18 Ağustos 2026'da internette GTA 6'ya ait gibi görünen klipler ortaya çıktı; bunlara oyunun tam haritası olduğu söylenen bir görsel de eşlik ediyordu ve hepsi kendine CyberLeek adını veren bir gruba bağlandı. Art arda dört gün boyunca klipler gelmeye devam etti ve sayıları altıya ulaştı; bazıları hikâyenin kendisinden ara sahneler içeriyordu. Oyun henüz çıkmadı; açıklanan tarihi Kasım 2026.

Bir oyun haberi gibi okunuyor. İçindeki dersin ise oyunlarla hiçbir ilgisi yok: Sektörünün en büyük stüdyolarından biri, devasa bir yapım bütçesi, yılların emeği ve ürün, kimsenin izlemediği bir kapıdan lansman gününden önce kamuoyuna ulaşıyor. Çok daha küçük şirketlerde de tam olarak bu yaşanır, sadece daha sessizce.

Gerçekte ne oldu

  • Materyal gerçek görünüyor. Gazetecilerin dayandığı işaret görüntü analizi değil, şirketin tepkisiydi: Rockstar ve ana şirketi Take-Two kliplere karşı telif hakkı kaldırma bildirimleri gönderdi. Şirketler sahte görüntülerin kaldırılmasını talep etmez.
  • Tırmanış kademeli oldu. Sıradan bir oynanışla başladı, ardından ara sahneler belirdi; bu da gözlemcileri sızdıranın yalnızca kaydedilmiş kliplere değil, oynanabilir bir sürüme sahip olduğu sonucuna götürdü.
  • Motivasyon açıkça belirtilmiş ve karışık. Grup, oyun yayıncılarına dijital sürümler ve fiziksel kopyalar hakkında taleplerini yayımlarken aynı anda kliplerin içinde bir memecoin tanıttı ve insanların bir sonraki sızıntıyı seçmek için o coinle ödeme yaptığı bir anket düzenledi.
  • Şirket kaynağı bilmiyor. Jason Schreier imzalı bir Bloomberg haberine göre yönetim, yanıt için tüm ekibi seferber etti, ancak sızdıranı tespit edemedi ve yaklaşan prömiyerini ertelemeyi ya da pazarlama stratejisini değiştirmeyi planlamıyor.

Son nokta profesyonel açıdan en önemlisi: Günlerce süren soruşturmanın ardından bu kaynaklara sahip bir şirket, dosyanın nereden çıktığını söyleyemiyor. Bu alışılmadık bir zayıflık değil. Kopyaya sahip kişi sayısı izlenebilen kişi sayısını aştığında ortaya çıkan doğal sonuçtur.

Şirketinize uyarlarsak: Sizin yayınlanmamış işiniz ne?

Oyun yapmıyorsunuz, ama bugün kamuya açılsa size para, bir anlaşma ya da güven kaybettirecek dosyalarınız var. Suudi pazarında en yaygın olanlar:

  • İhale teklifleri ve fiyatlar. Zarflar açılmadan önceki bir teklif dosyası şirketteki en hassas belgedir ve WhatsApp'ta en sık dolaşan da odur.
  • Müşteri listeleri ve özel fiyatları. Büyük bir müşteriye verdiğiniz ayrıcalıklı indirimin bir başkası tarafından görülmesi.
  • Duyurulmadan önceki bir ürün veya hizmet. Tasarımlar, fiyatlandırma, lansman tarihi, hazır kampanya.
  • Çalışan ve bordro verileri. Tek bir dosya, bir şirketi aylarca içeriden sarsmaya yeter.
  • Test ortamındaki (staging) kod ve veriler. Müşteri sistemlerini incelerken en sık gerçekten açıkta bulduğumuz şey budur.

Bu dosyalar gerçekte nereden kaçıyor

Sızıntının yaygın resmi bir saldırıdır: Birisi güvenlik duvarını aştı. Çoğu durumda gerçek daha basit ve daha sıkıcıdır:

  • İhtiyaçtan geniş erişim. Fiyatlandırmayla ilgisi olmayan bir departmandan biri teklifler klasörünü açar, çünkü o klasör yıllardır herkesle paylaşılmaktadır.
  • Hiç sona ermemiş erişim. Hesabı hâlâ çalışan bir yüklenici ya da eski çalışan, veya bir yıl önce gönderdiğiniz ve dosyayı hâlâ açan bir paylaşım bağlantısı.
  • Sistem dışındaki kopyalar. Kişisel bir cihaza indirilen, WhatsApp üzerinden iletilen ya da sadece geçici olarak kişisel bir bulut hesabına yüklenen bir dosya.
  • Açıkta kalan bir test ortamı. Sitenin ya da sistemin şifresiz bir alt alan adındaki kopyası; bazen arama motorlarınca dizine eklenmiş ve içinde gerçek veriler bulunur.
  • Kimliksiz kopyalar. Rockstar'ın kaynağı belirleyememesinin nedeni budur: Her kopya aynı olduğunda, kaçan dosya onu kimin dışarı verdiği hakkında hiçbir şey söylemez.

Bu hafta yapılacak beş şey

Bunların hiçbiri bütçeli bir güvenlik programı değil. Etkisi maliyetini aşan küçük idari ve teknik adımlar:

  • Korumadan önce sınıflandırın. Şirketteki en hassas on dosya ya da klasörü listeleyin. Her şeyi eşit derecede koruyamazsınız; denemek hiçbir şeyi koruyamamakla sonuçlanır. Varlık sınıflandırması ve erişim yönetimi, Ulusal Siber Güvenlik Otoritesi (NCA) tarafından yayımlanan Temel Siber Güvenlik Kontrolleri ECC 2-2024'ün temel unsurlarıdır.
  • Kimin neyi açabildiğini gözden geçirin. Hassas klasörlerinizin izinlerini bugün açın ve listeyi isim isim okuyun. Kural, kimin ihtiyacı olduğu, kimin ihtiyacı olabileceği değil.
  • Her erişime bir bitiş tarihi verin. Yüklenici, tedarikçi ve stajyer erişimi, birinin sonradan hatırlayacağı bir kararla değil, işin sona ermesiyle otomatik olarak bitmeli. İşten ayrılışı aynı gün hesabın kapatılmasına bağlayın.
  • Kopyaları izlenebilir yapın. Hassas teklif ve belgelere alıcının adını filigran olarak ekleyin ve kimin açtığını, kimin indirdiğini ve ne zaman yaptığını gösteren bir indirme kaydı tutun. Bu bir sızıntıyı engellemez, ama onu bir gizemden kaynağı bilinen bir olaya dönüştürür ve salt varlığı bile caydırır.
  • Test ortamını kapatın. Test kopyasına şifre, dizine eklemenin engellenmesi, gerçek müşteri kayıtları yerine sahte veriler. Bu tek adım, karşılaştığımız en sık açığı kapatır.

İkinci ders: İlk gün planı

Gazeteciler, sızıntılar başladıktan sonra Rockstar'ın günlerce hesaplarında paylaşım yapmadığını belirtti. Sessizlik hukuken anlaşılır bir tercihtir, ancak genellikle tüm anlatıyı karşı tarafa bırakır.

Pratikte önemli olan, ihtiyaç duymadan önce üç soruya yazılı yanıtlarınızın olmasıdır. Tırmandırma kararını kim verir ve şirket adına kim konuşur? İlk iki saatteki ilk teknik adımlar nelerdir, yani erişimleri kesmek ve kayıtlar üzerine yazılmadan önce dondurmak? Ve yetkililere ne zaman bildirimde bulunursunuz; özellikle sızan materyal müşterilerin veya çalışanların kişisel verilerini içeriyorsa, ki bu Suudi Arabistan'da bir iletişim tercihi değil, düzenleyici bir yükümlülüktür?

Olayları iyi yöneten şirketler hiç darbe almayanlar değildir. Bu yanıtları sakin zamanda yazmış olanlardır.

Origami'nin görüşü

Bu olayı, neredeyse her sistem incelemesinde söylediğimiz bir şeyin teyidi olarak okuyoruz: Çoğu şirketteki temel risk dışarıdan bir saldırı değil, bir kez verilip bir daha gözden geçirilmeyen dahili bir izindir. Gelişmiş saldırgan nadirdir; 2021'den beri herkesle paylaşılan klasör ise neredeyse her yerde vardır.

Bu yüzden bir müşteri için sistem kurduğumuzda izinler açıktan değil sıfırdan başlar: Her rol yalnızca işinin gerektirdiğini görür, her geçici erişimin bir bitiş tarihi vardır ve her hassas işlem kayıtta bir iz bırakır. Bu ayrıca satılan bir güvenlik eklentisi değil, sistemi baştan kurmanın doğru yoludur. Bunu baştan yapmakla sonradan uyarlamak arasındaki fark şudur: Birincisi tasarımda saatlere mal olur, ikincisi ise geri alınamayacak olana.

Sonuç

Her sızıntıyı önleyemezsiniz. Ama tek bir haftada en hassas materyalinizin ne olduğunu bilebilir, ona kimin ulaştığını daraltabilir, her kopyanın sahibinin kimliğini taşımasını sağlayabilir ve bir ilk gün planı yazabilirsiniz. Bütçe gerektirmeyen dört adım; sızdıranın kim olduğunu bilen bir şirketi karanlıkta arayan bir şirketten ayıran da bunlardır, tıpkı şu anda yapımı yıllar süren bir oyunun başına geldiği gibi.

Kaynaklar

  • IGN, 18 ile 21 Ağustos 2026 arası — klipler ve harita hakkında sürekli haberler, bunların CyberLeek'e atfedilmesi, sayının altıya ulaşması ve memecoin bağlantısı.
  • Metro / GameCentral, 19 Ağustos 2026 — gerçekliğin işareti olarak Rockstar'ın telif hakkı kaldırma talepleri ve sızdıran grubun talepleri.
  • Bloomberg, Jason Schreier, 21 Ağustos 2026 (Insider Gaming aracılığıyla) — tüm ekibin seferber edildiği yönetim, tespit edilemeyen sızdıran, yaklaşan prömiyeri erteleme planı yok.
  • Ulusal Siber Güvenlik Otoritesi (NCA) — Temel Siber Güvenlik Kontrolleri ECC 2-2024: varlık sınıflandırması ile kimlik ve erişim yönetimi.