Norveç Ordusunda Kiralık Elektrikli Otomobillerin Veri Güvenliği Tartışma Yarattı

Norveç ordusunun tatbikat sırasında kullandığı Çinli elektrikli otomobiller, askerlerin güzergâhlarını ve askeri tesislere girişte kullandıkları güvenlik kodlarını kaydederek veri güvenliği tartışmalarını gündeme taşıdı. Norveç basınında yer alan bilgilere göre araçlardan en az ikisi, Changan bünyesindeki Deepal markasına ait modellerden oluştu. Kayıtların yalnızca araçlarda mı kaldığı yoksa uzaktaki sunuculara da aktarılıp aktarılmadığı henüz belirlenemedi.

Askerler Araçlardaki Kayıt Sistemini Tatbikat Sırasında Fark Etti

Norveç’in DN gazetesi tarafından gündeme taşınan olay, İç Güvenlik Birliği’nin (Heimevernet) 14-18 Eylül tarihlerinde düzenlediği Hovedstad tatbikatında yaşandı. Oslo ve Akershus bölgelerinde gerçekleştirilen tatbikata yaklaşık 5 bin asker katıldı. Senaryolar arasında hükümet ve parlamento binalarının korunması ile savaş koşullarında Oslo Gardermoen Havalimanı’nın savunulması da yer aldı.

Tatbikatta görev yapan askerler, kiralık otomobillerin ayarlarını kontrol ederken video kayıt işlevini keşfetti. Teğmen Fredrik Blanck, askerlerin böyle bir kayıt talebinde bulunmadığını ve araçların bu özelliği hakkında önceden bilgilendirilmediklerini belirtti.

Araçlarda tutulan görüntüler, askeri personelin hareketlerini ayrıntılı biçimde ortaya çıkarabilecek nitelikteydi. Kayıtlar üzerinden askerlerin araca bindiği ve araçtan indiği noktalar, izlenen güzergâhlar ile belirli bölgelerde geçirilen süreler anlaşılabiliyordu. Görüntülerde askeri tesislerin girişlerinde kullanılan güvenlik kodlarının da yer alması, olayın önemini artırdı.

Haberde görüşlerine başvurulan kaynaklardan biri, Deepal marka otomobillerde askerlerin hareketlerini ve kapı kodlarını içeren geniş kapsamlı kayıtlar bulunduğunu aktardı. Bununla birlikte kaç aracın aynı işlevi kullandığına ilişkin kesin bir sayı açıklanmadı.

Askeri personel, tatbikatın ardından erişebildikleri otomobillerdeki görüntüleri sildi. Ancak bu işlem, daha önce herhangi bir veri aktarımı gerçekleşip gerçekleşmediği sorusunu yanıtlamadı. Kayıtların araçların yerel depolama birimlerinde tutulduğu veya internet bağlantısı üzerinden harici sistemlere gönderildiği konusunda doğrulanmış bilgi bulunmuyor.

Birden fazla araçtan elde edilen görüntülerin bir araya getirilmesi, askeri birliklerin hareket düzeninin anlaşılmasına yol açabilir. Konuşlanma bölgeleri, devriye rotaları, tesislere erişim yolları ve ikmal noktaları gibi bilgiler, güvenlik açısından hassas bir tablo oluşturabilir. Otomobillerdeki mikrofonların görüşmeleri kaydetmiş olma ihtimali de değerlendirilmesi gereken diğer riskler arasında bulunuyor.

Askerlerin kayıt özelliğini üst makamlara bildirdiği aktarıldı. Buna rağmen araçlar, alternatif taşıtların yetersizliği nedeniyle tatbikatın kalan bölümünde kullanılmaya devam etti. Araçların devre dışı bırakılması, planlanan eğitim faaliyetlerinin yürütülmesini zorlaştırabilecekti.

Norveç Silahlı Kuvvetleri, olayın ayrıntılarına ilişkin sorulara doğrudan yanıt vermedi. Kurum sözcüsü Caroline E. Lysne, araçların ve elektronik ekipmanların oluşturabileceği güvenlik risklerinin bilindiğini, hassas bilgilerin toplanmasını önlemek amacıyla fiziksel ve elektronik önlemler uygulandığını açıkladı.

Norveç ordusu, günlük çalışmalarında ve operasyonel görevlerinde kiralık otomobillerden yararlanıyor. Askeri lojistik birimi, 2024 yılında First Rent A Car Norway ile RAC Norway arasında ülke genelinde geçerli araç kiralama anlaşmaları yaptı. İki sözleşmenin toplam azami değeri 350 milyon Norveç kronu olarak duyuruldu.

Kiralama zincirindeki şirket ilişkileri de olayın ardından gündeme geldi. Hertz’in Norveç operasyonunu yürüten First Rent A Car Norway, Volvo Cars’ın kurumsal yapısında yer alıyor. Volvo Cars’ın çoğunluk hissesi ise Çin merkezli Geely Holding Group’a ait.

Volvo Cars, Geely’nin çoğunluk hissedarı olmasının tek başına veri güvenliği riski anlamına gelmediğini savundu. Şirket, açık bir yasal dayanak olmadan verilerin Geely ile paylaşılmayacağını belirtti. First Rent A Car Norway de Norveç ve Avrupa mevzuatına uygun faaliyet gösterdiğini açıkladı.

Araçların Çinli bir üreticiye ait olması, görüntülerin Çin’e gönderildiğini kanıtlamıyor. Mevcut bilgiler, kayıtların hangi sistemlerde tutulduğunu veya herhangi bir şirketle paylaşılıp paylaşılmadığını ortaya koymuyor.

Modern otomobiller, kameralar, GPS alıcıları, mikrofonlar, sürücü izleme sistemleri ve internet bağlantıları sayesinde çok sayıda veri toplayabiliyor. Norveç Ulusal Güvenlik Otoritesi, Risiko 2025 değerlendirmesinde günümüz otomobillerinin 200’den fazla elektronik sensör içerebildiğini belirtmişti.

Söz konusu donanımlar sürüş güvenliği ve araç işlevleri açısından kullanılırken askeri tesislerde farklı riskler ortaya çıkarabiliyor. Konum kayıtları, görüntüler ve ses verileri bir araya geldiğinde personelin hareketleri ile tesislerin çalışma düzeni hakkında ayrıntılı bilgiler sağlayabiliyor. Uzaktan erişim veya veri aktarımı özelliklerinin bulunması halinde güvenlik değerlendirmesinin yazılım ve bağlantı katmanlarını da kapsaması gerekiyor.

Norveç’te daha önce Çinli Yutong tarafından üretilen elektrikli otobüsler de benzer endişelere neden olmuştu. Başkent bölgesinin toplu taşıma işletmecisi Ruter, yaptığı testlerde üreticinin otobüs yazılımlarına uzaktan erişebildiğini açıklamıştı. Söz konusu erişimin teorik olarak araçların çalışmasının durdurulmasına kadar uzanabileceği belirtilmişti.

Norveç ordusundaki olay, kiralık araçların yalnızca ulaşım aracı olarak değerlendirilmesinin yeterli olmayabileceğini gösteriyor. Askeri ortamlarda kullanılacak bağlantılı otomobillerin kayıt özelliklerinin, veri saklama yöntemlerinin ve uzaktan erişim yeteneklerinin önceden incelenmesi, operasyonel bilgilerin korunması açısından önem taşıyor.