Uzmanı uyardı: CV’ler siber saldırganlar için istihbarat kaynağına dönüşebilir

Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, dijital platformlardaki sahte veya gerçekte işe alım amacı taşımayan ilanların yalnızca dolandırıcılık yöntemi olarak değerlendirilmemesi gerektiğini belirterek, bu ilanların kişisel veri toplama ve hedefli siber saldırılar için kullanılabileceği uyarısında bulundu.

İSTANBUL (İGFA) - İnternet üzerinden işe alım süreçlerinin yaygınlaşmasıyla milyonlarca kişinin özgeçmişlerini farklı platform ve şirketlerle paylaştığını belirten Doğanay, bu verilerin kimler tarafından, hangi amaçlarla toplandığı ve ne kadar süre saklandığı konusunda daha fazla şeffaflığa ihtiyaç olduğunu söyledi.

Kamuoyunda son dönemde gündeme gelen, çok sayıda iş başvurusu yaptığı halde geri dönüş alamayan aday örneklerinin konunun yalnızca istihdam piyasası açısından ele alınmaması gerektiğini gösterdiğini ifade eden Doğanay, asıl meselenin milyonlarca kişinin CV, iletişim, eğitim ve mesleki bilgilerinin kimlerin elinde bulunduğu olduğunu vurguladı.

“CV ARTIK DİJİTAL KİMLİĞİN BİR PARÇASI”

Bir CV’nin yalnızca eğitim ve iş deneyiminden oluşmadığına dikkat çeken Doğanay, özgeçmişlerin telefon numarası, e-posta, çalışılan kurumlar, uzmanlık alanları, referanslar ve kariyer geçmişi gibi çok sayıda kişisel veriyi bir araya getirdiğini belirtti. Doğanay, bu bilgilerin farklı veri sızıntıları ve açık kaynaklardan elde edilen verilerle birleştirilerek kapsamlı dijital profillere dönüştürülebileceğini söyledi. Bu profillerin sosyal mühendislik ve oltalama saldırılarından hesap ele geçirme girişimlerine, kimliğe bürünmeden deepfake destekli dolandırıcılığa kadar farklı yöntemlerde kullanılabileceğini ifade etti.

Çalışanların görev ve kurum bilgilerinin saldırganlara çalıştıkları kuruluşları hedefleme imkânı da sağlayabileceğini belirten Hamza Aytaç Doğanay, “Bir CV'nin yanlış ellere geçmesi yalnızca kişisel veri ihlali anlamına gelmeyebilir. Saldırgan açısından bu belge, kişinin kim olduğunu, nerede çalıştığını ve hangi senaryolarla ikna edilebileceğini gösteren bir istihbarat kaynağına dönüşebilir.” dedi.

“HER İŞ İLANI GERÇEK BİR İŞE ALIM ANLAMINA GELMEYEBİLİR”

İnternette yayımlanan her iş ilanının gerçek bir personel ihtiyacını yansıtmayabileceğini dile getiren Doğanay, bazı ilanların uzun süre yayında kalmasına ve güncellenmesine rağmen herhangi bir işe alımla sonuçlanmadığına dikkat çekti.

Gerçekte işe alım yapılmayan ilanlar üzerinden büyük ölçekli kişisel veri toplanıp toplanmadığının incelenmesi gerektiğini belirten Doğanay, herhangi bir kurum veya platformu doğrudan suçlamanın doğru olmayacağını, ancak adaylardan toplanan verilerin hangi amaçla işlendiğinin şeffaf olması gerektiğini söyledi.

Doğanay, sahte veya yanıltıcı ilanların web sitesi trafiğini ve sosyal medya etkileşimini artırmak ya da kurumun sürekli büyüdüğü algısını oluşturmak gibi amaçlarla da kullanılabileceğini ifade etti.

“GEREKSİZ VERİ, SİBER RİSK İŞTAHINI ARTIRIR”

Kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerektiğine işaret eden Doğanay, gereğinden fazla verinin toplanmasının siber güvenlik risklerini artırdığını vurguladı. Yapay zekâ çağında büyük ölçekli CV havuzlarının siber saldırganlar açısından stratejik bir hedef hâline geldiğini belirten Doğanay, “Milyonlarca özgeçmişten oluşan veri havuzları, kötü niyetli kişilerin eline geçtiğinde sosyal mühendislik saldırıları, hedefli oltalama kampanyaları ve kimlik dolandırıcılığı için kullanılabilecek stratejik veri kaynaklarına dönüşebilir.” değerlendirmesinde bulundu Doğanay, bu nedenle işe alım süreçlerinin yalnızca insan kaynakları perspektifiyle değil, kişisel veri güvenliği ve siber güvenlik açısından da ele alınması gerektiğini söyledi.