Fidye Yazılımı Olaylarını Gizleme Refleksi Sektöre Ne Kadar Zarar Veriyor?

Bir kurumda fidye yazılımı olayı yaşandığında ilk refleks neredeyse hiç değişmiyor: önce sessizlik, sonra "kontrollü" bir iç yazışma trafiği, en sonunda da -eğer durum dışarı sızarsa- asgari düzeyde bir açıklama. Bunu farklı büyüklükte onlarca kurumda gördüm; sektör, kurumun kamu ya da özel olması, hatta BT ekibinin olgunluk seviyesi fark etmiyor. Olay anındaki dürtü hep aynı: önce itibarı korumak, sonra teknik gerçeği yönetmek.

Bu refleksin kısa vadede mantıklı bir tarafı var gibi görünüyor. Basına yansıyan bir fidye yazılımı haberinin hisse fiyatına, müşteri güvenine ya da ihale sürecine olan etkisi gerçek bir kaygı. Ama uzun vadede bu gizleme kültürü, teker teker kurumları değil, doğrudan sektörün kendisini zayıflatıyor.

Bildirim Zorunluluğu Var, Kültür Yok

Türkiye'de veri ihlali bildirimi artık gri bir alan değil. 6698 sayılı KVKK'nın 12. maddesi veri sorumlusuna "en kısa sürede" bildirim yükümlülüğü getiriyor ve Kurul uygulamada bunu 72 saatlik bir referans olarak yorumluyor. 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu ise bunu bir adım öteye taşıyıp bilişim sistemleri üzerinden hizmet sunan kurumlara tespit ettikleri siber olayları gecikmeksizin Siber Güvenlik Başkanlığı'na bildirme zorunluluğu getirdi. Yasal çerçeve, artık saldırının "olup olmadığı" değil "ne zaman patlak vereceği" varsayımı üzerine kurulu.

Ama mevzuat ile saha pratiği arasında ciddi bir makas var. KVKK'nın kendi verilerine göre 2024 yılında Kurula toplam 281 veri ihlali bildirimi ulaştı, bunların yalnızca 63'ü kamuoyuna duyuruldu. Yani bildirimlerin dörtte üçden fazlası kurum içi kalmaya devam ediyor -yasal olarak bu her zaman sorun değil, ama etkilenen kişilerin ve sektörün olaydan öğrenme şansı da o oranda azalıyor. Kurulun geçmiş kararlarında, bir e-ticaret platformunun ihlali ilgili kişilere 17 ay, Kurula ise 10 ay gecikmeyle bildirmesinin "en kısa süre" ilkesine aykırı bulunduğu bir vaka bile var. Bu, istisna değil; gizleme refleksinin ne kadar derine işlediğinin somut bir göstergesi.

Gizlemenin Faturasını Kim Ödüyor?

Bir kurum saldırıyı gizlediğinde, aslında üç farklı grubu aynı anda riske atıyor. Birincisi, aynı zafiyeti taşıyan diğer kurumlar: saldırı vektörü paylaşılmadığı için sektördeki benzer kurumlar aynı açığa karşı kör kalmaya devam ediyor. 2026'nın ilk aylarında gıda sektöründe yaşanan ve yaklaşık 163 bin kişiyi (13 bin çalışan, 150 bin müşteri) etkileyen bir vakada, saldırının kaynağı yerel SQL veritabanına dışarıdan erişimdi -bordro ve online sipariş sistemlerinin aynı ağ segmentinde, yeterince izole edilmeden çalıştırılması. Bu, sektörde defalarca karşılaşılan, ama nadiren konuşulan bir mimari hata. Mopaş Marketçilik'in Mayıs 2026'daki olayı da benzer bir örüntü izledi: saldırı fark edilmesiyle KVKK'ya bildirim arasında geçen süre, kurumun olay müdahale kapasitesinin gerçek bir göstergesiydi.

İkinci grup, saldırıya uğrayan kurumun kendi çalışanları ve müşterileri. Bir ihlal geç veya eksik bildirildiğinde, kişisel verileri sızan bireylerin kendilerini koruyacak zamanları (şifre değiştirme, kart iptali, kimlik izleme) daralıyor. Üçüncü grup ise -belki en az konuşulanı- CTO ve BT güvenlik ekiplerinin kendisi. Bir olay gizlendiğinde, o olaydan çıkarılacak dersler kurumsal hafızaya değil, birkaç kişinin zihnine gömülüyor. Personel değiştiğinde bu bilgi de kayboluyor ve aynı hata birkaç yıl sonra tekrar ediyor.

"Skandal" Çerçevesi Şeffaflığı Cezalandırıyor

Bunun bir kısmı basının ve kamuoyunun konuya yaklaşım biçiminden kaynaklanıyor. Türkiye'de bir kurum saldırıya uğradığını açıkladığında, haber çoğunlukla "hacklendi" başlığıyla ve suçlayıcı bir dille sunuluyor; saldırıyı nasıl tespit ettiği, ne kadar hızlı müdahale ettiği, hangi önlemleri aldığı genelde haberin dışında kalıyor. Bu çerçeveleme, dürüst davranan kurumu da saklayan kurumla aynı kefeye koyuyor. Sonuç olarak kurumlar için şeffaf olmanın rasyonel bir teşviki kalmıyor: açıklarsan da, açıklamazsan da itibar riski var; farkı sadece olayın büyüklüğü belirliyor.

Bunun tersini gördüğüm birkaç örnekte -saldırıyı hızlı biçimde açıklayan, teknik detayları paylaşan ve düzeltici adımları kamuoyuyla paylaşan kurumlarda- orta vadede güven kaybının aslında daha sınırlı kaldığını gözlemledim. Ama bu hâlâ istisna, kural değil.

Değişmesi Gereken, Yasa Değil Refleks

Siber Güvenlik Kanunu ve KVKK çerçevesi, bildirim zorunluluğu açısından zaten yeterli bir zemin sunuyor. Eksik olan, kurum içindeki refleks: olay anında hukuk ve iletişim ekibinin devreye girme hızı, teknik ekibin bulguları ne kadar "filtrelenmeden" üst yönetime iletebildiği ve yönetimin bunu bir itibar krizi değil bir operasyonel gerçek olarak ele alma isteği.

CTO'nun burada oynayabileceği rol açık: olay müdahale planını yalnızca teknik bir doküman olarak değil, hukuk ve iletişimle birlikte önceden provası yapılmış bir süreç olarak kurgulamak. Sektördeki asıl kayıp, tek bir saldırının maliyeti değil; her kurumun aynı hataları sıfırdan, yalnız başına öğrenmek zorunda kalması. Gizleme refleksi devam ettiği sürece, Türkiye BT ekosistemi kolektif bir savunma hattı değil, birbirinden habersiz adacıklar toplamı olmaya devam edecek.