İki yıl öncenin haberini yeni gibi verince kullanıcılar panik yaşadı: Getir ve BiTaksi'nin isyanı

Olay doğru ama kullanıcıları kaygılandıran haberin yanlış algı yaratan bir boyutu vardı... Olay iki yıl önce yaşanmış, soruşturma sonunda dava açılmıştı. Haber, bu haftaki dava duruşmasından yola çıkılarak yeniymiş gibi sunulmuştu.

Getir, haber üzerine şu açıklamayı yaptı:

Getir: "2023 yılında gerçekleşen bir olay"

"Bugün basında ve sosyal medyada Getir’in de adının geçtiği bilgi güvenliğine ilişkin haber, 2023 yılında gerçekleşen ve o dönem kamuoyu ve kullanıcılarımızla şeffaf biçimde paylaştığımız bir olayla ilgilidir.

Getir olarak, bundan 2 yıl önce olayın hemen ardından hem yargı makamlarıyla hem de Kişisel Verileri Koruma Kurumu (KVKK) ile durumu hemen paylaşarak tüm resmi başvurularımızı eksiksiz gerçekleştirdik. Söz konusu olaya ilişkin hukuki süreç halen devam ediyor.

Kişisel verilerin gizlilik ve güvenliği konusunda büyük hassasiyete sahip olduğumuzu hatırlatarak, veri mahremiyeti konusunda gerekli özeni göstermeye devam edeceğimizi kamuoyuna duyururuz."

Bitaksi, haberle ilgili yaptığı açıklamada veri sızıntısı iddialarını reddetti:

"Bitaksi’de veri sızıntısı yaşanmamıştır"

"Bitaksi sistemine izinsiz erişim sağlanması ve kullanıcıların verilerinin ele geçirildiği yönündeki haberlere açıklık getirmek isteriz. Kişisel Verileri Koruma Kurulu, 20.03.2025 tarihli ve 2025/544 sayılı kararında Bitaksi’de herhangi bir veri sızıntısı veya güvenlik ihlali olmadığı sonucuna varmıştır.

Türkiye'nin ilk yerel dijital taksi çağırma platformu olarak önceliğimiz müşteri verilerinin gizliliği ve güvenliğidir. Tüm veriler, uluslararası güvenlik standartlarına uygun sistemlerle korunmaktadır ve bütün kullanıcılarımızın verileri güvendedir."

Sabah'ta yer alan haber şöyleydi:

İstanbul Cumhuriyet Başsavcılığı'nca yürütülen soruşturmada, Getir firmasında çalışan yazılım mühendisi F. Y.'nin, 2 yıl önce sadece 20 günde toplamda 2 bin 890 kişinin isim, soy isim, adres, telefon, seyahat ve sipariş bilgileri gibi kişisel bilgilerini ele geçirip sosyal medya ve karanlık ağ platformlarında paylaştığı tespit edildi.

Yapılan teknik incelemelerde, şüpheli F. Y.'nin; çalıştığı Getir firmasına ait ....@getir.com** uzantılı kurumsal e-posta adresinden 23 Şubat - 11 Mart 2023 tarihleri arasında yoğun veri sorgulamaları yaptığı belirlendi.

Her sorguda 2 binden fazla satır veri çekilerek yaklaşık 2 bin 890 ayrı veri talebi oluşturulduğu, elde edilen bilgiler arasında kullanıcıların isim, soy isim, adres, telefon numarası, e-posta adresi, sipariş ve seyahat bilgileri gibi hassas kişisel bilgilerin bulunduğu ve bunların sosyal medya ve karanlık ağ platformlarında paylaşıldığı ortaya çıktı.

İddianameye göre F.Y., Getir ve BiTaksi'nin kurucusu Nazım Salur'a takma isimlerle gönderdiği e-postada, elde ettiği milyonlarca satırlık veriyi basına veya üçüncü kişilere satılabileceğini ima etti.

F.Y., gönderilen mesajlarda şirketin bu durum karşısında ödeme yapması gerektiğine dair örtülü tehditlerde de bulundu.

Dijital izleri ele verdi

F.Y., savunmasında söz konusu e-posta adresinin kendisine ait olduğunu kabul etti ancak işlemleri kendisinin yapmadığını ve şifresini kimseyle paylaşmadığını belirtti.

Ancak bilirkişi raporları, sunucu erişim kayıtları ve cihazlarında bulunan dijital materyaller, işlemlerin doğrudan onun kullanıcı hesabı üzerinden gerçekleştiğini ortaya koydu.

13 yıla kadar hapsi istendi

İddianamede, şüpheli F.Y. hakkında; TCK 244 (bilişim sistemine girme), TCK 136 (kişisel verileri hukuka aykırı elde etme) ve TCK 107 (şantaj) maddeleri uyarınca 5 yıldan 13 yıla kadar hapis istemiyle cezalandırılması istendi.