi sistem veya sunucular üzerinden gerçekleştiği açıklanmadı. Ayrıca saldırganların kimliği, herhangi bir ödeme talebi yapılıp yapılmadığı ve üniversitenin saldırı sonrasında hangi teknik müdahaleleri uyguladığı konusunda da bilgi paylaşılmadı. İhlalin gerçekleştiği tarihe ilişkin bir ayrıntı da mevcut bildirimde yer almıyor.

Bu tür olaylarda kapsamın belirlenmesi için sistem kayıtlarının, kullanıcı hesaplarının ve etkilenen altyapının incelenmesi gerekiyor. Hangi verilerin erişime açıldığı, verilerin kopyalanıp kopyalanmadığı veya yalnızca sistemlere erişimin geçici olarak engellenip engellenmediği gibi ayrıntılar, ihlalin etkisini değerlendirmek açısından önem taşıyor. Yıldız Teknik Üniversitesi hakkındaki duyuruda şu aşamada bu soruların yanıtları bulunmuyor.

140 bin öğrenci ve 4 bin 500 personel etkilendi

KVKK’nın bildirdiği rakamlara göre olaydan 140 bin öğrenci ve 4 bin 500 personel etkilendi. Bu kapsam, üniversitenin hem öğrenci topluluğunu hem de çalışanlarını ilgilendiren geniş bir veri güvenliği olayına işaret ediyor. Bununla birlikte, etkilenen kişi sayısı ile bu kişilere ait hangi kayıtların risk altında olduğu birbirinden farklı başlıklar. Veri türleri açıklanmadığı için öğrencilerin ve personelin karşı karşıya kalabileceği riskler hakkında kesin bir değerlendirme yapmak mümkün değil.

İhlal bildirimlerinde veri kategorilerinin açıkça belirtilmesi, etkilenen kişilerin alabileceği önlemleri belirlemesine yardımcı olabiliyor. Örneğin kullanıcı hesapları, iletişim bilgileri veya başka kayıtların etkilenip etkilenmediği bilindiğinde, ilgili kişiler hesap güvenliği ve olası dolandırıcılık girişimleri karşısında daha bilinçli hareket edebiliyor. Ancak bu olayda hangi kayıtların etkilendiği açıklanmadığından, öğrenciler ve personel açısından alınabilecek önlemlerle ilgili özel bir yönlendirme yapılamıyor.

Olayın geniş bir kullanıcı grubunu kapsaması, üniversitelerin dijital altyapılarında erişim yetkilerinin sınırlandırılması, kritik sistemlerin birbirinden ayrılması ve düzenli yedekleme yapılması gibi güvenlik uygulamalarının önemini de gündeme getiriyor. Yine de mevcut KVKK bildirimi, Yıldız Teknik Üniversitesi’nin bu başlıklarda hangi yöntemleri kullandığı veya saldırının ardından altyapısında ne gibi değişiklikler yaptığı konusunda bilgi vermiyor.

Ek açıklamalar bekleniyor

KVKK duyurusu, olayın fidye yazılımı kaynaklı olduğunu ve 144 bin 500 kişiyi kapsadığını ortaya koyuyor. Bu toplam, 140 bin öğrenci ile 4 bin 500 personelin bildirimde yer alan sayılarının toplamından oluşuyor. Ancak ihlalin teknik yöntemi, etkilenen veri kayıtları, saldırının ne kadar sürdüğü ve üniversitenin soruşturma süreci hakkında ayrıntılar henüz paylaşılmış değil.

Öğrenciler ve personel açısından yanıt bekleyen başlıkların başında, etkilenen kişilere ayrıca bildirim yapılıp yapılmayacağı geliyor. Bunun yanında üniversitenin inceleme sonucunda yeni bir duyuru yayımlayıp yayımlamayacağı ve veri kategorilerine ilişkin daha açık bilgi verip vermeyeceği de önem taşıyor. Mevcut bilgiler, yalnızca ihlalin nedeni ve etkilenen kişi sayısı konusunda kesinlik sağlıyor.

Şu an doğrulanabilen tabloya göre Yıldız Teknik Üniversitesi’nde fidye yazılımı kaynaklı bir veri ihlali yaşandı; olaydan 140 bin öğrenci ile 4 bin 500 personel etkilendi. Veri türleri, saldırının tarihi, kullanılan teknik yöntem ve ihlalin sonuçlarına ilişkin yeni bilgiler paylaşılmadığı için olayın kapsamı hakkındaki değerlendirmeler bu sınırlar içinde kalıyor.