“Panel” sistemleri tam olarak nedir? Milyonlarca insanın verisi nasıl tek bir ekrandan sorgulanabilir hale geliyor? Ve bir saldırganın adresinizi, telefonunuzu ve aile bireylerinizi bilmesi gerçekte ne kadar tehlikeli?
Bir kişinin adını ve soyadını yazıp T.C. kimlik numarasına ulaşabildiğinizi; kimlik numarasından adresini, telefonunu, hatta aile bireylerini görüntüleyebildiğinizi düşünün... Türkiye’de özellikle son yıllarda “panel” adı verilen yasa dışı sistemler, kişisel verilere erişimi ürkütücü derecede kolaylaştırdı.
REKLAM
REKLAM
Üstelik bu sistemleri kullanmak için ileri düzey bilgisayar bilgisine sahip olmak gerekmiyor. Kullanıcı, sıradan bir internet sitesindeki arama kutusuna bilgi girer gibi sorgu yapabiliyor.
Ocak 2025’te İstanbul merkezli 25 ilde gerçekleştirilen büyük bir operasyonda, “panel” adlı bu yasa dışı sorgulama sistemleri aracılığıyla kişisel verileri sattıkları veya tehdit ve şantaj amacıyla kullandıkları iddia edilen 69 kişi gözaltına alınmıştı. Şüphelilerin 35’inin çocuk olması dikkat çekmişti. 44 şüpheli tutuklanmıştı. Soruşturma kapsamında ad-soyad ve T.C. kimlik numaralarının yanı sıra tapu ve sağlık bilgileri gibi verilerin de ele geçirildiği öne sürülmüştü.
4 Eylül Cuma günü bu yasa dışı sistemlerle bağlantılı yeni bir operasyon gerçekleşti. Bu kez 31 avukat hakkında gözaltı kararı verilirken, 39 farklı avukatlık bürosunda arama ve el koyma tedbiri uygulandı.
Panel sistemleri hukuk bürolarında
Adalet Bakanlığı'nın açıklamasına göre, bazı hukuk bürolarında vatandaşlara ait kişisel verilerin hukuka aykırı şekilde temin edilmesine ve sorgulanmasına imkân sağlayan “HukukBİS” ve “AsistBİS” gibi yasa dışı dijital panel sistemlerinin kullanıldığına ilişkin deliller mevcut.
Soruşturmada, İstanbul’da faaliyet gösteren çok sayıda avukatlık bürosuna ait olduğu değerlendirilen panel erişim kayıtları, kullanıcı bilgileri, Google Authenticator doğrulama kodları, AnyDesk ve TeamViewer üzerinden sağlanan uzaktan bağlantı izleri, kişisel veri içerikli sorgu çıktıları, toplu Word ve Excel dosyaları ile panel kullanımına ilişkin yazışmalar tespit edildi.
Söz konusu sistemlerin bazı hukuk bürolarının bilgisayarlarına uzaktan erişim programları aracılığıyla kurulduğu, sisteme girişlerde doğrulama uygulamalarının kullanıldığı ve kullanıcı hesaplarının büro içerisinden aktif şekilde yönetildiğine ilişkin bulgulara ulaşıldı.
Bakanlığın paylaştığı bu bilgiler şu anlama geliyor: İddiaya göre, bazı hukuk büroları, vatandaşların kişisel verilerini içeren yasa dışı panel sistemlerini uzaktan büro bilgisayarlarına kurdurdu. Daha sonra o sistemleri kullanan büro çalışanları ve avukatlara, panele giriş sağlamaları için şifreler, kullanıcı adları ve güvenlik anahtarları sağlandı. Tüm bunların belirli ücretler karşılığında yapıldığı, verilerin ve panel sistemlerinin parayla satın alındığı düşünülüyor. Bu yüzden şüphelilerin banka hesapları da incelemeye alındı.
İncelenen yasa dışı panel sistemlerinde; vatandaş arama, kimlik sorgulama, aile sorgulama, yerleşim yeri sorgulama, SGK kayıt sorgulama, çalışan sorgulama, GSM bilgisinden kişi sorgulama, kimlik bilgisinden telefon sorgulama, tapu kayıt sorgulama, mükellef sorgulama ve ada-parsel sorgulama gibi seçenekler olduğu kaydedildi. Bu seçeneklerin hepsi, vatandaşların kişisel ve özel bilgilerine erişim sağlayarak çalışıyor.
Peki bu “panel” sistemleri tam olarak nedir? Milyonlarca insanın verisi nasıl tek bir ekrandan sorgulanabilir hale geliyor? Ve bir saldırganın adresinizi, telefonunuzu ve aile bireylerinizi bilmesi gerçekte ne kadar tehlikeli?
Neden 'panel' deniyor?
"Panel" aslında özel bir hackleme teknolojisinin adı değil. Kelime, bilgisayar dünyasında kullanılan “admin paneli”, “kontrol paneli” gibi kavramlara benzer şekilde bir yönetim ve sorgulama sitesini ifade ediyor.
Bu panellerdeki kişisel bilgiler ise genellikle hackerların gerçekleştirdiği sızıntılardan geliyor. Bir veri sızıntısında milyonlarca satırlık kayıt olabiliyor. Sızıntılardan elde edilen milyonlarca ham veri içinden tek tek insan aramak ise son derece zahmetli. İşte, kötü niyetli kişiler bunu kolaylaştırmak için "panel" adı verilen bu veri tabanlarıni geliştiriyor. Böylece o verileri yasa dışı satın alan "müşteriler", milyonlarca insan arasından hedefteki kişiye ve o kişinin verilerine sadece arama yaparak ulaşabiliyor.
Bu panelleri satın alan kişilerin karşısına “T.C. sorgula”, “ad-soyad sorgula”, “adres sorgula” veya “aile sorgula” gibi seçenekler çıkıyor. Kişinin buraya verdiği bilgiler, arka plandaki veri tabanında aranıyor ve bulunan kayıtlar ekrana getiriliyor.
Diğer bir deyişle panel, kişisel verinin kendisi olmak zorunda değil. Panel, arkasındaki verilere erişmeyi kolaylaştıran sorgulama sitesi.
Nitekim, 2025’teki panel soruşturmasının fezlekesinde de sistemlerden “panel adı verilen sorgulama ekranı” şeklinde söz ediliyor. Yetkili makamlara göre şüpheliler, elde edilen verileri bu sorgulama ekranlarına taşıyor.
Milyonlarca insanın verisi nereden geliyor?
Bu sistemlerin en büyük veri kaynakları; aralarında alışveriş siteleri, devlet daireleri ve sosyal medya hesaplarının da yer aldığı bir dizi online sistemden ve vatandaşların/şirketlerin kendi bilgisayarlarından sızdırılan, yani çalınan vatandaş/kullanıcı bilgilerinden oluşuyor.
Ancak genellikle tek bir veri kaynağından söz etmek mümkün değil. Zira panellerin arkasında farklı tarihlerde ve farklı kaynaklardan elde edilmiş veri kümeleri bulunabilir.
Kişisel Verileri Koruma Kurumu (KVKK) da farklı zamanlarda çeşitli sistemlerden veya kullanıcıların bilgisayarlarındaki güvenlik açıklarından elde edilen kişisel verilerin hukuka aykırı biçimde paylaşılabildiğine ve satılabildiğine dikkat çekiyor. Daha önemlisi kurum, bu verilerin elden ele dolaşarak arşivlenebildiğini ve daha büyük veri setleri halinde yeniden pazarlanabildiğini vurguluyor.
2025’teki İstanbul soruşturmasında ise savcılık ciddi bir ihtimali gündeme getirmişti. 8 şüpheli hakkında hazırlanan fezlekeye göre, bazı şüpheliler, MERNİS (Merkezi Nüfus İdaresi Sistemi) ve bağlantılı bilişim sistemlerindeki yetkili kullanıcıların şifrelerini çeşitli yollarla ele geçirerek sistemlere sızmıştı. Bazı verilerin ise geçmişteki sızıntılardan elde edildiği kaydedilmişti. Soruşturma makamları ayrıca, bazı kişilerin verileri sürekli güncelliyor olabileceğini de değerlendiriyordu.
Yani yasa dışı panellerin hepsinin o anda doğrudan bir devlet veri tabanına bağlı olması gerekmiyor. Veriler eski bir sızıntıdan, daha yeni başka bir ihlalden veya birden fazla kaynağın birleşiminden gelebiliyor.
Dağınık veriler nasıl birleştiriliyor?
Panellerin en önemli özelliklerinden biri bu noktada ortaya çıkıyor.
Birbirinden tamamen bağımsız üç veri sızıntısı olduğunu farz edelim. Birinci veri tabanında vatandaşın T.C. numarası, ad-soyad ve doğum tarihi bilgileri yer alsın. İkinci veritabanında, T.C. ile telefon numarası olsun. Üçüncü sızıntıda ise telefon numarası, e-posta ve teslimat adresi bilgisi var.
Bu durumda ilk iki veri kümesinin ortak noktası T.C. kimlik numarasıyken, ikinci ve üçüncünün ortak noktası telefon numarası oluyor. Bu ortak değerler kullanılarak üç veri kümesi birbirine bağlanabiliyor.
Bunun için mutlaka gelişmiş yapay zeka sistemlerine ihtiyaç yok. Veritabanlarında “JOIN” diye bilinen son derece sıradan işlemler bile ortak bir alanı paylaşan tabloları birbirine bağlayabiliyor.
Bu teknolojinin kendisi aslında yasa dışı değil. Şirketler müşteri numarası üzerinden müşteri ve sipariş tablolarını, hastaneler hasta numarası üzerinden farklı sağlık kayıtlarını bu yöntemle birleştirebiliyor. Ancak aynı yöntem hukuka aykırı şekilde elde edilmiş kişisel verilere uygulanınca yasa dışı bir durum oluşuyor.
Üstelik iki veri tabanının ortak T.C. kimlik numarasına sahip olmadığı durumlarda bile kayıtların aynı kişiye ait olup olmadığı, isim, yaş ve adres gibi diğer bilgiler üzerinden hesaplanıp tahmin edilebiliyor.
Paneller nerede çalışıyor?
Teknik açıdan, paneller de herhangi bir web uygulaması gibi bir bilgisayarda çalışmak zorunda.
Bu genellikle bir sanal sunucu (VPS), fiziksel sunucu veya başka bir "hosting" altyapısının kiralanması gerektiği anlamına geliyor.
Bu nedenle bu sistemler arkalarında izler bırakıyor. Zira internet hizmetlerinin IP adresleri, alan adı ve DNS kayıtları, hosting sağlayıcısı, bağlantı ve sunucu kayıtları gibi çeşitli teknik izleri var.
Adli soruşturmalarda sunucu kayıtları, hesaplar, ödeme bilgileri, alan adı kayıtları, cihaz incelemeleri ve bağlantı kayıtları gibi unsurlar incelenip bu izlerden hareketle şüpheliler yakalanabiliyor.
Panellerin arkasında kim var?
Diğer yandan, tek bir “panel çetesi”nden söz etmek de doğru değil. Aynı veri kümelerinin farklı grupların elinde dolaşması ve farklı panellerde yeniden paketlenmesi mümkün. Üstelik veriyi ilk ele geçiren kişiyle paneli işleten kişi de aynı olmayabilir.
Örneğin, Ankara Cumhuriyet Başsavcılığı'nın 2025’te hazırladığı başka bir iddianamede “Avatar/Adalet” isimli yasa dışı sorgulama yazılımı üzerinden vatandaşların kişisel verilerine erişildiği ve verilerin üçüncü kişilere satıldığı tespit edilmişti. Soruşturma kapsamında yazılımın yöneticisi ve geliştiricileri dahil beş kişi hakkında dava açılmıştı.
Bunun yanı sıra, suça karışanların motivasyonları da birbirinden farklı olabilir. Aynı tarihte İstanbul'da yürütülen soruşturmadaki şüpheli ifadeleri, motivasyonlarının yalnızca para kazanmak olmadığını göstermişti.
Bazı şüpheliler panel satışı yaparak para kazandıklarını söylerken, bazıları arkadaşlarına “hava atmak” amacıyla sistemi kullandıklarını savunmuştu. Bu tablo, kişisel verinin bazı çevrimiçi topluluklarda bir çeşit güç ve statü aracına dönüşebildiğini gösteriyor.
Çalınan verilerinizle neler yapılabilir?
Kamuoyundaki endişeler, daha çok T.C. kimlik numaralarının sızdırılması üzerine yoğunlaşsa da panel suçlarının en tehlikeli yönü, bir yabancının kimlik numaranızı öğrenmesinden ibaret değil.
Asıl risk, farklı kişisel bilgilerin aynı gerçek kişiye bağlanmasında yatıyor.
Bir saldırgan, isminiz, kimlik numaranız, telefonunuz, adresiniz ve ailenizin bilgilerini bir araya getirebildiğinde bir dizi suçun hedefi haline gelmeniz mümkün olabilir.
Tanınmış isimlere yapılabilecek fiziksel taciz ve saldırılar ile kadın ve kız çocuklarına yönelik şantaj suçları bunlardan bazıları. Aile bilgilerinin bulunması saldırganın hedefin annesine, babasına, eşine veya başka yakınlarına ulaşmasına da olanak sağlayabiliyor.
Nitekim, 2025 İstanbul soruşturmasının en çarpıcı taraflarından biri de buydu. 69 şüphelinin 35’inin reşit olmadığı belirlenen soruşturmada panel verilerinin para karşılığı satılmasının yanı sıra, tehdit ve şantaj amacıyla kullanıldığı; şantajdan çocukların da mağdur olduğu bildirilmişti.
Bu bilgilere vakıf olmak, saldırganlara dolandırıcılık suçları açısından da önemli bir psikolojik avantaj sağlıyor. Dolandırıcılar, polis veya bankacı kılığında vatandaşları aradığında, o kişi hakkında daha fazla bilgi vererek çok daha ikna edici görünebiliyor.
Panelde bilgilerimin olması hesaplarıma girebildikleri anlamına mı geliyor?
Bir kişinin T.C. kimlik numarasını, telefonunu veya adresini bilmek, tek başına banka hesabına, e-Devlet hesabına, WhatsApp mesajlarına veya telefonuna erişim vermez. Ancak kişisel bilgiler başka saldırıları kolaylaştırabilir.
Örneğin parola sıfırlama süreçlerinde kullanılan bilgileri tahmin etmek veya müşteri hizmetleri kılığına girmek için saldırgana malzeme sağlayabilir.
Daha ciddi bir risk ise veri sızıntısında kullanıcı adı ve parolaların da bulunması halinde ortaya çıkıyor. Kullanıcı aynı parolayı farklı hizmetlerde de kullanıyorsa saldırgan çalınan kullanıcı adı-parola çiftlerini başka platformlarda deneyebilir. Siber güvenlik kuruluşu OWASP bunun, hesap ele geçirmede yaygın kullanılan yöntemlerden biri olduğuna dikkat çekiyor.
KVKK da aynı kullanıcı adı ve parolanın farklı platformlarda kullanılmasının ve iki aşamalı kimlik doğrulama gibi önlemlerin kullanılmamasının veri güvenliği risklerini artırdığını vurguluyor.
Sızan veri yıllar sonra bile tehlikeli
Bir parolanız çalındığında onu değiştirebilirsiniz. Ancak doğum tarihi, anne-baba adı veya geçmiş bilgileri değiştirilemiyor. T.C. kimlik numarası gibi kalıcı tanımlayıcıların değiştirilmesi de sıradan bir parola değiştirmek kadar kolay değil.
Dolayısıyla bugün tek başına fazla işe yaramayan bir veri kümesi, gelecekte başka bir sızıntıyla birleştiğinde çok daha değerli hale gelebilir.
KVKK'nın dikkat çektiği üzere sızdırılmış kişisel veriler elden ele dolaşabiliyor, arşivlenebiliyor ve daha büyük veri kümeleri oluşturularak yeniden pazarlanabiliyor.
Avukatların buradaki rolü ne olabilir?
Avukatlar ve hukuk bürolarına yönelik son soruşturmadaki bulgular, yasa dışı panellerin bazı hukuk bürolarında özellikle borçlu veya hedef kişiye ulaşma, kişinin malvarlığı ve gelir durumunu araştırma ve kapsamlı bir kişi profili oluşturma amacıyla kullanılmış olabileceğini düşündürüyor.
Panelde “kimlikten telefon”, “aile”, “yerleşim yeri”, “SGK/çalışan” ve “tapu” sorgularının yer alması, özellikle çok sayıda icra ve tahsilat dosyasıyla çalışan bürolar açısından ciddi bir operasyonel avantaj sağlamış olabilir. Nitekim KVKK'nın geçmiş kararlarında da hukuk bürolarının borçluya ulaşmak amacıyla yakınlarının telefon numaralarını hukuka aykırı şekilde temin ettiği örneklere rastlanıyor.
Ancak bu soruşturmadaki iddialar, bunun da ötesine geçiyor. Savcılığa yansıyan bilgilere göre bazı büroların, vekâlet ilişkisi veya takip ettikleri bir işle ilgisi bulunmayan vatandaşları da panelden sorguladığı öne sürülüyor. Bu kişilere daha sonra “Borcunuz yasal takibe düştü”, “Uzlaşma sürecini kaçırdınız” veya “Hakkınızda haciz işlemi başlatıldı” gibi mesajların gönderildiği iddia ediliyor. Eğer soruşturma sonunda doğrulanırsa burada panel yalnızca mevcut bir borçluyu bulma aracı olmaktan çıkıyor; kişisel veriler, kişiye gerçek bir hukuki süreç varmış izlenimi vererek ulaşmak ve ödeme baskısı oluşturmak için kullanılmış oluyor.
Soruşturmadaki AnyDesk ve TeamViewer bağlantı izleri, Google Authenticator kodları, kullanıcı hesapları ve ödeme incelemeleri de bunun münferit biçimde indirilmiş veri dosyalarından ziyade hukuk bürolarına kurulup ücret/abonelik karşılığında kullandırılan organize bir yasa dışı hizmet olabileceği şüphesini de güçlendiriyor.