YTÜ’de Siber Saldırı Krizi: KVKK Eksik Bilgi mi Paylaştı?

İstanbul’da bulunan köklü eğitim kurumlarından Yıldız Teknik Üniversitesi (YTÜ), 1 Ekim itibarıyla başlayan ve üniversite genelindeki dijital sistemleri felç eden bir siber saldırı ile karşı karşıya kaldı. Eğitim-öğretim yılının hemen başında yaşanan bu kriz, binlerce öğrenci ve akademik personelin kişisel verilerinin güvenliği konusunda ciddi soru işaretlerini beraberinde getirdi.

Fidye Yazılımı ve KVKK Bildirimi

Kişisel Verileri Koruma Kurumu (KVKK), 7 Ekim tarihinde yaptığı resmi açıklamada, üniversitede bir “fidye yazılımı” (ransomware) saldırısı meydana geldiğini duyurdu. Söz konusu saldırıdan 140 bini aşkın öğrenci ve 4 binden fazla personelin etkilenebileceği belirtildi. Ancak bu açıklama, üniversite yönetimi ile kurum arasında bir iletişim kopukluğunu da gözler önüne serdi.

Üniversite yönetimi, saldırının hemen ardından Türkiye’nin önde gelen veri kurtarma uzmanlarıyla 9 gün süren yoğun bir çalışma yürüttüklerini belirtti. Yapılan incelemeler sonucunda, sistemlerdeki verilerin dışarıya taşındığına dair herhangi bir data trafiği izine rastlanmadığı vurgulandı. Yönetim, bu trafik grafiklerinin üniversite serverlarında değil, Ulakbim altyapısında tutulduğunu ve verilerin güvende olduğunu savundu.

Şeffaflık Tartışması ve KVKK’ya Eleştiri

Üniversite yönetiminin en büyük sitemi, KVKK’ya yapılan bildirimlerin kamuoyuna yansıtılma biçimiyle ilgili. Yönetim, “KVKK bildirimini kanuni zorunluluktan dolayı biz yaptık, kurumun yakaladığı bir ihlal yok” ifadelerini kullanarak, verilerin dışarı çıkarılmadığı şeklindeki beyanlarının KVKK sitesinde yer almamasının yanlış bir algı yarattığını savundu. Bu durum, teknoloji dünyasında Microsoft’tan devrim gibi karar haberlerinde olduğu gibi, sistem açıklarının ve veri güvenliğinin ne denli hassas bir konu olduğunu bir kez daha kanıtladı.

Öğrencilerin “Teknik Arıza” Tepkisi

Saldırının ilk günlerinde sistemlerin çöküşünü “teknik arıza” olarak tanımlayan üniversite yönetimi, öğrencilerin tepkisini çekti. Şeffaflık konusunda eleştirilen yönetim, siber saldırı gerçeği ortaya çıktıktan sonra “yeterince açık davranmamakla” suçlandı. Dijital dünyadaki bu tip krizler, bireysel verilerin korunması kadar, kurumların kriz yönetimi stratejilerinin de ne kadar önemli olduğunu gösteriyor. Tıpkı küresel piyasaların gözü enflasyon verilerinde olduğu gibi, öğrenciler de şimdi üniversiteden gelecek net ve şeffaf adımları bekliyor.

Sonuç olarak, fidye yazılımı saldırıları her zaman verilerin sızdığı anlamına gelmese de, bu tip olaylar dijital altyapının güvenliğini bir kez daha tartışmaya açıyor. Şu an için yasa dışı ortamlarda verilerin ifşa edildiğine dair herhangi bir somut kanıt bulunmuyor olması, öğrenciler ve personel için tek teselli kaynağı konumunda.