Dijital platformlarda yayımlanan iş ilanları üzerinden yapılan başvuruların sayısı her geçen gün artarken, uzmanlardan dikkat çeken bir uyarı geldi. Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, sahte, yanıltıcı veya gerçek amacı gizlenmiş iş ilanlarının yalnızca iş arayanları değil, tüm dijital güvenlik ekosistemini tehdit ettiğini belirtti.
Doğanay, iş başvurusu sırasında paylaşılan özgeçmişlerin artık sıradan bir belge olmadığını vurgulayarak, “Yapay zekâ ile güçlenen yeni nesil siber tehditlerde saldırganın hedefi artık yalnızca sistemler değil; insanın kimliği, verisi ve dijital güvenidir” dedi.
İŞ BAŞVURULARINDA PAYLAŞILAN VERİLER RİSK ALTINDA
İnternet üzerinden gerçekleştirilen işe alım süreçlerinin yaygınlaşmasıyla birlikte milyonlarca kişinin özgeçmişlerini farklı kariyer platformları ve şirketlerle paylaştığını hatırlatan Doğanay, bu verilerin kimler tarafından toplandığı ve ne kadar süre saklandığı konusunda ciddi belirsizlikler bulunduğunu söyledi.
Doğanay, son dönemde yüzlerce iş başvurusu yapmasına rağmen geri dönüş alamayan aday örneklerinin kamuoyunda geniş yankı uyandırdığını belirterek şu ifadeleri kullandı:
“Burada asıl tartışılması gereken, kaç başvuru yapıldığı değil; milyonlarca vatandaşın özgeçmiş, iletişim, eğitim, mesleki geçmiş ve diğer kişisel verilerinin kimlerin elinde toplandığı, ne kadar süreyle saklandığı ve hangi amaçlarla kullanıldığıdır.”
“CV ARTIK DİJİTAL KİMLİĞİN BİR PARÇASI”
Bir özgeçmişin yalnızca eğitim ve iş deneyiminden ibaret olmadığını söyleyen Doğanay, CV’lerin kişinin dijital kimliğinin ayrıntılı bir haritasına dönüştüğünü vurguladı.
“Bugün bir CV; telefon numarası ve e-posta adresinin ötesinde kişinin eğitim geçmişini, çalıştığı kurumları, görevlerini, uzmanlık alanlarını, referanslarını ve kariyer yolculuğuna ilişkin çok sayıda kişisel veriyi bir arada barındırıyor. Bu nedenle CV artık yalnızca bir özgeçmiş değil, kişinin dijital kimliğinin ve profesyonel yaşamının ayrıntılı bir veri haritasıdır.”
Uzman isim, bu bilgilerin başka veri sızıntılarıyla birleştirilmesi hâlinde çok daha kapsamlı dijital profiller oluşturulabileceğini ifade etti.
CV’LER HANGİ SUÇLARDA KULLANILABİLİR?
Doğanay’a göre kontrolsüz biçimde toplanan özgeçmiş verileri şu alanlarda kullanılabilir:
- Hedefli oltalama (phishing) saldırıları
- Sosyal mühendislik yöntemleri
- Hesap ele geçirme girişimleri
- SIM kart değişikliği (SIM-swap)
- Kimliğe bürünme dolandırıcılığı
- Deepfake destekli sahte işlemler
- Sentetik kimlik oluşturma faaliyetleri
Özellikle çalışanların görev ve kurum bilgilerinin saldırganlar için önemli bir istihbarat kaynağına dönüştüğünü belirten Doğanay, “Bir CV’nin yanlış ellere geçmesi yalnızca kişisel veri ihlali anlamına gelmeyebilir. Saldırgan açısından bu belge, kişinin kim olduğunu, nerede çalıştığını, ne bildiğini ve hangi senaryolarla ikna edilebileceğini gösteren bir istihbarat kaynağına dönüşebilir” değerlendirmesinde bulundu.
“HER İŞ İLANI GERÇEKTEN İŞE ALIM AMACI TAŞIMIYOR OLABİLİR”
İnternette yayımlanan bazı iş ilanlarının uzun süre yayında kaldığını, sürekli güncellendiğini ancak herhangi bir işe alımla sonuçlanmadığının görülebildiğini söyleyen Doğanay, burada dikkatli olunması gerektiğini belirtti.
“Herhangi bir kurum veya platformu suçlamak doğru olmaz. Ancak gerçekten işe alım yapılmayan ilanlar üzerinden büyük ölçekli kişisel veri toplanıp toplanmadığı mutlaka incelenmeli. Milyonlarca insanın kişisel verisinin hangi amaçlarla işlendiği konusunda daha fazla şeffaflığa ihtiyaç var.”
SAHTE İŞ İLANLARI DİJİTAL MANİPÜLASYON ARACI OLABİLİR
Doğanay, gerçek bir personel ihtiyacı bulunmamasına rağmen sürekli iş ilanı yayımlanmasının yalnızca veri toplama değil, dijital algı yönetimi amacıyla da kullanılabileceğini ifade etti.
Bazı şirketlerin veya kötü niyetli yapıların bu yöntemle web sitelerine trafik çekmeyi, sosyal medya etkileşimini artırmayı veya sürekli büyüyen bir organizasyon görüntüsü oluşturmayı hedefleyebileceğini söyledi.
“Dijital platformlarda yayımlanan her iş ilanının gerçekten istihdam amacı taşıdığı varsayımıyla hareket edilmemelidir. Eğer herhangi bir işe alım yapılmadığı hâlde sürekli yeni ilanlar yayımlanıyorsa, bunun amacı ve toplanan kişisel verilerin nasıl işlendiği şeffaf biçimde ortaya konulmalıdır.”
YAPAY ZEKÂ ÇAĞINDA CV HAVUZLARI STRATEJİK HEDEF HÂLİNE GELDİ
Milyonlarca özgeçmişten oluşan veri havuzlarının siber suçlular açısından son derece değerli olduğunu belirten Doğanay, işe alım süreçlerinin artık yalnızca insan kaynaklarının değil, siber güvenlik uzmanlarının da ilgi alanına girdiğini söyledi.
“Milyonlarca özgeçmişten oluşan veri havuzları, kötü niyetli kişilerin eline geçtiğinde sosyal mühendislik saldırıları, hedefli oltalama kampanyaları ve kimlik dolandırıcılığı için kullanılabilecek stratejik veri kaynaklarına dönüşebilir.”
SİBER GÜVENLİK UZMANINDAN YENİ STANDART ÇAĞRISI
Doğanay, işe alım süreçlerinde kişisel verilerin korunmasına yönelik yeni standartların oluşturulması gerektiğini belirterek şu önerilerde bulundu:
- Gerçek bir açık pozisyon bulunmadan iş ilanı yayımlanmamalı.
- Açık pozisyona dayanmayan ilanlarda bu durum adaylara açıkça bildirilmeli.
- Özgeçmiş havuzu oluşturmak amacıyla gereksiz veri toplanmamalı.
- Toplanan kişisel verilerin hangi amaçla işlendiği net şekilde açıklanmalı.
- İşe alım süreci tamamlandıktan sonra ihtiyaç duyulmayan CV’ler mevzuata uygun biçimde silinmeli.
- Kariyer platformları ve işverenlerin veri işleme süreçleri düzenli olarak denetlenmeli.
- Adaylar, verilerinin ne kadar süre saklanacağı konusunda açık şekilde bilgilendirilmeli.
AKTİF İŞ ARAMAYANLARA ÖNEMLİ UYARI
Uzman isim, aktif olarak iş aramayan vatandaşların kariyer platformlarındaki hesaplarını gözden geçirmelerini tavsiye ederek şu uyarıda bulundu:
“İnternette uzun süre erişilebilir halde bırakılan kişisel veriler zaman içinde farklı risklere maruz kalabiliyor. Dijital dünyada kullanılmayan veriyi çevrimiçi ortamda tutmamak en temel siber güvenlik prensiplerinden biridir.”
KAMU OTORİTELERİNE DENETİM ÇAĞRISI
Sorunun yalnızca işverenlerin veya kariyer platformlarının inisiyatifine bırakılamayacağını söyleyen Doğanay, kamu otoriteleri tarafından daha etkin düzenleyici ve denetleyici mekanizmaların geliştirilmesi gerektiğini ifade etti.
Türkiye’de iş ilanları üzerinden gerçekleştirilen kişisel veri toplama faaliyetlerinin daha sıkı denetlenmesi gerektiğini belirten Doğanay, gerçek bir açık pozisyona dayanmayan ilanlar için şeffaflık yükümlülüğü getirilmesini ve yanıltıcı iş ilanlarının bildirilebileceği etkili bir mekanizma kurulmasını önerdi.
“SİBER GÜVENLİK ARTIK İNSAN VERİSİNİ KORUMAKTIR”
Hamza Aytaç Doğanay, açıklamasını şu sözlerle tamamladı:
“Eskiden siber güvenlik denildiğinde akla sunucular, ağlar ve bilgisayar sistemleri gelirdi. Bugün ise en değerli hedef insanın kendisi ve ona ait veriler. Yapay zekâ çağında siber güvenlik artık yalnızca sistemleri değil, insan verisini korumaktır. İş arayan milyonlarca vatandaşın özgeçmişi de korunması gereken stratejik dijital varlıklar arasında yer alıyor.”
Uzmanlar, iş arayan vatandaşların başvuru yaptıkları platformların güvenilirliğini kontrol etmelerini, gereksiz kişisel bilgi paylaşmaktan kaçınmalarını ve uzun süredir kullanılmayan kariyer hesaplarını kapatmalarını öneriyor.