20 Temmuz’da Güvenlik Güncellemesi Yayımlandı. EMO 14 Ağustos’ta Yetkisiz Erişim Gerçekleştiğini Söylüyor; KVKK Bildiriminde Tespit Tarihi 28 Ağustos. Sistem Neden Zamanında Güncellenmedi?
EMO Yönetimi, 58.600 üyeyi etkileyen veri ihlaline ilişkin bir açıklama daha yaptı. Sekiz maddelik metin çok sayıda teknik terim ve ikincil kaynak içeriyor. Ancak açıklamalar olayın merkezindeki temel sorulara açık ve doğrulanabilir yanıt vermiyor.
Bu soruları teknik jargondan arındırarak tek tek ele alacağız. Her iddiamızı EMO'nun kendi cümlelerine, KVKK'nın duyurusuna ve yazılım üreticisinin kayıtlarına dayandıracağız.
Önce herkesin anlayabileceği birkaç temel kavramı açıklayalım.
Yazılım Güncellemesi Ne Demektir?
Her yazılımda zaman zaman güvenlik açıkları tespit edilir. Yazılım üreticisi bu açıkları kapatmak için güncelleme (yama) yayınlar. Bu yama uygulandığında açık kapanır, uygulanmazsa kapı açık kalır. Güncelleme yapmak, kapınızı kilitlemeye eşdeğerdir.
Dışarıdan Alınan Hizmetlerde Güncelleme Nasıl Takip Edilir?
EMO, e-posta hizmeti için Zimbra yazılımını kullanıyordu. Zimbra'nın kendi güvenlik bildirim sayfası var (Security Advisories), kendi blogu var, RSS bildirimi var ve e-posta listesi var. Yazılımı kullanan her kurum bu kanalları takip etmek ve güncelleme çıktığında uygulamak zorundadır. Bu, yazılım güvenliğinin en temel ilkesidir. Herhangi bir devlet kurumunun veya üçüncü tarafın ayrıca haber vermesini beklemeye gerek yoktur. Kaynak doğrudan üreticidir.
Hackerlar Ne Zaman Saldırır?
Bir güvenlik yaması yayınlandığı anda, dünya üzerindeki hackerlar o yamayı analiz ederek açığın ne olduğunu anlar. Yamayı henüz uygulamayan sistemlere saldırırlar. Yama yayınlandıktan sonraki ilk haftalar en tehlikeli dönemdir. Bu nedenle güvenlik yamaları yayınlanır yayınlanmaz, beklemeden uygulanmalıdır. "Henüz kimse saldırmamıştı" demek, "kapıyı kilitlemedim çünkü henüz hırsız gelmemişti" demektir.
Yazılım Güvenliği Temelde Ne Demektir?
Yazılım güvenliğinin temel unsurları arasında güvenlik güncellemelerinin zamanında uygulanması ve doğrulanmış yedeklerin tutulması vardır. Mevcut açıklamalar, bu iki başlıkta da ciddi sorular doğurmaktadır.
Tarih Çizelgesi: Kim, Ne Zaman, Ne Yaptı?
| Tarih | Ne Oldu? |
| 26 Haziran 2026 | Zimbra, güvenlik açığını (CVE-2026-73570) dünyaya duyurdu ve geçici önlem (mitigation) yayımladı. |
| 20 Temmuz 2026 | Zimbra, kalıcı güvenlik güncellemesini/yamayı yayınladı (sürüm 10.1.20). |
| 13 Ağustos 2026 | Açık, CVE-2026-73570 numarasıyla ABD Ulusal Güvenlik Açığı Veritabanı'nda (NVD) yayımlandı (tehlike puanı 10 üzerinden 8,9). |
| 14 Ağustos 2026 | Kalıcı yamanın yayımlanmasından 25 gün, geçici önlemin yayımlanmasından 49 gün sonra EMO'nun 2. açıklamasına göre sunucuya yetkisiz erişim gerçekleşti. |
| 14 Ağustos 2026 | USOM, TR-26-0836 bildirimini yayınladı (7 CVE'yi kapsayan genel güncelleme tavsiyesi) |
| 17 Ağustos 2026 | CERT Polska, açığın aktif olarak saldırılarda kullanıldığını duyurdu. |
| 21 Ağustos 2026 | ABD siber güvenlik ajansı CISA, açığı bilinen istismar edilen açıklar kataloğuna ekledi ve federal kurumlara 3 gün süre verdi. |
| 28 Ağustos 2026 | KVKK duyurusuna göre ihlalin tespit tarihi, yamadan 39 gün, geçici önlemden 63gün, yetkisiz erişimden 14 gün sonra EMO'nun e-posta hizmetleri durdu. |
| 30 Ağustos 2026 | EMO’nun KVKK duyurusuna göre ihlal sona erdi. |
| 2 Eylül 2026 | KVKK Kurulu 2026/1878 sayılı kararıyla ihlali kendi sitesinde ilan etti. |
| 4 Eylül 2026 Cuma ~17:00 | KVKK ilanından 2 gün, tespitten 7 gün sonra EMO, mesai bitimine doğru, yedekleme sorumluluğunu üyeye yıkan ifadelerle ilk açıklamasını yayımladı. |
| 7 Eylül 2026 | Mühendis Meclisi açıklamasını yayımladı. |
| 8 Eylül 2026 | EMO, Mühendis Meclisi’nin açıklamasına cevap niteliğindeki ikinci açıklamasını yayınladı ve ilk açıklamayı ana sayfa manşetinden indirip haber listesine düşürdü. |
Bu tablo her şeyi anlatıyor. Ama açalım.
Asıl Kaynak Zimbra'dır — USOM, CERT, CISA Hepsi İkincildir
EMO'nun savunmasının tamamı şu mantığa dayanıyor: "CERT Polska 17 Ağustos'ta uyardı, CISA 21 Ağustos'ta ekledi, USOM 14 Ağustos'ta bildirdi ama kritik demedi. Biz de 14 Ağustos'ta hacklendik. Erken dalga kurbanıyız."
Bu savunma temelinden çürüktür. Çünkü yanlış kaynağa bakıyor.
USOM, CERT Polska ve CISA ikincil kaynaklardır. Yazılım üreticisinin duyurusunu kendi ülkelerindeki kurumlara yeniden dağıtan mekanizmalardır. Nitekim USOM'un 14 Ağustos tarihli bildirimi, kaynak olarak Zimbra'nın kendi güvenlik sayfasını gösteriyor. Birincil ve en erken kaynak her zaman yazılım üreticisinin kendisidir. Yani Zimbra'nın kendisidir.
Zimbra bu açığı 26 Haziran'da duyurdu ve aynı gün geçici bir önlem yayımladı. Kalıcı yamayı 20 Temmuz'da yayınladı. Kendi Security Advisories (Güvenlik Uyarıları) sayfasında, kendi blogunda, kendi RSS feed'inde, kendi e-posta listesinde açıkça yazdı. EMO, kendi açıklamasında da bu iki tarihi aynen kabul ediyor. Yani EMO, 14 Ağustos'a kadar 49 gün boyunca geçici önlemi, 25 gün boyunca kalıcı yamayı uygulamadı.
Bir yazılımı kullanan kurum, o yazılımın güvenlik bültenlerini doğrudan takip etmekle yükümlüdür. Bu, siber güvenliğin ABC'sidir. USOM'un, CERT Polska'nın veya CISA'nın ne zaman ne dediği bu yükümlülüğü ortadan kaldırmaz.
Üstelik bu yükümlülük artık yalnızca meslek etiği değil, kanun hükmüdür. 7545 sayılı Siber Güvenlik Kanunu, 2. maddesinde "kamu kurumu niteliğinde meslek kuruluşları"nı adıyla sayarak kapsamına alır. EMO bu kanunun kapsamındadır ve 7. maddeye göre tespit ettiği siber olayları Siber Güvenlik Başkanlığı'na gecikmeksizin bildirmek zorundadır.
Daha açık söyleyelim: bir elektrik mühendisinin "Bakanlık genelge göndermeden sigortayı değiştirmem" demesi ne kadar kabul edilebilirse, EMO'nun "Zimbra söyledi ama USOM kritik demedi, o yüzden yamalamadık" demesi de o kadar kabul edilebilir. Bunu söyleyen bir kurum maalesef ki Elektrik Mühendisleri Odası'dır.
"Çok Sayıda Güncelleme Başlığından Biriydi" Yalanı
EMO diyor ki: "Bu dönemde açık, yayımlanan çok sayıdaki güncelleme başlığından yalnızca biri niteliğinde olup, fiilen saldırılarda kullanıldığına dair kamuya açık bir bilgi bulunmuyordu."
Zimbra 10.1.20 sürümünün release notes'una bakalım (wiki.zimbra.com/wiki/Zimbra_Releases/10.1.20). Bu sürümde yalnızca 9 güvenlik düzeltmesi vardır. EMO'nun açıklamalarında tartışmaya konu olan güvenlik açığı bu listenin en başındadır (Fixed a command injection vulnerability in the SNMP monitoring component). Siber güvenlikte açıkların tehlike derecesi 10 üzerinden puanlanır. Bu açığın puanı 8,9’dur. Yani 10 üzerinden 8,9. Bunu görmezden gelecek bir IT yöneticisi dünyada yoktur.
"Command injection", kimlik doğrulaması gerektirmeden uzaktan komut çalıştırmaya imkân verdiğinde son derece ciddi bir güvenlik açığıdır. Zimbra, bu güncellemede düzelttiği dokuz güvenlik açığını bir liste halinde yayınladı. İlgili açık bu listenin ilk sırasında yer almaktadır. Bu nedenle tartışılması gereken, açığın etiketinin "Yüksek" ya da "Kritik" olması değil, bu ölçekte ciddi bir güvenlik açığının neden zamanında değerlendirilip yamalanmadığıdır.
Üstelik güvenlik yaması seçmece uygulanmaz. Güncelleme çıkmışsa, dokuzu da uygulanmalıydı. EMO açıklamalarından anlaşılan, güncellemelerin hiçbirinin uygulanmadığıdır. Aksi iddia ediliyorsa, sunucunun 14 Ağustos'taki sürüm numarası açıklanmalıdır.
Bir kez daha vurguluyoruz: bir güvenlik yamasının uygulanması için saldırının gerçekleşmesini beklemeyi hiçbir siber güvenlik standardı kabul etmez. Yama yayınlandığı andan itibaren saldırı geri sayımı başlar.
"Kritik Değil, Yüksek Seviyeydi" Safsatası
EMO, USOM'un bildiriminin "Yüksek" önem seviyesinde olduğunu, "Kritik olarak sınıflandırılmadığını" özellikle vurguluyor.
CVSS skalasında 7,0-8,9 arası "Yüksek", 9,0-10,0 arası "Kritik"tir. CVE-2026-73570 güvenlik açığının risk puanı 8,9’dur. "Kritik" eşiğine 0,1 puan uzaklıkta. Bu ayrımı öne sürmek, 8,9'un 9,0'dan daha az tehlikeli olduğunu ima etmeye çalışmaktır. Güvenlik pratiğinde ikisi de "derhal yamalanmalı" kategorisindedir. "Yüksek" ama "Kritik değil" ayrımı, bu açığın zamanında değerlendirilmesi ve yamalanması gerekliliğine cevap değildir.
Saldırgan 14 Gün Boyunca İçerideydi ve Kimse Fark Etmedi
EMO'nun 8 Eylül tarihli ikinci açıklamasında diyor ki: "Sunucumuza yetkisiz erişimin gerçekleştiği 14 Ağustos 2026."
KVKK'nın 2 Eylül tarihli duyurusunda ise EMO'nun bildirimi şöyle özetleniyor: "…08.2026 tarihinde başlayan ve 30.08.2026 tarihinde sona eren ihlalin, veri sorumlusunun e-posta hizmetinin durmasıyla 28.08.2026 tarihinde tespit edildiği." Duyuruda ihlalin başlangıç günü yazmıyor; yalnızca tespit tarihi var: 28 Ağustos. EMO'nun 4 Eylül tarihli ilk açıklaması da yalnızca 28 Ağustos'tan söz ediyor ve 14 Ağustos'u hiç anmıyor.
14 Ağustos tarihi ilk kez, bizim açıklamamızdan bir gün sonra, 8 Eylül'de ortaya çıktı. Bu tarih doğruysa ortaya çok daha ağır bir tablo çıkıyor. Hacker 14 Ağustos'ta sunucuya girdi, 14 gün boyunca içeride kaldı ve EMO bunu ancak 28 Ağustos'ta, e-posta sistemi tamamen durunca fark etti. Bu 14 günde sunucuda ne yapıldı, hangi verilere erişildi, neler dışarı çıkarıldı?
İhlal 28 Ağustos'ta tespit edildiyse, ilk yetkisiz erişimin 14 Ağustos olduğu hangi teknik bulguya dayanılarak belirlendi? Bu tarih sonradan yapılan bir adli bilişim incelemesiyle tespit edildiyse, incelemenin kapsamı ve bulguları nelerdir? Bağımsız bir forensic raporu var mı? Yoksa bu tarih, "CERT Polska'dan önce hacklendik" savunmasına uysun diye mi seçildi?
KVKK'ya bildirilen ihlal aralığı 14 Ağustos'u kapsıyor mu? Kapsamıyorsa, KVKK'ya eksik bildirim yapılmış demektir. Kapsıyorsa, 4 Eylül'de üyeye neden söylenmedi?
İlk Açıklama Neden Önemsizleştirildi?
Bizim 7 Eylül tarihli açıklamamızdan sonra EMO Yönetimi, ilk yaptığı açıklamayı ana sayfa manşetinden (slider) indirdi. Yerine 8 Eylül'de ikinci açıklamayı koydular. İlk açıklama artık ikinci açıklamanın en altındaki bir bağlantı ve haberler listesindeki sıradan bir başlık olarak duruyor. Birkaç güncel haber gelince listeden de düşecek. 9 Eylül itibarıyla ilk açıklamanın okunma sayısı 857; yani ihlalden etkilenen 58.600 kişinin yüzde 1,5'i. Ama 58.600 kişiyi ilgilendiren bir veri ihlali açıklaması haber arşivinin içinde bir yerlerde değil, maşette olmalıdır. Önce manşete koyup sonra oradan çekmenin tek açıklaması vardır. Birinci açıklamadaki ifadeler teşhir edildi, ikincisini yazdılar, birinciyi geri plana attılar.
Bilmeyenler için tekrar belirtelim. EMO Yönetimi 4 Eylül 2026 Cuma günü mesai bitimine doğru bir açıklama yayımladı. O açıklamada şu cümleler vardı: "…e-posta sunucusu üzerinde bulunan kullanıcı posta kutularının ayrıca tam içerik yedeği tutulmamaktadır. Bu nedenle üyelerimizin Oda tarafından sağlanan e-posta hizmetinin kalıcı bir elektronik arşiv veya veri yedekleme hizmeti olarak değerlendirmemesi gerekmektedir."
Yani, “Biz yedek almadık, siz almalıydınız” dediler. Üstelik yedek almamayı "Odamızın teknik ve mali olanakları içerisinde uygulanabilir olmaması" ile gerekçelendirdiler. Türkiye'nin en büyük meslek odalarından biri, üyelerinin yıllarca birikmiş yazışmalarını yedeklemeyi "mali olanak" meselesi yapıyor.
EMO Yönetimi neden bu açıklamayı önemsizleştirmeye çalışıyor? Yakalandıkları için. Yedekleme ihmalini üyeye yıkan cümleler teşhir edildi, geri adım attılar. Gizlemeye çalışmak itiraftır. Suç üstü yakalanmanın itirafıdır.
Bir kamu kurumu niteliğindeki meslek örgütü resmi açıklamasını örtbas etmeye çalışıp yerine yenisini koyarak "ilk açıklama da burada" diye en alta minyatür bir link bırakamaz. Bu ciddiyet değil, şark kurnazlığıdır.
EMO Facebook Hesabı - 9 Eylül 2026
EMO Instagram Hesabı - 9 Eylül 2026
EMO X Hesabı - 9 Eylül 2026
Üstelik hâlâ bu kadar ciddi bir veri ihlalini ne sosyal medyada paylaştılar, ne SMS göndererek duyurdular, ne de üyeleri aradılar. Bireysel ve/veya etkili bir bilgilendirme şöyle dursun; EMO'nun Instagram, Facebook ve X (Twitter) hesaplarında bir paylaşım dahi yapılmadı. Bu hesaplardan yapılacak bir paylaşım en azından üyelerin durumdan haberdar olup tedbir alınmasını sağlayacakken, bu konu açığa çıkmasın kaygısıyla üye daha da mağdur ediliyor. Oda sorumlu davranmıyor. KVKK gereği etkili bir bilgilendirme gerekirken, Oda bu konuda ceza alma pahasına sorumlular hakkında işlem yapmıyor ve bu konuyu örtbas etmeye çalışıyor. Böyle bir ceza durumunda bunun bedelini de aidatları ile üyenin ödeyeceği açıktır. Sorumsuzluğun üstü başka bir sorumsuzlukla kapatılmaktadır. Kamuoyu bu ihlali KVKK'nın sitesinden 2 Eylül'de öğrendi; EMO kendi üyesine 4 Eylül'de, onu da bir web sayfasıyla söyledi. Acilen Odanın tüm üyelerine bireysel (SMS, arama veya yüz yüze) bilgilendirme ve tüm sosyal medya organları ile duyuru yapması gerekmektedir.
Normal koşullarda bir veri ihlali tespit edildiğinde yapılması gereken bellidir ve KVKK Kurulu bunu 2019/10 sayılı kararıyla açıkça yazmıştır. İlgili kişilere "iletişim adresine ulaşılabiliyorsa doğrudan" bildirim yapılır. Web sitesi ilanı ancak kişiye ulaşılamıyorsa kullanılacak ikincil yöntemdir. EMO her üyesinin telefonunu ve adresini sicilinde tutar, "ulaşamadık" diyemez. Kurul ayrıca 2019/271 sayılı kararıyla bildirimin asgari içeriğini belirlemiştir. Bildirimde ihlalin zamanı, etkilenen veri kategorileri, muhtemel sonuçlar, alınan tedbirler ve bilgi alınabilecek irtibat kişisi yer almalıdır. EMO'nun 4 Eylül açıklamasında irtibat kişisi bile yoktur. KVKK'nın kendi ilanı da 60 gün boyunca sitede kalır. Veri sorumlusu ilgili kişilere doğrudan bildirim yaptığını ispat ederse ilan erken kaldırılır. ise hâlâ yayındadır.
Sonuç olarak, üyelerin büyük çoğunluğu durumdan habersizdir. Habersiz olan üye tedbir alamaz. Tedbir alamayan üye için risk her geçen gün büyür. Şifresini değiştirmez, oltalama saldırılarına karşı dikkatli olmaz, bilgisayarındaki verileri yedeklemez. EMO Yönetimi, bizi 'kaygı ve panik yaratmak'la suçlarken, kendi üyesinden durumu gizleyerek üyenin mağduriyetinin boyutunu büyütmektedir."
"Veriler Silinmedi, Şifrelendi" Kelime Oyunudur
EMO Yönetimi diyor ki: "Veriler silinmemiştir. Şifrelenmiş durumdadır."
Şifresini çözemediğiniz, içeriğini okuyamadığınız, erişemediğiniz veri pratikte yok olan veridir. "Silinmedi, şifrelendi" cümlesi, hackerın fidye yazılımıyla kilitlediği verilerin fiziksel olarak diskte durduğunu söyler. Ama anahtarı hacker elinde tutar. Kimse açamaz.
Bu manipülasyonu yapanlar bunu biliyorlar. Kendi açıklamasında "şifrelenen verilerin bir kopyası ileride erişim imkânı doğması ihtimaline karşı korunmaya alınmıştır" diyorlar. Yani, fidye yazılımının şifresinin bir gün kırılacağını umuyorlar. Bir kamu kurumu niteliğindeki meslek örgütünün veri kurtarma stratejisi “umut” etmekten ibarettir. Beyhude bir umut…
EMO Yönetimi ayrıca 'hesap dizini bilgilerinin önemli bölümü kurtarılarak yeni sisteme taşınmıştır' diyerek kahramanlık hikayesi yazıyor. 'Hesap dizini bilgisi' nedir? Üyelerin ad-soyad ve e-posta adreslerinin listesidir. Yani isim listesini kurtarmışlar. E-posta içeriklerini değil, yazışmaları değil, belgeleri değil, yalnızca isim listesini…
İsim listesini kurtarıp 'verilerin tamamı gitmedi' demek, bir binanın yangında kül olmasından sonra 'kapıdaki zil isimliklerini kurtardık' demeye benzer.
Parola Özetlerinin (Hashlerin) Çekildiğini Kabul Ediyorlar. Üye Risk Altındadır!
EMO yönetimi diyor ki: "Teknik incelemede dışarı aktarıldığı tespit edilen veriler; sadece oda e-posta adresleri, ad-soyad bilgileri ve şifrelenmiş parola özetleridir (hash). … e-posta içeriklerinin dışarı aktarıldığına dair bir kayıt bulunmamaktadır."
Bu cümleyi dikkatle okuyun. EMO, 58.600 kişinin e-posta adresinin, ad-soyadının ve parola özetinin saldırganlar tarafından dışarı çıkarıldığını kendi ağzıyla kabul ediyor. Aynı açıklamada bunun "üyelerimizi özel olarak hedef alan bir veri toplama girişimi" olmadığını söylüyor. Veri toplanmış ve dışarı çıkarılmışsa, bu bir veri toplama girişimidir. Saldırganın niyeti üyeyi teselli etmez.
"Şifrelenmiş parola özeti" parolaların güvende olduğu anlamına gelmez. Parola özetleri çevrimdışı olarak, sınırsız denemeyle kırılır. Zayıf ve yaygın parolalar saatler içinde çözülür. Hangi özet algoritmasının kullanıldığı (güncel Zimbra kurulumlarında SSHA-512, eski kurulumlarda çok daha zayıf yöntemler) açıklanmamıştır. Bu nedenle "parolalar şifreliydi" güvencesi, üyenin başka hesaplarda aynı parolayı kullanması hâlinde hiçbir anlam taşımaz.
"E-posta içeriklerinin dışarı aktarıldığına dair kayıt bulunmamaktadır" cümlesine gelince: bu cümle, tek başına "veri kesinlikle dışarı çıkarılmadı" anlamına gelmez. Kayıt bulunmaması, kaydın tutulmamış ya da saldırgan tarafından silinmiş olmasının da sonucu olabilir. Asıl açıklanması gereken, veri sızıntısı ihtimalinin hangi adli bilişim yöntemleriyle araştırıldığıdır.
Hangi ağ trafik kayıtları, firewall/proxy kayıtları, sunucu logları ve diğer olay kayıtları incelenmiştir? Log bütünlüğü korunmuş mudur? Saldırganın sistemde kalma süresi ve olası veri dışarı aktarımı için bir exfiltration analizi yapılmış mıdır?
"Dışarı aktarım kaydına rastlanmadı" ifadesi ancak kullanılan inceleme yöntemi ve eldeki logların kapsamı açıklanırsa anlamlıdır. 58.600 üyeyi ilgilendiren böylesine ciddi bir olayda, veri dışarı aktarımı ihtimalinin hangi teknik bulgularla dışlandığı üyelerle paylaşılmalıdır.
Outlook'ta Duruyor” Demek Yedekleme Sorumluluğuna Cevap Değildir
EMO yönetimi diyor ki: "Outlook, Thunderbird vb. kullanan aktif üyelerimizin bilgisayarlarında geçmiş verileri durmaya devam etmektedir."
Bazı kullanıcıların Outlook veya Thunderbird gibi istemcilerinde yerel/cache kopyaların bulunması teknik olarak mümkündür. Bu durum istemci ayarlarına, çevrimdışı senkronizasyon süresine ve kullanılan protokole göre değişir. IMAP kullanan bir istemci, yeni ve boş bir sunucuyla eşitlendiğinde yerel kopyaları da silebilir. "Çok büyük bir bölümünün" verisi duruyor iddiasının hiçbir dayanağı yoktur.
Kullanıcı cihazlarında bulunabilecek konfigürasyona bağlı yerel kopyalar, merkezi, doğrulanmış ve düzenli olarak test edilen bir kurumsal yedekleme sisteminin yerine geçmez. Kurumsal veri güvenliği, üyelerin kişisel bilgisayarlarında tesadüfen kalmış olabilecek kopyalara bırakılamaz.
Bu nedenle üyelerin cihazlarında geçmiş e-postaların bulunabileceğini söylemek, kurumun yedekleme sorumluluğuna cevap değildir. Asıl soru, merkezi yedeklerin mevcut olup olmadığı, bu yedeklerin saldırıdan izole edilip edilmediği ve geri yükleme testlerinin düzenli yapılıp yapılmadığıdır.
Kullanıcı tarafındaki yerel kopyaların kapsamı belirsiz ve kullanıcıdan kullanıcıya değişkendir. Bu nedenle bunlar kurumsal felaket kurtarma ve veri saklama politikasının alternatifi olarak sunulamaz.
Kendi Ağızlarından İtiraflar
EMO Yönetiminin ikinci açıklaması teknik jargonla dolu bir savunma metni gibi okunuyor. Ama satır aralarını temizlediğinizde ortaya çıkan tablo tam bir itirafnamedir. Kendi cümlelerini çevirelim:
EMO yönetimi diyor ki: "…Odamızın teknik ve mali olanakları içerisinde uygulanabilir olmaması nedeniyle e-posta sunucusu üzerinde bulunan kullanıcı posta kutularının ayrıca tam içerik yedeği tutulmamaktadır." (4 Eylül)
Tercümesi: Yedek yoktu. Bu bir kaza değil, bir tercihti.
EMO yönetimi diyorlar ki: "Yeni altyapıda yedekleme ve felaket kurtarma planlamaları hazırlanmıştır." (8 Eylül)
Tercümesi: Eski altyapıda yedekleme ve felaket kurtarma planı yoktu. Şimdi, canımız yandıktan sonra hazırlıyoruz.
EMO yönetimi diyorlar ki: "Şifrelenen verilerin bir kopyası ileride erişim imkânı doğması ihtimaline karşı korunmaya alınmıştır."
Tercümesi: Verilere erişemiyoruz. Fidye yazılımının şifresinin bir gün kırılmasını umuyoruz. Elimizden başka bir şey gelmiyor.
EMO yönetimi diyorlar ki: "Hesap dizini bilgilerinin önemli bölümü kurtarılarak yeni sisteme taşınmıştır."
Tercümesi: İsim listesini kurtardık. E-posta içeriklerini, yazışmaları, belgeleri kurtaramadık. Ama "önemli bölümü kurtardık" dersek, kulağa iyi gelir.
EMO yönetimi diyorlar ki: "Kendi cihazlarında Outlook, Thunderbird vb. kullanan üyelerimizin bilgisayarlarında geçmiş verileri durmaya devam etmektedir."
Tercümesi: Bizim yedeğimiz yok. Belki sizin bilgisayarınızda bir şeyler kalmıştır. Şanslıysanız verilerinize erişebilirsiniz.
EMO yönetimi diyor ki: "Teknik incelemede dışarı aktarıldığı tespit edilen veriler; sadece oda e-posta adresleri, ad-soyad bilgileri ve şifrelenmiş parola özetleridir."
Tercümesi: 58.600 kişinin kimlik ve parola bilgisi saldırganların elinde. Ama başına "sadece" koyarsak küçük görünür.
EMO yönetimi diyorlar ki: "Bu saldırı, veri saklama politikalarının güçlendirilmesi ihtiyacını ortaya koymuştur."
Tercümesi: Bugüne kadar düzgün bir veri saklama politikamız yoktu. Bunu itiraf ediyoruz ama "ihtiyaç ortaya koymuştur" dersek itiraf gibi görünmez.
Bunları biz yazmadık. EMO'nun kendi açıklamasından çıkardık. Her satır bir itiraftır.
EMO Geçmişte Ne Diyordu?
İroniye bakın. EMO Yönetim Kurulu, 29 Temmuz 2010 tarihli basın açıklamasında e-devlet üzerinden sızan kişisel veriler için şöyle diyordu: "Kişisel verilere yasadışı yollarla ulaşanlar ve bu verileri pazarlayanların yanı sıra bu bilgileri korumakla görevlendirilenlerin de yargılanması gerekmektedir."
Nisan 2016'da EMO Bursa Şubesi, milyonlarca yurttaşın kimlik bilgilerinin sızması üzerine yaptığı basın açıklamasında şunu tespit ediyordu: "Kişisel verilerin güvenliğini sağlamakla sorumlu olanlar önce verilerin sızdırıldığını saklamaya çalışmışlar… Tüm bunlar ülkemizde kişisel verilerin güvenliği konusunda zaafiyetten öte ciddiyetsizlik yaşandığını göstermektedir."
Bugünkü EMO'nun liyakatsiz yönetimi, 58.600 kişinin verisini 49 gün boyunca geçici önlemin uygulanmadığı, 25 gün boyunca da kalıcı yamanın yapılmadığı bir sunucuda korumasız bırakıyor. Yedek almıyor. Saldırganı 14 gün fark etmiyor. Hacklenince açıklamayı geri plana atıyor. Üyeye "sen yedek almalıydın" diyor. Sorumluluğu USOM'a, CERT Polska'ya, "erken dalga"ya atıyor. Siyasi iktidarın "dış güçler" palavralarına ne kadar benziyor, değil mi?
2010'da EMO 'bu bilgileri korumakla görevlendirilenlerin de yargılanması gerekir' diyordu. 2016'da EMO Bursa Şubesi 'önce sızdırıldığını saklamaya çalışmışlar… zaafiyetten öte ciddiyetsizlik' diyordu. Haklı ve doğru olan yaklaşım budur. Sorumluların hesap vermesi ve kamuoyunu ciddiyetle bilgilendirmesi gerekir. Konuyu örtbas etme değil. Şimdi soruyoruz: 58.600 üyenin verisini korumakla görevli olan Mahir Ulutaş ve 50. Dönem sorumlu Yönetim Kurulu üyeleri, EMO'nun kendi sözlerinin gereğini yerine getirmeye hazır mı?
"Kaygı ve Panik Yaratıyorlar" İftirası
EMO ikinci açıklamasının girişinde şöyle yazıyor: "Gerçeklerle bağdaşmayan, kaygı ve panik yaratmaya yönelik kimi değerlendirmeler yapılmaya çalışılmıştır."
Yani bize iftira atıyorlar.
Biz ne yaptık? 20 Temmuz'da yayınlanan yamanın 25 veya 39 gün boyunca uygulanmadığını söyledik. Yedek alınmadığını söyledik. Üyelere bildirimin Cuma akşamı bir web sitesi linkiyle geçiştirildiğini söyledik. Hepsini belgeyle, kendi açıklamalarına dayanarak ve teknik bilgimizle söyledik. İkinci açıklamanız bunların hiçbirini yalanlamadı, tersine her birini doğruladı.
Ayrıca "panik yaratma" ifadesinin nereden geldiğini de biliyoruz. 7545 sayılı Siber Güvenlik Kanunu'nun 16. Maddesi, "veri sızıntısı olmadığını bildiği hâlde" gerçeğe aykırı içerik üreterek panik yaratanları cezalandırır. Buradaki ihlal ise KVKK Kurulu'nun kararıyla ilan edilmiş, EMO'nun kendisinin bildirdiği gerçek bir ihlaldir. Gerçek bir ihlali eleştirmek suç değildir. Gerçek bir ihlali üyeden saklamak ise KVKK'nın açık hükmüne aykırıdır.
Soruyoruz: Hangisi gerçeklerle bağdaşmıyor?
58.600 üyenin verisi hacklenmiş, yılların yazışmaları kaybolmuş, fidye yazılımı saldırısı gerçekleşmiş… Bunu söylemek kaygı yaratmak mı? Yoksa asıl kaygı yaratan,
- üyelerin verisini saklamayı beceremeyen,
- beceremediğini söylemeyip yalana sarılan,
- teknik jargonla laf salatası yapan,
- bu gerçekleri üyeden gizlemeye çalışan,
- sorumluluğu üyeye yıkan,
ve bu temel sorulara açık ve doğrulanabilir yanıt vermeyen EMO yönetim anlayışı mı?
Gerçeklerle bağdaşmadığı düşünülüyorsa, hangi teknik tespitimizin yanlış olduğunu belge ve verilerle açıklanmalıdır.
Sorumluları Kim Soruşturacak?
KVKK'nın 18. maddesinin 4. fıkrası, kamu kurumu niteliğindeki meslek kuruluşlarına idari para cezası uygulanmasını öngörmez. Bunun yerine Kurul, ihlali Odaya bildirir ve "meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir."
Yani KVKK, EMO'ya para cezası kesmeyecek; sorumlular hakkında disiplin işlemi yapılmasını EMO'nun kendisinden isteyecek. Buradaki asıl soru şudur: Yönetim Kurulu, kendi ihmali için kendisi hakkında Onur Kurulu'na mı başvuracak, müdürünü ve sorumlu personelini mi soruşturacak, yoksa Kurul'a "işlem yapıldı" diye boş bir yazı mı gönderecek? Üyeler bu sürecin sonucunu bilme hakkına sahiptir.
Asıl mali risk başka yerdedir. 7545 sayılı Siber Güvenlik Kanunu'nun 16. maddesi, siber olayı Siber Güvenlik Başkanlığı'na gecikmeksizin bildirmeyenlere 1 milyon ile 10 milyon TL arasında idari para cezası öngörür ve bu kanunda meslek kuruluşlarına istisna tanınmamıştır. EMO, 14 Ağustos'ta girildiğini söylediği, 28 Ağustos'ta fark ettiği bu siber olayı Siber Güvenlik Başkanlığı'na bildirdi mi? Bildirdiyse ne zaman bildirdi? Bildirmediyse, o cezanın faturası üyeye ödettirilecek, üye ödentileri ceza ödemesine gidecektir. Yönetimin ihmalinin bedelini üye ödeyecektir.
Asıl Sorulara Hâlâ Yanıt Yok
EMO'nun sekiz maddelik açıklaması, asıl soruların hiçbirine yanıt vermiyor:
- Zimbra ile hangi tarihte sözleşme imzalandı? Sözleşme yenilendi mi? Güncellemeler sözleşme kapsamında mıydı?
- E-posta sunucusunu kendi teknik ekibinizle mi yönetiyordunuz, yoksa bir Zimbra bayisi/hizmet sağlayıcısı ile mi çalışıyordunuz? Bakım sözleşmesi var mıydı, güncelleme sorumluluğu kimdeydi?
- Bu hizmet satın alındığından itibaren hiç güncelleme yapıldı mı? “Yaptık” diyorsanız, bu güncellemelerin raporları nerede?
- 26 Haziran'da yayımlanan geçici önlem ve 20 Temmuz'da yayımlanan yama neden uygulanmadı? Bu süre boyunca kim neyi takip etti?
- Zimbra'nın kendi güvenlik bültenlerini takip ediyor muydunuz? RSS aboneliğiniz var mıydı?
- 14 Ağustos 2026 tarihinde EMO sunucusunda çalışan Zimbra'nın tam sürüm numarası neydi?
- CVE-2026-73570 bakımından zimbra-snmp paketi kurulu muydu ve SNMP bildirimleri etkin miydi? Sunucunun yapılandırma envanteri tutuluyor muydu?
- 10.1.20 güvenlik güncellemesi için kurum içinde risk değerlendirmesi yapıldı mı? Yapıldıysa kim tarafından ve hangi tarihte yapıldı?
- Sunucuda periyodik sızma testi yapılıyor muydu?
- İlk yetkisiz erişimin 14 Ağustos olduğu hangi adli bilişim bulgusuyla belirlendi? Bağımsız bir forensic inceleme yapıldı mı? KVKK'ya bildirilen ihlal aralığı 14 Ağustos'u kapsıyor mu?
- Veri dışarı aktarımı ihtimali için hangi log kaynakları incelendi ve exfiltration analizi yapıldı mı?
- Dışarı aktarıldığını kabul ettiğiniz parola özetleri hangi algoritmayla üretilmişti?
- 4 Eylül açıklamasında "yaklaşık 90.000 e-posta hesabı" dendi. KVKK'ya 58.600 kişi bildirildi. Aradaki 30.000'den fazla hesap kimin? Şube kurumsal hesapları da aynı sunucuda mıydı?
- Yedekleme prosedürü var mıydı? Varsa neden uygulanmadı? Yoksa neden yoktu? "Mali olanak" gerekçesinin dayanağı olan maliyet hesabı nedir?
- Offline/immutable yedek mevcut muydu? Son başarılı yedek ve son geri yükleme (restore) testi hangi tarihteydi?
- Yedekler varsa, diğer sistemlerden ve aynı kimlik doğrulama alanından izole edilmiş miydi?
- 58.600 üyeye neden bireysel bildirim yapılmadı? Neden sosyal medyada paylaşılmadı? Üye neden aranmadı? Neden üyeye SMS atılmadı?
- İlk açıklama neden manşetten indirildi?
- 14 Ağustos ile 28 Ağustos arasındaki 14 günde ne oldu?
- Siber olay, 7545 sayılı Kanun gereği Siber Güvenlik Başkanlığı'na/USOM'a bildirildi mi? Bildirildiyse ne zaman bildirildi?
- Cumhuriyet Savcılığı'na suç duyurusunda bulunuldu mu?
- Bu ihmalden dolayı görevden alınan veya istifa eden tek bir kişi var mı?
Yanıt yok. Çünkü her yanıt ihmali tescil eder.
Üyelerimize Çağrı: Tedbirinizi Kendiniz Alın, Liyakatsız Yöneticilere Güvenmeyin
EMO yönetimi görevini yerine getirmediği, “mış gibi” yaptığı için , üyelerimizi biz bilgilendiriyoruz:
- EMO e-posta hesabınızda kullandığınız şifreyi başka herhangi bir yerde (e-Devlet, banka, sosyal medya, kişisel e-posta) de kullanıyorsanız, o şifreleri derhal değiştirin.
- EMO adından gelen e-postalara karşı dikkatli olun. Hackerlar ele geçirdikleri ad-soyad ve e-posta bilgilerini kullanarak sahte e-postalar (oltalama/phishing) gönderebilir.
- Bilgisayarınızda Outlook veya Thunderbird kullanıyorsanız, programı açmadan önce internet bağlantınızı kesin. Çevrimdışı modda açın ve eski e-postalarınızı dışarı aktarın (export). Aksi takdirde yeni sunucuyla senkronize olduğunuzda geçmiş verilerinizi kaybedebilirsiniz.
- Bilinmeyen bağlantılara tıklamayın, şüpheli ekleri indirmeyin.
- Mesleki, hukuki veya ticari açıdan önemli yazışmalarınızın kaybına ilişkin kayıtlarınızı tutun. İleriye dönük hukuki süreçlerde bu kayıtlar önem taşıyacaktır.
EMO Yönetiminin yapması gereken bunu duyurmaktı. Yapmadı. Biz kendi olanaklarımız dahilinde yapıyoruz.
Tüm meslektaşlarımız! Siz de ilişkide olduğunuz meslektaşlarınıza bu metni yayınız. Elden ele kulaktan kulağa güvenlik önlemlerini yayınız. Whatsapp gruplarında duyurunuz. Kendi veri güvenliğimizi kendimiz sağlayalım. EMO Yönetiminden bu konuda fayda olmayacağı anlaşılmıştır.
Tek Soru: Yama Neden Uygulanmadı?
Sonuç olarak; EMO'nun sekiz maddelik savunmasındaki tüm teknik jargon, tüm CERT Polska ve CISA referansları, tüm "erken dalga" masalı tek bir soruyu cevaplamaktan kaçmak içindir:
Zimbra geçici önlemi 26 Haziran'da, kalıcı yamayı 20 Temmuz'da yayımladı. Kendi beyanınıza göre 14 Ağustos'a kadar 49 gün önlemi, 25 gün yamayı uygulamadınız; saldırganı da 14 gün fark etmediniz. Neden?
Bu sorunun cevabı ne USOM'dadır, ne CERT Polska'dadır, ne CISA'dadır. Cevap EMO yönetimindedir.
Biz üyenin hakkını savunuyoruz. Bilgi veriyoruz. Üyeyi sürece katıyoruz. Odada ihmale, sorumsuzluğa, üyeyi kandırmaya izin vermeyeceğiz.
EMO Yönetiminden hesap soracağız.
Sorumlular derhal istifa etmelidir.
MÜHENDİS MECLİSİ