BTK, 101 milyon kişinin tüm kişisel verilerini ifşa etti

BTK, 26 Eylül’de, 101 milyon yurttaşın kişisel verilerinin paylaşıldığı “Sowix” isimli internet sitesi hakkında soruşturma başlatıldığını duyurdu. Ancak kurum bu açıklamayı, verilerin tek tıkla indirilmeye hazır olarak yayımlandığı Sowix’i henüz erişime kapatmadan yaptı. Açıklama sonrası Google’daki “Sowix” aramaları zirve yaparken, BTK siteyi ancak ertesi gün kapattı.

Bilgi Teknolojileri ve İletişim Kurumu (BTK), 26 Eylül’de yaptığı açıklamayla, Türkiye Cumhuriyeti yurttaşlarının kişisel verilerinin paylaşıldığı “Sowix” isimli internet sitesine operasyon düzenlendiğini duyurdu.

Kurum, açıklamasında, Ankara Cumhuriyet Başsavcılığı koordinesinde yürütülen siber operasyonlar kapsamında, “vatandaşların kişisel bilgilerine erişim sağlamak amacıyla ‘sowix’ isimli yasadışı sorgu sisteminin kullanıldığı tespit edilmiştir” dedi.

Kamuoyuna Duyuru – (BTK) Ulusal Siber Olaylara Müdahale Merkezi (USOM) Tespitleri

Bugün bazı basın yayın organlarında, Bilgi Teknolojileri ve İletişim Kurumu (BTK) – Ulusal Siber Olaylara Müdahale Merkezi (USOM) üzerinden yasa dışı sorgu yapıldığına ilişkin haberler asılsızdır.…

— BTK (@BTKbasin) September 26, 2025

Ancak BTK, bu açıklamayı yapıp Sowix ismini duyurduğunda, resmi makamlarda kaydı bulunan 100 milyon 923 bin 788 kişinin tüm kişisel verilerinin indirilmeye hazır hâlde paylaşıldığı Sowix’in “hexnox.pro” şeklindeki internet sitesini henüz erişime kapatmamıştı.

BTK’nın açıklamasının ardından 26 Eylül, son 30 gün itibarıyla Google’da en çok “Sowix” araması yapılan gün olurken, BTK ise siteyi ancak ertesi gün kapattı. 

Yani açıklamayı okuduktan sonra Sowix’in internet sitesini ziyaret eden birçok kişi, şu an 101 milyon kişinin adı, soyadı, doğum-ölüm tarihi, TC kimlik numarası, ev adresi, kişisel cep telefonu numaraları, uyruğu, medeni durumu ve anne-baba ad-soyadı ile anne-baba TC kimlik numaraları gibi tüm kişisel verilerini bilgisayarına indirmiş olabilir.

Zira tüm bu veriler, Sowix’in internet sitesindeki “Veri Merkezi” bölümünde kolaylıkla indirilebilir bir halde paylaşılıyordu.

Üstelik, BTK’nın henüz erişime kapatmadan adını duyurduğu Sowix platformunda yasa dışı ve ücretsiz bir şekilde yayımlanan kişisel veriler bunlarla da sınırlı değildi.

Meslek verilerinden sertifika verilerine, işyeri kayıt bilgilerinden 28 bin aracın plaka verisine ve 100 milyon 923 bin 788 milyon kişi adına kayıtlı 134 milyon 817 bin 279 telefon numarasına kadar çok çeşitli kişisel veriler de Sowix’in sitesinde yer alıyordu. 

Tüm veriler, tek tıkla indirilebilir halde yayımlandı 

Sowix, yasa dışı ve ücretsiz bir şekilde yayımladığı tüm kişisel verileri internet sitesinde şöyle pazarlıyordu:

Meslek Verileri: Mesleklerle ilgili detaylı ve güncel veri dosyası. İş alanlarına dair geniş kapsamlı bilgiler içerir.

Vesika API: Vesika bilgilerini API üzerinden kolayca sorgulamanızı sağlayan veri kaynağı.

Sertifika Verileri: Sertifika kayıtlarını içeren SQL formatında veri dosyası. Eğitim ve yetkinlik bilgilerini içerir.

İşyeri Kayıtları: İşyeri başvuruları ve kayıt bilgilerini içeren RAR dosyası. İşletme ve faaliyet verileri burada.

109M Kayıt Verisi: Yaklaşık 109 milyon Türkiye veri kaydı içeren geniş çaplı veri seti. Büyük veri analizleri için uygundur.

145M Kayıt verisi: TC’den GSM datası gibi geniş kapsamlı bir veri seti.

Plaka Data (28k): 28.000 araç plaka kaydını içeren veri seti. Araç bilgileri ve analiz için uygundur.

Veriler doğru

Her bir veri seti, “veriyi indir” butonuna tıklanarak anonim dosya paylaşım platformları üzerinden kolaylıkla indirilebiliyordu. Örneğin, 13.65 GB büyüklüğündeki veri dosyası, 101 milyon kişiye ait verileri içeriyordu. 

İlgili veri setinden bir ekran görüntüsü:

Verilerin doğruluğunu teyit etmek için kendi ismimi arattığımda karşıma çıkan bilgiler ise kimlik numaramdan adresime kadar tüm kişisel bilgilerimle birebir örtüşüyordu.

BTK’nın henüz erişime kapatmadan adını duyurduğu yasa dışı Sowix platformunda paylaşılan veriler arasında, 931 bin 895 kişinin mesleği ile 1 milyonu aşkın kişinin iş/işyeri kaydına dair bilgiler de yer aldı. 

Sowix’te yayımlanan 28 bin aracın plaka ve kaza verilerinden bir ekran görüntüsü:

Google’da “Sowix” aramaları zirve yaptı

Google Trends verilerine göre BTK’nın “Sowix” ismini açıkladığı 26 Eylül, son 30 günde Google’da en çok “Sowix” araması yapılan gün oldu.

Verilere göre kullanıcılar 26 Eylül’de yalnızca “Sowix”i değil, aynı zamanda platformun adresi olan “hexnox”, “sowix vip” ve “sowix online” gibi terimleri de Google’da yoğun şekilde aradı. Bu tablo, BTK kapatmadan önce çok sayıda kişinin söz konusu internet sitesini ziyaret etmeye yöneldiğini gösteriyor.

“Sorgu” ve “panel” de 26 Eylül’de en çok aratılan kelimeler olurken, “Sowix” aramasının en fazla yapıldığı şehir ise Çorum oldu.

BTK ertesi gün uyandı

BTK, yurttaşların kişisel verilerinin sorgulandığını duyurduğu Sowix’in internet sitesini ise ancak ertesi gün erişime kapattı.

Açıklamadan sonra bir gün boyunca açık kalan site, 27 Eylül öğlen saatlerinde Milli İstihbarat Teşkilatı (MİT), Jandarma, Uluslararası Siber Olaylara Müdahale Merkezi (USOM) ve Mali Suçları Araştırma Kurulu’nun (MASAK) müdahalesiyle erişilemez kılındı.

Yetkililer, bunu sayfanın açılış ekranına yazdığı şu açıklamayla duyurdu:

Sitenin açık kaldığı süre boyunca kaç kişinin tüm bu kişisel verileri indirdiği ise bilnmiyor.