Cep telefonundaki güvenlik açıklarını tespit etmek

Beider Basel’in Mağdur Yardım Kurumu adına, ilişki içi şiddet ve takip mağdurları için “cep telefonu güvenlik değerlendirmeleri” gerçekleştiriyorsunuz. Bu değerlendirmeler sırasında tam olarak ne yapıyorsunuz?

Rachid Dahjaoui: Etkilenen kişileri dijital güvenlik riskleri açısından kapsamlı bir şekilde inceliyoruz. Amaç, cihazlarının örneğin “stalkerware” olarak adlandırılan gizli izleme uygulamaları yoluyla izlenip izlenmediğini veya tehlike arz eden başka güvenlik açıkları olup olmadığını tespit etmektir. Değerlendirme sonunda, ilgili kişiye net eylem önerileri içeren somut bir eylem planı sunulur. Ayrıca, etkilenen kişiler değerlendirme süreci boyunca başka sorular da sorabilirler.

Böyle bir sınav nasıl yapılır?

Rachid Dahjaoui: İlk aşamada, ilgili kişiye değerlendirmenin süreci ve amacı hakkında bilgi veriyoruz. Ayrıca, akıllı telefonu güvenli bir şekilde kullanma, şifreler ve sosyal medya uygulamalarındaki önemli ayarlar, özellikle de konum paylaşımı konusunda pratik ipuçları içeren bir dijital kendini koruma kılavuzu da veriyoruz. İkinci aşamada, tüm ilgili risk alanlarını sistematik olarak sorguladığımız, tarafımızca geliştirilmiş bir anketi birlikte gözden geçiriyoruz. Bu süreçte dikkat çeken unsurlar, yani “kırmızı bayraklar” ile karşılaşırsak, somut tehlikeyi değerlendirmek için bu noktalara odaklanarak daha ayrıntılı bir inceleme yapıyoruz. Görüşme sırasında bile uygun önlemleri belirleriz.

Peki, bundan sonra ne olacak?

Üçüncü aşamada işler teknik bir hal alır: Akıllı telefonun ağ trafiğini, yani cihazın arka planda kurduğu bağlantıları analiz ederiz. Bu sayede, telefonun – stalkerware yazılımlarında olduğu gibi – şüpheli hizmetlere gizlice veri gönderip göndermediğini tespit edebiliriz. Bunun için, etkilenen kişinin bağlandığı özel olarak yapılandırılmış bir cihaz kullanıyoruz. Değerlendirme sonrasında, kişiye tespit edilen tüm riskleri ve önerilen adımları içeren bir eylem planı sunulur.

Karşılaştığınız en yaygın güvenlik açıkları nelerdir?

Rachid Dahjaoui: Açık ara en büyük zayıf nokta, kendi hesapları ve şifreleri ile güvenli bir şekilde ilgilenmeme durumudur. Mağdurlar genellikle erişim bilgilerini partnerleriyle paylaşmış ya da hesaplarının partnerleri tarafından açılmasını sağlamışlardır. Bu durum, partnerin tam erişim hakkına sahip olmasına ve dolayısıyla tam kontrol ve izleme imkânlarına sahip olmasına yol açar. Buna ek olarak, genellikle aynı şifre birden fazla hesap için kullanılır. Bunlardan biri ele geçirilirse, birden fazla kapı birden açılmış olur.

Francis Fink: Bu bağlamda, etkilenen kişiler genellikle hangi hesaplarının ne kadar güvenli olduğuna dair genel bir fikir sahibi olamıyor. Daha sonra tüm hesaplarının risk altında olduğu ya da hatta ele geçirilmiş sayılması gerektiğini duyduklarında, bu durum onlar için büyük bir yük oluyor.

Pilot aşama artık sona erdi. Bu süreçte ne gibi deneyimler edindiniz? Bu aşamaya ilişkin nasıl bir ara değerlendirme yaparsınız?

Rachid Dahjaoui: Önemli bir bulgu: Bir vaka hariç, cihazlarda herhangi bir takip yazılımı veya casus yazılım bulamadık. Ancak bu, herhangi bir izleme yapılmadığı anlamına gelmez – tam tersine. Risk genellikle teknik saldırılardan değil, erişim bilgilerinin gönüllü olarak paylaşılmasından ya da partner tarafından ayarlanmasından kaynaklanıyor. Teknik terimle buna “sosyal mühendislik” denir; yani erişim bilgilerine veya bilgilere ulaşmak için insanları hedefli bir şekilde manipüle etme. Bir başka bulgu: Tek başına bir anket yeterli değildir. Gerçek tehlike potansiyelini doğru bir şekilde değerlendirebilmek için siber güvenlik alanında sağlam bir bilgi birikimi gereklidir.

Francis Fink: Şahsen benim için en önemli deneyimlerden biri, aile içi ve psikolojik şiddet uygulayan faillerin, kurbanlar üzerindeki kontrolünü dijital alana da kaydırdığıdır. Bu da, olaylar yaşanana kadar çoğu insan gibi kendi hesap güvenliklerini pek önemsemeyen mağdurların, artan tehlike düzeyine göre güvenlik önlemlerini mutlaka uyarlamaları gerektiği anlamına geliyor. Böyle bir değişiklik bir anda gerçekleşemez ve çoğu zaman bu aşamada zaten büyük bir tehlike potansiyeli mevcuttur. Siber değerlendirmelerimiz, bizim “dijital hijyen” olarak adlandırdığımız uygulamayı hayata geçirmek ve gerekirse kendi hesapları ve bağlantıları üzerindeki kontrolü yeniden ele almaya başlamak için bir başlangıç noktası oluşturur.

Etkilenen kişilerin önerilerinizi uygulamalarını nasıl sağlayabilirsiniz?

Rachid Dahjaoui: İdeal olarak, etkilenen kişilere önlemleri uygulamada doğrudan eşlik edecek bir destek programı oluşturulmalıdır. Yani onları sadece bir listeyle baş başa bırakmak yerine, adım adım desteklemelidir. Aynı zamanda, etkilenen kişileri bu konuda bilinçlendirmek de önemlidir: Teknik olarak neler mümkün? Somut olarak hangi riskler var? Ve kişi kendini nasıl koruyabilirdi? Bu farkındalık, tavsiyelerin uzun vadede günlük yaşamda da uygulanabilmesi için anahtardır.

Francis Fink: Şu anda, değerlendirme sonrasında etkilenen kişilere maalesef eşlik edemiyoruz. Bu da, onların önerilerimizi uygun şekilde uygulayabileceklerini garanti edemediğimiz anlamına geliyor. Bana göre, dijital egemenliği geri kazanmak, yani bir kişinin başkalarına ne kadar erişim izni vereceğine ve gerekirse bu izni geri çekebileceğine kendi başına karar verebileceği ve kontrol edebileceği bir duruma ulaşmak çok önemli. Mağdur yardım merkezlerinin hizmet yelpazesini, kişilerin dijital alanda nasıl güvenli bir şekilde hareket edebilecekleri ve bizim önerdiğimiz önlemleri nasıl uygulayabilecekleri konusunda danışmanlık hizmetlerine doğru genişletmek, çabalarımızı şüphesiz tamamlayacaktır.

Deneyimlerinizi mağdur danışma merkezlerine aktardınız ve “tech against violence” adına uzmanlara yönelik haftalık bir danışma seansı düzenliyorsunuz. Çalışmalarınıza gösterilen bu büyük ilgiyi neye bağlıyorsunuz?

Rachid Dahjaoui: Günümüzde başkalarını dijital olarak izlemek korkutucu derecede kolay. Bunun için ne hacker becerileri ne de kapsamlı teknik bilgi gerekiyor. Bu durum, şiddet içeren ilişkilerde dijital izlemenin giderek daha sık görülmesine yol açıyor ve danışma merkezleri de giderek daha fazla bu sorunla karşı karşıya kalıyor. Aynı zamanda, bu merkezlerde riskleri doğru bir şekilde değerlendirebilmek için gerekli uzmanlık bilgisi genellikle eksik kalıyor. Somut bir örnek: Mağdur bir kişi bir kadın veya kız sığınma evine sığınırsa ve üzerinde o anda aktif olarak konum takibi yapılan bir akıllı telefon taşıyorsa, tüm sığınma evinin güvenliği tehlikeye girer. İşte tam da bu noktada uzman bilgisi gereklidir ve işte bu yüzden çalışmalarımıza olan ilgi bu kadar büyüktür.

Francis Fink: Siber güvenlik alanındaki uzman birimlerde görev yapan personelin bilişim bilgisi, dijital alandaki tehdit durumlarına uygun şekilde tepki verebilmek için genellikle yetersizdir. Uzman birimlerin çoğu bunun farkındadır; bu nedenle “tech against violence”ın sunduğu imkânlardan aktif olarak yararlanmaktadırlar.

Veri güvenliği konusunda daha bilinçli davranabilmemiz için bize ne gibi tavsiyelerde bulunabilirsiniz?

Rachid Dahjaoui: Büyük bir fark yaratan dört basit temel kural: Birincisi: Her hesap için ayrı ve güçlü bir şifre kullanın. Bir şifre yöneticisi, şifrelerinizi düzenli tutmanıza yardımcı olur. İkincisi: Mümkün olan her yerde iki faktörlü kimlik doğrulamayı etkinleştirin. Bu, şifrenin yanı sıra ikinci bir doğrulama adımının, örneğin bir uygulama üzerinden gelen bir kodun gerekli olduğu anlamına gelir. Birisi şifrenizi bilseniz bile, sadece şifreyle hesaba giremez. Üçüncüsü: Uygulamalarınızın izinlerini düzenli olarak kontrol edin: Hangi uygulama konumunuza, kameranıza veya mikrofonunuza erişebiliyor? Zorunlu olmayan her şeyi devre dışı bırakın. Dördüncüsü: Cihazlarınızı her zaman güncel tutun ve güncellemeleri yükleyin. Ve en önemlisi: Giriş bilgilerinizi kimseyle paylaşmayın – eşinizle bile.

Francis Fink: Rachid ile aynı fikirdeyim: Kendi hesaplarınızı ve şifrelerinizi güvenli bir şekilde yönetmek, siber güvenliğinizin temelidir.

Cep telefonumuzun güvenliğinde bir sorun olduğunu nasıl anlarız? Ve o zaman ne yapmalıyız?

Rachid Dahjaoui: Bazı tipik uyarı işaretleri vardır: Telefonu neredeyse hiç kullanmamış olmanıza rağmen pilin çok hızlı bitmesi. Kamera veya mikrofonun görünürde bir neden olmaksızın kendiliğinden açılması. Kendinizin talep etmediği şifre sıfırlama e-postaları almanız. Ya da belirli ayarlar aniden değiştirilemez hale gelir ve hata mesajları gösterilir. Bunlar sadece birkaç örnektir, ancak bu tür durumları fark ederseniz dikkatli olmalısınız. Bu durumda, cihazınızı kontrol ettirmenize yardımcı olabilecek bir uzman birime veya danışma merkezine başvurun.

Francis Fink: Buna ek olarak, 1 Ocak 2026 tarihinden itibaren takipçilik suç teşkil etmektedir. Bu suçtan üç yıla kadar hapis cezası verilebilir. Takipçilik, bir kişinin hayatını özgürce şekillendirme imkânını ciddi şekilde kısıtlayan, sürekli bir takip, taciz veya tehdit anlamına gelir. Çoğu zaman dijital gözetim de bunun bir parçasıdır.