Genel kullanıma açık Kamusal Wi-Fi ağlarındaki siber tehditler ve KVKK kapsamındaki mahremiyet risklerine karşı hangi somut teknik önlemleri almalıyız?

Kamusal alanlardaki (kafe, havalimanı, otel, belediye vb.) açık Wi-Fi ağları şifresiz veya paylaşımlı şifrelerle çalıştığından, aynı ağdaki herkesi doğrudan aynı yerel ağ segmentine (LAN) dahil eder. Bu durum hem ağ üzerinden doğrudan siber saldırılara zemin hazırlar hem de bağlantı/kayıt aşamasında toplanan veriler yönüyle ciddi KVKK riskleri doğurur.

Siber Güvenlik Riskleri

• Ortadaki Adam Saldırıları (MitM - Man-in-the-Middle): Ağ trafiği şifrelenmemişse veya saldırgan ağ geçidini zehirlemişse (ARP Poisoning), cihazınız ile internet arasındaki tüm veri akışı izlenebilir, araya girilerek değiştirilebilir.

• Kötü İkiz Ağlar (Evil Twin / Rogue AP): Saldırganlar, mekanın meşru ağıyla birebir aynı SSID (örneğin Kadikoy_Belediyesi_Ucretsiz veya Starbucks_Guest) adında sahte bir erişim noktası kurar. Cihaz bu sahte ağa bağlandığında tüm trafik saldırganın kontrolündeki cihaz üzerinden akar.

• DNS Zehirleme ve Sahte Yönlendirmeler: Girmek istediğiniz meşru banka, e-posta veya sosyal medya adresleri, yerel DNS manipülasyonu ile saldırganın hazırladığı birebir sahte arayüzlere yönlendirilebilir.

• Paket Koklama (Packet Sniffing): Açık ağlarda aynı ağdaki diğer kullanıcıların şifrelenmemiş (HTTP) trafiği, Wireshark gibi temel paket yakalama araçlarıyla kolayca analiz edilebilir ve oturum çerezleri çalınabilir (Session Hijacking).

• Doğrudan Cihaz Taramaları ve Port İstismarı: Genel ağa bağlandığınızda cihazınız "ortak ağ" profiline geçmezse; dosya paylaşım servisleri (SMB), yerel portlar ve işletim sistemi açıkları diğer kullanıcıların doğrudan erişimine açık hale gelebilir.

KVKK ve Veri Mahremiyeti Boyutu

Açık Wi-Fi hizmetleri genellikle bir "Karşılama Portalı" (Captive Portal) üzerinden sunulur. Burada hem işletmecinin yasal yükümlülükleri hem de sınır aşımı riskleri mevcuttur:

• 5651 Sayılı Kanun ve KVKK Kesişimi: İnternet toplu kullanım sağlayıcıları (oteller, kafeler, kampüsler), 5651 sayılı Kanun gereği iç IP dağıtım loglarını ve erişim kayıtlarını (zaman, IP, MAC adresi) tutmakla yükümlüdür. Bu işleme faaliyeti KVKK m. 5/2-ç (Hukuki yükümlülüğün yerine getirilmesi) kapsamında meşrudur; ancak toplanan veri yalnızca bu amaçla sınırlı kalmalıdır.

• Ölçülülük İlkesinin Aşılması (KVKK m. 4): Salt internet erişimi sağlamak için T.C. kimlik numarası, doğum tarihi, anne kızlık soyadı, meslek, medeni hal veya açık rıza adı altında "pazarlama/iletişim izinleri" talep edilmesi ölçüsüzdür. Kimlik doğrulama için SMS OTP (tek kullanımlık şifre) genellikle yeterli ve orantılı bir yöntemdir.

• Aydınlatma Metni Zorunluluğu (KVKK m. 10): Captive Portal ekranında bağlantı kurulmadan önce; veri sorumlusunun kim olduğu, hangi verilerin (MAC, IP, telefon vb.) hangi hukuki sebeple toplandığı ve saklama süresi net bir aydınlatma metniyle sunulmalıdır.

• Trafik Analizi ve Profilleme: Bazı ücretsiz ağ sağlayıcıları, kullanıcıların ziyaret ettiği sitelerin meta verilerini kaydedip bunları ticari profil çıkarma, reklam hedefleme veya üçüncü taraflara aktarma amacıyla işleyebilmektedir. Aydınlatma yapılmadan ve geçerli bir işleme şartı olmadan yapılan bu takip hukuka aykırıdır.

Kullanıcıların Alması Gereken Somut Önlemler

• Güvenilir Bir VPN Kullanın: Ağ üzerindeki trafiğinizi uçtan uca şifreleyen bir VPN (Sanal Özel Ağ) kullanmak, MitM ve paket dinleme saldırılarını etkisiz hale getirmenin en kesin yoludur.

• Ağ Profilini "Ortak / Kamusal" Olarak Ayarlayın: Bağlantı kurulduğunda işletim sisteminin (Windows/macOS) sunduğu ağ profilini "Ortak Ağ" (Public) olarak işaretleyin; böylece yerel dosya paylaşımı ve keşif protokolleri otomatik kapanır.

• Kritik İşlemlerden Kaçının: Kamusal Wi-Fi üzerindeyken mobil bankacılık, kripto cüzdan işlemleri, hassas kurumsal e-posta trafiği veya kredi kartı ile ödeme yapmaktan kaçının; bu işlemler için hücresel veriyi (mobil internet) tercih edin.

• Otomatik Bağlantıyı Kapatın: Cihazınızın bilinen veya açık ağlara otomatik olarak bağlanma özelliğini ("Wi-Fi Ağlarına Otomatik Katıl") devre dışı bırakın; aksi halde cihazınız kötü ikiz ağlara siz fark etmeden bağlanabilir.

• HTTPS ve HSTS Kontrolü: Tarayıcınızda "Yalnızca HTTPS modunu" aktif tutun. Giriş yaptığınız sitelerin adres çubuğunda kilit simgesinin bulunduğundan ve SSL/TLS sertifika hatası vermediğinden emin olun. Sertifika uyarısı veren hiçbir sayfayı "yine de devam et" diyerek açmayın.

• Captive Portal Bilgi Girişinde Seçici Olun: SMS ile doğrulama haricinde gereksiz kişisel veri isteyen, sosyal medya hesabıyla giriş yapmayı zorunlu kılan veya ticari izin kutucuklarını zorunlu tutan ağlara bağlanmayı reddedin.

• İşiniz Bitince Ağı Unutun: Bağlantıyı sonlandırdıktan sonra cihazınızın ağ ayarlarından ilgili ağı "Bu Ağı Unut" seçeneğiyle silin, böylece cihaz o isimdeki bir erişim noktasını gelecekte otomatik aramaz.

Nurcan Uluçay