Sahte İş İlanları Siber Güvenlik Riski Haline Geldi: Milyonlarca CV Kimin Elinde? İş ararken kimliğinizi kaybetmeyin!.. 

Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, dijital platformlarda yayımlanan sahte, yanıltıcı veya gerçek amacı gizlenmiş iş ilanlarının artık yalnızca bir dolandırıcılık yöntemi olarak görülmemesi gerektiğini belirterek, bu ilanların kişisel verilerin toplanması, bireylerin dijital profillerinin çıkarılması, kimlik bilgilerinin kötüye kullanılması ve hedefli siber saldırılar için veri elde edilmesi amacıyla kullanılabildiğine dikkat çekti. Doğanay, “Yapay zekâ ile güçlenen yeni nesil siber tehditlerde saldırganın hedefi artık yalnızca sistemler değil; insanın kimliği, verisi ve dijital güvenidir.” dedi. 

İş başvurusu yapanların verileri risk altında

İnternet üzerinden gerçekleştirilen işe alım süreçlerinin her geçen gün arttığını belirten Doğanay, milyonlarca kişinin iş bulabilmek için özgeçmişlerini farklı platformlar ve şirketlerle paylaştığını, ancak bu verilerin kimler tarafından hangi amaçla toplandığı ve ne kadar süre saklandığı konusunda önemli belirsizlikler bulunduğunu söyledi.

Son zamanlarda kamuoyunda geniş yankı uyandıran ve yüzlerce iş başvurusu yapmasına rağmen geri dönüş alamayan aday örneklerinin, meselenin yalnızca istihdam piyasası açısından değerlendirilmemesi gerektiğini gösterdiğini belirten Doğanay, “Burada asıl tartışılması gereken, kaç başvuru yapıldığı değil; milyonlarca vatandaşın özgeçmiş, iletişim, eğitim, mesleki geçmiş ve diğer kişisel verilerinin kimlerin elinde toplandığı, ne kadar süreyle saklandığı ve hangi amaçlarla kullanıldığıdır.” dedi. 

"CV artık dijital kimliğin bir parçası"

Bir özgeçmişin yalnızca eğitim ve iş deneyiminden ibaret olmadığını vurgulayan Doğanay, şu değerlendirmede bulundu:

“Bugün bir CV; telefon numarası ve e-posta adresinin ötesinde kişinin eğitim geçmişini, çalıştığı kurumları, görevlerini, uzmanlık alanlarını, referanslarını ve kariyer yolculuğuna ilişkin çok sayıda kişisel veriyi bir arada barındırıyor. Bu nedenle CV artık yalnızca bir özgeçmiş değil, kişinin dijital kimliğinin ve profesyonel yaşamının ayrıntılı bir veri haritasıdır.”

Bu verilerin siber suç ekosistemi açısından yüksek değer taşıdığına dikkati çeken Doğanay, kontrolsüz biçimde toplanan kişisel bilgilerin başka veri sızıntıları ve açık kaynaklardan elde edilen bilgilerle birleştirilerek çok daha kapsamlı dijital profillere dönüştürülebileceğini belirtti. Bu profillerin; kişiye özel sosyal mühendislik ve hedefli oltalama saldırılarından hesap ele geçirme girişimlerine, SIM-swap ve kimliğe bürünme yöntemlerinden deepfake destekli dolandırıcılığa, sahte finansal işlemlerden sentetik kimlik oluşturmaya kadar uzanan geniş bir suç yelpazesinde kullanılabileceğini ifade etti.

Doğanay, özellikle çalışanların görev, yetkinlik ve kurum bilgilerinin saldırganlara yalnızca bireyi değil, çalıştığı kuruluşu da hedefleme imkânı sağlayabileceğine işaret ederek, “Bir CV'nin yanlış ellere geçmesi yalnızca kişisel veri ihlali anlamına gelmeyebilir. Saldırgan açısından bu belge, kişinin kim olduğunu, nerede çalıştığını, ne bildiğini, kimlerle bağlantılı olduğunu ve hangi senaryolarla ikna edilebileceğini gösteren bir istihbarat kaynağına dönüşebilir.” değerlendirmesinde bulundu.

"Her iş ilanı gerçekten işe alım amacı taşımıyor olabilir"

İnternette yayımlanan her iş ilanının gerçek bir personel ihtiyacını yansıtmayabileceğini belirten Doğanay, bazı ilanların uzun süre yayında kaldığını, sürekli güncellendiğini ancak herhangi bir işe alımla sonuçlanmadığının görülebildiğini söyledi.

Doğanay, "Burada herhangi bir kurum veya platformu suçlamak doğru olmaz. Ancak gerçekten işe alım yapılmayan ilanlar üzerinden büyük ölçekli kişisel veri toplanıp toplanmadığı mutlaka incelenmeli. Milyonlarca insanın kişisel verisinin hangi amaçlarla işlendiği konusunda daha fazla şeffaflığa ihtiyaç var." ifadelerini kullandı.

Sahte iş ilanları dijital manipülasyon aracı hâline gelebilir

Doğanay, gerçek bir işe alım amacı taşımayan ilanların yalnızca kişisel veri güvenliği açısından değil, dijital ekosistemin güvenilirliği açısından da risk oluşturabileceğini belirtti.

Bazı şirketlerin veya kötü niyetli yapıların, gerçekte personel ihtiyacı bulunmamasına rağmen sürekli iş ilanı yayımlayarak web sitelerine trafik çekmeyi, sosyal medya hesaplarının etkileşimini artırmayı veya sürekli büyüyen bir organizasyon algısı oluşturmayı hedefleyebileceğine dikkat çeken Doğanay, bu tür uygulamaların aynı zamanda adayların kişisel verilerinin gereksiz yere toplanmasına neden olabileceğini ifade etti.

Doğanay, şu değerlendirmede bulundu:

"Dijital platformlarda yayımlanan her iş ilanının gerçekten istihdam amacı taşıdığı varsayımıyla hareket edilmemelidir. Eğer herhangi bir işe alım yapılmadığı hâlde sürekli yeni ilanlar yayımlanıyorsa, bunun amacı ve toplanan kişisel verilerin nasıl işlendiği şeffaf biçimde ortaya konulmalıdır. Bu durum yalnızca insan kaynakları uygulaması olarak değil, kişisel verilerin korunması ve siber güvenlik perspektifiyle de incelenmelidir. Kaldı ki Kişisel Verileri Koruma Kanunu da kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ilkesi kapsamında veri minimizasyonu uygulanması gerektiğini belirtir. Gereksiz fazla veri siber risk iştahını artırır."

Gerçek dışı işe alım ilanlarının kurum içinde de olumsuz etkiler oluşturabileceğini belirten Doğanay, sürekli yeni personel arandığı algısının çalışanlar üzerinde iş güvencesine ilişkin kaygıları artırabileceğini, bunun da kurum kültürü ve çalışan psikolojisi açısından değerlendirilmesi gereken ayrı bir konu olduğunu söyledi.

Doğanay, yapay zekâ çağında büyük ölçekli CV havuzlarının siber saldırganlar açısından önemli bir hedef hâline geldiğini belirterek, "Milyonlarca özgeçmişten oluşan veri havuzları, kötü niyetli kişilerin eline geçtiğinde sosyal mühendislik saldırıları, hedefli oltalama kampanyaları ve kimlik dolandırıcılığı için kullanılabilecek stratejik veri kaynaklarına dönüşebilir. Bu nedenle işe alım süreçleri artık sadece insan kaynaklarının değil, siber güvenlik uzmanlarının da ilgi alanına girmektedir." ifadelerini kullandı.

Siber Güvenlik Uzmanından İşe alım süreçleri için yeni standart çağrısı

İşe alım süreçlerinde kişisel verilerin korunmasına yönelik yeni standartlar geliştirilmesi gerektiğini belirten Doğanay, şu önerilerde bulundu:

- Gerçek bir açık pozisyon bulunmadan iş ilanı yayınlanmamalı

- Gerçek ve güncel bir açık pozisyona dayanmayan ilanlarda bu durum adaylara açıkça belirtilmeli. 

- Özgeçmiş havuzu oluşturmak amacıyla kişisel veriler toplanmamalı

- Adaylardan toplanan kişisel verilerin hangi amaçla işlendiği açık şekilde belirtilmeli.

- İşe alım süreci tamamlandıktan sonra ihtiyaç duyulmayan özgeçmişler mevzuata uygun biçimde silinmeli.

- İş ilanı platformları ve işverenlerin kişisel veri işleme süreçleri düzenli olarak denetlenmeli.

- Adaylar, kişisel verilerinin ne kadar süre saklanacağı konusunda açık ve anlaşılır şekilde bilgilendirilmeli.

Bunlara ek olarak; aktif olarak iş aramayan vatandaşlarımızın kariyer platformlarındaki hesaplarını gözden geçirmelerini, ihtiyaç duymuyorlarsa özgeçmişlerini yayından kaldırmalarını veya hesaplarını silmelerini öneriyoruz. Çünkü internette uzun süre erişilebilir halde bırakılan kişisel veriler, zaman içinde farklı risklere maruz kalabiliyor. Dijital dünyada kullanılmayan veriyi çevrimiçi ortamda tutmamak en temel siber güvenlik prensiplerinden biridir.

“Yapay zekâ çağı ile güçlenen yeni nesil siber tehditlerde saldırganın hedefi artık yalnızca sistemler değil; insanın kimliği, verisi ve dijital güvenidir.”

Yapay zekâ teknolojilerinin gelişmesiyle birlikte kişisel verilerin değerinin her zamankinden daha fazla arttığını vurgulayan Doğanay, sözlerini şöyle tamamladı:

"Eskiden siber güvenlik denildiğinde akla sunucular, ağlar ve bilgisayar sistemleri gelirdi. Bugün ise en değerli hedef insanın kendisi ve ona ait veriler. Yapay zekâ çağında siber güvenlik artık yalnızca sistemleri değil, insan verisini korumaktır. İş arayan milyonlarca vatandaşın özgeçmişi de korunması gereken stratejik dijital varlıklar arasında yer alıyor. Kişisel verilerin güvenliği artık sadece bireysel bir hak değil, dijital ekonominin ve ulusal siber güvenliğin de temel unsurlarından biridir. Ayrıca bu sorun yalnızca işverenlerin veya kariyer platformlarının inisiyatifine bırakılamaz. Kamu otoriteleri tarafından da etkin düzenleyici ve denetleyici mekanizmaların geliştirilmesi gerekiyor. Türkiye’de iş ilanları üzerinden gerçekleştirilen kişisel veri toplama faaliyetleri daha etkin denetlenmeli; gerçek bir açık pozisyona dayanmayan ilanlar için şeffaflık yükümlülüğü getirilmeli ve aday havuzu oluşturmak amacıyla yapılan veri toplama faaliyetleri açık kurallara bağlanmalıdır. İşverenlerin ve kariyer platformlarının topladıkları özgeçmişleri hangi amaçla ve ne kadar süreyle sakladıkları denetlenmeli; kapanmış veya gerçekte mevcut olmayan pozisyonlara ilişkin ilanların belirli süreler içerisinde yayından kaldırılması sağlanmalıdır. Ayrıca yanıltıcı iş ilanlarının bildirilebileceği etkin bir mekanizma oluşturulmalı ve tekrarlayan ihlaller için idari yaptırımlar değerlendirilmelidir. Milyonlarca vatandaşın kişisel verisinin işlendiği böylesine büyük bir dijital ekosistemde denetim artık yalnızca ilanların içeriğini değil, ilanların arkasındaki veri toplama, kullanma, paylaşma ve saklama süreçlerinin tamamını kapsamalıdır. "

Konu ile ilgili daha fazla bilgi ve röportaj talepleri için:

Nurhan Demirel - 0532 574 9378

nurhandemirel@gmail.com

EDİTÖRE NOTLAR:

Hamza Aytaç Doğanay Hakkında: 

2000 Yılında Polis Koleji’ni derece ile bitirmiş, 2004 yılında Polis Akademisi’nden başarı ile mezun olup Ankara ilinde Komiser Yardımcısı olarak göreve başlamıştır. Ankara Üniversitesi’nde Adli Bilişim Tezli Yüksek Lisansını tamamlamış ve “Mobil Cihaz Adli Bilişiminde Karşılaşılan Güncel Zorluklar Ve Delil Zinciri” isimli kitabı yazmıştır. Microsoft Sistem Mühendisliği, Adli Bilişim uzmanlığı, Sibersuç Soruşturma, Çevrimiçi Gizli Soruşturma gibi eğitimleri ve bahse konu alanlarda tecrübesi bulunan Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç DOĞANAY, 6 yıl EGM Siber Suçlarla Mücadele Daire Başkanlığında yönetici ve adli bilişim uzmanı olarak görev yapmıştır. Iphone Data Security (LOCARD,2018), Criminal Justice Statistics on Cyber Crime and Electronic Evidence (Romanya, 2018), Analyze of an Infostealer (Güney Kore, 2019), Siber Terörle Mücadelede Karşılaşılan Zorluklar (e-Safe, 2019) gibi yurtdışı İngilizce ve yurtiçi Türkçe olmak üzere birçok sunum vermiş ve eğitim vermiştir. Ayrıca Avrupa Konseyi Sibersuç Program Ofisi (C-PROC) danışmanlığı ve İstanbul Gelişim Üniversitesi Siber Güvenlik Uygulama ve Araştırma Merkezi Danışma Kurulu Üyeliği görevleri yürütmüştür. Akademik kariyerine geçiş yapmadan önce Siber Suçlarla Mücadele ve Asayiş Şube Müdürlüğü yaptığı dönemde görev yaptığı ilde daha önce çözülememiş 3 faili meçhul cinayeti ekibiyle birlikte aydınlatmıştır. 

Şu anda Doğanay Siber Emniyet Teknolojileri (DSET) kurucusu olarak Adli Bilişim, Veri Kurtarma ve Siber Güvenlik, Yapay Zeka Destekli ürün geliştirme hizmetlerinin yanında Ankara Üniversitesi’nde Kişisel Verilerin Korunması Kanunu (KVKK) uyum süreci, bilgi güvenliği ve adli bilişim alanlarında uzman sıfatıyla Öğretim Görevlisi olarak görevine devam etmekte olup Gazi Üniversitesi Bilgi Güvenliği Mühendisliği bölümünde PhD (Doktora) çalışmasına devam etmektedir.

Doğanay Siber Emniyet Teknolojileri Hakkında: 

2021 yılında Hacettepe Teknokent bünyesinde kurulan Firma, Adli Bilişim, Siber Güvenlik, Veri Kurtarma ve Yapay Zeka Destekli Sistem geliştirme konularında çalışmalarına devam etmektedir. Adli Bilişim alanında sunulan Bilirkişi Raporları ve Uzman Mütalaaları ile adli süreçlerdeki teknik eksiklikler giderilmekte ve doğru sonuçlar elde edilmesi sağlanmaktadır. Adli Bilişim servisleri arasında 8 yıldır çözülememiş cinayetlerin aydınlatılması, 4 yıllık mahkeme ve istinaf sürecinde aslında almamaları gereken 6’şar yıl 3’er ay hapis cezasına çarptırılmış 3 kişi ile ilgili doğru teknik rapor sunumu ile beraat etmelerinin sağlanması, Türkiye menşeili uluslararası şirketlerin siber saldırı sonrası bilişim sistemlerine yerleşerek kalmış olan casusların tespiti ve temizlenmesi, saldırganların faaliyet gösterdikleri yerlerin tespiti gibi başarılı çalışmalar bulunmaktadır.

DSET, veri kurtarma alanında da en iyi kurumlar arasındadır. Ransomware (fidyeci yazılım) saldırısına maruz kalmış sistemlerde recovery sağlanması, denize ve iş makinelerinin altına atılmış DVR cihazlarından veri kurtarılması, yangından ve depremden çıkan aile disklerinin kurtarılması, cep telefonu, araç multimedya sistemleri, araç e-call telemetri sistemleri ve flash belleklerden şifre kırma, chip off, ISP, J-TAG gibi ileri seviye teknik yöntemlerle veri kurtarılması, kamu kurumlarında bulunan kritik sistemlere yerinde müdahale ile gizli verilerin kurtarılması başarılı veri kurtarma çalışmalarından sadece birkaçıdır. DSET başarıları arasında KOSGEB tarafından onaylanmış ve desteklenmiş olan Yerli Adli Kopya Alma Yazılımı Projesi geliştirilmesi bulunmaktadır. 

DSET bünyesinde öz kaynaklarla geliştirilen Yapay Zeka destekli üst seviye ofansif zafiyet tespit ve ispat sistemi KA’OS (Kognitif Artırımlı Ofansif Sistem) ile de yetkilendirilmiş sistemlerde kurumların farkında olmadıkları ve hatta zero-day (sıfırıncı gün) açıklarını tespit ederek PoC kanıtlar ile açıkların derhal kapatılması sağlanmakta, yazılım ve donanım olmak üzere diğer tüm dijital varlıkların güvenliklerini en üst düzeye çıkararak dijital vatan güvenliği ile marka değerlerinin korunmasına katkıda bulunmaktadır. Bir hacker ordusu yeteneğinde çalışan KA’OS insan hatasını, bilgi eksikliğinii ve hantallığını ortadan kaldırarak zafiyetleri gözden kaçırmadan AI vs AI döneminde siber dayanıklılığın en büyük destekçisi olarak görev yapmaktadır.