Adalet Bakanı Akın Gürlek, 4 Eylül 2026’da vatandaşlara ait kişisel verileri sorgulamaya yarayan yasa dışı “panel” sistemlerini kullandığı ileri sürülen 31 avukat hakkında gözaltı kararı verildiğini ve 39 hukuk bürosunda arama başlatıldığını açıkladı.

Açıklamaya göre bazı hukuk büroları, herhangi bir hukuki ilişkisi bulunmayan kişilere panelden elde edilen bilgilerle ulaşarak “Borcunuz yasal takibe düştü”, “Uzlaşma sürecini kaçırdınız” veya “Hakkınızda haciz işlemi başlatıldı” gibi gerçeğe aykırı mesajlar gönderdi. Bu tür mesajlar, kişisel verilerin suç amacıyla kullanılmasının örneklerinden yalnızca bazılarıdır.

Bu olay, panel adı verilen sistemlerin ne olduğunu ve kişisel verilerin dolandırıcılıkta neden bu kadar önemli hâle geldiğini yeniden gündeme taşıdı.

“Panel” tek bir uygulama değil

Panel, belirli bir yazılımın veya internet sitesinin adı değildir. Hukuka aykırı yollarla elde edilmiş kişisel verileri ad, telefon numarası veya T.C. kimlik numarası gibi bilgilerle sorgulanabilir hâle getiren program, web sitesi, sorgulama ekranı veya botların genel adıdır.

Bu sistemlerin bazıları daha önce sızdırılmış ve yerel disklere kaydedilmiş veri tabanları üzerinde çalışır. Bazıları farklı tarihlerde ele geçirilen veri kümelerini bir araya getirir. Bazılarının ise çalınmış kullanıcı bilgileri, yetkisiz erişim veya başka aracılar üzerinden daha güncel kayıtlara ulaşabildiği ileri sürülmektedir. Bu nedenle her panel aynı verileri içermez ve hepsi doğrudan kamu sistemlerine bağlı değildir.

Kullanıcı, kişinin adı veya kimlik numarası gibi bir bilgiyi girerek adres, telefon, aile ilişkileri, tapu, araç, sağlık veya başka kayıtlara ulaşabilir. Arka plandaki büyük ve karmaşık veri tabanı, kullanımı kolay bir sorgulama ekranına dönüştürülür. “Panel” adı da bu basit yönetim ve sorgulama arayüzünden gelir.

Bu sistemler internet siteleri, “sanal havuzlar” ve abonelik modelleri üzerinden kullanıma sunulabiliyor; kişisel veriler, içerdiği bilgi türüne göre ücretlendirilerek üçüncü kişilere ve suç gruplarına satılabiliyor.

Nerede ve nasıl ortaya çıktı?

Panellerin tek bir başlangıç tarihi veya kurucusu yoktur. Bu sistemler, farklı dönemlerde sızdırılmış veya hukuka aykırı biçimde elde edilmiş veri kümelerinin yeniden düzenlenmesiyle aşamalı olarak ortaya çıktı.

2016’da yaklaşık 50 milyon Türkiye Cumhuriyeti vatandaşına ait kişisel bilgilerin internette yayımlandığına ilişkin haberler üzerine Ankara Cumhuriyet Başsavcılığı soruşturma başlattı. Dönemin İçişleri Bakanı, verilerin merkezi nüfus sistemi MERNİS’ten sızmadığını açıkladı; seçim dönemlerinde siyasi partilerle paylaşılan seçmen kayıtları da olası kaynaklar arasında incelendi. Bu veri seti, daha sonraki yasa dışı sorgulama araçlarını beslemiş olabilir; ancak bütün panellerin tek ve kesin kaynağı olarak gösterilmesi doğru olmaz.

Yasa dışı sorgulama yazılımlarının varlığına ilişkin en erken açık resmî kayıtlardan biri, Kişisel Verileri Koruma Kurulunun 18 Ekim 2019 tarihli ilke kararıdır. Kurul; bazı avukatlar, hukuk büroları, finans, gayrimenkul danışmanlığı ve sigorta alanında çalışan kişi ve kuruluşların, farklı yollarla elde edilmiş veriler üzerinden vatandaşların kimlik ve iletişim bilgilerini sorgulamaya yarayan programlar kullandığını tespit etti.

Dolayısıyla panel olgusu son birkaç yılda birdenbire ortaya çıkmadı. En geç 2019’da bazı işyerlerindeki bilgisayarlarda kurulu programlar biçiminde resmî kayıtlara girmişti. Daha sonraki dönemde web tabanlı ekranlara, Telegram ve benzeri iletişim kanallarında pazarlanan aboneliklere ve farklı suç hizmetleriyle birlikte sunulan yapılara dönüştü.

Dolandırıcılık açısından önemi

Panelin dolandırıcıya sağladığı asıl avantaj, mağduru tanıyormuş görüntüsü vermesidir. Herkese gönderilen “Hakkınızda haciz işlemi başlatıldı” mesajı kolayca şüphe uyandırabilir. Ancak mesajda doğru ad, adres, kimlik numarası veya aile bilgileri varsa aynı iddia daha inandırıcı görünebilir.

Dolandırıcı bu bilgilerle mesajı kişiselleştirir, bir kurum adına hareket ettiği izlenimini verir ve borç, dava veya haciz tehdidiyle zaman baskısı oluşturur. Mesajın tamamının doğru olması gerekmez; birkaç doğru bilgi, yanlış hikâyenin de doğruymuş gibi algılanmasına yetebilir.

Dolandırıcılıkta doğru kişisel veri, sahte otoritenin kanıtı gibi çalışır. Kişi hakkında bazı ayrıntıların bilinmesi, arayanın kimliğinin ve anlattığı hikâyenin de doğru olduğu yanılgısını yaratabilir.

Bu nedenle bir kişinin hakkımızda bilgi sahibi olması, kimliğini veya yetkisini doğrulamaz. Veriler gerçek olabilir; fakat bu verilerle kurulan banka, borç, icra veya kamu görevlisi hikâyesi sahte olabilir.

Paneli kapatmak veriyi yok etmiyor

Panel sistemlerine karşı 2025 ve 2026’da kamuoyuna yansıyan iki geniş kapsamlı operasyon gerçekleştirildi. Bu operasyonlar erişimi kesmek, failleri belirlemek ve caydırıcılık sağlamak bakımından önemli olsa da panel yalnızca veriye ulaşmayı kolaylaştıran arayüzdür; asıl sorun arka plandaki kopyalanmış veri kümeleridir.

Bir sunucuya el konulması veya internet sitesinin kapatılması, daha önce bilgisayar disklerine, haricî belleklere, bulut hesaplarına veya başka sunuculara kopyalanmış verileri ortadan kaldırmaz. Aynı veri, yeni bir ad ve arayüzle tekrar panel hâline getirilebilir.

Europol’ün 2025 İnternet Organize Suç Tehdit Değerlendirmesi de çalınan verilerin dark web forumlarında, şifreli iletişim kanallarında ve abonelik temelli suç pazarlarında satıldığını, yeniden paketlendiğini ve tekrar satışa çıkarıldığını belirtiyor.

Sızdırılan veya yetkisiz erişimle elde edilen veriler farklı veri kümeleriyle eşleştirilebiliyor, sorgulanabilir bir arayüze dönüştürülüyor ve yeniden satışa sunulabiliyor. Paneli hazırlayan, erişimi satan ve veriyi dolandırıcılıkta kullanan kişiler aynı kişiler olmak zorunda değildir. Böylece kişisel veri, abonelik veya sorgu başına ödeme yoluyla tekrar tekrar satılabilen bir suç hizmetine dönüşüyor.

Bu nedenle mücadele yalnızca panellerin kapatılmasına dayanmamalıdır. Verinin ilk nereden sızdığı, hangi kurum veya kullanıcı hesabından çıkarıldığı, kimlere aktarıldığı ve erişim açığının devam edip etmediği de belirlenmelidir.

KVKK neden önemli?

Kişisel Verilerin Korunması Kanunu yalnızca açık rıza metni veya internet sitesindeki onay kutusu değildir. Dolandırıcıların kullanabileceği veri miktarını ve bu verilere erişme imkânını azaltan bir güvenlik çerçevesidir.

Kanun’a göre kişisel veriler belirli ve meşru amaçlarla, bu amaçlarla bağlantılı, sınırlı ve ölçülü biçimde işlenmeli; yalnızca gerekli süre boyunca saklanmalıdır. Veri sorumluları ayrıca erişimi görevle sınırlandırmak, kullanıcı hareketlerini kaydetmek, olağan dışı sorguları incelemek ve görevi sona eren kişilerin yetkilerini kaldırmak zorundadır.

Gereksiz veri hiç toplanmazsa sızdırılamaz. Artık ihtiyaç duyulmayan veri silinirse yıllar sonra yeni bir panelin parçası hâline getirilemez. Erişimler kayıt altına alınırsa binlerce kişinin sorgulanması veya verilerin topluca dışarı aktarılması daha erken fark edilebilir.

Kişisel verilerin korunması bu nedenle yalnızca mahremiyet meselesi değildir. Sosyal mühendislik ve dolandırıcılıkla mücadelede ilk savunma hattıdır.

Bireysel olarak ne yapılabilir?

Panellerde dolaşıma sokulan veri kümelerinin önemli bir bölümü geçmiş yıllara ait olabilir. Bu nedenle sonradan değiştirilen telefon numarası veya adres gibi bilgiler eski kayıtlarda bulunmayabilir. Özellikle sürekli hedef alınan, kişisel bilgileri kullanılarak tehdit edilen veya dolandırıcılık bakımından yüksek risk altında olduğu düşünülen kişiler için telefon numarasını değiştirmek somut bir tedbir olabilir. Aynı durumdaki yaşlı veya savunmasız yakınlar açısından da bu seçenek değerlendirilmelidir.

Ancak numara değişikliği tek başına yeterli değildir. Yeni numara mümkün olduğunca sınırlı paylaşılmalı, uygulamaların rehber erişimleri gözden geçirilmeli ve herkese açık profillerde kullanılmamalıdır. Bazı paneller yeni veri sızıntılarıyla güncellenebildiğinden, değiştirilen bilgiler zaman içinde yeniden suç ağlarının eline geçebilir.

Bir arayanın adınızı, eski ya da güncel adresinizi, kimlik numaranızı veya aile bilgilerinizi bilmesi; gerçekten bankadan, hukuk bürosundan ya da kamu kurumundan aradığını göstermez. Böyle bir görüşmede para gönderilmemeli, bağlantıya tıklanmamalı ve doğrulama kodu paylaşılmamalıdır. Görüşme sonlandırılarak ilgili kuruma, arayanın verdiği numara üzerinden değil, kurumun resmî iletişim kanallarından ulaşılmalıdır.

Kişisel veriler bir kez ele geçirildiğinde tamamen geri alınamayabilir. Buna rağmen iletişim bilgilerinin yenilenmesi, paylaşımın sınırlandırılması ve her talebin bağımsız kanaldan doğrulanması, eski verilerin dolandırıcılara sağladığı avantajı azaltabilir.

Kaynakça

Anadolu Ajansı. (2016, 6 Nisan). Minister: Turkish Data Leak Not from Central System.

Anadolu Ajansı. (2025, 6 Şubat). İstanbul merkezli “panel” operasyonunda tutuklanan şüphelilerin ifadesine ulaşıldı.

Anadolu Ajansı. (2025, 12 Şubat). “Panel” soruşturması fezlekesinde “suçun kamuya karşı işlendiği” vurgusu.

Europol. (2025). Steal, Deal, Repeat: Cybercriminals Cash in on Your Data.

Kişisel Verileri Koruma Kurulu. (2019). 18/10/2019 tarihli ve 2019/308 sayılı İlke Kararı.

Milliyet. (2026, 4 Eylül). Bakan Gürlek duyurdu: “Panel” soruşturmasında 31 avukat hakkında gözaltı kararı.

T24. (2025). Kişisel veri satışında “panel” tehlikesi.

#Dolandırıcılık #SosyalMühendislik #KişiselVeriler #KVKK #Panel #VeriGüvenliği