Reklamın açtığı ikinci kapı: Gazetecinin cihazını kim koruyacak?

Reuters’ın 27 Ekim 2026 tarihli haberinde görüşülen altı kişi, TrendAI araştırmacılarının İsrail merkezli Discover-Tech’i Starlink kullanıcılarına yönelik yoğun reklam faaliyetiyle ilişkilendirdiğini anlattı. TrendAI’nin 15 Ekim’de yayımladığı teknik rapor ise şirket adı vermiyor; incelediği yapıyı Shadow-Earth-79 adıyla tanımlıyor. İsimlendirme ile teknik bulguyu ayrı tutarak okumak gereken yeni bir kayıt bu.

7 EKİM’de gazetecinin çalışabilmesi için telefonun, elektriğin ve bağlantının birlikte korunması gerektiğini ele alıyorum. Bu yeni haber, aynı telefonun ekranda açılan bir reklam üzerinden başka bir denetime maruz kalabilmesi ihtimalini düşündürüyor. Bağlantı çalışırken tanığın ne ölçüde güvende olduğu da araştırılmalı.

Bağlantının içindeki reklam pazarı

TrendAI raporu, reklam alanlarının anlık açık artırmalarla satıldığı sistemde belirli kullanıcı gruplarına yönelen faaliyeti inceliyor. Bu işlemlerde cihaz ve bağlantıya ilişkin bilgilerin reklam alıcılarıyla paylaşılabildiğini açıklıyor. Reklamın kendisi kadar, onu kime göstermek için yürütülen işlem de veri üretebiliyor.

Araştırmanın bulguları tek bir reklam talep platformunda gözlemlenen trafikle sınırlı. Kullanılan dönemler ve veri alt kümeleri de aynı değil. İnternet adresinden konum çıkarımının hata payı bulunduğu belirtiliyor. Bu nedenle buradan bütün Starlink kullanıcılarının izlendiği veya bütün reklam piyasasının aynı biçimde çalıştığı sonucu çıkarılamaz.

Reuters’ın haberinde, araştırmayı bilen kişilerin kod adıyla Discover-Tech arasındaki bağı anlattığı belirtiliyor. TrendAI ise isimlendirme yaklaşımını hata riskini azaltma gerekçesiyle açıklıyor. Şirketin kamuya açık raporundaki sınırlı adlandırmayla haberin kaynaklarına dayanan isnadı birbirinin yerine koymuyorum. Kamuya hangi bilginin, hangi kanıtla çıkarılabildiğini anlamak da bu dosyanın parçası. Reuters, 27 Ekim tarihli haberinde Discover-Tech ile şirketin üst yöneticisinin önceki iki hafta boyunca iletilen sorulara yanıt vermediğini de belirtiyor. Yanıt verilmemesi, iddiaların kabul edildiği anlamına gelmez.

El Cezire dosyasının gösterdiği eşik

Citizen Lab’in AdFection araştırması, reklam dağıtımı üzerinden Candiru casus yazılımıyla El Cezire bünyesindeki cihazların hedef alındığını belgelemişti. 2024–2025 kayıtlarında en az 45 cihazın hedeflendiği saptanıyor. Bu sayı, 45 cihazın tamamında bulaşmanın doğrulandığı anlamına gelmiyor. Reklamın gösterilmesi, cihazın hedef alınması ve casus yazılımın yerleşmesi ayrı bulgular.

Confiant’ın kendi reklam trafiği incelemesi de bu altyapının işleyişine ilişkin veri sağlıyor. İki kuruluş eşgüdümlü çalıştı; Candiru atfındaki ortak dayanakları iki bağımsız adli doğrulamaymış gibi sayamayız. Gazetecileri Koruma Komitesinin açıklaması da teknik raporun saldırıları sipariş eden hükümeti veya müşteriyi belirlemediğini hatırlatıyor.

Kitapta zaten yer alan bu bulguları, Reuters–TrendAI dosyasıyla birlikte okuduğumda gazetecinin güvenliğine ilişkin daha geniş bir soruyla karşılaşıyorum. Haberleşme hizmeti, reklamı taşıyan aracı, yazılımı sağlayan şirket ve operasyonu isteyen müşteri aynı aktör değil. Her birinin neyi bildiği, neyi durdurabildiği ve hangi işlemden sorumlu olduğu ayrı araştırılmalı.

Sorumluluğu son kullanıcıya bırakmak

Gazeteciye dikkatli olmasını söylemek gerekli olabilir. Fakat kullanıcı bir bağlantıya basmadan saldırı başlayabiliyorsa, korumayı yalnız onun kişisel dikkatine bağlayamayız. Haber kuruluşunun kullandığı hizmetleri, reklam aracılarının erişimini ve cihaz güvenliğini birlikte değerlendirmesi gerekir. Bu, benim dosyadan çıkardığım kurumsal sorumluluk sorusudur; bütün saldırıların aynı biçimde gerçekleştiği iddiası değil.

Citizen Lab’in raporundaki şirket cevaplarına göre Google ve Beeswax, Discover-Tech’in reklam sistemlerine erişimini sonlandırdı. Belirli bir tedarikçiye ilişkin bu işlemler, reklam piyasasının bütününde riskin bittiğini göstermiyor. Kararın neyi kapsadığı ve benzer bir yolun yeniden açılmasını hangi denetimin önleyeceği önemini koruyor.

Gazetecinin telefonu yalnız yayımladığı haberin aracı değil. Henüz konuşmakta olduğu insanlar, yayımlamadığı kayıtlar ve korumak zorunda olduğu ilişkiler de orada bulunabilir. Anlatının Altyapısını savunmak, bu ilişkileri koruyabilecek yetkiyi ve denetimi de gerektiriyor. Reklamın geçtiği zincirde sorumluluk dağılıyorsa, araştırılması gereken tam olarak o zincirdir.