Schengen kapılarındaki randevu krizini fırsata çevirip vatandaşın sırasını çalan ' bot ' şebekelerine yönelik operasyonlar yaklaşık bir senedir devam ediyor. Sistemleri otomatik yazılımlarla kilitleyerek randevuları karaborsaya düşüren ve 'garantili vize' vaadiyle ceplerini dolduran şüphelilere son darbe, 20 Ekim'de İstanbul merkezli 8 ilde vuruldu. Haksız kazancın yaklaşık 370 milyon lirayı bulduğu belirlenirken, gözler operasyonların ardından randevu sistemlerinin durumuna çevrildi. Peki, operasyonların ardından vize randevusu bulmak kolaylaştı mı? Botlar en çok hangi ülkelerin randevu sistemlerini etkiledi? Vize randevularını ele geçirmek için kullanılan bu botlar nasıl çalışıyor? Hürriyet.com.tr, randevu sistemlerindeki son durumu, bot yazılımların nasıl çalıştığını ve alınan önlemleri, Türkiye’de Schengen ülkeleri dahil 28 ülkenin yetkili vize başvuru merkezi olan VFS Global 'in Türkiye-Azerbaycan Bölge Direktörü Sertan Aslantürk ve Siber Güvenlik Uzmanı Osman Demircan'a sordu. SİSTEMLERDE YÜZDE 60-65'LİK İYİLEŞME Vize randevularında bot yazılımlara karşı yürütülen mücadelede son durumu değerlendiren VFS Global Türkiye-Azerbaycan Bölge Direktörü Aslantürk, daha önce sağlanan yüzde 60-65'lik iyileşmenin devam ettiğini açıkladı: "Bot yazılımlara ve yetkisiz otomatik erişim girişimlerine karşı mücadelemizi kararlılıkla sürdürüyoruz. Önceliğimiz, randevu sistemlerimizin güvenliğini güçlendirmek ve gerçek başvuru sahiplerinin randevulara adil ve doğrudan erişimini sağlamak. Yaşanan yüzde 60-65 seviyesindeki iyileşme halen korunuyor." Ancak bu iyileşmenin herkesin kolayca randevu bulabileceği anlamına gelmediğini belirten Aslantürk , botlara karşı alınan önlemlerin mevcut kontenjanlara daha adil erişim sağladığını söyledi. Randevu taleplerinin kontenjanları aştığı dönemlerde ise yoğunluğun devam edebildiğini aktardı. ‘BOT FAALİYETLERİNİN ENGELLENMESİ, RANDEVU SAYISININ ARTACAĞI ANLAMINA GELMEZ’ Botların engellenmesiyle randevu kapasitesinin artırılmasının farklı konular olduğuna dikkat çeken Aslantürk, kontenjanları VFS Global'in değil, ilgili ülkelerin büyükelçilikleri ve konsolosluklarının belirlediğine vurgu yaptı. Aslantürk, "Randevu kapasitesi ve kontenjanlar ilgili diplomatik misyonlar tarafından belirleniyor. VFS Global, bu kontenjanları ilgili misyonlardan gelen talimatlar doğrultusunda merkezi sistemler üzerinden başvuru sahiplerinin erişimine sunuyor. Randevuların açılması veya dağıtılması yerel ekiplerin inisiyatifinde gerçekleşmiyor. Randevular, sistem tarafından otomatik olarak ve önceden öngörülemeyen aralıklarla erişime sunuluyor. İptal edilen randevuların yeniden sisteme yansıtılması da otomatik mekanizmalar aracılığıyla gerçekleştiriliyor" şeklinde konuştu. Alıntı Metni VFS GLOBAL: ‘VIP VİZE’ UYGULAMASI DİYE BİR ŞEY YOK 'Garantili vize' ve 'garantili randevu' vaadiyle ücret talep eden kişi ve şirketlere karşı vatandaşları uyaran Aslantürk, acentelerin bireysel başvuru sahiplerinden farklı veya ayrıcalıklı bir randevu sistemine erişimi olmadığını belirtti: "Öncelikle başvuru sahiplerinin bilmesi gereken en önemli nokta, bireysel başvuru sahipleri ile acentelerin aynı randevu arayüzünü kullanmasıdır. Acentelere ayrıcalıklı erişim sağlayan farklı bir randevu platformu sunulması söz konusu değildir. Aynı şekilde, aracı kişilerden satın alınabilecek, vize kararını garanti eden veya konsolosluk değerlendirmesini etkileyen bir ‘VIP vize’ uygulaması da bulunmuyor. ‘Belirli bir ücret karşılığında garantili randevu’ veya ‘Şu kadar günde kesin onaylı vize’ gibi vaatlere karşı son derece dikkatli olunmalı." BOTLAR NASIL ENGELLENİYOR? Botların randevu sistemlerine erişimini zorlaştırmak için ülkelere göre üç ila dokuz aşamalı güvenlik kontrolü uyguladıklarını açıklayan Aslantürk, "Bu önlemler arasında kimliği doğrulanmış başvuru sahibi, tekil kullanıcı hesabı, güçlendirilmiş tek kullanımlık şifre (OTP) doğrulaması, e-posta ve IP bazlı erişim sınırlamaları, şüpheli bağlantıların ve VPN kullanımının engellenmesine yönelik kontroller, hesap başına randevu sınırlandırmaları ve otomatik bekleme listesi gibi mekanizmalar bulunuyor. Bu güvenlik katmanları, otomatik yazılımların çok sayıda hesap oluşturarak veya kısa süre içerisinde tekrarlayan işlemler gerçekleştirerek randevu kontenjanlarına toplu biçimde erişmesini zorlaştırıyor" ifadelerini kullandı. Alıntı Metni ‘VFS GLOBAL’İN VİZE BAŞVURULARINI ONAYLAMA VEYA REDDETME YETKİSİ YOK’ Sertan Aslantürk, VFS Global'in vize başvurularını onaylama, reddetme veya değerlendirme sürecine müdahale etme yetkisinin bulunmadığını belirtti. Vize kararlarının ilgili ülkelerin diplomatik temsilcilikleri tarafından verildiğini açıklayan Aslantürk, sonuçların kuruma kapalı zarflarla ulaştırıldığını ve ret gerekçelerini de göremediklerini söyledi. Başvuru kayıtları ve vize kararlarına ilişkin veri tabanlarının ise ilgili hükümetlerin kontrolünde olduğunu vurguladı. SİBER GÜVENLİK UZMANI DEMİRCAN: SİSTEMİN HACKLENMESİ GEREKMİYOR Sürecin teknik boyutunu değerlendiren Siber Güvenlik Uzmanı Osman Demircan’a göre ise tablo, klasik bir siber saldırıdan ziyade sistemin sunduğu imkanların otomasyon yoluyla istismar edilmesinden ibaret: "Vize randevu botları, normalde insanların internet üzerinden gerçekleştirdiği işlemleri otomatik olarak yapan yazılımlardır. Bir vatandaş vize randevusu almak için internet sitesine girer, bilgilerini doldurur, uygun tarihleri kontrol eder ve boş randevu bulduğunda rezervasyon yapmaya çalışır. Botlar ise aynı işlemleri insan müdahalesine ihtiyaç duymadan, çok daha hızlı ve sürekli gerçekleştirebilir." Alıntı Metni BOTLAR BOŞ RANDEVUYU NASIL YAKALIYOR? Sisteme aynı anda girilen kontenjanın arka planda saniyeler içinde nasıl buharlaştığını aktaran Osman Demircan, botların çalışma algoritmasını anlattı: "Bir konsolosluğun vize başvuru sistemine saat 10.00'da 100 yeni randevu eklendiğini düşünelim. Normal bir vatandaş o sırada bilgisayarının başında olmayabilir. İnternet sitesini saat 10.05'te kontrol ettiğinde randevuların tükendiğini görebilir. Oysa bot yazılımı, randevu sayfasını sürekli takip edecek şekilde programlanmıştır. Yeni kontenjan açıldığında bunu saniyeler içerisinde tespit edebilir." ‘MESELE SAATİ BİLMEK DEĞİL REAKSİYON HIZI’ Botların asıl avantajının boşluğu tespit ettikten sonraki işlem hızı olduğunu belirten Demircan, "Ancak botun avantajı yalnızca boş randevuyu görmesi değildir. Yazılım, önceden hazırlanmış başvuru bilgileriyle rezervasyon işlemlerini de otomatik gerçekleştirmeye çalışabilir. Birden fazla hesap üzerinden çalışan sistemler, kısa sürede çok sayıda randevu için işlem başlatabilir. Dolayısıyla vatandaş henüz internet sitesine girip bilgilerini doldurmaya çalışırken botlar, uygun güvenlik önlemleri bulunmayan bir sistemde, randevuların önemli bölümünü almış olabilir. Elbette 100 randevunun tamamının botlar tarafından ele geçirileceği kesin değildir. Bu durum, başvuru sisteminin güvenlik altyapısına, kimlik doğrulama yöntemlerine ve otomatik işlemlere karşı aldığı önlemlere bağlıdır. Buradaki temel sorun, botların gelecekte hangi saatte randevu açılacağını bilmesi değil, randevu açıldığı anda insanlardan çok daha hızlı hareket edebilmesidir" şeklinde konuştu. FORMÜL ÖNCEDEN TOPLAMAK: ‘KİŞİSEL BİLGİLER OLMADAN RANDEVU SATILAMAZ’ Süreçte en çok kafa karıştıran başlıklardan biri de pasaport ve kimlik bilgisi zorunluluğuna rağmen randevuların nasıl karaborsaya düştüğü. Sistemin işleyişindeki iki farklı senaryoyu ayıran Osman Demircan, çarkın sahte isimlerden ziyade vatandaşın teslim ettiği gerçek veriler üzerinden döndüğünü belirtti: "Birçok vize başvuru sisteminde randevu oluşturmak için ad, soyadı, doğum tarihi, pasaport numarası ve iletişim bilgileri gibi kişisel bilgiler gerekiyor. Dolayısıyla her randevunun rastgele bir isimle alınıp daha sonra başka bir kişiye satılması mümkün değil. Burada iki farklı durumu birbirinden ayırmamız gerekiyor. Birincisi, aracı şirketlerin vatandaşların gerçek bilgilerini önceden toplaması. Örneğin vize almak isteyen 500 kişi, bir danışmanlık şirketine pasaport ve kimlik bilgilerini verdiğinde şirket bu bilgileri otomatik randevu arayan yazılımlarda kullanabilir. Bot uygun kontenjan bulduğunda doğrudan gerçek başvuru sahibinin bilgileriyle işlem yapabilir. Böylece randevunun başka birine devredilmesine gerek kalmaz." ‘KİMLİK BİLGİLERİ DOLANDIRICILIK HAVUZUNA DÜŞEBİLİR’ Randevuların devredilme ihtimali ile veri güvenliği riski ni değerlendiren Demircan, güvenlik duvarlarının bu transferlere izin vermediğini ancak asıl tehlikenin kişisel verilerin istismarı olduğunu vurguladı: "İkincisi ise farklı kimlik bilgileriyle oluşturulmuş rezervasyonların sonradan başka kişilere aktarılmaya çalışılmasıdır. Ancak güvenlik önlemleri güçlü sistemlerde bu mümkün değildir. Örneğin bazı vize başvuru merkezleri, randevudaki pasaport numarası ile başvuru sahibinin pasaport numarası eşleşmediğinde başvuruyu kabul etmiyor. Bu nedenle botlarla randevu toplamak ile önceden alınmış randevuları başka kişilere devretmek kesinlikle aynı şey değildir. Ayrıca burada çok önemli bir kişisel veri güvenliği riski de bulunuyor. Vatandaşların danışmanlık şirketlerine teslim ettiği pasaport görüntüleri, kimlik bilgileri ve iletişim bilgileri, yetkisiz kişilerin eline geçerse farklı dolandırıcılık faaliyetlerinde de kullanılabilir." ‘KAPASİTE YETERSİZSE BOTLAR ENGELLENSE BİLE YETMEZ’ Operasyonların ardından sistem üzerindeki suni baskının hafiflemesi vatandaşta ‘Hemen randevu bulabilir miyim? ’ beklentisi oluştursa da, meselenin arz-talep dengesine dayanan başka bir boyutu daha var. Bot trafiğinin düşmesinin tek başına krizi çözemeyeceğine işaret eden Osman Demircan, "Bot trafiğinin azalması olumlu bir gelişme olacaktır. Ancak vatandaşların artık kolayca vize randevusu bulabileceği anlamına gelmez. Çünkü konsoloslukların sunduğu randevu kapasitesinin başvuru talebini karşılamaması durumunu da göz ardı etmememiz gerekiyor. Botların engellenmesi etkiyi azaltabilir. Böylece vatandaşların randevulara erişme şansı artabilir. Fakat konsolosluk günde 100 randevu açarken 5 bin kişi başvurmaya çalışıyorsa botlar tamamen ortadan kalksa bile herkesin randevu bulması mümkün olmayacaktır” ifadelerini kullandı. Alıntı Metni