Teslamate Veri Güvenliği Açığı

TL;DR: TeslaMate, Tesla araç sahiplerinin enerji tüketimi, şarj döngüsü, sürüş menzili ve konum geçmişini takip etmesini sağlayan, kullanıcının kendi sunucusuna kurduğu (self-hosted) açık kaynaklı bir yazılımdır. Sorun, yazılımın kendisinde bir güvenlik açığından değil; kullanıcıların bu sistemi şifreleme, güvenlik duvarı, ters vekil sunucu (reverse proxy) ve kimlik doğrulama olmadan doğrudan internete açık şekilde kurmasından kaynaklanmaktadır — üstelik TeslaMate'in kendi resmî dokümantasyonu, internete açılacak kurulumlarda HTTPS, ters vekil sunucu, kimlik doğrulama ve Tesla API jetonlarının şifrelenmesini açıkça önermektedir. Bu şekilde yanlış yapılandırılmış kurulumlarda GPS konum geçmişi, sürüş rotaları, şarj verileri ve araç kimlik numarası gibi bilgiler yetkisiz erişime maruz kalabilmekte; bazı yapılandırmalarda Tesla API kimlik doğrulama materyalinin ifşası, kapsamına ve Tesla'nın OAuth^?/virtual-key güvenlik mimarisine bağlı olarak yetkisiz araç komutu gönderilmesi riskini de doğurabilmektedir. Bu tablo, KVKK^? m. 12 kapsamındaki veri güvenliği yükümlülüğünü (özellikle kurumsal filo takibinde), TCK m. 243 ve m. 136 kapsamındaki bilişim suçlarını ve GDPR m. 25/32 kapsamındaki tasarımdan gizlilik ilkesini bir araya getiren katmanlı bir hukuki inceleme^? gerektirmektedir.

Yazar: Avukat Yusuf KILIÇKAN | Tarih: 6 Eylül 2026

Olayın Teknik Çerçevesi

TeslaMate, Tesla araç sahiplerinin enerji tüketimi, şarj döngüleri, sürüş menzili, hız ve konum geçmişini izlemek amacıyla kullandığı, arka planda PostgreSQL veritabanı ve Grafana görselleştirme arayüzü çalıştıran, açık kaynak kodlu ve kullanıcının kendi sunucusuna kurduğu bir veri kayıt yazılımıdır. Burada önemli bir ayrım yapılmalıdır: TeslaMate'in kendi resmî dokümantasyonu, yazılımın internete açık şekilde çalıştırılması hâlinde HTTPS kullanılmasını, kimlik doğrulamanın bir ters vekil sunucu (reverse proxy) arkasına alınmasını, Grafana arayüzünün parola ile korunmasını ve Tesla API jetonlarının şifrelenmesi için bir şifreleme anahtarı (ENCRYPTION_KEY) tanımlanmasını açıkça önermekte, hatta temel Docker kurulumunun tek başına internete açık kullanım için güvenli olmadığını belirtmektedir. Dolayısıyla ortada yazılımın kendisine ait bir güvenlik açığı (CVE) değil, kullanıcıların bu güvenlik tavsiyelerini uygulamadan sistemi doğrudan internete açık bırakması sonucu ortaya çıkan bir yanlış yapılandırma (misconfiguration) sorunu bulunmaktadır. Bu ayrım, hukuki sorumluluğun kime yükleneceği bakımından belirleyicidir. Ayrıca kaç kurulumun bu şekilde açıkta olduğuna ilişkin somut ve doğrulanabilir bir tarama verisi bulunmadığından, "binlerce panel" gibi kesin bir rakam yerine "internet üzerinde kimlik doğrulaması yeterince yapılandırılmamış çok sayıda kurulumun bulunabileceği" şeklinde temkinli bir ifade kullanılması daha doğrudur.

Tesla API Mimarisi: Jeton Ele Geçirilirse Araç Gerçekten Kontrol Edilebilir mi?

Bazı yapılandırmalarda kullanıcıların TeslaMate'e entegre ettiği Tesla kimlik doğrulama materyalinin de yetkisiz erişime açık hâle gelmesi mümkündür; ancak bunun sonuçlarının değerlendirilmesinde Tesla'nın güncel Fleet API mimarisinin dikkate alınması gerekir. Bu mimari, OAuth tabanlı erişim ve yenileme jetonlarını, vehicle_device_data, vehicle_location, vehicle_cmds ve vehicle_charging_cmds gibi ayrı ayrı yetkilendirme kapsamlarına (scope) bölmekte; üçüncü taraf bir uygulama yalnızca yetkilendirme sırasında kendisine verilen kapsam dâhilindeki işlemleri gerçekleştirebilmektedir. Daha da önemlisi, araca kilit açma gibi belirli komutların iletilebilmesi için Tesla'nın "virtual key" (sanal anahtar) mekanizması gereklidir; araç, yalnızca eşleştirilmiş bir sanal anahtarla imzalanmış komutları kabul etmekte, imzasız komutları reddetmektedir. Bu nedenle "jeton ele geçirilirse saldırgan kesinlikle aracı açabilir" şeklinde kesin bir sonuca varmak doğru değildir; daha isabetli olan ifade, ele geçirilen kimlik doğrulama materyalinin kapsamına ve ilgili sanal anahtar mekanizmasına bağlı olarak, salt telemetri verisine erişimin ötesinde yetkisiz araç komutu gönderilmesi riskinin doğabileceğidir.

Kişisel Verilerin Korunması Kanunu Açısından Değerlendirme

Araç telemetrisi ve GPS konum geçmişi, şasi numarası (VIN) veya ev/iş yeri adresleri üzerinden bir gerçek kişiyle ilişkilendirilebildiği andan itibaren KVKK m. 3 anlamında kişisel veri niteliği taşır. Burada önemli bir nüans gözetilmelidir: konum verisi kural olarak kişisel veridir, ancak kendiliğinden özel nitelikli kişisel veri sayılmaz; belirli bir konuma (örneğin bir ibadethaneye veya hastaneye) sürekli gidildiğinin tespiti, kullanım bağlamına göre kişinin özel nitelikli verileri hakkında dolaylı bir çıkarım yapılmasına imkân verebilir, fakat "konum verisi = özel nitelikli veridir" şeklinde bir eşitlik kurulamaz. Bireysel bir araç sahibinin kendi verilerini yalnızca kişisel amaçla kaydetmesi, KVKK m. 28/1-ç kapsamındaki kişisel faaliyet istisnası çerçevesinde değerlendirilebilir; ancak bu istisnanın sınırı da kesin bir formülle değil, somut olaya göre belirlenmelidir. Belirleyici soru, işleme faaliyetinin gerçekten münhasıran kişisel faaliyet kapsamında kalıp kalmadığı, yoksa verinin üçüncü kişilerin erişimine açık hâle getirilmesiyle bu sınırın aşılıp aşılmadığıdır; verinin şifresiz ve kimlik doğrulamasız şekilde internete açık bir sunucuda tutulması, bu sınırın aşıldığı yönünde güçlü bir gösterge olmakla birlikte, otomatik ve kesin bir sonuç doğurmaz. Buna karşılık, TeslaMate benzeri bir sistemin bir filo kiralama şirketi veya işveren tarafından çalışanların araçlarını takip amacıyla kullanılması hâlinde, ilgili kurum KVKK m. 12 kapsamında veri sorumlusu sıfatıyla gerekli teknik ve idari tedbirleri almakla yükümlü olur; Kurul'un yerleşik uygulamasında, gerekli güvenlik tedbirlerinin alınmaması tek başına idari para cezası gerekçesi olabilmektedir. Buradan çıkan genel ilke, kendi sunucusuna kurulan (self-hosted) bir yazılım kullanmanın, veri sorumlusunun güvenlik yükümlülüğünü ortadan kaldırmadığıdır.

Veri İhlali Bildirim Yükümlülüğü: 72 Saat Kuralı

Bir veri sorumlusu sıfatıyla hareket eden kurumun sistemi bu şekilde açık kaldığı ve yetkisiz erişime maruz kaldığı tespit edilirse, Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca, KVKK m. 12/5'teki "en kısa sürede bildirim" yükümlülüğü Kurula bildirim bakımından en geç 72 saat olarak somutlaştırılmıştır. Bu sürenin başlangıcı ihlalin gerçekleştiği an değil, veri sorumlusunun ihlali öğrendiği andır; bu ayrımın gözetilmesi, sürenin ne zaman işlemeye başladığının doğru tespiti bakımından önemlidir. Etkilenen ilgili kişilere de makul olan en kısa sürede ayrıca bildirim yapılması gerekmektedir.

Avrupa Birliği Hukuku Açısından Değerlendirme

GDPR çerçevesinde de benzer bir yapı bulunmaktadır: m. 25, veri işleme sistemlerinin tasarımdan itibaren ve varsayılan olarak uygun güvenlik seviyesinde kurulmasını (privacy by design and by default) öngörmekte; m. 32 işlemenin güvenliğine, m. 33 ve m. 34 ise denetim otoritesine ve ilgili kişilere bildirim yükümlülüğüne ilişkin çerçeveyi çizmektedir. Bununla birlikte, "kimlik doğrulaması olmadan dış ağa açık bir kurulum otomatik olarak GDPR m. 25'i ihlal eder" şeklinde kesin bir önerme doğru değildir; GDPR m. 25 tek başına belirli bir teknik yapılandırmayı yasaklamamakta, işlemenin niteliği, uygulanabilir teknik ve organizasyonel tedbirler, güncel teknik imkânlar (state of the art), maliyet ve riskin ağırlığı gibi unsurların birlikte değerlendirilmesini gerektirmektedir. Bu nedenle daha isabetli ifade, bu tür bir yapılandırmanın GDPR m. 25 ve m. 32 kapsamında uygun teknik ve organizasyonel tedbirlerin alınıp alınmadığı bakımından ciddi bir uyum sorunu yaratabileceği şeklindedir.

Türk Ceza Hukuku Açısından Değerlendirme

İnternete açık bırakılmış olsa dahi, yetkisiz kişilerin TeslaMate panellerine erişim sağlaması Türk ceza hukuku bakımından değerlendirmeye tabidir; ancak burada da somut olay incelemesi şarttır. TCK m. 243 uyarınca bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak girmek veya orada kalmaya devam etmek cezalandırılmakta, sisteme parola konulmamış olması sisteme izinsiz girişi hukuka uygun hâle getirmemektedir. Bununla birlikte, herkesçe erişilebilir (publicly accessible) olmak ile hukuken serbestçe erişilebilir olmak aynı şey değildir; arama motorunda indekslenmiş sıradan bir web sayfasını ziyaret etmekle, yanlış yapılandırma nedeniyle erişilebilir hâle gelmiş bir yönetim paneline girip veri tabanını incelemek arasındaki sınırın somut olayda ayrıca değerlendirilmesi gerekir. TCK m. 136 ise kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme fiillerini düzenlemekte olup, bir sisteme girme, veriyi görüntüleme, indirme, saklama ve üçüncü kişiye aktarma gibi ayrı eylemlerin her birinin somut olayda hangi suç tipine girdiğinin, TCK m. 243 ile TCK m. 136 arasındaki içtima ilişkisinin de ayrıca değerlendirilmesi gerekmektedir. Tesla API jetonları kullanılarak araca yetkisiz komut gönderilmesi hâlinde ise TCK m. 244 kapsamındaki sistemi engelleme, bozma veya verileri değiştirme suçunun unsurlarının somut olayda gerçekleşip gerçekleşmediğinin ayrıca incelenmesi gerekir; örneğin bir kapının uzaktan açılması veya iklimlendirmenin çalıştırılması, kendiliğinden ve otomatik olarak "sistemi bozma" sayılmaz, bu nedenle böyle bir eylem somut olayın niteliğine göre TCK m. 243, m. 244, m. 136 ve ilgili diğer suç tipleri bakımından ayrı ayrı değerlendirilmelidir.

Araç Üreticisinin ve Açık Kaynak Geliştiricisinin Konumu

Tesla'nın güncel Fleet API'sinde granüler yetkilendirme kapsamları ve sanal anahtar mekanizması gibi güvenlik unsurlarının fiilen bulunduğu doğrudur; ancak bundan hareketle "Tesla'nın bu mimariyi kullanmaya hukuken zorunlu olduğu" sonucuna doğrudan varılamaz; bu tür bir yükümlülüğün ileri sürülebilmesi için somut bir mevzuat dayanağının ayrıca gösterilmesi gerekir. Otomotiv siber güvenliği bakımından bağlayıcı uluslararası çerçeve, UNECE'nin R155 (Siber Güvenlik Yönetim Sistemi, CSMS) ve R156 (Yazılım Güncelleme Yönetim Sistemi, SUMS) sayılı düzenlemeleridir; bu düzenlemeler Temmuz 2024'ten itibaren UNECE 1958 Anlaşmasına taraf ülkelerde üretilen tüm yeni araçlar için bağlayıcı hâle gelmiştir. Bununla birlikte R155/R156'nın doğrudan konusu araç üreticisinin kendi siber güvenlik yönetim süreçleridir; bu düzenlemelerin varlığından "Tesla, üçüncü taraf bir uygulamanın (TeslaMate gibi) yanlış yapılandırılmasından kaynaklanan her türlü kişisel veri ihlalinden sorumludur" sonucu otomatik olarak çıkarılamaz. Açık kaynak yazılımlar genellikle "olduğu gibi" (as-is) lisanslarla sunulsa da, kurulum kılavuzunda güvenli varsayılan yapılandırmanın (secure by default) açıkça tavsiye edilmesi, günümüzde kabul gören bir siber hijyen standardı olarak değerlendirilmektedir.

Katmanlı Bir İnceleme Modeli

Bu tür bir olayı hukuken değerlendirirken, yazılım katmanı (TeslaMate/Grafana/PostgreSQL), sunucu katmanı (bulut veya yerel sunucu), yapılandırma katmanı (güvenlik duvarı, ters vekil sunucu, HTTPS, kimlik doğrulama), veri katmanı (GPS, VIN, sürüş ve şarj verisi), API katmanı (Tesla OAuth, jetonlar, kapsamlar, sanal anahtar), kişisel veri hukuku katmanı (KVKK/GDPR) ve ceza hukuku katmanı (TCK m. 243/136/244) ayrı ayrı ele alınmalıdır. Bu katmanlı yaklaşım, sorumluluğun tek bir aktöre (yalnızca kullanıcıya, yalnızca geliştiriciye veya yalnızca üreticiye) otomatik olarak yüklenmesini önleyen, her katmanın kendi hukuki rejimine göre değerlendirilmesini sağlayan bir çerçeve sunmaktadır.

Avukat Yusuf KILIÇKAN

6 Eylül 2026

Sıkça Sorulan Sorular

1. TeslaMate'in kendisinde bir güvenlik açığı mı var? Hayır, TeslaMate'in kendi dokümantasyonu internete açık kurulumlar için HTTPS, kimlik doğrulama ve şifreleme önermektedir; sorun yazılımın kendisinden değil, bu tavsiyeler uygulanmadan yapılan yanlış yapılandırmalardan kaynaklanmaktadır.

2. Tesla API jetonu ele geçirilirse saldırgan aracı kesinlikle kontrol edebilir mi? Hayır, bu kesin değildir; Tesla'nın güncel mimarisinde araç komutları için ayrıca eşleştirilmiş bir sanal anahtarla imzalama gerekmekte olup imzasız komutlar araç tarafından reddedilmektedir; risk, ele geçirilen materyalin kapsamına bağlıdır.

3. Konum verisi özel nitelikli kişisel veri midir? Hayır, konum verisi kural olarak kişisel veridir; kullanım bağlamına göre özel nitelikli veriler hakkında dolaylı çıkarım yapılmasına imkân verebilir, ancak kendiliğinden özel nitelikli veri sayılmaz.

4. Bireysel bir araç sahibinin kendi verisini takip etmesi KVKK'ya tabi midir? Bu, kişisel faaliyet istisnasının sınırları içinde kalıp kalmadığına bağlıdır; verinin üçüncü kişilerin erişimine açık hâle gelmesi bu istisnanın aşıldığına dair güçlü bir gösterge olsa da, sonuç otomatik değildir.

5. Şirket araçlarında bu tür bir takip sistemi kullanılırsa ne olur? Şirket, KVKK m. 12 kapsamında veri sorumlusu sıfatıyla gerekli teknik ve idari tedbirleri almakla yükümlü olur; bu tedbirlerin alınmaması idari para cezası riskini doğurabilir.

6. Veri ihlali bildirimi için 72 saat kuralı ne zamandan itibaren işler? İhlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan itibaren işlemeye başlar.

7. Şifre konulmamış bir panele girmek TCK m. 243 kapsamında suç oluşturur mu? Şifre bulunmaması sisteme izinsiz girişi hukuka uygun hâle getirmez; ancak herkesçe erişilebilir olmak ile hukuken serbestçe erişilebilir olmak aynı şey olmadığından somut olay değerlendirmesi gerekir.

8. Araca uzaktan komut gönderilmesi otomatik olarak TCK m. 244 kapsamına girer mi? Hayır, kilit açma veya iklimlendirmeyi çalıştırma gibi eylemler kendiliğinden "sistemi bozma" sayılmaz; somut olayın niteliğine göre ilgili suç tiplerinin unsurlarının ayrıca değerlendirilmesi gerekir.

9. Tesla, üçüncü taraf uygulamaların yol açtığı veri ihlallerinden hukuken sorumlu mudur? Bu, otomatik bir sonuç değildir; UNECE R155/R156 gibi düzenlemeler üreticinin kendi siber güvenlik süreçlerine ilişkindir, üçüncü taraf bir yazılımın yanlış yapılandırılmasından doğan sorumluluk ayrıca değerlendirilmelidir.

10. Bu olayı hukuken değerlendirirken hangi yaklaşım izlenmelidir? Yazılım, sunucu, yapılandırma, veri, API, kişisel veri hukuku ve ceza hukuku katmanlarının her birinin kendi hukuki rejimine göre ayrı ayrı incelendiği katmanlı bir model izlenmesi önerilmektedir.

Yazar Hakkında

Av. Yusuf Kılıçkan | Avukat & Hukuki Danışman

Serbest avukatlık ve hukuki danışmanlık faaliyetlerini sürdürmektedir. Mesleki çalışmalarında geleneksel dava süreçleri, sözleşme tasarımı ve uyuşmazlık çözümü ile yapay zekâ ve bilişim hukuku gibi gelişen alanları bütüncül bir yaklaşımla ele almaktadır. Yayınlarında, yerel yüksek yargı içtihatları ile küresel regülasyonları analitik, veri temelli ve sistematik bir yöntemle incelemektedir. Hukuki yazılarına yusufkilickan.av.tr adresinden ulaşabilirsiniz.

📧 av.yusufkilickan@gmail.com

Yasal Uyarı

Bu yazı yalnızca genel bilgilendirme amacıyla hazırlanmıştır, hukuki danışmanlık niteliği taşımaz. TeslaMate'e, Tesla Fleet API mimarisine, KVKK ve GDPR düzenlemelerine ilişkin bilgiler güncel kaynaklara dayanmakta olup somut bir veri güvenliği veya veri ihlali olayında bir bilişim ve kişisel veri hukuku uzmanına danışılması önerilir.