Gerçek Bir Olay İncelemesi: Bir Çalışan İstifa Ederken Şirket Verilerini Nasıl Kaçırdı ve Moftgate ile Bu Nasıl Önlenebilirdi?

Olayın Arka Planı: Sessiz İki Hafta

Geçtiğimiz aylarda danışmanlık talep eden 250 çalışanlı bir üretim ve ihracat şirketinin yaşadığı vaka, Türkiye’de yüzlerce kurumun her gün farkında olmadan yaşadığı bir senaryoyu özetliyor. Şirketin kıdemli satış ve AR-GE yöneticisi yönetimle anlaşmazlığa düşünce rakip bir firmadan teklif aldı. İstifa dilekçesini vermeden önce de 14 günlük bir plan yaptı.

Bu 14 gün boyunca mesai dışında ve hafta sonları şirket bilgisayarına oturup kritik CAD teknik çizimlerini, son üç yılın müşteri teklif matrislerini, fiyat listelerini ve AR-GE formüllerini parça parça dışarı çıkardı. Toplamda 12.000'in üzerinde dosya şirket dışına aktarıldı.

Geleneksel Güvenlik Araçları Neden Çaresiz Kaldı?

Şirketin bilgi işlem altyapısında piyasanın bilinen bir kurumsal antivirüs (EDR) yazılımı ve kurumsal bir güvenlik duvarı (Next-Gen Firewall) bulunuyordu. Peki bu sistemler neden tek bir uyarı bile üretmedi?

• Antivirüs / EDR açısından anormallik yoktu: Dışarı aktarılan dosyalar zararlı yazılım veya virüs değil, meşru PDF, DWG ve Excel dosyalarıydı. Çalışanın bu dosyalara işi gereği zaten erişim yetkisi vardı.
• Firewall HTTPS trafiğini göremedi: Çalışan, dosyaları önce parola korumalı .zip haline getirdi, ardından kişisel Google Drive ve WeTransfer hesaplarına yükledi. Uç noktada SSL denetimi (inspection) ve derin DLP kuralı olmadığı için trafik standart HTTPS olarak geçti.
• USB kısıtlaması yoktu: Şirkette USB bellekler "çalışanların işi aksamasın" gerekçesiyle tamamen serbest bırakılmıştı. İki terabaytlık şahsi harici disk iki gün üst üste takıldı ve gigabaytlarca veri kopyalandı.

“Şirket olayı ancak 3 hafta sonra fark etti. En büyük 4 müşteri, rakip firmanın aynı fiyat şablonlarıyla kapılarını çaldığını söylemişti. Adli bilişim incelemesi hırsızlığı kanıtladı, ama ticari zarar çoktan oluşmuştu.”

Vaka İnceleme Raporu

Moftgate ile Bu Senaryo Adım Adım Nasıl Engellenirdi?

Şirketin uç noktalarında Moftgate aktif olsaydı bu sızıntı zinciri daha ilk dakikada kırılırdı:

1. Adım: Yetkisiz USB ve Harici Depolama Blokajı (DLP)

Moftgate DLP modülü, şirkete ait olmayan harici depolama aygıtlarını anında tanır. Politika gereği bilinmeyen veya seri numarasını IT’nin onaylamadığı tüm USB bellekler ve diskler ya tamamen engellenir ya da salt-okunur (read-only) moda alınır. Çalışan harici diskini taktığı anda ekranda politika uyarısı belirir, dosya yazma engellenir ve merkezi IT konsoluna "Kritik Çevresel Aygıt İhlali" alarmı düşer.

2. Adım: Veri Sınıflandırma ve İçerik Kontrolü (DSPM & DLP)

Çalışan dosyaları arşivleyip tarayıcı üzerinden WeTransfer veya kişisel buluta yüklemeye çalıştığında Moftgate’in hafif ajanı dosyanın başlık ve içerik imzasını inceler. Dosyanın içinde müşteri verisi, finansal tablo veya mühendislik çizimi olduğunu algıladığı anda web tarayıcısının yükleme işlemini soket düzeyinde keser. Bilgisayar donmaz, kilitlenmez. Yalnızca yetkisiz veri çıkışı durur.

3. Adım: Anında İzolasyon ve Uzaktan Oturum Müdahalesi

IT yöneticisi, Moftgate konsolundan gelen ihlal uyarısı üzerine tek tıkla şüpheli cihazı ağdan izole edebilir (Zero Trust Isolation), kullanıcının oturumunu kilitleyebilir ve anlık ekran görüntüsü alarak adli delil kaydı oluşturabilir.

“Güvenlik, çalışanlara güvenmemek anlamına gelmez. Kurumsal verinin kişisel tasarrufa geçmesini engelleyen teknik bariyerleri kurmak demektir.”

Moftgate Olay Müdahale Ekibi

Şirketler İçin Çıkarılacak 3 Kritik Ders

• Yalnızca antivirüse güvenmek veri sızıntısını durdurmaz: EDR virüs arar, veri hırsızlığı ise meşru araçlarla yapılır.
• USB ve kişisel bulut kanalları ilk günden kilitlenmelidir: En azından onaylı cihaz listesi ve salt-okunur politikası uygulanmalıdır.
• Hafif ve bütünleşik bir mimari seçilmelidir: Moftgate gibi <%5 CPU tüketen tek ajanla cihaz yönetimi, DLP ve veri keşfi aynı anda yapılabilir.