Veri sızıntısı, yetkisiz kişilerin hassas, korunaklı veya gizli bilgilere erişmesi, kopyalaması, yayınlaması veya çalması durumudur. Dijital çağın en büyük siber tehditlerinden biridir.
Veri Sızıntısı İstatistikleri
2024'te dünya genelinde 22 milyar kayıt sızdırıldı (RiskBased Security). Ortalama sızıntı maliyeti $4.88 milyon (IBM). Sızıntıların %68'i kötü niyetli saldırılardan, %26'sı insan hatasından kaynaklanıyor.
Veri Sızıntısı vs Veri İhlali
Özellik
Veri Sızıntısı (Leak)
Veri İhlali (Breach)
Tanım
Verilerin yanlışlıkla veya kasıtsız açığa çıkması
Kasıtlı ve yetkisiz erişim ile veri çalma
Niyet
Genellikle kasıtsız
Kasıtlı ve kötü niyetli
Örnek
Yanlış kişiye e-posta gönderme
Hacker'ın veritabanını çalması
Yasal Sonuç
İdari para cezası
Cezai yaptırım + tazminat
Hangi Veriler Sızdırılır?
Kişisel Bilgiler (PII)
Ad, soyad, TCKN, adres, telefon, e-posta.
Finansal Veriler
Kredi kartı, banka hesabı, işlem geçmişi.
Sağlık Kayıtları
Tıbbi geçmiş, reçeteler, sigorta bilgileri.
Kimlik Bilgileri
Kullanıcı adı, şifre, API anahtarları.
Fikri Mülkiyet
Kaynak kodu, patentler, ticari sırlar.
Özel İletişim
E-postalar, mesajlar, görüşme kayıtları.
💡 Temel Bilgi
Veri sızıntıları sadece büyük şirketleri etkilemez. Küçük işletmeler ve bireysel kullanıcılar da sıkça hedef alınır. Herkesin veri güvenliği bilinci olması gerekir.
BÖLÜM 02
Veri Sızıntısı Türleri
Veri sızıntıları farklı şekillerde gerçekleşir. Her türün kendine özgü özellikleri ve savunma yöntemleri vardır.
Ana Sızıntı Kategorileri
KÖTÜ NİYETLİ
Siber Saldırı Kaynaklı
Hacker'lar, malware veya phishing ile verileri çalar. En yaygın ve tehlikeli tür.
Çalışanların dikkatsizliği sonucu verilerin yanlışlıkla ifşa olması.
%26Tüm sızıntıların
Örnekler: Yanlış e-posta, kayıp cihaz, yanlış ayar
İÇ TEHDİT
İçeriden Sızıntı
Mevcut veya eski çalışanların kasıtlı olarak veri çalması veya sızdırması.
%18Tüm sızıntıların
Örnekler: İntikam, rüşvet, iş değiştirme
FİZİKSEL
Fiziksel Sızıntı
Cihaz hırsızlığı, kağıt belge kaybı, atık kağıtlardan bilgi sızıntısı.
%8Tüm sızıntıların
Örnekler: Çalınan laptop, kayıp USB, atık kağıt
ÜÇÜNCÜ TARAF
Tedarik Zinciri
İş ortakları veya tedarikçiler üzerinden dolaylı sızıntı.
%15Kurumsal sızıntıların
Örnekler: SolarWinds, Target (HVAC tedarikçisi)
BULUT
Bulut Yapılandırma Hatası
Yanlış ayarlanmış bulut depolama alanları. Herkese açık S3 bucket'lar.
%21Bulut sızıntılarının
Örnekler: Açık S3 bucket, yanlış IAM politikası
Mini Quiz: Sızıntı Türleri
Soru 1/3
Çalışanınız yanlışlıkla müşteri verilerini içeren bir e-postayı yanlış kişiye gönderdi. Bu hangi tür sızıntıdır?
BÖLÜM 03
Yaygın Veri Sızıntısı Senaryoları
Veri sızıntıları genellikle belirli senaryolar üzerinden gerçekleşir. Bu senaryoları tanımak, erken tespit ve önlem almanızı sağlar.
En Sık Karşılaşılan Senaryolar
Phishing ile Kimlik Çalma
Çalışan sahte e-postaya tıklar, şifresini girer. Saldırgan hesapları ele geçirir.
Etki: E-posta, dosya sunucusu, müşteri verileri
Kayıp veya Çalıntı Cihaz
Şifrelenmemiş laptop veya telefon çalınır. İçindeki tüm veriler ifşa olur.
Etki: Kişisel dosyalar, e-postalar, şifreler
Yanlış Bulut Ayarı
S3 bucket veya Azure Blob herkese açık bırakılır. Botlar veriyi tarar.
Etki: Müşteri kayıtları, finansal veriler
İçeriden Kötü Niyet
İşten çıkarılan çalışan intikam için verileri çalar veya siler.
Etki: Ticari sırlar, müşteri listeleri
Malware Bulaşması
Ransomware veya spyware cihazlara bulaşır, verileri çalar veya şifreler.
Etki: Tüm sistem verileri
Zayıf API Güvenliği
Kötü yapılandırılmış API'ler üzerinden yetkisiz veri erişimi.
Etki: Kullanıcı verileri, işlem kayıtları
Sızıntı Zinciri (Breach Chain)
1
Zafiyet Tespiti
Saldırgan zayıf nokta bulur (phishing, açık port, zayıf şifre).
2
İlk Erişim
Sisteme sızar, yetki yükseltir.
3
Keşif
Ağda hareket eder, değerli verileri bulur.
4
Veri Toplama
Hedef verileri paketler, sıkıştırır.
5
Dışarı Taşıma (Exfiltration)
Verileri kendi sunucularına veya dark web'e aktarır.
6
İstismar veya Satış
Verileri kullanır, satar veya şantaj için tehdit eder.
⚠️ Kritik Bilgi
Ortalama bir veri sızıntısının tespit süresi 277 gün'dür (IBM). Yani saldırganlar aylarca sistemde kalabilir. Erken tespit sistemleri hayati önem taşır.
BÖLÜM 04
Gerçek Dünya Veri Sızıntıları
Tarihteki en büyük veri sızıntıları. Bu vakaları inceleyerek saldırı pattern'lerini ve dersleri öğrenin.
Tarihe Geçen Büyük Sızıntılar
2013-2014
Yahoo
Etkilenen: 3 milyar kullanıcı hesabı
Sızıntı: Ad, e-posta, telefon, şifreler, güvenlik soruları
Sızıntı: Hesap ele geçirme, kripto dolandırıcılığı
Yöntem: Çalışan sosyal mühendisliği
Sonuç: Güvenlik prosedürleri tamamen değişti
2021
LinkedIn
Etkilenen: 700 milyon kullanıcı (%92'si)
Sızıntı: E-posta, telefon, iş geçmişi, LinkedIn ID
Yöntem: API scraping (zorla veri çekme)
Sonuç: Veri dark web'de satıldı
2023
MoveIT Transfer
Etkilenen: 2.600+ kuruluş (global)
Sızıntı: Şirketlerin hassas dosya transferleri
Yöntem: MOVEit yazılımında zero-day açık
Sonuç: Tedarik zinciri saldırısının en büyük örneği
Sızıntılardan Çıkarılan Dersler
Yama Yönetimi Kritik
Equifax örneği: Bilinen bir açık yamalanmasaydı, 147M kişi etkilendi.
Üçüncü Taraf Riski
MoveIT ve Cambridge Analytica: İş ortaklarınızın güvenliği sizin güvenliğinizdir.
Çalışan Eğitimi
Twitter örneği: Sosyal mühendislik en zayıf halkayı bulur.
Veri Minimizasyonu
Saklamadığınız veri sızdırılamaz. Gereksiz veriyi tutmayın.
BÖLÜM 05
Veri Sızıntısı Nasıl Tespit Edilir?
Erken tespit, sızıntının etkisini büyük ölçüde azaltır. İşte sızıntı belirtileri ve tespit yöntemleri.
Erken Uyarı Belirtileri
Anormal Veri Akışı
Beklenmeyen büyük veri transferleri, özellikle gece saatleri veya hafta sonları.
Bilinmeyen Erişimler
Yabancı IP'lerden, alışılmadık saatlerde veya yeni cihazlardan girişler.
Çoklu Başarısız Giriş
Brute force saldırısı belirtisi. Hesap ele geçirilmeye çalışılıyor.
Yetki Değişiklikleri
Beklenmeyen admin hakları verilmesi veya kullanıcı rol değişiklikleri.
Dark Web'de Veri
Şirket veya müşteri verilerinizin dark web forumlarında satıldığını görmek.
Müşteri Şikayetleri
Müşterilerinizden phishing e-postası aldıklarına dair şikayetler.
Tespit Araçları ve Yöntemleri
SIEM Sistemleri
Splunk, QRadar, Sentinel. Log analizi ile anomali tespiti.
Etkinlik:
DLP Çözümleri
Data Loss Prevention. Hassas veri akışını izler ve engeller.
Etkinlik:
Ağ İzleme (NTA)
Darktrace, ExtraHop. Anormal ağ davranışlarını tespit eder.
Etkinlik:
Dark Web Monitoring
Have I Been Pwned, Recorded Future. Sızdırılmış verileri tarar.
Etkinlik:
💡 Erken Tespit İstatistiği
Sızıntı 200 günden kısa sürede tespit edilirse, maliyet $1.2 milyon daha düşük oluyor (IBM 2024).
BÖLÜM 06
Veri Sızıntısından Korunma Stratejileri
Veri sızıntısını önlemek, sızıntı sonrası müdahaleden çok daha kolay ve ucuzdur. Katmanlı savunma stratejisi uygulayın.
Korunma Hiyerarşisi
KATMAN 1
Erişim Kontrolleri
Least privilege, MFA, rol bazlı erişim. Sadece ihtiyacı olan erişsin.
Etkinlik:
%90
KATMAN 2
Şifreleme
Hem veri hem bağlantı şifreleme. AES-256, TLS 1.3.
Etkinlik:
%85
KATMAN 3
Çalışan Eğitimi
Phishing simülasyonları, güvenlik farkındalık programları.
Etkinlik:
%80
KATMAN 4
İzleme ve Tespit
SIEM, DLP, ağ izleme. Anormallikleri erken yakala.
Etkinlik:
%75
KATMAN 5
Politika ve Prosedürler
Veri sınıflandırma, saklama politikaları, imha prosedürleri.
Etkinlik:
%70
Pratik Korunma Adımları
Veri Sınıflandırma
Verileri hassasiyet seviyelerine göre sınıflandırın (Halka Açık, Dahili, Gizli, Çok Gizli).
MFA Zorunluluğu
Tüm kritik sistemlerde çok faktörlü doğrulama aktif olsun.
Şifreleme
Hem saklanan (at rest) hem iletilen (in transit) verileri şifreleyin.
Düzenli Yedekleme
3-2-1 kuralı ile yedekleme yapın. Yedekleri test edin.
Erişim Denetimi
Düzenli erişim gözden geçirmesi yapın. Gereksiz yetkileri kaldırın.
Ağ Segmentasyonu
Ağı küçük segmentlere bölün. Sızıntı yayılmasını sınırlayın.
Güncelleme Yönetimi
Tüm sistemleri güncel tutun. Kritik yamaları 48 saat içinde uygulayın.
Incident Response Planı
Sızıntı durumunda ne yapılacak? Adım adım prosedür hazırlayın.
💡 Altın Kural
Erişim Kontrolü + Şifreleme + Eğitim üçlüsü veri sızıntılarının %85'ini önler.
BÖLÜM 07
Sızıntı Sonrası Müdahale (Incident Response)
Veri sızıntısı tespit edildiğinde, hızlı ve organize bir müdahale zararı minimize eder. İşte adım adım prosedür.
🚨 İLK 24 SAAT KRİTİK!
İlk 24 saat içinde yapılan doğru müdahale, yasal sorumluluğu azaltır ve itibar kaybını sınırlar. Panik yapmayın, prosedürü uygulayın.
6 Adımlık Müdahale Planı
1
Tespit ve Doğrulama
Sızıntının gerçek olup olmadığını doğrulayın. Yanlış alarm mı, gerçek saldırı mı?
HEMEN YAPIN!
2
İçerme (Containment)
Etkilenen sistemleri ağdan izole edin. Hesapları devre dışı bırakın. Zararın yayılmasını önleyin.
2. ADIM
3
Kanıt Toplama
Logları, ekran görüntülerini, şüpheli dosyaları kaydedin. Adli bilişim için kritik.
3. ADIM
4
Kök Neden Analizi
Nasıl oldu? Hangi zafiyet kullanıldı? Hangi veriler etkilendi? Kapsamı belirleyin.
4. ADIM
5
Bildirim ve İletişim
72 saat içinde KVKK'ya bildirim yapın. Etkilenen kişileri bilgilendirin. Basın açıklaması hazırlayın.
5. ADIM
6
İyileştirme ve Ders Çıkarma
Açıkları kapatın. Prosedürleri güncelleyin. Ek eğitimler planlayın. Tekrarını önleyin.
6. ADIM
Yasal Bildirim Gereksinimleri
Düzenleme
Bildirim Süresi
Kime Bildirilir?
Para Cezası
KVKK (Türkiye)
72 saat
KVKK Kurumu + Veri Sahibi
1.9M'a kadar
GDPR (AB)
72 saat
Denetleyici Otorite + Bireyler
€20M veya %4 ciro
CCPA (Kaliforniya)
Makul süre
Tüketici + Başsavcı
$7,500/ihlal
PIPEDA (Kanada)
Makul süre
OPC + Bireyler
C$100,000/ihlal
️ Yasal Uyarı
Bildirim yapmamak veya geç bildirim yapmak, cezaları 2-3 kat artırabilir. Hukuk danışmanınızla birlikte hareket edin.
BÖLÜM 08
Yasal Boyut: KVKK ve GDPR
Veri sızıntıları sadece teknik değil, aynı zamanda yasal bir konudur. KVKK ve GDPR, veri koruma konusunda katı kurallar getirir.
KVKK'nın Veri Sızıntısına Yaklaşımı
1
Veri Sorumlusu
Veri işleme amacını ve araçlarını belirleyen gerçek veya tüzel kişi.
2
Teknik ve İdari Önlemler
Veri sorumlusu, makul tüm önlemleri almakla yükümlüdür.
3
İhlal Bildirimi
72 saat içinde KVKK'ya, mümkün olan en kısa sürede veri sahibine bildirim.
4
Veri İşleyen
Veri sorumlusu adına veri işleyen üçüncü taraflar da sorumludur.
5
Tazminat Hakkı
Veri sahipleri maddi ve manevi tazminat talep edebilir.
6
İdari Yaptırımlar
₺95,000 - ₺1.9 milyon arası para cezaları.
GDPR vs KVKK Karşılaştırması
Özellik
GDPR (AB)
KVKK (Türkiye)
Kapsam
AB vatandaşları
Türkiye'deki veriler
İzin
Açık rıza gerekli
Açık rıza gerekli
İhlal Bildirimi
72 saat
72 saat
Para Cezası
€20M veya %4 ciro
₺1.9M'a kadar
Veri Sahibi Hakları
Geniş haklar
Benzer haklar
DPO (Veri Sorumlusu)
Zorunlu (bazı durumlarda)
Veri Sorumlusu Temsilcisi
Uyumluluk İçin Yapılması Gerekenler
1
Veri Envanteri
Hangi verileri topladığınızı, nerede sakladığınızı, kimlerle paylaştığınızı listeleyin.
2
Risk Değerlendirmesi
Veri işleme faaliyetlerinin risklerini analiz edin.
3
Güvenlik Önlemleri
Teknik ve idari güvenlik önlemlerini uygulayın.
4
Aydınlatma Metinleri
Veri sahiplerine net ve anlaşılır aydınlatma metinleri hazırlayın.
5
Rıza Yönetimi
Açık rıza alın ve kayıt altına alın. Geri çekme hakkını garanti edin.
6
İhlal Prosedürü
Veri ihlali durumunda yapılacakları belirleyen prosedür hazırlayın.
⚠️ Önemli Uyarı
Yasal uyumluluk sadece cezalardan kaçınmak için değil, müşterilerinizin güvenini kazanmak için de önemlidir. Veri ihlali durumunda itibar kaybı, para cezasından çok daha büyük olabilir.
BÖLÜM 09
Veri Sızıntısı Savunma Kontrol Listesi
Veri sızıntısı savunmanızı değerlendirmek için bu kontrol listesini kullanın. Tüm maddeleri işaretleyerek güvenliğinizi maksimize edin.
Erişim Kontrolleri
Şifreleme ve Koruma
İzleme ve Tespit
Politika ve Prosedür
Final Quiz: Veri Sızıntısı
Soru 3/3
Veri sızıntısı tespit ettiniz. İlk yapmanız gereken nedir?
🎉 Tebrikler!
Veri Sızıntıları rehberini tamamladınız! Artık veri sızıntılarını tanıyor, önlüyor ve gerektiğinde müdahale edebiliyorsunuz. Bilgilerinizi uygulayarak dijital varlıklarınızı koruyun.
SIKÇA SORULAN SORULAR
Veri Sızıntısı SSS
Veri sızıntısı tespit edersem ne yapmalıyım?
Önce sızıntıyı doğrulayın, sonra etkilenen sistemleri izole edin. 72 saat içinde KVKK'ya bildirim yapın. Etkilenen kişileri bilgilendirin. Profesyonel destek alın.
KVKK ihlal bildirimi nasıl yapılır?
KVKK'nın resmi web sitesindeki formu doldurun. İhlalin niteliği, etkilenen veri sayısı, alınan önlemler detaylı şekilde belirtilmelidir.
Şifrelenmiş veriler sızdırılırsa risk var mı?
Evet, şifreleme anahtarı da ele geçirildiyse risk devam eder. Ancak güçlü şifreleme (AES-256) ile şifrelenmiş verilerin kırılması çok zordur.
Çalışanlarımın veri sızıntısını önlemek için ne yapmalıyım?
Düzenli eğitim, phishing simülasyonları, net politikalar ve erişim kontrolleri uygulayın. "Blame-free" raporlama kültürü oluşturun.
Bulut hizmetlerinde veri sızıntısı riski var mı?
Evet, özellikle yanlış yapılandırma durumunda. Shared responsibility modelini anlayın. Siz veri güvenliğinden sorumlusunuz.
Dark web'de verilerimi nasıl kontrol edebilirim?
Have I Been Pwned, Firefox Monitor gibi ücretsiz servisler kullanın. Kurumsal çözümler için Recorded Future, Darktrace tercih edin.
Veri sızıntısı sigortası almalı mıyım?
Kurumsal şirketler için şiddetle önerilir. Siber sigorta, ihlal sonrası maliyetleri (hukuk, PR, kurtarma) karşılar.
Sızıntı sonrası itibarımı nasıl korurum?
Şeffaf olun, hızlı bildirim yapın, etkilenenlere destek sunun, önlemleri kamuoyuyla paylaşın. Güvenilir bir PR stratejisi izleyin.
Veri Sızıntısı Riskinizi Değerlendirin
Ücretsiz araçlarla veri sızıntısı riskinizi analiz edin.
