Dijital Truva Atları…

Çocukluğumuzda her şey daha kolaydı. Sokaklarda meşe (misket) oynar, topaç çevirir, tornetlerle yokuş aşağı yarışırdık. En çok meşe oynamayı severdim. Oyunun kuralları, kazanmak için gereken beceri ve kaybetmenin sonuçları belliydi. Godeyi, agafa denk getirmek kazanmak için yeterliydi. Bir şey bozulduğunda nedenini anlayabilirdik.

Sonra bir Commodore-64'üm oldu. Kasetten oyun yüklemek için dakikalarca beklediğim, bazen bütün işlemleri yeniden başlattığım günleri hatırlıyorum. O zamanlar teknolojiye hayranlık duyuyorduk.

Aradan kırk yıl bile geçmeden otomobillerimiz, televizyonlarımız, buzdolaplarımız ve evlerimizin kapı kilitleri internete bağlandı. Teknolojik gelişmenin hızına yetişmek neredeyse imkânsız hâle geldi. Ancak bu gelişmenin beraberinde getirdiği bağımlılıkları aynı hızla sorguladığımızı söylemek zor.

Artık bir ülkenin güvenliğini tehdit etmek için sınırından geçmek, hava sahasına girmek veya tek bir mermi ateşlemek gerekmiyor. O ülkenin kullandığı teknolojilere erişebilmek yeterli…

Aralık 2025'te Rusya'da yüzlerce Porsche çalışmaz hâle geldi. Uydu bağlantılı güvenlik sistemlerindeki sorun nedeniyle araçların motorları devreye girmedi. Olayın siber saldırı olduğu kanıtlanmadı. Ancak sonuç ortadaydı: Bir otomobilin çalışabilirliği, sahibinin doğrudan kontrol edemediği dijital sistemlere bağlıydı. Bu tehlikeye daha önceki yazımda da dikkat çekmiştim.

Eylül 2026'da Amerikan Sahil Güvenliği ve FBI, iki petrol tankerindeki şüpheli siber faaliyetleri araştırdı. Gemilerin ağlarında yetkisiz erişim belirtileri bulunduğu, seyir, sevk ve yük sistemlerinin etkilenmiş olabileceği bildirildi. Bir geminin kontrol sistemlerine müdahale edebilen kişi, yalnızca gemiyi değil, taşıdığı yükü, mürettebatı, limanı ve ticaret zincirini de tehdit eder. Yıllarca gemilerde görev yapmış biri olarak bu bana çok şey ifade ediyor.

Norveç'teki askerî tatbikatta kullanılan kiralık otomobillerin askerlerin hareketlerini ve askerî tesislerin giriş kodlarını kaydettiği ortaya çıktı. Araçlardan bazılarının Çin menşeli olduğu bildirildi. Verilerin başka sistemlere aktarıldığı kanıtlanamadı. Bir askerî tesisin güvenlik kodlarını kaydedebilen aracın hangi ülkede üretildiğinden önce, bu verileri neden topladığı, nerede sakladığı ve kimlerin erişimine açtığı sorgulanmalıdır.

Norveç'te Çinli elektrikli otobüsler üzerinde gerçekleştirilen başka bir inceleme de üreticinin uzaktan erişim yetkilerini ve araçların dışarıdan çalışamaz hâle getirilebilmesi ihtimalini gündeme taşıdı.

Fransa'da Ekim 2026'da yaklaşık 700 süpermarketin soğutma sistemleri siber saldırılardan etkilendi. Soğutucuların sıcaklıklarına müdahale edildi, gıda ürünleri kullanılamaz hâle geldi. Bir marketin soğutma sistemine müdahale ederek gıdayı bozabiliyorsunuz. Bunu yüzlerce tesiste gerçekleştirdiğinizde mesele artık işletme zararı olmaktan çıkıyor. Gıda güvenliği ve toplumsal dayanıklılık meselesine dönüşüyor.

Üstelik saldırganın gelecekte her cihazı tek tek yönetmesi de gerekmeyebilir. Anthropic'in Ekim 2026'da yayımladığı araştırma, küçük yapay zekâ modellerinin internete bağlı ev cihazlarında kendi kopyalarını çalıştırabilecek seviyeye yaklaşabileceğine işaret ediyor. Bu, bugün evlerimizde kontrolsüz biçimde çoğalan yapay zekâlar bulunduğu anlamına gelmiyor. Ancak mevcut güvenlik anlayışımızı sorgulamak için yeterli bir uyarı. Tehlike, yapay zekânın ne kadar geliştiğinden çok, kontrol edemediğimiz sistemlerde ne kadar bağımsız hareket edebileceği.

Peki Türkiye? TEI Genel Müdürü Mahmut Faruk Akşit'in yabancı elektrikli araçların bazı savunma sanayii tesislerine alınmadığına ilişkin açıklaması, Türkiye'de de bu riskin farkında olan kurumlar bulunduğunu gösteriyor. Peki aynı yaklaşım bütün kritik tesislerimizde uygulanıyor mu?

Kamu kurumlarına alınan bağlantılı araçların veri toplama ve uzaktan erişim yetkileri bağımsız olarak denetleniyor mu? Belediyelerin otobüs filolarında üreticinin uzaktan müdahale kapasitesi test ediliyor mu? Askerî tesislere, savunma sanayii kuruluşlarına ve kritik altyapılara giren araçların kamera, mikrofon, konum ve veri aktarım özellikleri için ortak bir güvenlik standardı var mı? Limanlarımızda, ticaret gemilerimizde, hastanelerimizde ve enerji tesislerimizde gerçekçi siber saldırı tatbikatları yapılıyor mu?

Türkiye'de siber güvenliğe ilişkin kurumlar, mevzuat ve çalışmalar elbette var. Ancak bir düzenlemenin bulunmasıyla o düzenlemenin sahada etkili biçimde uygulanması aynı şey değil. Mesele, bir siber güvenlik politikamızın olup olmaması değil; yarın kritik sistemlerimizden biri dışarıdan devre dışı bırakılmaya çalışıldığında ne kadar hazırlıklı olduğumuz…

Yıllarca güvenliği fiziksel sınırları korumak üzerinden değerlendirdik. Kapıları güçlendirdik, kameralar yerleştirdik, devriyeler oluşturduk, giriş çıkışları kontrol ettik. Şimdi o kapının önünde duran otomobilin bile içeride neler olduğunu kaydedebildiği bir dönemdeyiz. Kapıyı koruyoruz. Peki kapının önündeki aracın topladığı veriyi kim koruyor?

Teknolojiyi kullanmamak çözüm değil. Ancak üreticinin erişim yetkisini, verinin nerede tutulduğunu, yazılım güncellemelerinin kim tarafından onaylandığını ve bağlantı kesildiğinde sistemin çalışmaya devam edip etmeyeceğini bilmek zorundayız. Çünkü ulusal güvenlik yalnızca sınırların ve askerî tesislerin korunmasından ibaret değil. Bir ülkenin ulaşımını, enerjisini, haberleşmesini ve kritik altyapısını kendi iradesiyle çalıştırabilmesi de ulusal güvenliğin parçasıdır.

Çocukluğumuzda tornetin kontrolü elimizdeydi. Commodore-64'ün fişini çektiğimizde çalışmayı bırakırdı. Bugün ise kullandığımız teknolojilerin kontrolünü kimin elinde tuttuğunu sorgulamak zorundayız. 

Türkiye'nin dijital kapıları kime açık? Ve o kapıların anahtarları gerçekten bizde mi?