İddianamede OSINT ve Darkweb Bulguları: İmamoğlu, Yanardağ ve Özkan Hakkında Yeni Suçlamalar
“Casusluk” suçlamasıyla 4 Temmuz 2025’te tutuklanan Hüseyin Gün’ün etkin pişmanlıktan yararlanmak amacıyla verdiği ifade sonrası genişletilen soruşturmada, CHP’nin cumhurbaşkanı adayı ve İBB Başkanı Ekrem İmamoğlu, gazeteci Merdan Yanardağ ve İmamoğlu’nun danışmanı, kampanya direktörü Necati Özkan hakkında yeni bir iddianame hazırlandı.
İstanbul Cumhuriyet Başsavcılığı’nın iddianamesinde, İmamoğlu, Yanardağ ve Özkan’a “siyasal casusluk” suçlaması yöneltildi. İmamoğlu’nun tutuklu siyasi danışmanı Necati Özkan’ın avukatı Erkam Erdem, adli bilişim mühendisi ve adli bilirkişi uzmanına iddianameyle ilgili teknik uzman mütalaası hazırlattı.
Uzman mütalaasında yapılan incelemenin, açık kaynak istihbaratı (OSINT), Darkweb pazarları, forumlar ve servisler ile açık internet üzerindeki teknik ve operasyonel verilerin derlenmesi, karşılaştırılması ve analitik değerlendirilmesi ile sınırlı olduğu; rapor bulgularının rapor tarihi itibarıyla geçerli sayılacağı, değerlendirmelerin teknik, operasyonel ve istihbari göstergelerin birlikte yorumlanmasına dayandığı vurgulandı. Raporun, teknik bulguların adli bilişim perspektifinden açıklanması ile sınırlı olduğu kaydedildi.
OSINT ve Darkweb Kavramları
Uzman görüşünde öncelikle iddianamede geçen OSINT ve Darkweb kavramlarının tanımı yapıldı. OSINT (Open Source Intelligence – Açık Kaynak İstihbaratı); hukuka uygun şekilde, herkesin erişimine açık bilgi kaynaklarından elde edilen verilerin toplanması, doğrulanması ve analiz edilmesi sürecidir. Bu yöntemde yetkisiz erişim, gizli veri elde etme veya sistemlere sızma söz konusu değildir. Adli bilişim literatüründe OSINT, doğrudan suç isnadı veya fail tespiti için değil; teknik iddiaların bağlamsal olarak değerlendirilmesi, iddiaların makuliyetinin test edilmesi ve senaryo analizleri amacıyla kullanılan destekleyici bir yöntem olarak kabul edilmektedir.
“Darkweb” ise standart internet tarayıcılarıyla erişilemeyen ve özel yazılımlar aracılığıyla ulaşılan ağ yapılarının genel adıdır. Raporda, Darkweb’in kullanımı tek başına hukuka aykırı değildir; ifade özgürlüğü, sansürden kaçınma ve gizlilik ihtiyacı gibi meşru amaçlarla da kullanılabildiği, ancak anonimlik sağlaması nedeniyle Darkweb ortamlarında hukuka aykırı yollarla elde edildiği iddia edilen kişisel verilerin paylaşımı gibi faaliyetlere de rastlanabildiği belirtildi.
Hüseyin Gün’ün İfadesindeki İBB Verileri
Uzman mütalaasında, Hüseyin Gün’ün açık kaynaklarda yer alan emniyet ifadesinin 124 ve 125. sayfalarında geçen ve İstanbul Büyükşehir Belediyesi’ne ait olduğu iddia edilen verilerin neler olduğuna ilişkin değerlendirme yer aldı. İfadelere göre, 124 ve 125. sayfalarda yer alan İBB verileri bir bilgisayar monitöründen fotoğraflanmış; web tabanlı bir arama uygulamasının sonuç ekranında görüntülenen ibb.gov.tr uzantılı e-mail adresleri olduğu belirtildi. Uzman, bu İBB e-posta adreslerinin büyük veri üzerinde arama yapmak için geliştirilmiş web tabanlı bir uygulamada görüntülendiğini tespit etti.
İnternet üzerinde çok sayıda benzer uygulama bulunduğu, ekran görüntüsünde arama kutucuğuna “leak*” şeklinde bir ifadenin girildiğinin görüldüğü kaydedildi. Yıldız (*) karakterinin kullanımının, sistemin büyük olasılıkla Elasticsearch benzeri bir full-text arama altyapısı kullandığına işaret ettiği; Elasticsearch ve benzeri arama dillerinde * joker karakterinin herhangi bir metinle eşleşebilen bir joker karakter olarak kullanıldığı belirtildi. Sorguda Türkçe’de ‘sızıntı’ anlamına gelen ‘leak*’ yazılmasıyla ‘leak’ ile başlayan tüm kategorilerdeki sonuçların arandığı, arama sonuçlarında ‘leakDoc’ ve ‘leak-myspace_20170910’ kategorilerindeki sonuçların filtrelendiği ifade edildi.
Arayüzdeki filtreleme yetenekleri değerlendirildiğinde kullanıcıların veritabanında belirli bir sızıntı kümesini, tarih aralığını veya alan adını filtreleyebildiği; her iki sayfadaki üstveri bilgilerinden sızan İBB verilerinin ‘leak-myspace_20170910’ ve ‘leakjan19_20190314’ isimleri altında bulunduğu, bu isimlerin 10 Eylül 2017 tarihli MySpace ve 14 Mart 2019 tarihinde yüklenen 19 Ocak sızıntılarına işaret ettiği ifade edildi. Yapılan incelemelerde, arayüzde sızıntı kaynakları için kullanılan isimlerin geçmişte gerçekleşen veri sızıntıları ile tutarlı olduğu tespit edildi.
MySpace Sızıntısı ve İBB.GOV.TR Uzantılı Mailler
Uzman raporunda, MySpace şirketinin 31 Mayıs 2016 tarihinde resmi internet sitesinden; çalınmış MySpace kullanıcı giriş bilgilerinin çevrim içi bir hacker forumunda paylaşıldığının tespit edildiğini açıkladığı kaydedildi. Raporda, aralarında MySpace sitesine ….@ibb.gov.tr kullanıcı adı ve …. şifresi ile kayıtlı bir hesap da bulunan 359.1 milyon hesabın, 19 Temmuz 2008’de ‘Peace’ takma adını kullanan tehdit aktörü tarafından ele geçirildiği, bu bilgilerin 31 Mayıs 2016 tarihinde Darkweb’de bulunan ‘The Real Deal’ isimli sitede 6 Bitcoin ücretle satıldığı anlaşıldığı belirtildi. Raporda söz konusu satış ilanına ait ekran görüntüsüne de yer verildi.
Yapılan incelemelerde, ekran görüntülerinde yer alan diğer tüm İBB e-posta adreslerinin de benzer şekilde Ocak 2019 sıralarında ‘Collections’ (Koleksiyonlar) ismiyle Darkweb’e sızdırıldığı anlaşıldı. İncelemede, 12,000’den fazla web sitesinin bulunduğu 2,890 ayrı kaynaktan ele geçirilerek derlendiği tespit edilen 772,904,991 kullanıcı adı ve 21,222,975 şifre içeren 87GB büyüklüğündeki veritabanında ibb.gov.tr veya İBB’ye ait herhangi bir şirkete rastlanmadığı belirtildi. Sonuç olarak, inceleme konusu fotoğraflardaki verinin üyelik ve benzeri nedenlerle İBB e-posta adreslerinin kullanıldığı farklı web sitelerinden ele geçirildiği anlaşıldı.
Bazı İBB Çalışanlarının Verilerinin Sızdırılması
Uzman raporunda, turkeyforyou.com adresli turizm amaçlı siteye İBB e-postası ile üye olan bir İBB çalışanının e-mail adresi ve bu site için oluşturduğu şifrenin, 2017 yılında diğer 81,728 site üyesiyle birlikte; aynı şekilde 1999 yılında açılan sanalmuze.org sitesine üye olan başka bir İBB çalışanına ait giriş bilgilerinin 2016 yılında diğer 14,022 Sanal Müze üyesiyle birlikte siber korsanların eline geçtiği aktarıldı.
Raporda, 7 Ocak 2019 tarihinde 12 binden fazla internet sitesi arasından rastgele seçilen 5 tanesinde ‘gov.tr’ anahtar kelimesi ile yapılan arama sonuçlarında; İBB haricinde TBMM, Adalet Bakanlığı, EGM, MEB, TÜBİTAK gibi kurumların da bulunduğu 57 devlet kurumundan 27,171 kamu görevlisinin gov.tr uzantılı e-mail adresleri ile bu sitelerde kullandıkları şifrelerin siber korsanlarca ele geçirildiğinin anlaşıldığı ifade edildi.
İncelemelerde, söz konusu sızıntının ‘Sanix’ olarak bilinen siber korsan tarafından derlendiği, ancak rakibi ‘Azatej’ tarafından sızdırıldığı tespit edildi. Her iki siber korsanın Europol tarafından tespit edildikten sonra Polonya ve Ukrayna’da yakalanıp hapse atıldığı bildirildi.
En Yüksek Risk: Aynı Şifrenin Farklı Platformlarda Kullanılması
Uzman görüşünde en yüksek risk ihtimalinin, personelin aynı şifreyi farklı platformlarda kullanması olduğu vurgulandı. Bu durumda dahi erişimin yalnızca ilgili kişinin e-posta içeriğiyle sınırlı kalacağı ifade edilerek şu tespitler yapıldı: İncelemede, 7 Ocak 2019 tarihinde sızan veri içeriğindeki ilk ele geçirilen sitenin tarihinin 29 Ağustos 2008 olduğu; 31 Mayıs 2016’da sızan verinin ise Temmuz 2008’de ele geçirildiğinin açıklandığı belirtildi. Siber korsanların 8–10 yıl süreyle aktif olarak topladıkları verilerin 2019 tarihinden çok önce ele geçirilip kullanılmaya başlandığı, 2019 yılında İBB’den ayrılan bazı personelden bağımsız olarak; Darkweb’e yüklenmiş olsun olmasın, inceleme konusu İBB verilerinin İBB sistemlerinden ele geçirilmediği; söz konusu verilerin bazı İBB çalışanlarının bireysel olarak üye oldukları web sitelerinden (örneğin sanalmuze.org) ele geçirildiği vurgulandı.
Her ne kadar e-mail adresleri @ibb.gov.tr uzantılı olsa da bu adresin yalnızca bir kullanıcı adı olduğu, ilgili şifre ile kayıtlı sistemlerde çalıştığı; İBB adına yüksek risk teşkil edebilecek tek durumun ilgili personelin İBB e-posta şifresini farklı sitelerde de kullanması olduğu, bu durumda dahi siber korsanların ancak şifresi sızan personelin e-postalarındaki bilgilere ulaşabileceği ifade edildi.
Wickr ve ByLock Karşılaştırması
Uzman görüşünde, Hüseyin Gün’ün telefonunda tespit edilen Wickr uygulaması ile ByLock’un teknik olarak karşılaştırılması ele alındı. Wickr; uçtan uca şifreleme kullanan, bireysel ve kurumsal kullanıcılar için geliştirilmiş bir mesajlaşma uygulamasıdır. Wickr, açık uygulama mağazalarından indirilebilmekte, herkes tarafından serbestçe kullanılabilmekte ve bireysel, ticari ve kurumsal kullanım alanına sahip bulunmaktadır. Amazon Web Services bünyesinde Wickr Me, Wickr Pro ve Wickr Enterprise gibi farklı sürümleri mevcuttur. Raporda, Wickr’de kullanıcı olmak için herhangi bir davet zinciri, kapalı devre kayıt sistemi veya örgütsel doğrulama mekanizması gerekmediği vurgulandı.
ByLock ise Milli İstihbarat Teşkilatı ByLock Uygulaması Teknik Analiz Raporu’na göre teknik olarak şifreli bir mesajlaşma uygulaması olup, uygulamaya erişim kapalı devre şekilde sağlanmakta, herkes tarafından serbestçe ve yaygın şekilde kullanılmasının mümkün olmadığı; kullanıcı havuzunun belirli bir yapı ile sınırlı kaldığı ve yaygın sivil/kurumsal kullanımının tespit edilmediği bildirildi. Yargıtay’ın ByLock hakkında verdiği yerleşik kararlarında ByLock’un münhasıran FETÖ/PDY silahlı terör örgütü mensuplarının kendi aralarındaki iletişim için kullandıkları kapalı devre bir haberleşme programı olduğu tespitinin yer aldığı hatırlatıldı.
Bu kabulün dayanakları olarak uygulamanın genel kullanıcı kitlesine hitap etmemesi, kullanımın örgüt içi haberleşme ile sınırlı kalması, başka meşru ve yaygın kullanım amacının ortaya konulamaması ve teknik verilerle desteklenen örgütsel bağın gösterilmiş olması gösterildi. Bu nedenle uzman raporunda, Yargıtay’ın ByLock kararındaki ölçütler Wickr’e uygulandığında, Wickr’in ByLock ile aynı kapsamda değerlendirilmesinin teknik açıdan doğru olmadığı sonucuna varıldı.
