ABD’de federal kurumların hackleme araçları için bağımsız denetim çağrısı

Talebin arkasındaki temel sorun: uzun süredir devam eden şeffaflık açığı

Demokrat Senatör Ron Wyden’ın 21 Ağustos 2026’da ABD Hükümeti Sorumluluk Ofisi’ne (GAO) yaptığı başvurunun merkezinde, federal kurumların hackleme araçları ve casus yazılım kullanımında yeterli hesap verebilirlik bulunmadığı yönündeki endişe vardı. GAO, federal hükümet programlarını ve harcamalarını denetleyen Kongre bağlantılı bağımsız bir denetim kurumu olarak faaliyet gösteriyor.

Wyden’a göre federal kolluk kuvvetleri bu teknolojileri 25 yıldan uzun süredir soruşturma aracı olarak kullanıyor. Buna karşın Kongre ve kamuoyu, bu araçların ne sıklıkta, hangi gerekçelerle ve hangi operasyonel güvenceler altında kullanıldığını yeterince bilmiyor. 712

Geleneksel gözetimdeki raporlama şartı hackleme operasyonlarında yok

Senatörün özellikle dikkat çektiği noktalardan biri, hackleme operasyonları ile daha geleneksel gözetim yöntemleri arasındaki raporlama farkıydı.

Telefon dinleme, pen-register ve trap-and-trace gibi yöntemlerde federal kurumlar yıllık istatistikler yayımlıyor. Bu raporlar, gözetimin kapsamı ve kullanım sıklığı hakkında en azından temel bir kamu kaydı oluşturuyor. Federal hackleme faaliyetleri içinse benzer bir yıllık raporlama bulunmuyor. Bu nedenle operasyonların sayısı, amacı, kapsamı ve aralarında masum kişilere ait cihazların da bulunup bulunmadığı belirsiz kalıyor. 167

Wyden, Adalet Bakanlığı ve FBI’ın Kongre’nin daha fazla şeffaflık taleplerine defalarca yanıt vermediğini savundu. Bu nedenle kendi talebinde, kurumların hazırlayacağı kapalı bir iç değerlendirme yerine GAO tarafından yürütülecek kapsamlı ve gizli olmayan bir rapor istedi. 712

GAO’dan hangi soruların yanıtlanması isteniyor?

İncelemenin FBI, Uyuşturucuyla Mücadele Dairesi (DEA), Göçmenlik ve Gümrük Muhafaza biriminin İç Güvenlik Soruşturmaları (ICE HSI) bölümü ile Gizli Servis’in uygulamalarını kapsaması bekleniyor. Wyden’ın gündeme getirdiği başlıklar arasında şunlar yer alıyor:

• Araçların ne sıklıkta ve hangi soruşturma gerekçeleriyle kullanıldığı,
• Görevlilerin bu sistemleri yetkisiz veya kişisel amaçlarla kullanıp kullanmadığı,
• Teknik kontrollerin ve kurumsal denetimin kötüye kullanımı engellemeye yetip yetmediği,
• Hackleme araçlarının nasıl satın alındığı, depolandığı ve sızıntılara karşı korunduğu,
• Araçlarla bağlantılı güvenlik açıklarının, hükümetin teknoloji şirketlerine bildirim yapılıp yapılmayacağını değerlendiren sürece sunulup sunulmadığı,
• Arama emri talep edilirken mahkemelere araçların teknik kapasitesi ve bilinmeyen ya da masum hedefleri etkileyebilecek risklerin ne ölçüde açıklandığı. 6712

Mahkemelerin teknik riskleri tam olarak görebilmesi endişesi

Wyden’ın kaygısı yalnızca mahremiyet ihlalleriyle sınırlı değil. Bir cihaza uzaktan sızılması, soruşturulan kişinin kimliği kesinleşmeden başka kişilere ait telefonları veya bilgisayarları da etkileyebilir. Bu nedenle senatör, hâkimlerin arama emri verirken kullanılacak aracın gerçek kapasitesi, yöntemin sınırları ve üçüncü kişilere yönelik olası etkileri hakkında yeterli teknik bilgi alıp almadığının incelenmesini istiyor. 712

Bu konu, dijital cihazların tek bir kişinin özel bilgileriyle sınırlı kalmayan yapısı nedeniyle önem taşıyor. Bir bilgisayar ya da telefon; aile üyelerine, iş arkadaşlarına veya cihazla bağlantılı başka kişilere ait verileri de barındırabiliyor.

L3Harris vakası, araçların sızdırılması riskini gündeme taşıdı

Talebin bir diğer boyutu siber güvenlik ve içeriden kaynaklanan tehditlerdi. Wyden, eski L3Harris yöneticisi Peter Williams’ın gelişmiş araçları çalıp sattığı iddiasını, hükümet düzeyindeki hackleme kabiliyetlerinin kontrol dışına çıkabileceğine dair bir örnek olarak gösterdi.

Bu tür araçların yabancı istihbarat aktörlerinin veya siber suçluların eline geçmesi, yalnızca tek tek soruşturmaları değil, daha geniş bir dijital güvenlik ekosistemini de etkileyebilir. Kaynaklarda, söz konusu araçların Rus casusları tarafından Ukrayna’ya karşı ve Çinli siber suçlular tarafından kripto para sahiplerini hedef almak için kullanıldığı aktarılıyor.

Federal hackleme uygulamaları yeni değil

Wyden, tartışmanın tarihsel olarak da yeni olmadığını vurguladı. FBI’ın belgelenmiş ilk casus yazılım operasyonlarından biri 1999’daki Nicodemo S. Scarfo soruşturmasıydı. Philadelphia’daki organize suç figürünün bilgisayarında kullanılan tuş kaydı yapan kötü amaçlı yazılım sayesinde, PGP ile şifrelenmiş delillere erişilmeye çalışılmıştı. Soruşturma, yasa dışı kumar ve tefecilik iddialarıyla ilgiliydi. 712

Bu geçmiş, federal kurumların bilgisayarlara sızma tekniklerini uzun süredir kullandığını gösteriyor. Wyden’ın itirazı ise teknolojinin varlığına değil, bu yeteneklerin kullanımını denetleyen şeffaflık, güvenlik ve yargısal kontrol mekanizmalarının aynı hızda gelişmemiş olmasına odaklanıyor.

Kısacası neden GAO incelemesi istendi?

Wyden, güçlü gözetim araçlarının çok özel kişisel verilere erişebildiğini ve yanlış kullanıldığında ciddi sivil özgürlük sorunları yaratabileceğini düşünüyor. Buna ek olarak araçların çalınması, sızdırılması veya güvenlik açıklarının sorumlu biçimde ele alınmaması, kamu güvenliği açısından sistemik riskler doğurabilir.

Bu nedenle GAO’dan; federal kurumların bu araçları nasıl kullandığını, nasıl koruduğunu, mahkemelere ne açıkladığını ve iç denetimlerin ne kadar etkili olduğunu incelemesini istedi. Talebin ana fikri şu: Hükümetin vatandaşların cihazlarına kadar uzanan son derece güçlü siber yetenekleri varsa, bu yeteneklerin kullanımına ilişkin temel ölçekte kamu denetimi ve hesap verebilirlik de bulunmalı. 1712