Ocak 2026’da yayımladığımız 2026 Siber Güvenlik Trendleri analizinde işaret ettiğimiz örüntüler, Mart 2026’da hem AB’nin kendi altyapısında hem de İstanbul’daki Siyah Şapkalılar operasyonunda doğrulandı. Bu yazı, o doğrulamayı hukuki çerçeveye oturtuyor.

I. İki Siber Saldırı, Bir Örüntü

30 Ocak 2026. Avrupa Komisyonu’nun mobil cihaz yönetim altyapısı hedef alındı. Ivanti EPMM yazılımında kullanıldığı değerlendirilen iki sıfır-gün açığı — CVE-2026-1281 ve CVE-2026-1340 — üzerinden personel adı ve telefon numaraları elde edildi. Komisyon olayı dokuz saat içinde kontrol altına aldı; ancak kamuoyuna açıklamayı yedi gün sonra yaptı. Bu gecikme kendiliğinden hukuki bir soru doğurdu: bildirim yükümlülüğü ne zaman başlar?

24 Mart 2026. Europa.eu platformunu barındıran Amazon Web Services (AWS) ortamına ait erişim kimlik bilgilerinin ele geçirilmiş olabileceğine işaret eden bulgular, kimlik tabanlı sızma (credential-based intrusion) örüntüsüyle örtüşüyor. Tehdit aktörü, Komisyon, Parlamento ve Konsey dahil AB’nin tüm kurumsal platformunu çatısı altında barındıran sisteme girdi. BleepingComputer’a sızdırılan iddiaya göre 350 GB’ın üzerinde veri kopyalandı — bu rakam bağımsız olarak doğrulanmış değil. Avrupa Komisyonu’nun resmi açıklaması teknik ayrıntılardan kaçındı; ihlali teyit etti, kapsamı sınırlı tuttu.

Bu iki olayı birbirinden bağımsız okumak analitik bir hata olur. Her ikisinde de saldırılan şey altyapının kendisi değil; altyapıya erişimi mümkün kılan kimlik katmanıydı. Ocak’ta Ivanti açığı üzerinden MDM sunucusuna; Mart’ta ele geçirilmiş hesap kimlik bilgileriyle AWS ortamına girildi. Teknik yöntem farklı, örüntü aynı: kilidi kırmak yerine anahtarı kopyalamak.,

Ocak 2026’da yayımladığımız trendler analizinde şunu yazmıştık: “İmza tabanlı savunma, tehdidin baskın kısmını tasarım gereği aşıyor.” WatchGuard’ın Q2 2025 İnternet Güvenliği Raporu’na göre TLS trafiğinde sıfır-gün oranı %89’a ulaşıyor. Ivanti açıkları bu tespiti AB’nin kendi sunucularında pratiğe döktü. “Tedarik zincirinin en zayıf halkası” argümanı ise Europa.eu vakasında Ivanti’nin MDM yazılımı olarak somutlaştı: Komisyon’un altyapısını kırmak gerekmedi; üçüncü taraf yazılımı bir tedarik zinciri saldırısı (supply chain attack) vektörüne dönüştü.

Jeopolitik bağlam bu iki olayı daha da ağırlaştırıyor. 16 Mart 2026’da AB, Çin’in Integrity Technology Group ile Anxun şirketini ve İran’ın Emennet Pasargad grubunu siber saldırı gerekçesiyle yaptırım listesine aldı. Europa.eu saldırısı bu yaptırım kararından sekiz gün sonra gerçekleşti. Nedensellik iddia edilemez; korelasyon görmezden gelinemez.

II. Hukuki Paradoks: NIS2’nin Gölgesi Altında NIS2’siz Kurumlar

Bu noktada AB hukukunun en tuhaf paradoksu gün yüzüne çıkıyor.

NIS2 Direktifi (2022/2555), AB genelinde siber güvenlik standartlarını yükseltmek amacıyla tasarlandı. Üye devletlere, kritik altyapı işletmecilerine ve önemli hizmet sağlayıcılarına kapsamlı yükümlülükler getiriyor: risk yönetimi, olay bildirimi, tedarik zinciri güvenliği. Bir siber olay yaşandığında ilgili ulusal otoriteye 24 saat içinde ön bildirim, 72 saat içinde kapsamlı bildirim zorunlu.

Ancak NIS2, AB kurumlarına doğrudan uygulanmıyor. AB kurumları için ayrı bir rejim geçerli: (AB) 2023/2841 sayılı Tüzük, yalnızca Birlik kurumlarını, organlarını ve ajanslarını kapsıyor. Kişisel veri ihlali bildiriminde ise uygulanacak düzenleme GDPR değil, Tüzük 2018/1725.

Pratik sonuç şu: AB, üye devletlere ve özel sektöre 72 saatlik bildirim zorunluluğu dayatırken, kendi kurumsal platformunu yöneten yapı bu zorunluluğun dışında kalıyor. Ocak saldırısında yedi günlük gecikme NIS2 kapsamında değerlendirilebilseydi, Komisyon kendi koyduğu kuralı açıkça ihlal etmiş olacaktı.

Beck’in risk toplumu perspektifinden bu paradoks şöyle okunabilir: risk burada yalnızca teknik değil, kurumsal. AB, ürettiği düzenlemenin kendisine uygulanmamasını yapısal bir tercih olarak sürdürüyor. Bu tercih kasıtlı mı, kurumsal dinamiklerin bir ürünü mü — yanıtı belirsiz. Sonucu ise net: hesap verebilirlik boşluğu.

Öte yandan AB’nin bu kurumsal yönelimde köklü bir değişiklik sinyali vermekte olduğu da not edilmeli. Ocak 2026’da Komisyon’un açıkladığı yeni siber güvenlik paketi — NIS2 değişiklikleri ve CSA2 hazırlıkları dahil — tek merkezi bildirim platformu öngörüyor ve GDPR’daki 72 saatlik bildirim süresini 96 saate çıkarmayı planlıyor. Bu değişiklik henüz yürürlüğe girmedi; ancak AB’nin kendi açığını fark ettiğinin işareti.

III. Öngörüler Doğrulandı: Ocak’tan Mart’a

Ocak 2026 analizimizde beş küresel raporun ortak mesajını özetlemiştik: yapay zeka oyunun kurallarını değiştiriyor, şifreli trafik saldırganların sığınağı oluyor, fidye yazılımları hacim olarak azalsa da yıkıcılığı artıyor, tedarik zinciri en zayıf halka olmaya devam ediyor.

Bu öngörülerin Mart 2026 itibarıyla neresinde duruyoruz?

WatchGuard verilerinden çıkardığımız TLS trafiğindeki yüksek sıfır-gün oranı bulgusu, Europa.eu saldırısında Ivanti EPMM açıklarının imza tabanlı sistemlerden gizlenme kapasitesiyle örtüşüyor. Trendler yazısında “gölge ajan ve içeriden erişim riski” olarak çerçevelediğimiz örüntü, Siyah Şapkalılar dosyasında MERNİS’e yetkili kullanıcı hesabı üzerinden erişim zafiyeti olarak yüzeye vurdu. “Makineyi değil insanı hacklemek” tespiti ise her iki vakada da ilk erişim vektörünün teknik değil kimlik tabanlı olduğunu doğruladı.

Tedarik zinciri argümanı en keskin biçimde Europa.eu vakasında doğrulandı. Komisyon’un altyapısını doğrudan kırmak gerekmedi; Ivanti’nin yazılımı yeterliydi. WEF raporunda “siber eşitsizlik” kavramıyla işaret ettiğimiz dinamik burada işledi: büyük kurumun güvenlik mimarisi ne kadar güçlü olursa olsun, tedarik zincirindeki en zayıf halka o mimariye kapı açabiliyor.

Bu doğrulamayı bir yıllık öngörü değerlendirmesine dönüştürmek için henüz erken. Ama iki ay gibi kısa bir sürede üç ayrı olay — Europa Ocak saldırısı, Europa Mart saldırısı, Siyah Şapkalılar operasyonu — öngörülen örüntüleri pratiğe taşıdı.

IV. Türkiye Boyutu: Üç Ders, Bir Açık Soru

Bulut bağımlılığı ve egemenlik.

AB’nin resmi kurumsal platformunun AWS altyapısında barındırılması, veri egemenliği tartışmasını yeniden alevlendiriyor. Trafik verisi analizimizde FISA 702 ve CLOUD Act’in Türkiye’deki veri akışları üzerindeki potansiyel etkisini tartışmıştık. Europa vakası bu tartışmayı soyuttan somuta taşıdı: AB bile kendi verisini kendi altyapısında barındırmıyor. Türkiye’nin 7545 sayılı Kanun kapsamında kritik altyapı verilerinin yerli altyapı tercihine yönelik düzenleme eğilimleri, bu bağlamda değerlendirmeyi hak ediyor.

Bildirim karmaşası ve çifte yükümlülük.

Europa vakasında yedi günlük gecikme, NIS2’nin 72 saatlik zorunluluğuyla teorik bir çelişki yarattı. Türkiye’de benzer bir senaryo, 7545’in olay bildirimi hükümleri ile KVKK’nın 12. maddesi kapsamındaki veri ihlali bildirim yükümlülüğü arasında çakışma üretecek. Hangi bildirim hangi otoriteye, hangi sürede yapılacak? İkincil düzenlemelerin bu soruyu yanıtlaması gerekiyor. Yanıtlanmazsa şirketler iki rejim arasında sıkışacak; hem 7545 hem KVKK kapsamında eş zamanlı yükümlülük doğacak.

Kamu kurumlarının konumu.

Türkiye’de 7545’in kamu kurumlarına uygulanma biçimi henüz netleşmemiş. Europa örneği, kamu kurumlarının özel sektörden farklı ya da muaf bir rejime tabi tutulmasının uzun vadede sürdürülemez olduğunu gösteriyor. Siyah Şapkalılar dosyasında tartıştığımız MERNİS zafiyeti, kamu kurumlarının 7545 yükümlülükleri kapsamına alınmasının hem pratik hem hukuki açıdan kaçınılmaz olduğuna işaret ediyor.

Lessig’in “Code is Law” — “Kod Yasadır” — tezi burada ters yüz oluyor: bu iki vakada kod, yasanın yerini almadı — yasanın görmezden geldiği ya da muaf tuttuğu yapıları açığa çıkardı. Sorun artık sistemin kırılgan olup olmadığı değil; bu kırılganlığın hangi hukuk rejimi tarafından tanımlandığı — ve kimin o rejimin dışında kaldığı.

V. Aynı Hafta, Üçüncü Olay: FBI Direktörünün Kişisel Hesabı

27 Mart 2026. Europa.eu saldırısından üç gün sonra, İran bağlantılı Handala Hack Team, FBI Direktörü Kash Patel’in kişisel Gmail hesabına sızdığını duyurdu. Grup, 2010-2019 yılları arasına ait 300’den fazla e-posta ile kişisel fotoğrafları yayımladı. FBI olayı doğruladı; sözcü, sızdırılan verilerin “güncel olmadığını ve hükümet bilgisi içermediğini” açıkladı.

Olayın kronolojisi dikkat çekici. 19 Mart 2026’da ABD Adalet Bakanlığı, İran’ın İstihbarat ve Güvenlik Bakanlığı ile bağlantılı dört alan adına el koydu — bunlar arasında Handala’nın operasyonlarında kullandığı domainler de bulunuyordu. Handala’nın Patel saldırısında kullandığı yeni domain ise el koyma açıklamasıyla aynı gün tescil edildi. CBS News’in haberine göre grup bu hareketi açıkça bir karşılık olarak tanımladı: “FBI domainlerimize el koyarken 10 milyon dolar ödül duyurdu — biz de unutulmaz bir yanıt vermeye karar verdik.“

Teknik analiz, sızıntının gerçek zamanlı bir erişimden değil, daha önce elde tutulup stratejik bir anda yayımlanan arşivlenmiş veriden oluştuğuna işaret ediyor. TechCrunch, e-posta başlıklarındaki kriptografik imzaları doğrulayarak en azından bir kısım e-postanın özgünlüğünü teyit etti. NBC News’in aktardığı siber güvenlik uzmanı değerlendirmesine göre “İran aktörleri bu tür materyalleri elde tutup zamanı gelince silah olarak kullanıyor” — yani saldırı anında değil, yayımlama zamanlamasında stratejik tercih belirleyici.

Bu üçüncü olayı Europa.eu çerçevesine taşıyan bağ şurada: Patel vakasında saldırılan şey ne FBI altyapısı ne de hükümet ağıydı. Hedef, kurumsal konumun dışında kalan kişisel hesaptı. Aynı örüntü — kimlik katmanına odaklanma, teknik altyapıyı atlama — burada da geçerli. Check Point analistinin ifadesiyle bu bir “hack ve sızdırma” (hack-and-leak) operasyonu: teknik zarar vermek değil, hedefi savunmasız hissettirmek ve kamuoyu baskısı yaratmak amaçlı.

Hukuki boyut ise şu soruyu açıyor: Bir kamu görevlisinin kişisel e-posta hesabı, kurumsal siber güvenlik yükümlülükleri kapsamında mı değerlendirilmeli? ABD’de bu sorunun yanıtı henüz netleşmemiş. Türkiye’de ise 7545’in kamu personeline yönelik kişisel hesap güvenliği standartları konusunda herhangi bir hüküm içermediği görülüyor. Europa.eu ve Patel vakaları birlikte okunduğunda, bu boşluğun yalnızca teknik değil hukuki bir risk yarattığı ortaya çıkıyor: Kişisel hesaptan sızan eski bir yazışma, kurumsal itibar zararı ve siyasi baskı aracına dönüşüyor.

Bir haftanın özeti: AB yaptırım kararı (16 Mart) → Europa saldırısı (24 Mart) → FBI direktörünün kişisel hesabı (27 Mart). Üç olay, üç farklı coğrafya, tek örüntü. Hedef her seferinde teknik altyapı değil; kimlik zincirinin en görünür, en az korunan halkası.

VI. Sonuç: Belgeleyen Kazanıyor

Ocak trendler yazısında şunu söylemiştik: “Asıl fark, mevzuatı okumakla değil; kurumun kendi mimarisini, tedarik zincirini ve karar alma süreçlerini bu çerçeveye göre yeniden haritalayabilmekle ortaya çıkıyor.“

Europa, Siyah Şapkalılar ve Patel vakaları bu tespiti doğruladı — ama bir adım daha ileri gitti. Kurumlar yalnızca mevzuatı okumakla değil, uyumu belgelemekle de sınav veriyor.

Log kayıtlarının düzenli tutulması, sızma testlerinin yapılması, tedarikçi güvenlik değerlendirmelerinin arşivlenmesi — bunlar savunma mekanizmaları. Ancak bu mekanizmaların varlığı tek başına yeterli değil; ne yapıldığını anlayan, sorgulayan ve bağımsız değerlendirebilen bir danışmanlık katmanı olmadan teknik uyum, kâğıt üzerinde kalıyor.

Uygulamada en sık karşılaşılan zafiyet burada: teknik personel “hallettik” diyor, dış hizmet alınan firma süreci yönetiyor, ama kimse ikisinin kesiştiği noktayı sorgulamıyor. Artık soru ‘bir şeyler yaptık mı?’ değil — ‘ne yaptığımızı kanıtlayabiliyor muyuz?

Avrupa’nın en güçlü kurumsal platformu iki kez vuruldu. FBI direktörünün kişisel hesabı üçüncü halkayı oluşturdu. İkinci Europa saldırısında sistem işledi — tepki hızlı, hasar sınırlı. İlk saldırıda sistem yedi gün sessiz kaldı. Patel vakasında ise sistem değil, stratejik zamanlama belirleyiciydi: veri yıllarca elde tutuldu, en etkili anda serbest bırakıldı.

Avrupa kendi koyduğu kuralın dışında kalarak yedi gün sessiz kaldı. FBI direktörünün kişisel hesabı, kurumsal güvenliğin sınırını gösterdi. Her ikisinde de teknik altyapı yerli yerindeydi — ama belgeleyen yoktu, bildiren geç kaldı, zamanlamayı karşı taraf belirledi. Kimlik katmanı artık savaş alanı. Ve bu savaşta hazırlık, savunmadan önce geliyor.

 

Yazımız; Avrupa Komisyonu’nun resmi açıklamaları, CNN, NBC News, TechCrunch, Axios, CBS News ve ABD Adalet Bakanlığı’nın resmi duyuruları esas alınarak hazırlanmıştır. Europa saldırılarının kapsamına ilişkin bazı iddialar (350 GB veri) bağımsız olarak doğrulanmamıştır. Handala’nın Patel’e ait e-postaları yayımlaması bağlamında, TechCrunch kriptografik doğrulama yöntemiyle belgelerin bir kısmının özgünlüğünü teyit etmiştir. Soruşturmalar devam etmektedir.