Ömer Fatih Sayan’dan “10 diploma” açıklaması: ‘Emek ürünü’

“SORU BİR: Olup bitenlerde BTK’nın hiç sorumluluğu yok mu?

FATİH SAYAN: Açık konuşmak gerekirse burada BTK’nın teknik manada bir sorumluluğu yok. Zira BTK tarafından yetkilendirilen Elektronik Sertifika Hizmet Sağlayıcıları’nın (ESHS) sistemleri, inançlı elektronik imza üretim süreçleri ve altyapıları en yüksek güvenlik standartlarında çalışıyor. Lakin şunu da söylemem lazım: Olayların çıkış noktası teknik bir zaaf değil, kimlik doğrulama sürecinde kullanılan düzmece dokümanlar. Yani bu iş, sistemin içine teknik bir halde sızmak değil, insan ögesini kandırmak üzerine kurulmuş bir dolandırıcılık sistemi. Biz BTK olarak işin şu kısmında varız: Düzenlemeleri yapar, gerekli tedbirlerin alınmasını sağlar ve sonrasında kimi yetkileri güvenliğinden emin olduğumuz, teminatlarını tam olarak bizlere sunabilen firmalara müsaade veririz.

Şimdi kendinizi yetkilendirilmiş bir firma üzere düşünün. Karşınıza bir kişi geliyor ve e-imza almak istediğini söylüyor. Siz de “kimliğinizi alabilir miyim?” diyorsunuz. Kimliğe bakıyoruz, her şey olağan. Kimlik her şeyi ile hatta hologramına kadar orjinal görünüyor. Ne yaparsınız? Hele kimlikteki fotoğraf, başvuruyu yapan kişinin fotoğrafı ise. Bu durumda gerekli denetimleri yapıyor ve sürece müsaade veriyorlar. Süreç bu biçimde ilerliyor.

Ve şunun bilhassa altını çizmek istiyorum: Bu olayları ortaya çıkaran da tekrar biziz. BTK ve USOM olarak hem dijital izleri topladık hem de bunları kanıt haline getirip isimli mercilere sunduk. Bugün okuduğunuz iddianameye kaynak olan bilgilerin tamamı bizim tespitlerimiz.

SORU İKİ: BTK, “Bir güvenlik açığı yoktu” diyebiliyor mu?

FATİH SAYAN: Evet, rahatlıkla diyebilirim. Teknik olarak sistemin kırılması, e-imzanın kopyalanması ya da taklit edilmesi mümkün değil. Aslında şu mevzuya da açıklık getirmek istiyorum: 5070 sayılı yasaya uygun üretilmiş inançlı elektronik imza, aslında kriptografik olarak çok güçlü ve teknik müdahaleyle kopyalanması imkânsız. O yüzden burada bir yazılım yahut donanım zafiyeti kelam konusu değil. Buradaki olayda dolandırıcılar, düzmece evraklarla kimlik doğrulama sürecini kandırmaya çalıştı. Yani sistemin dijital tarafı kırılmış değil. Sorun insan faktörünün devreye girdiği fizikî doğrulama adımında yaşandı.

SORU ÜÇ: BTK’nın temel yaklaşımı, “Her şey dört dörtlüktü, buna karşın bunlar oldu” biçiminde mi?

FATİH SAYAN: Hayır, biz hiçbir vakit “Sistem harikaydı, yapılacak diğer bir şey yoktu” demiyoruz. Dünyanın her yerinde kritik dijital sistemler öncelikle devreye alınır, o anki en aktüel güvenlik tedbirleri uygulanır, sonrasında alandan gelen deneyim ve hücum teşebbüsleriyle sistem daima güncellenir.

Mesela WhatsApp’ı düşünün: Her güncelleme, aslında daha evvel tespit edilmiş bir açığın kapatılması yahut güvenliğin güçlendirilmesi için. Bu şekil yüksek güvenlik gerektiren uygulamalar da tıpkı formda daima güncellenir. Bu bizim de yaptığımız bir şey. Biz aslında güçlü bir sistemle başladık ancak bu olaydan sonra daha da üstüne koyduk. Yani burada temel bakış açımız şu: Güvenlik daima yaşayan bir süreçtir, bitmiş bir iş değildir.

SORU DÖRT: BTK Başkanı’nın uydurma e-imzasının çıkarılmasına cüret edilmesi olağan mi?

FATİH SAYAN: Mutlaka olağan değil. Fakat bu olay bize şunu gösterdi: Dolandırıcılar, maksatları kim olursa olsun, ellerine fırsat geçtiğinde her düzeyden bireye saldırabilir. BTK Liderine, “değerli bir hedef” olduğu için taarruz teşebbüsünde bulunuluyor. Bugün büyük şirketlerin CEO’larının, devlet liderlerinin, banka müdürlerinin kimlik bilgileri üzerinden dolandırıcılık teşebbüsleri yaşanabiliyor. Bizim farkımız, bunu çok kısa müddette tespit edip tedbir almamız ve isimli süreçleri başlatmamız oldu.

SORU BEŞ: Bir zafiyet var mıydı? Varsa nerelerde vardı?

FATİH SAYAN: Zafiyet teknik altyapıda değil, yüz yüze kimlik doğrulama sürecinde ortaya çıktı. Orada kullanılan düzmece dokümanlar gerçekmiş üzere kabul edilmiş. Aslında elektronik imza tek başına kullanılabilen bir araç değil. O aracın kullanılabilmesi için Öğrenci Bilgi Sistemi (ÖBS) üzere bir uygulamaya muhtaçlık var. Bu demek oluyor ki e-imza, bir uygulamanın güvenlik açığını tek başına kapatamaz.

Bu yüzden 10 Ekim 2024’ten itibaren büsbütün elektronik kimlik doğrulama sistemine geçtik. Yani artık kimlik doğrulama, biyometrik datalar ve çipli kimlik kartları üzerinden, insan kusuruna yer bırakmadan yapılıyor. Böylelikle bu yolla dolandırıcılık yapma ihtimali sıfıra yakın hale geldi.

SORU ALTI: Yeni sahtekârlık teşebbüsleri kelam konusu olabilir mi?

FATİH SAYAN: Dolandırıcılık teşebbüsleri her vakit mümkünlük dahilinde. Lakin BTK, yeni düzenlemeler ve elektronik kimlik doğrulama zaruriliği ile risk düzeyini en aza indiriyor. Ayrıyeten SMS bilgilendirme ve anlık sorgulama üzere ek tedbirlerle, mümkün teşebbüslerin erken basamakta fark edilmesi sağlandı. Sağlanmaya devam edecek.

Ancak ne olursa olsun, bu işte hiçbir vakit “Artık kimse bir şey yapamaz” diyemezsiniz. Dolandırıcılar daima yeni formüller dener, biz de daima tedbir alırız. Burada değerli olan, her yeni teşebbüste çok süratli tespit, anında müdahale ve tesirli bir yargı süreciyle caydırıcılık sağlamaktır. Bu olayda da biz bunu yaptık.

SORU YEDİ: Bu olay ortaya çıktıktan sonra BTK, hangi somut adımları attı?

FATİH SAYAN: İncelemelerin ve delillendirme çalışmalarının tamamlanmasının akabinde 10.10.2024 prestijiyle tüm e-imza sağlayıcılarına gönderilen resmi yazıyla yüz yüze kimlik ibrazı ile müracaat alımı kesin olarak durduruldu.

BTK tarafından re’sen kontroller başlatıldı ve uydurma kimliklerle üretilmiş e-imzalar iptal edildi. 14.01.2025 tarihli BTK Konsey Kararı ile, NES müracaat sahibine ilişkin tüm taşınabilir sınırlara süreç bilgisini içeren SMS gönderilmesi mecburî hale getirildi ve sertifikaların, SMS gönderiminden en az 6 saat sonra üretilebilmesi kuralı getirildi. Müracaat sahiplerinin isimlerine düzenlenen NES’leri e-Devlet Kapısı üzerinden sorgulayabilecekleri bildirildi. Ayrıyeten BTK vatandaşları bilgilendirmek için bahisle ilgili web sitesinde de bir basın açıklaması yayımlandı”

“İKİ DOKTORA: 2016 yılında ‘aynı anda birden fazla programa kayıt yaptırılamaz’ kararı geldi. Lakin bu düzenleme, 2016 öncesi birden fazla programa kayıtlı öğrencileri kapsamıyordu. Ben ve benim durumumda olan herkes, bu haktan yararlanabildi. Benim iki doktora yapmam bu türlü mümkün oldu. Söylendiği üzere bir çırpıda yapılmış çalışmalar değil bunlar, yaklaşık 8 yıllık bir emeğin eseri.

YÜKSEK LİSANSLAR: İstanbul Üniversitesi Elektronik Mühendisliği’nden mezun olur olmaz Biyomedikal Mühendisliği alanında yüksek lisansa başladım ve tamamladım. Ayrıyeten Almanya’nın en düzgün 1’inci, dünyanın en âlâ 28’inci üniversitesi olan Münih Teknik Üniversitesi’nden kabul aldım ve burayı bitirdim. 17 yıl sonra imtihana girip hukuk fakültesini kazandım ve 2015 yılında Bahçeşehir Üniversitesi Hukuk Fakültesi’ni muvaffakiyetle tamamladım.

ANADOLU ÜNİVERSİTESİ: İmtihansız ikinci üniversite giriş hakkımı kullanarak Anadolu Üniversitesi Açıköğretim Fakültesi kısımlarında okudum. Burada okuduğum son kısım İngilizce Memleketler arası Münasebetler kısmı oldu.

Hiçbir vakit ‘bu kadar yeter’ demedim. Birilerinin iftirası yüzünden bu saatten sonra bu duruşumu değiştirmem. Okumaya ve eğitimimi sürdürmeye devam edeceğim. Beni tanıyan herkes okuma ve kendini geliştirme konusunda ne kadar hassas olduğumu bilir”