Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, internet üzerinde yayımlanan iş ilanlarının önemli bir kısmının gerçek personel ihtiyacını yansıtmadığına dikkat çekti. Uzman, uzun süre yayında kalan ve güncellenmesine rağmen herhangi bir işe alımla sonuçlanmayan ilanların, büyük ölçekli kişisel veri toplama amacıyla hazırlanmış olabileceğini vurguladı.
Milyonlarca kişi özgeçmişlerini farklı platform ve şirketlerle paylaşıyor. CV'ler telefon numarası, e-posta, çalışılan kurumlar, uzmanlık alanları, referanslar ve kariyer geçmişi gibi hassas verileri bir araya getiriyor. Bu veriler farklı veri sızıntıları ve açık kaynaklarla birleştirilerek kapsamlı dijital profillere dönüştürülebiliyor. Oluşan profiller sosyal mühendislik, oltalama, hesap ele geçirme, kimliğe bürünme ve deepfake dolandırıcılığı için kullanılabiliyor.
"Bir CV'nin yanlış ellere geçmesi yalnızca kişisel veri ihlali anlamına gelmeyebilir. Saldırgan açısından bu belge, kişinin kim olduğunu, nerede çalıştığını ve hangi senaryolarla ikna edilebileceğini gösteren bir istihbarat kaynağına dönüşebilir."
Çalışanların görev ve kurum bilgileri, saldırganlara hedefledikleri kuruluşların iç yapısına dair stratejik bilgi sağlıyor. Sahte veya yanıltıcı ilanlar, web sitesi trafiğini ve sosyal medya etkileşimini artırmak ya da kurumun sürekli büyüdüğü algısını oluşturmak için de kullanılabiliyor. Kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerektiği hatırlatılırken, gereğinden fazla verinin toplanmasının siber güvenlik risklerini artırdığı belirtiliyor. Yapay zekâ çağında büyük ölçekli CV havuzları siber saldırganlar için stratejik hedef haline gelmiş durumda.
"Milyonlarca özgeçmişten oluşan veri havuzları, kötü niyetli kişilerin eline geçtiğinde sosyal mühendislik saldırıları, hedefli oltalama kampanyaları ve kimlik dolandırıcılığı için kullanılabilecek stratejik veri kaynaklarına dönüşebilir."
İşe alım süreçlerinin yalnızca insan kaynakları perspektifiyle değil, kişisel veri güvenliği ve siber güvenlik açısından da ele alınması gerektiği vurgulanıyor. Gerçekte işe alım yapılmayan ilanlar üzerinden büyük ölçekli kişisel veri toplanıp toplanmadığının incelenmesi gerektiği yönünde çağrı yapıldı.