Tıp etiğinde ve hasta haklarında en kutsal kavramlardan biri "tıbbi gizlilik" (mahremiyet) ilkesidir. Bir hastanın psikiyatrik tanısı, cinsel yolla bulaşan hastalık tahlilleri veya kronik rahatsızlıkları asla üçüncü şahıslara açıklanamaz. Şimdi gözünüzün önüne şöyle bir hasta getirin: Hastaneden çıkarken epikriz raporunu, kan tahlili sonuçlarını, T.C. kimlik numarasını, ev adresini ve şahsi cep telefonunu içeren hasta dosyasının fotokopilerini çektirip hastane bahçesindeki panolara, otobüs duraklarına ve elektrik direklerine yapıştırıyor. Üç gün sonra gece yarısı telefonları susmayınca, tefecilerden, sahte ilaç satıcılarından ve dolandırıcılardan yüzlerce arama gelince soluğu hastane başhekimliğinde alıp "Siz benim mahremiyetimi ihlal ettiniz, numaramı herkese dağıttınız!" diye ortalığı birbirine katıyor.

Kulağa bir akıl tutulması gibi geliyor, değil mi? Oysa alan adı (domain) dünyasında her gün binlerce internet kullanıcısı ve işletme sahibi, tam olarak bu trajikomik sahneyi birebir sahneliyor.

1 Dolardan Tasarruf Etmenin Dayanılmaz Hafifliği

Olay, yeni bir iş fikri veya kişisel blog için alan adı satın alma sürecinde başlar. Kullanıcı alan adı tescil firmasının sepet sayfasına gelir. Alan adı ücreti örneğin 10 dolardır. Sepetin hemen altında küçük bir onay kutusu ve uyarı belirir:

[ ] Whois Kimlik Koruması (Whois Privacy / ID Protection) - Yıllık 1.00$
"Kişisel bilgilerinizi, telefon numaranızı ve e-posta adresinizi internet ortamındaki botlardan ve spam göndericilerden gizleyin."

Kullanıcı durur, düşünür. Kendi kendine o meşhur rasyonelleştirmeyi yapar: "Aman canım, 1 dolar niye fazla vereyim? Alt tarafı bir domain. Sanki CIA beni arayacak. Korumasız olsun, param cebimde kalsın."

Kullanıcı formu doldurur: Adı soyadı, ev adresi, şahsi cep telefonu, kişisel e-posta adresi. Kredi kartı çekilir ve alan adı başarıyla tescil edilir.

ICANN Protokolü ve Küresel Bot Madenciliği

Kullanıcının unuttuğu veya bilmediği şey, internetin kurucu kuruluşu olan ICANN'in (Internet Corporation for Assigned Names and Numbers) 1980'lerden kalma şeffaflık kuralıdır. Bir alan adı tescil edildiğinde, o alan adının sahibinin yasal iletişim bilgileri küresel Whois veritabanına (port 43) kamuya tamamen açık (public) olarak yazılır.

Ve bu veritabanı, dünyanın her köşesindeki veri madenciliği botları, spammer ağları, tele-pazarlamacılar ve siber dolandırıcılar tarafından saniyesi saniyesine taranmaktadır. Her yeni kaydedilen alan adı (newly registered domains), anında botların radarına girer.

Dakika 1: Alan adı tescil edildi.
Dakika 3: Whois kaydı ICANN kök sunucularına yansıdı.
Dakika 7: Hindistan, Rusya, Nijerya ve Türkiye merkezli yüzlerce veri çekme botu (web scraper) kullanıcının telefonunu, adını ve e-postasını veri tabanlarına kaydetti.

Gece 03:00: Telefonlar Çalmaya Başlıyor

Tescilden sadece 12 saat sonra kullanıcının cep telefonuna ilk mesajlar düşmeye başlar:

  • "Sayın Ahmet Yılmaz, yeni tescil ettiğiniz sirketadi.com alan adınız için SEO ve web tasarım hizmetinde %50 indirim!" (SMS)
  • "Your domain will be terminated within 24 hours unless you pay $89.00 renewal fee!" (Phishing e-postası)
  • Gece saat 03:30'da çalan bir arama: "Hello sir, we are calling regarding your newly registered website, do you need dedicated developers?"

Yetmez; ertesi gün telefon numarası yerel spam panellerine düşer. Bahis sitelerinden gelen SMS'ler, eskort sitelerinin sahte bot aramaları, "Hakkınızda icra takibi başlatıldı" diyen dolandırıcı linkleri peş peşe yağar. Kullanıcının kişisel cep telefonu, adeta internetin umumi tuvalet duvarına yazılmış bir ilana dönüşmüştür.

"Numaramı Kim Sattı?" Paranyası

Kullanıcı bu taciz fırtınası karşısında şoka girer. İlk refleksi ne olur dersiniz? Tabii ki alan adını satın aldığı yerli hosting/domain firmasını arayıp hesap sormak:

"Siz benim kişisel verilerimi sattınız! KVKK'ya göre suç işliyorsunuz! Dün sizden domain aldım, sabahtan beri beni Hintliler, dolandırıcılar arıyor! Numaramı nereden buldular? Sizi savcılığa vereceğim, KVKK Kurumu'na şikayet edeceğim!"

Destek mühendisi sabırla açıklama yapar: "Ahmet Bey, biz hiçbir bilginizi üçüncü şahıslara satmadık. Alan adınızı satın alırken Whois Gizleme (Privacy Protection) seçeneğini işaretlemediniz. Alan adı sahiplik bilgileri küresel ICANN kuralları gereği internette herkese açıktır. Terminalden whois sirketadi.com yazdığınızda çıkan ekrana bakın; adınız, cep telefonunuz ve adresiniz açıkça listeleniyor."

Müşteri donakalır: "E siz niye gizlemediniz? Bana zorla gizletseydiniz! 1 dolarlık şey için numaram internete mi saçılır?"

GDPR, TRABİS ve Modern Gizlilik Evrimi

Neyse ki dünya bu ilkel çıplaklıktan yavaş yavaş ders çıkarmaktadır. Avrupa Birliği'nin GDPR (Genel Veri Koruma Tüzüğü) düzenlemesi sonrası birçok küresel kayıt kuruluşu (Registrar), bireysel kullanıcıların Whois verilerini varsayılan olarak maskelemeye başlamıştır.

Türkiye'de de BTK bünyesinde hayata geçen TRABİS (.tr Ağ Bilgi Sistemi) altyapısında, bireysel .com.tr tescillerinde vatandaşların T.C. kimlik ve telefon bilgileri Whois sorgularında otomatik olarak gizlenmekte, sadece isim ve şehir gibi kısıtlı veriler gösterilmektedir.

Fakat jenerik üst düzey alan adlarında (.com, .net, .org, .io, .xyz gibi), kayıt firmasının politikasına bağlı olarak Whois koruması hâlâ ayrı bir modül olarak yönetilmektedir.

Dijital Mahremiyetin Altın Kuralları

Kişisel hayatınızı, telefonunuzu ve ailenizin huzurunu global botların elinde oyuncak etmemek için alan adı tescilinde şu kurallar asla es geçilmemelidir:

  1. Whois Gizlemeyi Asla Kapatmayın: Tescil esnasında Whois Privacy / ID Protection kutusunu mutlaka işaretleyin. Çoğu modern firma bunu artık ücretsiz sunmaktadır; ücretli olsa bile o 1-2 dolarlık bedel, huzurunuzun sigortasıdır.
  2. Özel Kurumsal İletişim Bilgileri Kullanın: Alan adı tescilinde asla şahsi kullandığınız birincil cep telefonunuzu ve özel Gmail adresinizi vermeyin. Bu tür kayıtlar için şirketin santral numarasını veya ikincil bir iletişim hattını kullanın.
  3. Eski Alan Adlarını Kontrol Edin: Portföyünüzde yıllar önce tescil ettiğiniz ve unuttuğunuz alan adları varsa, kontrol paneline girip Whois durumlarını kontrol edin; açıkta kalan kayıtları derhal gizleyin.
  4. Phishing Mesajlarına Dikkat Edin: Whois taramasıyla gelen "Domain süreniz bitti, hemen bu linkten yenileyin" maillerine asla kredi kartı bilgisi girmeyin; alan adı yenilemelerini sadece kendi tescil firmanızın paneline giriş yaparak gerçekleştirin.

1 dolardan tasarruf edeceğim diye kişisel kimlik bilgilerini dijital pazarın ortasına saçmak, hırsıza evin anahtarını verip kapının açık kalmasından şikayet etmeye benzer. İnternet merhametli bir yer değildir; gizlemediğiniz her veri, eninde sonunda size uykusuz bir gece yarısı telefonu olarak geri döner.