MİT'in Tarihi ByLock Operasyonu: 215 Bin Kişilik Gizli Hiyerarşi Nasıl Çökertildi?

Milli İstihbarat Teşkilatının (MİT), 2937 sayılı Kanun'un kendisine tanıdığı teknik istihbarat ve siber güvenlik yetkileri kapsamında gerçekleştirdiği tarihi operasyon, Fetullahçı Terör Örgütü'nün (FETÖ) karanlık iletişim ağını yerle bir etti. Litvanya'da bulunan ana sunucudan üstün bir siber teknolojiyle elde edilen 215 bin 92 kişilik devasa veri tabanı, ceza yargılamalarında örgüt hiyerarşisinin adeta röntgenini çekti.

Örgüt içerisine sızmayı başaran MİT elemanları, ilk kez Temmuz 2014'te ByLock adı verilen bu gizli haberleşme programının varlığını tespit etti. Yapılan derinlemesine siber incelemelerde, yazılımın örgütün siber yapılanma sorumlusu tarafından, 17-25 Aralık süreci öncesinde, Kasım 2013'te verilen özel talimatla geliştirildiği belirlendi. Sistemin sunucu güvenliği de doğrudan bu kritik isme emanet edilmişti. Bu gizli ağı çökertmek amacıyla MİT bünyesindeki Siber Savunma ve Güvenlik Dairesi Başkanlığı bünyesinde; veri tabanı uzmanları, kripto analistler, ağ uzmanları, beyaz şapkalı hackerlar ve tersine mühendislik uzmanlarından oluşan özel bir siber tim kuruldu.

Noel Gecesi Başlayan Büyük Siber Taarruz ve Sosyal Mühendislik

Siber istihbarat timi, FETÖ'nün gizli haberleşmesini sağlayan ana sunucunun Litvanya'da faaliyet gösteren Bastic Servers isimli bir firmada barındırıldığını saptadı. Örgüt yöneticilerinin, kimliklerini gizlemek amacıyla anonim ödeme yöntemleriyle kiraladıkları 9 adet IP adresi üzerinden sistemi çalıştırdıkları belirlendi. Sunucuya yönelik ilk siber taarruz Ağustos 2015'te gerçekleştirilerek sistemin güvenlik duvarı test edildi. Kasım 2015'te güvenlik duvarı aşılsa da veri trafiğindeki olağandışı hareketliliği fark eden örgüt yöneticileri sistemi geçici olarak durdurdu.

MİT'in siber uzmanları, asıl büyük darbeyi vurmak için şirket çalışanlarının Noel tatili nedeniyle gevşeyeceği 25 Aralık 2015 gecesini hedef seçti. Noel gecesi başlatılan kapsamlı siber saldırıyla sunucunun güvenlik duvarı tamamen aşılmayı başardı.

Sızma işleminin tamamlanmasının ardından MİT ekibi, veri merkezi şirketinin e-posta hesabını hackleyerek örgüt yöneticisi yazılımcıya "sunucuda herhangi bir sorun bulunmadığına" dair sahte bilgilendirme mesajları gönderdi. Bu sırada sunucuya yerleştirilen gizli bir backdoor (arka kapı) sayesinde veriler Ankara'daki karargaha aktarılmaya başlandı. Veri akışını daha da hızlandırmak isteyen siber uzmanlar, Litvanya'daki veri güvenliği uzmanının bilgisayarına sevgilisi adına gönderilen fotoğraflarla sızarak izleme ekranlarının kontrolünü tamamen ele geçirdi. Bu sayede milyonlarca veri fark edilmeden başarıyla çekildi.

Kodlardaki Türkçe İzler ve Deşifre Edilen Gizli İmamlar

MİT'in siber güvenlik uzmanlarının uygulamanın kaynak kodları üzerinde yaptığı kriptolojik incelemelerde, sistemin doğrudan Türk kullanıcılar için özel olarak tasarlandığını gösteren kanıtlar bulundu. Kodlar içerisinde "dosya", "posta" ve "sesli arama" gibi doğrudan Türkçe kelimeler tespit edildi. En somut deşifre ise yetkisiz erişim denemelerinde ekrana yansıyan hata iletisinin yazılım dilinde "yetkiniz yok" şeklinde Türkçe kodlanmış olmasıydı.

Operasyon sonucunda elde edilen 215 bin 92 kişilik veri tabanının çözülmesiyle, devletin eline devasa bir veri hacmi geçti. Operasyon kapsamında 60 bin 748 internet aboneliği, 17 milyondan fazla mesaj, yaklaşık 4,7 milyon e-posta ve 111 bin 637 telefon numarası tamamen deşifre edildi. Bu veriler ışığında, Ocak ve Şubat 2015'te yapılan teknik çalışmalarla FETÖ'nün 81 "il imamı" ile 160 "ülke imamı" tek tek belirlendi.

En kritik tespitlerden biri ise 15 Temmuz hain darbe girişiminden hemen önce, 12 Temmuz 2016'da yapıldı. ByLock yazışmalarından Türk Silahlı Kuvvetleri (TSK) içerisine sızmış 600 üst düzey rütbeli FETÖ mensubunun kimliği deşifre edilerek Genelkurmay Başkanlığına iletildi. Ayrıca bu veriler, 2014 yılındaki MİT tırlarının durdurulması kumpasının, örgütün mahrem imamlarından talimat alan jandarma personeli tarafından gerçekleştirildiğini kesin delillerle ortaya koydu.

Örgüt İçi Hiyerarşinin Şifresi: ByLock ID Numaraları

Çözümlenen veri tabanında, örgüt üyelerinin uygulamada gerçek isimleriyle değil, sistem tarafından atanan hiyerarşik ID numaralarıyla yer aldığı saptandı. 1'den başlayarak giden bu numaraların rastgele değil, örgüt içerisindeki önem, kıdem ve bağlılık sırasını gösteren bir hiyerarşi haritası olduğu anlaşıldı. İlk 100 içerisindeki ID numaralarının, FETÖ'nün en kritik operasyonel isimlerine ait olduğu deşifre edildi.

Yapılan analizlerde, MİT Kumpası davası sanığı eski emniyet müdürü Erol Demirhan'ın 27, eski Ankara Emniyet Müdür Yardımcısı Oğuz Kiremitçi'nin 28, Serkan Yurtçu'nun 39, Hrant Dink suikastı davası sanıklarından Serkan Şahan'ın 40, Rus Büyükelçi Karlov suikastı planlayıcısının bağlı olduğu Cengiz Özkan'ın 43 ve örgütün ABD imamı Mehmet Yaşa'nın 49 ID numarasıyla ilk sıralarda yer aldığı görüldü. Diğer kritik isimlerin ID sıralaması ise şöyle kayıtlara geçti:

Lokman Kırcılı 84, Mesut Yılmaz 150, Gürsel Aktepe 161, Osman Hilmi Özdil 364, Sadettin Akgüç 452, Zeki Güven 512, Orhan İnandı 613, Yakup Saygılı 852 ve Ahmet Hamdi Parlak 999. Örgütün propaganda faaliyetlerini yürüten firari Cevheri Güven'in ise 3320 ID numarasıyla, örgüt medyası içerisinde ilk sırada yer alacak kadar kıymetli bir konumda olduğu belirlendi.

Hukuki Tescil: Yargıtayın "Kesin Delil" Kararı

ByLock uygulamasının, küresel ölçekte kullanılan WhatsApp, Signal ve Telegram gibi mesajlaşma uygulamalarından en temel farkı, tamamen kapalı bir devre olarak kurgulanmasıydı. Kayıt aşamasında telefon numarası veya SMS doğrulama kodu istemeyen sisteme, sadece karşılıklı olarak özel üretilmiş "kullanıcı adı/ID" bilgisinin girilmesiyle dahil olunabiliyordu. Bu durum, dışarıdan herhangi birinin sisteme sızmasını imkansız hale getiriyordu.

MİT tarafından yargı organlarına teslim edilen dijital veriler, hukuki denetim süzgecinden geçirildi. Yargıtay Ceza Genel Kurulu ve Yargıtay 3. Ceza Dairesi emsal niteliğindeki kararlarıyla ByLock'un hukuki statüsünü netleştirdi. Yüksek mahkeme, ByLock'un sadece FETÖ mensuplarının kullanımına sunulmuş özel bir şifreli iletişim ağı olması nedeniyle, sisteme dahil olan ve aktif şekilde kullanan kişilerin fiillerinin doğrudan "silahlı terör örgütü üyeliği" delili olduğunu kabul etti. Böylece usulüne uygun doğrulanmış ByLock verileri, mahkumiyete esas teşkil edebilecek nitelikte "kesin delil" olarak hüküm altına alındı.