YTÜ'deki Fidye Yazılımı Saldırısı: Verisi Etkilenen Öğrenci ve Personel Hangi Haklara Sahip?

Yıldız Teknik Üniversitesi'nin (YTÜ) bilişim altyapısına 1 Ekim'de düzenlenen fidye yazılımı saldırısı, yeni akademik yılın ilk haftasında öğrencileri sistemlerden kopardı. Kişisel Verileri Koruma Kurulu 7 Ekim'de yayımladığı duyuruda yaklaşık 140 bin öğrenci ile 4.500 akademik ve idari personelin etkilenmiş olabileceğini açıkladı. Üniversite ise verilerin zarar görmeden kurtarıldığını ve dışarı veri aktarımına rastlanmadığını söylüyor. Peki ihlal bildiriminde adı geçen öğrenci ve çalışanlar ne yapabilir, sorumluluk kimde?

Kurul duyurusunda neler var?

Kurul'un 7 Ekim 2026 tarihli ve 2026/2203 sayılı kararıyla internet sitesinde yayımlanan duyuruya göre ihlal 1 Ekim 2026'da başladı ve aynı gün tespit edildi. Veri sorumlusu üniversitenin sanallaştırma altyapısı ve üzerinde çalışan sunucular fidye yazılımından etkilendi. Mevcut kayıtlara göre yaklaşık 140 bin öğrenci ve 4.500 personel etkilenmiş olabilir; tesislere gelen ziyaretçilerin sayısı ise henüz belli değil. Hangi veri kategorilerinin etkilendiği duyuruda "henüz tespit edilemedi" şeklinde yer alıyor.

Euronews Türkçe'ye konuşan üniversite yönetimi, bildirimin kanuni zorunluluk nedeniyle 6 Ekim'de Kurul'a yapıldığını, dokuz gün süren kurtarma çalışmasında yaklaşık 500 TB verinin taranarak geri yüklendiğini ve dışarıya veri aktarım trafiği bulunmadığını belirtti. Üniversite, bu tespitin duyuruya eklenmemesinin kamuoyunda yanlış bir algı yarattığını da savundu. Fidye talebi olup olmadığı ve adli inceleme bulguları ise henüz kamuoyuyla paylaşılmadı.

Bildirim yükümlülüğü ne diyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini öngörüyor. Kurul gerekirse ihlali kendi internet sitesinde ilan edebiliyor; YTÜ duyurusu bu yetkiye dayanıyor. Kurul'un 2019/10 sayılı kararı ise bildirimin gecikmeksizin ve en geç 72 saat içinde yapılmasını, bu süre içinde yapılamazsa gecikmenin sebeplerinin bildirimle birlikte açıklanmasını istiyor. Kurul, bildirim sürecini ve alınan güvenlik önlemlerini kendi incelemesinde değerlendirecek.

Fidye yazılımı vakalarında hukuki tartışma çoğu zaman şu noktada düğümleniyor: Veriler yalnızca şifrelenip erişilemez hâle mi geldi, yoksa kopyalanıp dışarı mı çıkarıldı? Kanun'un 12. maddesinin birinci fıkrası veri sorumlusuna verilere hukuka aykırı erişimi önlemek ve verileri muhafaza etmek için gerekli teknik ve idari tedbirleri alma yükümlülüğü yüklüyor. Bu nedenle verinin dışarı sızmamış olması, güvenlik yükümlülüğünün yerine getirilip getirilmediği sorusunu tek başına ortadan kaldırmıyor.

Öğrenci ve personel ne yapabilir?

Kanun'un 11. maddesi herkese kendisiyle ilgili veri işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, verilerin aktarıldığı üçüncü kişileri bilme ve kanuna aykırı işleme nedeniyle zarara uğrarsa zararın giderilmesini talep etme hakkı tanıyor. Pratikte izlenecek yol şu:

• Başvuru: Üniversiteye yazılı olarak veya kayıtlı elektronik posta, güvenli elektronik imza ya da üniversiteye daha önce bildirilen e-posta adresi üzerinden başvurun. Dilekçede ad soyad, imza, T.C. kimlik numarası, adres, varsa e-posta ve talebinizi açıkça yazın. Örneğin "Hangi verilerim ihlalden etkilendi, hangi önlemler alındı?" sorusu sorulabilir.
• Cevap süresi: Kanun'un 13. maddesine göre veri sorumlusu talebi en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırmak zorunda.
• Şikâyet: Başvuru reddedilir, cevap yetersiz kalır ya da süresinde verilmezse 14. madde uyarınca cevabın öğrenildiği tarihten itibaren 30 gün ve her hâlde başvurudan itibaren 60 gün içinde Kurul'a şikâyet edilebilir. Kurul'a şikâyet için önce veri sorumlusuna başvurmak şart.
• Önlem: Kurum hesaplarıyla aynı şifreyi kullandığınız diğer hesaplarda şifrenizi değiştirin, iki aşamalı doğrulamayı açın. Üniversite adına gelen, şifre ya da kimlik bilgisi isteyen e-posta ve mesajlara karşı dikkatli olun.

Kamu kurumunda yaptırım farklı işliyor

6698 sayılı Kanun'un 18. maddesi veri güvenliği yükümlülüğüne aykırılık için idari para cezası öngörüyor. Ancak aynı maddeye göre ihlal bir kamu kurum ve kuruluşunda gerçekleşmişse para cezası verilmiyor; Kurul'un bildirimi üzerine ilgili kurumda görev yapan memurlar ve diğer kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılıyor. YTÜ bir devlet üniversitesi olduğu için olası bir yaptırım bu yolla gündeme gelecek.

Zarara uğradığını düşünen öğrenci veya çalışanın tazminat yolu da adli değil idari yargı. Kamu hizmetinin yürütülmesinden kaynaklanan zararlarda 2577 sayılı İdari Yargılama Usulü Kanunu'nun 13. maddesi gereği önce idareye başvurmak gerekiyor; başvuru, eylemin öğrenilmesinden itibaren bir yıl ve her hâlde eylem tarihinden itibaren beş yıl içinde yapılmalı. İstek reddedilir veya 30 gün içinde cevap verilmezse idare mahkemesinde tam yargı davası açılabilir. Bu davalarda hizmet kusurunun yanında somut bir zararın, örneğin verinin kötüye kullanılmasından doğan maddi kaybın ya da manevi zararın ispatı belirleyici olacak.

Saldırganlar için öngörülen cezalar

Saldırıyı gerçekleştirenler tespit edilirse Türk Ceza Kanunu'ndaki bilişim suçları devreye giriyor. Bir bilişim sistemine hukuka aykırı girmek (TCK 243) bir yıla kadar hapis veya adli para cezası; sistemin işleyişini engellemek veya bozmak (TCK 244/1) bir yıldan beş yıla kadar, sistemdeki verileri bozmak, yok etmek, değiştirmek veya erişilmez kılmak (TCK 244/2) altı aydan üç yıla kadar hapis cezası gerektiriyor. Bu fiiller bir kamu kurum veya kuruluşuna ait sistem üzerinde işlenirse ceza yarı oranında artırılıyor. Kişisel verilerin hukuka aykırı olarak ele geçirilmesi veya yayılması (TCK 136) ayrıca iki yıldan dört yıla kadar hapis cezasıyla karşılanıyor. Saldırının failleri ve soruşturma aşamasına ilişkin resmî bir açıklama ise henüz yapılmadı.