58.600 Üyenin Verisi Tehlikede, Yönetim Hesap Vermekten Kaçıyor
EMO'nun e-posta sunucusu hacklendi. 58.600 üyenin tüm e-posta hesabı, parolası ve ad-soyad bilgisi ele geçirildi. Yani üyenin
- tüm mail bilgileri,
- geçmişten bugüne tüm e-postaları,
- e-postalarındaki
- ticari bilgileri,
- şirket bilgileri,
- proje bilgileri ve ticari sırları,
- kişisel bilgileri,
- yazışmaları,
- dosyaları ve
- fotoğrafları çalınmıştır.
Daha doğru bir ifadeyle EMO’nun liyakatsiz ve sorumsuz yönetimi üyenin verilerini çaldırmıştır. Yılların mesleki, hukuki ve ticari yazışmaları geri dönülemez biçimde kaybedilmiştir.
EMO yönetimi bunu bir "teknik arıza" gibi sunmaktadır. Bu bir teknik arıza değildir. Bu, baştan sona ihmalin, liyakatsizliğin ve sorumsuzluğun sonucudur. Üstelik yönetim bu ihmali örtbas etmeye çalışmaktadır.
Tek tek ortaya koyuyoruz.
Bir Ay Önceden Uyarıldılar, Kıllarını Kıpırdatmadılar
EMO'nun e-posta altyapısında kullandığı Zimbra yazılımındaki güvenlik açığı (CVE-2026-73570), 26 Haziran 2026'da dünyaya duyuruldu. Zimbra bu açığı kapatan yamayı 20 Temmuz 2026'da yayınladı (1).
ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), bu açığı "aktif olarak istismar edilen kritik güvenlik açığı" olarak sınıflandırdı ve federal kurumlara 3 gün içinde yamayı uygulamalarını emretti. Üç gün.
Polonya CERT'i, açığın gerçek saldırılarda kullanıldığını bildirdi. Shadowserver Foundation, dünya genelinde 274'ten fazla Zimbra sunucusunun ele geçirildiğini tespit etti.
Yani tüm dünya bu açığı biliyordu. Tüm dünya yama yapıyordu. ABD federal kurumlarına 3 gün süre verildi.
Peki EMO ne yaptı? Hiçbir şey. Güvenlik açığının duyurulmasından tam 63 gün sonra, yamanın yayınlanmasından 39 gün sonra, 28 Ağustos 2026'da EMO’nun e-posta sistemleri hacklendi.
Bir ay boyunca güncelleme yapmayan, yama yapmayan, güvenlik testi yapmayan bir yönetim var karşımızda. Bunun adı sadece ihmal değildir. Bunun adı aynı zamanda görevi kötüye kullanmaktır.
Yedek Yok: Yılların Verisi Silindi
Hacklenme tek başına yeterince vahim. Ama asıl skandal şu: yedek yok.
EMO'nun 58.600 e-posta hesabındaki verilerin yedeği tutulmamış. EMO bunu kendi ağzıyla itiraf ediyor:
"E-posta sunucusu üzerinde bulunan kullanıcı posta kutularının ayrıca tam içerik yedeği tutulmamaktadır."
Yıllarca birikmiş mesleki yazışmalar, sözleşmeler, faturalar, hukuki belgeler, kişisel yazışmalar, geri dönülemez biçimde kayboldu ve ne amaçla kullanacağı bilinmeyen kötü niyetli kişilerin eline geçti. Artık bu verilere ne kullanıcının kendisi ne de EMO erişememektedir.
Bir kamu kurumu niteliğindeki meslek örgütü on binlerce üyesinin verisini barındırıyor ve yedeğini almıyor. Bu, sıradan bir özel şirkette bile kabul edilemez. EMO'da ise olağan işleyişmiş gibi sunuluyor.
Yalnızca Üyenin Değil, Odanın Kurumsal Hafızası da Silindi
Hacklenme yalnızca üyelerin kişisel e-postalarını değil, EMO'nun kendisini de vurmuştur. emo.org.tr, ankara.emo.org.tr, istanbul.emo.org.tr ve tüm şube uzantılı kurumsal e-posta hesapları aynı sunucudaydı.
Yani Genel Merkez'in, şubelerin, temsilciliklerin yıllar boyunca biriktirdiği kurumsal yazışmalar da gitti. Yapılan resmi yazışmalar, TMMOB ile koordinasyon yazışmaları, komisyon yazışmaları, hukuki süreçlere ilişkin belgeler, şubelerin kendi aralarındaki yazışmalar… Tamamı bu liyakatsiz yönetimin kurbanı oldu.
Bir meslek odasının kurumsal hafızası silinmiştir. Devam eden hukuki süreçlerin belgeleri kaybolmuş olabilir. Bakanlıklara ve kamu kurumlarına yapılmış resmi başvuruların kayıtları yok olmuş olabilir.
Bu yalnızca bir "teknik arıza" değildir. Bir kamu kurumu niteliğindeki meslek kuruluşunun kurumsal sürekliliği tehlikeye girmiştir.
Fidye İstendi, Kamuoyu Bilgilendirilmedi
Kişisel Verileri Koruma Kurulu'na yapılan bildirimde saldırının "fidye yazılımı saldırısı" olduğu açıkça yazılmıştır.
Yani hackerlar fidye istedi. Peki:
- Fidye ödendi mi, ödenmedi mi?
- Veriler hackerların elinde mi?
- Veriler satışa çıkarıldı mı?
- Cumhuriyet Savcılığı'na suç duyurusunda bulunuldu mu?
- Kolluk kuvvetleri bilgilendirildi mi?
Bu soruların hiçbirine yanıt verilmedi. EMO yönetimi 58.600 üyeyi karanlıkta bırakmaktadır.
KVKK İhlalleri Açıktır
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin 1. fıkrası veri sorumlusuna üç yükümlülük yükler: hukuka aykırı işlemeyi önlemek, hukuka aykırı erişimi önlemek, verilerin muhafazasını sağlamak. EMO üçünü de ihlal etmiştir.
Teknik tedbirler alınmamıştır (m.12/1-a,b). Bir ay önce duyurulan güvenlik açığı yamalanmamıştır. Sızma testi yapıldığına dair bilgi yoktur. Güvenlik duvarı, IDS/IPS, iki faktörlü doğrulama gibi temel tedbirler sorgulanmalıdır.
Verilerin muhafazası sağlanmamıştır (m.12/1-c). Yedek alınmamıştır. Felaket kurtarma planı (disaster recovery) yoktur. 58.600 hesabın içeriği kalıcı olarak kaybedilmiştir.
İlgili kişilere bildirim usulü yetersizdir (m.12/5). Bu madde veri sorumlusunun ihlali "en kısa sürede ilgilisine" bildirmesini emreder. KVKK Kurulu 2 Eylül 2026'da kararını vermiş ve ihlali kendi sitesinde yayınlamıştır. Peki EMO üyelerine ne zaman bildirdi?
4 Eylül 2026 Cuma günü, öğleden sonra.
Cuma 17:00: Kabahat Örtbas Ediliyor
İşte asıl skandal burasıdır: EMO yönetimi hacklenmenin farkındadır. KVKK Kurumu'na bildirim yapmıştır. Kurul 2 Eylül Salı günü kararını yayınlamıştır.
Ama EMO, üyelerine ancak 4 Eylül Cuma günü mesai bitimine yakın bir saatte, web sitesinin ana sayfasındaki bir slider'a küçük bir duyuru koyarak bildirmiştir. Duyurunun başlığı şudur: "Önemli Duyuru: Odamız e-posta hizmetleriyle ilgili önemli açıklama”.
Sitedeki kamufle etmeyi amaçlayan duyuru başlığında ne siber saldırıdan, ne veri ihlalinden, ne KVKK'dan söz eden bir bilgi vardır. SMS gönderilmemiştir. E-posta gönderilmemiştir. Üye aranmamıştır. Bireysel bildirim yapılmamıştır. Bu açıklamanın yayınlandığı 7 Eylül 2026 (yani hacklenmeden 11 gün sonra) duyuruyu sitede gören toplam kişi sayısı ancak 120 civarındadır.
58.600 üyeden sadece ve sadece 120'si. Buradaki bilgilendirmedeki bilinçli gecikme üyeyi daha da mağdur etme riski taşımaktadır. Kişiler hacklendiklerini bilmemekte ve tedbir alamamaktadır. Dolayısıyla bu e-posta hesabıyla ve onun parolasıyla kayıt olduğu ve işlem yaptığı farklı platformlardaki hesaplar da risk altındadır.
EMO’nun yaptığı bir bildirim değildir. Bu bir örtbas girişimidir. Mesai bitiminde, hafta sonu öncesinde, en az kişinin göreceği saatte, en az görünür biçimde yapılan bir "bildirim" vardır. Bunun amacı bilgilendirmek değil, "biz bildirdik" kaydını oluşturmaktır.
KVKK'nın 12. maddesinin 5. fıkrası "en kısa sürede ilgilisine bildirir" der. 58.600 kişiye web sitesindeki bir link ile bildirim yapmak, Kanun'un öngördüğü bireysel bildirim yükümlülüğünü karşılamaz.
Sorumluluk Üyeye Yıkılamaz
EMO'nun duyurusundaki şu cümle her şeyi özetliyor:
"Üyelerimizin Oda tarafından sağlanan e-posta hizmetinin kalıcı bir elektronik arşiv veya veri yedekleme hizmeti olarak değerlendirmemesi gerekmektedir."
Tercümesi açıktır: "Biz yedek almadık, sen almalıydın."
Bu, kendi ihmalini üyeye yıkma çabasıdır. KVKK m.12 açıktır: veriyi işleyen, korumakla yükümlüdür. "Mali olanaklarımız yetmiyor" savunması hukuken geçersizdir. Veriyi işliyorsan koruyacaksın. Koruyamıyorsan işlemeyeceksin.
İhlal Başına 17 Milyon TL Ceza Riski Var. Faturayı Yine Üye Ödeyecek
E-posta hizmeti vermek, yalnızca e-posta göndermek demek değildir. Gönderilen ve alınan e-postaları saklamak, bu hizmetin ayrılmaz parçasıdır. E-postayı iletip içeriğini tutmamak dünya tarihinde görülmemiş bir absürtlüktür. Hiçbir e-posta servis sağlayıcısı — ticari, kamusal, ücretsiz — bunu yapmaz. EMO yapmıştır ve bunu bir de açıklama olarak kamuoyuna yazabilmiştir.
Bu e-posta hesaplarında üyelerin banka bilgileri vardı. Şirketlerle yapılan ticari yazışmalar vardı. Proje teklifleri, sözleşme taslakları, faturalar, cirolar vardı. Kurumsal bilgiler, hukuki belgeler, mesleki yazışmalar vardı. Hepsi gitmiştir.
Bu üyeler ticari zarara uğrayacaktır. Bir üye "e-posta hesabımda bulunan proje dosyalarım, müşteri yazışmalarım ve sözleşme taslakları kayboldu, ticari zarar gördüm" diye tazminat davası açarsa — ve açacaktır — EMO bu davayı kaybeder. Bu tazminat EMO'nun bütçesinden ödenir. EMO'nun bütçesi üyenin aidatıdır.
Yani sonuç şudur: yönetimin beceriksizliği ve ihmali yüzünden kaybolan verinin bedelini yine üye ödeyecektir. Hem verisi gidecek hem de parası ihmallere tazminat olarak ödenecektir.
Ayrıca KVKK Oda’ya ceza kesecektir. Bu ceza da yine üyenin aidatlarıyla ödenecektir. KVKK'nın 12. maddesi veri sorumlusuna açık yükümlülükler yükler. Bu yükümlülüklerin hiçbiri yerine getirilmemiştir. 2026 yılında KVKK idari para cezaları tek bir kalem için 17 milyon TL'ye ulaşmaktadır. Birden fazla ihlal tespit edildiğinde her biri için ayrı ceza uygulanır. Bu cezaların bedelini de yine üye ödeyecektir.
Bu, Oda’yı açık olarak mali zarara uğratmaktır. Bu zararın sorumlularının tespit edilmesi ve cezalandırılması zorunludur.
EMO Yönetimi Bu Soruları Yanıtlamak Zorundadır
- Zimbra yazılımıyla hangi tarihte, hangi koşullarda sözleşme imzalandı? Sözleşme yenilendi mi?
- Sözleşmede güncelleme ve güvenlik testleri dahil miydi? Değilse güncelleme sorumluluğu kime aitti?
- 26 Haziran'da duyurulan ve 20 Temmuz'da yaması yayınlanan güvenlik açığı neden uygulanmadı? Veri sorumlusu bu bir ay boyunca bunu güncellemeyi takip etti mi?
- EMO sunucusunda Zimbra'nın hangi versiyonu çalışıyordu?
- Sunucuda periyodik sızma testi yapılıyor muydu?
- Yedekleme prosedürü var mıydı? Varsa neden uygulanmadı? Yoksa neden yoktu?
- Fidye yazılımı saldırısında fidye ödendi mi?
- Veriler hackerların elinde mi? Satışa çıkarıldı mı?
- Cumhuriyet Savcılığı'na suç duyurusunda bulunuldu mu?
- 58.600 üyeye neden bireysel bildirim (SMS/e-posta/telefon araması) yapılmadı? Neden Cuma 17:00'de, yalnızca web sitesinde, yalnızca bir link ile bildirildi?
- Bu ihmalden dolayı görevden alınan veya istifa eden tek bir kişi var mı?
İşçi Düşmanlığı Varken Üyenin Verisine Kim Baksın?
Bu yönetim bir ay boyunca güvenlik yamasını uygulamadı. Üyenin ihtiyaçları ile ilgili pek bir şey de göremediğimize göre şu soru hemen akıllara geliyor: Peki bu yönetimin işi ne?
EMO yönetiminin gündemi sunucu güvenliği değil, üye sorunu değil, genel kurulda kendisini aklamayan bir çalışandan intikam almaktı.
Yamanın yayınlandığı 20 Temmuz'da EMO yönetimi Nursemin Yıldız'ın direnişini kırmakla meşguldü. CISA'nın 3 günlük acil yama emri verdiği hafta, EMO yönetimi spekülasyon üretmekle meşguldü. Yedekleme prosedürünü uygulamayan yönetim, bir çalışanın genel kuruldaki oyunu soruşturmaya vakit buldu.
E-posta sunucusunu güncelleyecek zaman ve kaynak bulamayan bu yönetim, kesinleşmiş yargı kararlarına rağmen iktisadi işletme kurmaya vakit bulmuştur. Zimbra yazılımının yamasını uygulamayan yönetim, mahkeme kararını baypas etmeye çalışmaktadır.
Öncelikler ortadadır. Bu yönetim ne üyenin verisini koruyabilmiştir ne de üyenin iradesine saygı göstermiştir. Bu yönetimin önceliği üyenin çıkarı değil, kendi ticari yapılanması ve koltuk sevdasıdır.
Hesap Vereceksiniz! İstifa Edin!
Bu ihmallerin tamamı Mahir Ulutaş yönetimi döneminde gerçekleşmiştir. Seçim manipülasyonu yapmaya vakti olan yönetim, sunucuyu güncellemeye vakit bulamamıştır. Koltuk kavgasıyla geçen günlerde 58.600 üyenin verisi korumasız bırakılmıştır.
Tüm dünya yazılımın yamasını yaparken, EMO uyuyordu.
Bir kamu kurumu niteliğindeki meslek örgütünün en temel sorumluluklarından biri, üyesinin çıkarlarını korumaktır. EMO yönetimi bu sorumluluğu yerine getirmemiştir. Üstelik ihmali örtbas etmeye çalışmaktadır. EMO etkin yönetim anlayışı mevcut siyasal iktidarın davranışlarını birebir taklit etmektedir. Bu süreçte herhangi bir istifa veya görevden alma girişimi olmamıştır. Sorumlular korunmaktadır.
EMO'nun KVKK kapsamındaki veri sorumlusu müdür Doğukan Yurttaş ve bu süreçteki idari sorumlular derhal görevden alınmalıdır. Veri güvenliğini sağlayamayan, ihmali örtbas etmeye çalışan, üyeye hesap vermeyen bir kadronun bu görevde bir gün daha kalması kabul edilemez.
Ama sorumluluk yalnızca veri sorumlusuyla sınırlı değildir. Aynı zamanda doğrudan sorumlular sunucuyu güncelleyecek kaynak ayırmayan, yedekleme prosedürünü denetlemeyen, güvenlik testini yaptırmayan, genelde EMO yönetimi, özelde ise EMO Yönetim Kurulu Başkanı Mahir Ulutaş ve EMO Yazman Yönetim Kurulu Üyesi Ender Kelleci’dir. Sorumlular derhal tüm üyeye hesap vermelidir.
Elektrik Mühendisleri Odası gibi otorite olması gereken bir kurumda böyle teknik ihmallerin olması kabul edilemez. Yönetim ihmalkâr olduğu kadar teknik olarak da yetersizdir.
İhmalkâr, liyakatsiz ve koltuk sevdalısı Mahir Ulutaş ve destekçisi yönetim kurulu üyeleri derhal istifa etmelidir.
