Sabah mutfak masasında e-postalara göz atan bir ebeveynin karşısına çıkan mesajla her şey başladı: “50 Euro ödemezseniz çocuğunuzun verilerini yayımlarız.” Bir film sahnesini andıran bu tehdit, Belçika’nın Anvers kentinde binlerce aile için gerçeğe dönüştü. Okula yapılan siber saldırının ardından yöneticiler fidyeyi reddetti, bu kez saldırganlar doğrudan velileri hedef aldı. Uzmanlara göre benzer açıklar Almanya’da da yaygın ve birçok belediye ciddi maddi risk altında.
Belçika’daki saldırı ve velilere giden tehdit mailleri
Ocak 2023’te Belçika’daki OLV Pulhof okulunun sistemlerine giren kimliği belirsiz kişiler, 45 gigabaytlık veri ele geçirdi. 2016’dan bu yana tutulan öğrenci dosyaları, mali belgeler, sağlık bilgileri ve çocuklara ait psikolojik raporlar bu veriler arasındaydı. Okul yönetimi, yetkililerin tavsiyesi doğrultusunda ödeme yapmayı reddetti. Bunun üzerine saldırganlar, velilere e-posta göndererek her çocuk için 50 Euro talep etti; aksi halde bilgilerin karanlık ağda paylaşılacağı tehdidinde bulundu.
Olay tekil değil. Büyük bir siber güvenlik şirketi olan Check Point’in verilerine göre Almanya, eğitim kurumlarına yönelik siber saldırılardan en fazla etkilenen dört ülkeden biri. Ülkede okullar haftada ortalama 4 bin 388 saldırıyla karşı karşıya kalıyor. Saldırganlar kendilerini ünlü “Lock-Bit” grubu gibi tanıtsa da uzmanlar bunun sahte olduğunu belirledi. Yazım hataları, alışılmadık derecede düşük talepler ve amatör e-postalar, olayın muhtemelen fırsatçı kişiler tarafından gerçekleştirildiğine işaret etti. Velilerin ödeme yapıp yapmadığı netlik kazanmadı. Okul yönetimi kesin bir dille ödeme yapılmamasını istedi ve bu vakada büyük çaplı bir veri sızıntısı yaşanmadı. Ancak 2023’te ABD’nin Minneapolis kentinde benzer bir saldırı sonrası 300 bin öğrencinin kaydı yayımlandı.
Almanya’da okullar neden savunmasız
Uzmanlara göre 50 Euro’luk talep bilinçli seçildi. Miktar, çoğu ailenin ödeyebileceği kadar düşük, saldırganların ise binlerce Euro kazanmasına yetecek kadar yüksek. Asıl baskı unsuru ise çocukların sağlık ve kişisel verileri. Bu yöntem Almanya’da da karşılık bulabilir çünkü okullar uzun süredir dijital tehdit altında.
Ocak 2025’te bir bilişim hizmet sağlayıcısına yapılan saldırı, Speyer ve çevresindeki 45 okulu işlevsiz hale getirdi. 2025 sonbaharında Kitzingen ilçesinde yedi okul etkilendi ve bu olayda veri sızıntısı yaşandığı doğrulandı. Sorunun temelinde ise altyapı eksikliği yatıyor. DigitalPakt kapsamında milyarlarca Euro tablet ve donanıma ayrılırken, bilişim güvenliği için yeterli kaynak ayrılmadı. Birçok okulda profesyonel sistem yöneticisi bulunmuyor.
Bazı örnekler durumun vahametini ortaya koyuyor. Almanya’daki bir okulda yönetici parolasının, sekreterin adı olduğu belirlendi. Bir öğrenci bu sisteme saniyenin çok küçük bir bölümünde erişim sağladı.
Veliler ve okullar için uzman uyarıları
Siber güvenlik uzmanları ve BKI yetkilileri, bu tür tehditlerde kesinlikle ödeme yapılmaması gerektiğini vurguluyor. Yapılan her ödeme, yeni saldırıların finansmanı anlamına geliyor. Tüm parolaların derhal değiştirilmesi, özellikle çocukların okul hesaplarında kullandıkları şifreleri sosyal medya platformlarında da kullanıp kullanmadığının kontrol edilmesi öneriliyor. Ele geçirilen bilgiler, saldırganlar tarafından farklı platformlarda sistematik olarak denenebiliyor.
Şüpheli e-postaların gecikmeden okul yönetimine bildirilmesi, ekran görüntülerinin saklanması ve hiçbir bağlantıya tıklanmaması da temel önlemler arasında yer alıyor.
Hukuki riskler ve belediyeleri bekleyen faturalar
Avrupa Adalet Divanı 2024’te aldığı kararla, veri kötüye kullanımı korkusunun dahi tazminat gerekçesi olabileceğini netleştirdi. Buna göre okul yönetimleri ve bağlı oldukları kurumlar, bilişim altyapılarının “teknolojinin güncel seviyesine” uygun olduğunu kanıtlamak zorunda. Aksi halde sorumluluk doğuyor.