Yasaklı Satışlara Rağmen: iPhone’da Mobil Adli Analiz Sırrı Çözüldü mü?

Rusya’da tutuklu bir aktivistin iPhone’unda yapılan mobil adli analiz, teknoloji dünyasında yeni bir tartışma başlattı. Cellebrite’ın Rusya ve Belarus’a satışları durdurma kararından aylar sonra dahi adli bilişim araçlarının nasıl kullanılabildiğini gösteren bu vaka, tedarik zincirindeki açıkları bir kez daha gündeme getirdi. Bu durum, siber güvenlik firmalarının etik ilkelerini ve uyguladıkları kısıtlamaların gerçek etkisini sorgulatıyor.

Satış Yasağına Rağmen Adli Bilişim Araçları Nasıl Çalıştı?

Teknoloji şirketlerinin etik duruşları, uluslararası ilişkiler ve insan hakları ihlalleri bağlamında sıkça mercek altına alınıyor. İsrailli adli bilişim firması Cellebrite, 2021 yılının Mart ayında Rusya ve Belarus’a yönelik araç ve hizmet satışlarını durdurduğunu kamuoyuna açıklamıştı. Bu karar, şirketin uluslararası normlara uygun hareket etme niyetini gösteriyordu — en azından kağıt üzerinde. Ancak Citizen Lab’ın ortaya çıkardığı çarpıcı detaylar, bu tür satış yasaklarının gerçek dünyadaki etkileri konusunda derin şüpheler uyandırıyor. Gerçekten de bir şirket, mevcut donanımının denizaşırı ülkelerde, yasaklara rağmen kullanılmaya devam etmesini engelleyebilir mi?

Haziran 2021’de, yani Cellebrite’ın açıklamasından sadece üç ay sonra, Rus muhalif aktivist Andrey Pivovarov’un iPhone 12 cihazına yetkililer tarafından erişildiği belgelendi. Bu, sistemlerin durdurulmasının yalnızca gelecekteki satışları mı, yoksa mevcut kurulu tabanı da mı kapsayacağı sorusunu gündeme getiriyor. Citizen Lab’a göre, UFED araçlarının büyük bir kısmı, destek sona erdikten sonra dahi çevrimdışı çalışmaya devam edebiliyor. Bu durum, bir kez el değiştiren veya satılan gelişmiş adli bilişim donanımının, güncellemeler kesilse bile uzun süre işlevsel kalabileceği anlamına geliyor.

Buradaki asıl risk, yalnızca gelecekteki potansiyel satışlar değildi; zaten polis ve istihbarat ofislerinde kurulu olan mevcut donanım parkıydı. Peki, teknoloji devlerinin bu tür durumlarda hesap verebilirliği ne düzeyde olmalı? Yasaklı bir ülkeye satışı durdurmak, o ülkenin mevcut envanterini kullanmasını engellemeye yeter mi? Cellebrite’ın “eski donanımının” Mart 2021 sonrasında Rusya’da kullanılmasına yönelik açıklaması, şirketin kontrolünün dışında olduğu yönündeydi. Ancak bu tür bir argüman, özellikle hassas teknolojiler söz konusu olduğunda ne kadar geçerli sayılabilir? Bu vaka, teknoloji ihracat kontrol rejimlerinin ve şirketlerin kurumsal sorumluluklarının sınırlarını yeniden belirlemeyi gerektiriyor. Türkiye gibi gelişmekte olan pazarlar için bu tür teknolojilerin potansiyel kötüye kullanımları, ciddi yasal ve etik tartışmalara yol açabilir.

Bu vaka, teknoloji ihracat kontrol rejimlerinin ve şirketlerin kurumsal sorumluluklarının sınırlarını yeniden belirlemeyi gerektiriyor.

Citizen Lab Bulguları ve Rusya’nın Kendi Raporu

Citizen Lab araştırmacılarının bulguları, şaşırtıcı bir biçimde, telefon üzerindeki dijital izlerle Rus hükümetinin resmi raporlarının nadiren rastlanan bir şekilde örtüşmesine dayanıyor. Bu uyum, adli incelemenin gerçekliğini güçlü bir şekilde destekliyor. Pivovarov, 2025 sonbaharında telefonunu Citizen Lab araştırmacılarına teslim ettiğinde, cihazdaki izler 2021 yılına, yani telefonun Rus makamlarının gözetiminde olduğu döneme aitti. Yapılan detaylı analizler, MobileLockdown kayıtlarının—bir iPhone’un güvenilen USB eşleşmelerini takip eden sistem—17 Haziran 2021 tarihinde Cellebrite’ın daha önce Ürdün’deki bir vakada tespit edilen parmak iziyle eşleşen bir ana bilgisayar kimliğine bağlantı kurduğunu gösterdi. Bu, Cellebrite UFED’in kullanıldığına dair yüksek güvenilirliğe sahip bir kanıttı.

Daha da önemlisi, Rusya’nın kendi evrakları bu adli incelemeyi doğruluyor. Pivovarov, yargılaması sırasında “Adli Uzman Raporu No. 1269-17” başlıklı bir belge aldı. Bu rapor, Rusya İçişleri Bakanlığı’na bağlı adli merkez tarafından Rusya Soruşturma Komitesi için hazırlanmıştı ve Pivovarov bu raporun bir kopyasını Citizen Lab’a verdi. Rapor, Cellebrite’ın ürünlerini —özellikle UFED Physical Analyzer ve UFED 4PC— açıkça belirtiyor. Bu araçlarla WhatsApp, Telegram ve Viber gibi uygulamalardan veri çekildiğini de belgeliyor.

Araştırmacılar, “Open Russia Sivil Hareketi” ve Mihail Hodorkovski, avukat Anastasiya Burakova ve Pivovarov’un partneri Tatyana Usmanova gibi tanınmış muhalif figürlerin isimlerini içeren aramalar gerçekleştirdi. Bu, dijital adli tıp araçlarının yalnızca teknik veri çıkarmakla kalmayıp, aynı zamanda belirli siyasi hedeflere ulaşmak için nasıl kullanılabileceğinin net bir kanıtı. Peki, bu tür teknolojilerin kullanım alanları ne zaman masum bir soruşturmadan siyasi bir kovuşturmaya dönüşüyor? MacBook’a gelince, İçişleri Bakanlığı (MVD) raporu, şifreleme nedeniyle başarısız bir veri çıkarma girişimini açıklıyor. Citizen Lab, aynı tarihte eşleşen başarısız giriş denemeleri buldu, bu da yetkililerin Pivovarov’un şifresini hiçbir zaman ele geçiremediğini gösteriyor. Bu teknik ayrıntı, cihaz güvenliğinin ve güçlü şifrelerin önemini bir kez daha vurguluyor.

Vaka Analizi: Pivovarov ve Dijital İzlerin Peşinde

Andrey Pivovarov’un hikayesi, adli bilişim teknolojilerinin siyasi muhalifleri hedef almak için nasıl kullanılabileceğine dair çarpıcı bir örnek sunuyor. Pivovarov, Kremlin tarafından “istenmeyen” olarak damgalanan muhalif bir grup olan Open Russia’yı yönetiyordu. Bu etiket, grubun faaliyetlerine devam etmeyi suç teşkil eden bir eyleme dönüştürüyordu. 31 Mayıs 2021’de St. Petersburg havalimanında bir uçuştan indirildiğinde, iPhone 12 ve MacBook cihazlarına el konuldu. Gözaltına alınması ve ardından cihazlarına el konulması, onun için uzun ve zorlu bir sürecin başlangıcıydı.

Pivovarov, cihazlarının aranmasına asla izin vermedi ve şifrelerini de hiçbir zaman teslim etmedi. Bu durum, yetkililerin cihazlara erişmek için Cellebrite gibi özel araçlara başvurmak zorunda kaldığını gösteriyor. Cihazlar, 2023 yılına kadar gözaltında kaldı. Temmuz 2022’de dört yıl hapis cezasına çarptırıldı ve nihayet Ağustos 2024’te bir mahkum takasıyla özgürlüğüne kavuştu. Onun kişisel direnişi ve şifrelerini vermemesi, dijital güvenlikteki bireysel kararların ne kadar kritik olabileceğini ortaya koyuyor. Eğer şifreleri ele geçirilseydi, belki de bu kadar detaylı bir adli incelemeye gerek kalmayacak, ya da en azından Cellebrite kullanımının bu şekilde belgelenmesi mümkün olmayacaktı.

Bu olay, modern devletlerin teknolojik yeteneklerini nasıl kullandıklarına dair ciddi soruları beraberinde getiriyor. Dijital kanıt toplama, ulusal güvenlikten suç soruşturmalarına kadar birçok alanda vazgeçilmez bir araç haline geldi. Ancak bu araçların siyasi muhalefeti susturmak veya belirli ideolojileri hedef almak için kullanılması, demokratik değerleri temelden sarsar mı? Türkiye’de de benzer vakalar yaşanması durumunda, kişisel veri güvenliği ve hukukun üstünlüğü ilkesi nasıl korunacaktır? Bu vaka, yalnızca teknoloji şirketlerinin değil, aynı zamanda uluslararası insan hakları örgütlerinin ve sivil toplumun da sürekli tetikte olması gerektiğini bize hatırlatıyor. Dijital dünyada sınırlar giderek daha fazla bulanıklaşırken, bireylerin mahremiyetini ve ifade özgürlüğünü korumak için hangi adımlar atılabilir?

Bu Mobil Adli Analiz Vakası Bize Ne Anlatıyor?

Andrey Pivovarov vakası, siber güvenlik dünyası için çetrefilli bir manzara çiziyor; etik ilkeler, uluslararası yaptırımlar ve teknolojik yeteneklerin kesişim noktasında duruyor. Bir teknoloji dergisi editörü olarak, bu olayın yalnızca bir aktivistin başına gelen münferit bir olay olmadığını düşünüyorum. Aksine, dünya genelindeki hükümetlerin ve şirketlerin yüzleşmesi gereken geniş bir problemi temsil ediyor. Cellebrite gibi firmaların ürünleri, yasal soruşturmalarda kritik rol oynayabilirken, yanlış ellerde veya şüpheli amaçlarla kullanıldığında bireysel özgürlükler üzerinde yıkıcı etkiler yaratabilir. Türkiye’deki kullanıcılar ve kurumlar için bu ne anlama geliyor?

Birincisi, mobil adli analiz araçlarının gücü ve kalıcılığı hafife alınmamalıdır. Bir teknoloji şirketinin satışları durdurması, kurulu tabandaki ürünlerin fonksiyonelliğini tamamen ortadan kaldırmaz. Bu, özellikle hassas verileri işleyen veya saklayan kuruluşlar için önemli bir derstir. Tedarik zinciri güvenliği, sadece yeni alımları değil, aynı zamanda geçmişte yapılan yatırımların potansiyel risklerini de içermelidir. İkincisi, güçlü şifreleme ve dijital cihaz güvenliği, bireysel özgürlükler için birincil savunma hattı olmaya devam ediyor. Pivovarov’un şifresini teslim etmemesi, en azından MacBook’unun içeriğinin korunmasını sağladı; bu, basit ama etkili bir adımdı.

Son olarak, bu vaka, siber güvenlik teknolojisi üreten firmaların sorumluluğuna dair daha geniş bir tartışmayı tetiklemeli. Bir şirketin ürünlerinin “kötüye kullanımını” tamamen engellemek mümkün olmasa da, potansiyel riskleri en aza indirmek için daha güçlü mekanizmalar geliştirilmeli. Bu, yalnızca satış öncesi kontrollerle değil, aynı zamanda ürünlerin kullanım ömrü boyunca uzaktan denetlenebilir veya devre dışı bırakılabilir olma yetenekleriyle de ilgili olabilir mi? Bu, veri mahremiyeti ile ulusal güvenlik arasındaki hassas dengeyi bir kez daha sorgulayan bir durumdur ve küresel çapta çözümler üretilmesi gereken bir sorun olarak karşımızda durmaktadır. Teknolojinin tarafsız bir araç olduğu düşüncesi, bu tür vakalarla her defasında çürütülüyor; çünkü her araç, onu elinde tutan kişinin niyetine göre şekillenir.