Hacker saldırısının ardından AfD, olayın önemini küçümsemeye çalışıyor. Açıkta kalan sorulardan biri, veri sızıntısının veri koruma makamlarına bildirilip bildirilmediği.
Falk Steiner ve Volker Briegleb
Almanya için Alternatif (AfD) partisinin kurum içi e-postalarının ve verilerinin kimliği belirsiz kişiler tarafından yayımlanmasının ardından parti, zararı sınırlamaya çalışıyor ancak olay hakkında daha fazla yorum yapmak istemiyor. Bu arada, partinin olay hakkında yetkili denetim makamlarını zamanında bilgilendirip bilgilendirmediği de dâhil olmak üzere bazı sorular yanıtsız kalıyor.
Parti, salı günü veri sızıntısını doğruladı: “Yasa dışı olarak kopyalanan e-posta posta kutularının sayısı az olmasına rağmen, büyük miktarda veri dışarıya sızdırıldı.” Bir parti sözcüsü, partinin eylül ayının başlarında bir barındırma hizmeti sağlayıcısına (hoster) yönelik saldırıyı “hızla tespit edip sona erdirdiğini” belirtti. Toplamda 400.000’den fazla e-posta ve 50.000 belgenin başkalarının eline geçtiği tahmin ediliyor.
Parti açıklamasını şöyle sürdürdü: “Güvenlik makamlarıyla yakın temas hâlindeyiz ve dijital saldırıyı ve verilerin yayımlanmasını ihbar ettik.” Federal Bilgi Güvenliği Dairesi (BSI) de bu arada olayla ilgilenmeye başladı. BSI sözcülerinden biri, heise online’a yaptığı açıklamada, olayla ilgili olarak partiyle iletişim hâlinde olduklarını doğruladı.
Veri koruma makamları bilgilendirildi mi?
Hangi veri koruma makamının sürece dâhil edildiği hâlâ belirsiz. AfD’nin açıklamasında, “AfD o dönemde derhâl posta kutularının sahiplerini ve aynı şekilde veri koruma sorumlusunu bilgilendirdi” deniliyor. Federal parti teşkilatından öncelikli olarak Berlin Veri Koruma ve Bilgi Özgürlüğü Komiserliği sorumlu. Ancak buraya herhangi bir bildirim ulaşmış değil.
Avrupa Birliği Genel Veri Koruma Tüzüğü’nün 33. maddesi uyarınca parti, kişisel verilerin kaybını 72 saat içinde yetkili denetim makamına bildirmekle yükümlü. Berlin veri koruma makamının bir sözcüsü, kendilerine yöneltilen bir soruya verdiği yanıtta, AfD’deki olayla ilgili olarak şimdiye kadar herhangi bir veri kaybı bildirimi yapılmadığını açıkladı. AfD’nin eyalet teşkilatının da olaydan etkilenmiş olması nedeniyle sorumlu olabilecek Kuzey Ren-Vestfalya’daki makamın da herhangi bir bildirimden haberi yok.
AfD sessizliğini koruyor
AfD, kendisine yöneltilen sorular üzerine bu konuyu açıklığa kavuşturmak istemiyor. Bir parti sözcüsü, e-posta sızıntısıyla ilgili sorulara artık yanıt vermeyeceklerini belirterek çarşamba günü yayınlanan bir basın açıklamasına atıfta bulundu. Açıklamada, AfD’nin “partimize dijital ortamda saldıran ve verileri çalan kişilerin hesap vermesini sağlamak amacıyla federal ve eyalet düzeyindeki devlet kurumlarıyla yakın iş birliği içinde çalışacağı” ifade ediliyor.
AfD ayrıca kamuoyuna verileri daha fazla yaymama çağrısında bulunuyor. Parti açıklamasında, “Şimdi bu verileri kullanan herkes bir suçu onaylamış oluyor ve çoğu zaman kişilik haklarını hiçe sayıyor” deniliyor. Parti, “Bu noktada herkese güçlü bir şekilde çağrıda bulunuyoruz: Veri hırsızlığıyla bağlantılı içerikleri ne kullanın ne de yayın” ifadelerini kullanıyor.
Suçlular siyasi partileri de hedef alıyor. Kimlik avı (phishing) veya diğer saldırı yöntemlerine karşı kullanılan standart koruma önlemleri her zaman işe yaramıyor. 2024 yazında CDU da hefef olmuştu. Saldırganlığı gerçekleştiren kimliği belirsiz kişiler, sıfırıncı gün güvenlik açığından (zero-day) yararlanmıştı. AfD’ye yönelik saldırıda siyasi saiklerin de rol oynayıp oynamadığı ise belirsizliğini koruyor.
Bu arada, verilerin daha fazla yayılmasından kaçınılması tavsiye ediliyor. Özellikle sızdırılmış veriler Bittorrent protokolleri üzerinden paylaşılmamalı. Böyle bir durumda veri koruma ihlalleri ve cezai yaptırımlarla karşı karşıya kalınabilir. Ayrıca sosyal ağlarda, verileri paylaşan (seeder) kişilerin IP adreslerini tespit ederek bu kişileri ihbar etmeyi amaçladığı belirtilen bir araç da dolaşıyor.
Kaynak: https://www.heise.de/news/Offene-Fragen-nach-dem-AfD-Leak-11496176.html
