OSINT Nedir, Ne Değildir? - Ömer Faruk Güner

Selamınaleyküm. Bugün siber dünyanın en “dedektif ruhlu” konusuna, yani OSINT (Open Source Intelligence – Açık Kaynak İstihbaratı) konusuna giriş yapıyoruz.

Sosyal medyada birini “stalklarken” kendinizi bir anda 2015 yılındaki tatil fotoğraflarında bulduğunuz oldu mu? İşte aslında o an, farkında olmadan osint dünyasının kapısından içeri bir adım attınız demektir. Ama durun, OSINT sadece eski sevgiliyi bulmak ya da birinin hangi restoranda yemek yediğine bakmak değildir beyler.

Peki, Nedir Bu OSINT?

En basit tanımıyla OSINT; herkesin erişimine açık olan kaynaklardan (web siteleri, sosyal medya, haberler, akademik makaleler) bilgi toplama, bu bilgileri analiz etme ve anlamlı bir sonuca varma sanatıdır. Yani bilgi orada, herkesin gözü önünde duruyor; mesele o bilgiyi bulup, diğer parçalarla birleştirerek büyük resmi görebilmekte.

Neler OSINT Değildir?

Burayı çok net çizmemiz lazım, çünkü genellikle yanlış anlaşılıyor:

Hackerlık ( Sızma) Değildir: OSINT yaparken kimsenin sistemine izinsiz girmezsiniz, şifre kırmazsınız veya bir veritabanını patlatmazsınız. Kapalı kapıları zorlamak yerine, zaten açık bırakılmış pencerelerden içeri bakarsınız.
Sadece Google’da Aramak Değildir: Google harika bir araç ama buzdağının sadece görünen kısmı. OSINT; arşiv sitelerinden uydu görüntülerine, kod depolarından (GitHub gibi) teknik dijital sertifikalara kadar çok geniş bir sahada koşturmaktır.
Yasal Sınırları Aşmak Değildir: Tamamen halka açık verilerle çalışırız. Eğer birinin özel mesajlarını okumaya çalışıyorsanız, o artık OSINT değil, suç kapsamına giren bir siber saldırıdır abi.

Kısacası OSINT; dijital dünyanın Sherlock Holmesçuluğunu yapmaktır. Bize sunulan dijital kırıntıları takip ederek kimsenin görmediği bağlantıları kurmaktır.

Dijital Ayak İzi Nedir?

Hani karda yürürken arkanızda izler bırakırsınız ya; internette de tam olarak bunu yapıyoruz. Ama küçük bir farkla: İnternetteki kar hiç erimiyor. Attığınız her adım, tıkladığınız her link, paylaştığınız her emoji dijital birer toz bulutu gibi arkanızda kalıyor. Biz buna “Dijital Ayak İzi” diyoruz.

Peki, bu izler nasıl oluşuyor? İşin aslı, iki farklı şekilde iz bırakıyoruz:

Aktif Ayak İzi (Aha Ben Buyum): Bu, vitrine koyduğumuz kısımdır. Facebook’ta paylaştığın o “ergenlik” fotoğrafları, LinkedIn’e eklediğin başarıların, bir videonun altına yazdığın o sert yorum… Kendi ellerinle, “ben buradayım” diyerek bıraktığın izler. Burada kontrolün sende olduğunu sanırsın, ama bir kez paylaştıktan sonra o veri artık senin kontrolünden çıkar.
Pasif Ayak İzi (Ruhumuz Bile Duymadan Bıraktıklarımız): İşte OSINT’çilerin en sevdiği, senin ise en çok şaşıracağın kısım burası. Bir web sitesine girdiğinde IP adresin, hangi işletim sistemini kullandığın, o sitede ne kadar vakit geçirdiğin tıkır tıkır kaydedilir. Ya da bir fotoğraf paylaşırsın; fotoğrafın içine gizlenmiş EXIF verileri (GPS koordinatları, çekim saati, cihaz modeli) senin yerine konuşmaya başlar. Sen “güzel bir manzara” paylaştığını sanırken, aslında evinin tam konumunu dünyaya ilan ediyor olablirsin.

Peki, Neden Önemli? Dijital ayak izi bir yapboz gibidir. Bir saldırgan veya bir araştırmacı için tek bir “beğeni” bir şey ifade etmez. Ancak:

X platformundaki kullanıcı adın,
Instagram’daki bir fotoğrafının altındaki konum etiketi,
Eski bir forum sitesindeki e-posta adresin…

Bunlar bir araya getirildiğinde (işte gerçek OSINT burada başlar), senin hakkında hiç bilmemesi gereken biri; hangi fırından ekmek aldığını, köpeğinin adını ve hatta çocukluk arkadaşının kim olduğunu şak diye bulabilir. Unutmayın: Dijital dünyada “sil” tuşu genellikle sadece senin görmeni engeller; internetin derinlikleri (arşiv siteleri, önbellekler) o izi kolay kolay unutmaz.

Bir Fotoğrafın Söyledikleri: Sadece Gördüklerinize İnanmayın!

Bir fotoğraf paylaştığınızda, aslında dünyaya sadece bir görüntü değil, koca bir veri dosyası hediye edersiniz. OSINT dünyasında biz bir fotoğrafa baktığımızda iki farklı katman görürüz: Metadata (Gizli Veriler) ve Görsel Analiz (Dedektiflik).

1. Metadata ve EXIF: Fotoğrafın Kimlik Kartı

Bir fotoğrafın “özellikler” kısmına girdiğinizde (veya özel araçlar kullandığınızda) karşınıza çıkan verilere EXIF diyoruz. Eğer telefonunuzun konum ayarları açıksa, bir fotoğraftan şunları şak diye bulabliriz:

GPS Koordinatları: Fotoğrafın çekildiği tam nokta (birkaç metre sapmayla evinize kadar!).
Cihaz Bilgisi: Hangi marka ve model telefonla çekildi?
Zaman Damgası: Fotoğrafın çekildiği tarih, saat ve hatta saniye.
Yazılım Bilgisi: Fotoğraf düzenlendi mi? Hangi uygulama kullanıldı?

2. Fotoğraftan Konum Bulmak (Geolocation)

Diyelim ki fotoğraftaki EXIF verileri silinmiş. Pes mi ediyoruz? Asla! İşte burada gerçek dedektiflik başlıyor. Fotoğrafın içindeki ipuçlarını tek tek topluyoruz:

Gökyüzü ve Gölgeler: Güneşin açısı ve gölge boyundan, fotoğrafın günün hangi saatinde çekildiğini ve hatta yaklaşık coğrafi enlemini hesaplayabiliyoruz.
Sokak Detayları: Çöp kutularının rengi, elektrik direklerinin şekli, trafik levhaları veya plakalar… Her ülke ve şehrin kendine has bir “dijital imzası” vardır.
Bitki Örtüsü: Fotoğraftaki ağaç türleri (palmiye mi, çam mı?) bölgeyi daraltmamıza yardım eder.
Yansımalar: İşte en sevdiğim! Kişinin gözlüğündeki yansımadan, arkasındaki binayı veya pencerenin dışındaki manzarayı görüp konum tespiti yapabiliyoruz.

Nasıl Yapılır? (Araçlar) Meraklısı için bu işin mutfağında neler kullanıyoruz?

ExifTool: Fotoğrafın içindeki tüm gizli teknik verileri döker.
Google Lens / Yandex Images: Görseli aratarak benzer mekanları ve objeleri bulur.
PimEyes: Bir yüz fotoğrafından, o kişinin internetteki diğer tüm fotoğraflarını saniyeler içinde karşınıza çıkarır.
PeakVisor: Fotoğraftaki dağ silüetlerini analiz ederek dünyanın neresinde olduğunuzu nokta atışı bulur.

OSINT’in İsviçre Çakısı: ExifTool Nedir?

Fotoğrafların içindeki gizli dünyadan bahsettik ama bu verilere nasıl ulaşıyoruz? İşte burada sahneye, her siber güvenlikçinin ve OSINT araştırmacısının bilgisayarında mutlaka yüklü olan o meşhur araç çıkıyor: ExifTool.

Nedir Bu ExifTool? Phil Harvey tarafından geliştirilen ExifTool; resim, ses, video ve PDF gibi dosyaların içindeki “meta” bilgilerini okumamızı, yazmamızı ve düzenlememizi sağlayan, platform bağımsız (Windows, Mac, Linux) muazzam bir kütüphanedir. Grafiksel bir arayüzü yoktur; siyah terminal ekranında çalışır, bu da ona hem gizemli hem de çok hızlı bir hava katar. Web sürümüde var ( bunu seveceksin)

ExifTool ile Neler Yapabiliriz? Sadece bir komut satırı yazarak bir dosyanın ruhunu okuyabilirsiniz. Örneğin:

Konum Tespiti: Bir fotoğraftaki GPS verilerini enlem ve boylam olarak dökebilir, bu koordinatları Google Maps’e yapıştırarak çekildiği noktayı görebilirsiniz.
Zaman Yolculuğu: Fotoğrafın ne zaman çekildiği, ne zaman düzenlendiği ve orijinal haliyle arasındaki farkları analiz edebilirsiniz.
Gizli Düzenlemeler: “Bu fotoğraf orijinal mi yoksa Photoshop mu?” sorusunun cevabı genellikle ExifTool’un raporunda gizlidir. Yazılım izlerini şak diye önünüze serer.
Temizlik (Korumacı Mod): OSINT sadece saldırmak değil, korunmaktır da. Kendi fotoğraflarınızdaki tüm hassas verileri internete yüklemeden önce ExifTool ile tek tıkla silebilirsiniz.

Neden Bu Kadar Popüler? Çünkü çok hızlı ve yüzlerce dosya formatını destekliyor. Binlerce fotoğrafın olduğu bir klasörde, sadece “iPhone ile çekilmiş olanları bul” veya “konum verisi içerenleri listele” gibi karmaşık işlemleri saniyeler içinde yapabiliyor. Küçük Bir Not: Siber güvenlik dünyasında “Araç bilmek değil, veriyi okumak önemlidir” derler. ExifTool size veriyi getirir; onu anlamlandırmak ise sizin dedektiflik becerinize kalır.

Pratik OSINT: Hiçbir Şey Kurmadan Fotoğraf Analizi (exif.tools)

“Ben terminalle veya kodlarla uğraşmak istemiyorum, bana hızlıca sonuç lazım” diyorsanız; OSINT dünyasının en temiz ve en hızlı araçlarından biri olan exif.tools imdadınıza yetişiyor. Bu site, aslında arka planda az önce bahsettiğimiz o güçlü ExifTool kütüphanesini kullanıyor ama size bunu basit bir web arayüzüyle sunuyor.

Nasıl Kullanılır? Süreç oldukça basit:

exif.tools adresine gidin.
Analiz etmek istediğiniz fotoğrafı sürükleyip bırakın veya “Upload File” diyerek yükleyin.
Saniyeler içinde karşınıza fotoğrafın “dijital röntgeni” çıkacak.

Bu Sitede Neleri Görebilirsiniz? Site, karmaşık verileri kategorize ederek size sunar:

Geolocation (Konum): Eğer fotoğrafta GPS verisi varsa, size sadece koordinatları vermez; doğrudan bir harita üzerinde fotoğrafın nerede çekildiğini gösterir.
Camera Details: Fotoğraf hangi marka/model cihazla çekilmiş? Diyafram, ISO ve enstantane değerleri nedir?
Timestamp (Zaman): Fotoğrafın çekildiği asıl saat ve tarih. (Sosyal medyada “az önce çekildim” denilen bir fotoğrafın aslında 3 yıl öncesine ait olduğunu buradan yakalayablirsiniz).
Software & Editing: Fotoğraf bir düzenleme programından geçmiş mi? Eğer geçtiyse hangi tarihte kaydedilmiş?

Neden Bu Siteyi Tercih Etmelisiniz? Hız, görselleştirme ve mobil uyumluluk açısından harika. Önemli Hatırlatıcı: Eğer veri size ait değilse veya çok hassassa, online sitelere yüklemek yerine yerel araçları tercih edin.

Gerçek Bir Örnek: exif.tools Bize Ne Anlatıyor?

Az önce sisteme bir fotoğraf yükledik ve karşımıza çıkan verileri bir dedektif gibi birlikte okuyalım. Bakalım bu “masum” fotoğrafın içinde neler saklıymış:

Cihazın Kimliği: Samsung S22 (SM-S****B) Fotoğrafın bir Samsung S22 modeliyle çekildiğini net bir şekilde görüyoruz. Cihazın yazılım sürümü (S******YG1) bile orada. Bu bilgi, hedef kişinin hangi teknolojik segmentte olduğunu ele verir.
Zaman Yolculuğu: 11 Ekim 2025. Fotoğrafın ne zaman çekildiği (Date/Time Original: 2025:10:11 15:26:56) saniyesine kadar belli. Üstelik Türkiye saat diliminde olduğunu (+03:00) görüyoruz.
Işık ve Mekan İpuçları: Flash: No Flash ve ISO: 50. ISO değerinin bu kadar düşük olması fotoğrafın çok aydınlık bir ortamda, muhtemelen güneşli bir havada çekildiğini kanıtlıyor.
Dijital Yakınlaştırma (Digital Zoom Ratio: 3): Fotoğrafı çeken kişi görüntüyü 3 kat yakınlaştırmış. Bu da bize objenin aslında kameraya göründüğü kadar yakın olmadığını fısıldıyor.
Gizli Resim (Other Image: 45376 bytes): İşte OSINT’in en sevdiği kısım! Thumbnail verisi silinmezse, fotoğrafın orijinal, sansürsüz halini bu küçük veriden geri döndürmek mümkün olablir!

Dijital Dünyanın Sherlock Holmes’ü: PimEyes

Geldik fasulyenin faydalarına… Fotoğrafın metadata’sına baktık, exiftool ile içini dışına çıkardık ama ya fotoğraftaki o gizemli kişi kim? İşte burada devreye siber dünyanın en “yok artık” dedirten aracı giriyor: PimEyes.

Nedir bu PimEyes? Özetle; internetin devasa hafızasında sizin (veya bir başkasının) yüzünü arayan bir dedektif. Peki, Nasıl Çalışıyor Bu Sihir? Siz bir yüz fotoğrafı yüklüyorsunuz, PimEyes “Dur bir saniye, ben bu burnu, bu göz yapısını bir yerden tanıyorum” diyor. Şaka yapmıyorum: 10 yıl önce bir arkadaşınızın Facebook albümünde, arkada ağzınızda köfte varken çekilmiş o bulanık kareden bile sizi tanıyıp önünüze getirebilir.

“Eyvah, Rezil Olduk!” demeden önce… PimEyes sadece sizi rezil etmek için değil, Kimlik Doğrulama, Dijital Temizlik ve Kayıp İzler için kullanılır. Küçük Bir Uyarı (Samimiyetle): PimEyes’ı ilk kez kullandığınızda “Beni nasıl buldu lan bu?” diye bir duraksayablirsiniz, çok normal. Yapay zeka bu aralar biraz fazla akıllı.

Dijital Dünyanın En Büyük Açığı: Kullanıcı Adları

Hepimiz aynıyız, itiraf edelim. Bir kullanıcı adı buluruz, o bizim dijital imzamız olur. İlkokulda kurduğumuz crazy_boy_44, excalibur, remelyın_isyankar_47 ismi, yıllar içinde cyber_hunter_44’e evrilir ama o “44” ve o “hunter” takısı bir türlü değişmez. İnsanlar genellikle Instagram’da ne kadar “cool” olsalar da, 2017’de üye oldukları bir forumda aynı kullanıcı adını bırakırlar.

2. Sherlock: “Seni Her Yerde Aradım, Buldum!”

Madem siber güvenlik öğrencisisin, terminalin tozunu alalım. Bizim yerimize bunu saniyeler içinde yapan bir amelemiz var: Sherlock. Terminali açıyorsun, sherlock kullanıcı_adı yazıyorsun. Sherlock gidiyor; Instagram, Twitter, GitHub, TikTok dahil yüzlerce siteye kapıyı çalıyor: “selamalikim dayı , burada ‘crazy_boy_44’ diye biri yaşıyor mu?” diyor. Dijital ayak izi şaka yapmaz!

3. Epieos: “Faruk Eczanesiiiiiii”

Diyelim ki elinde kullanıcı adı yok ama bir e-posta adresi var. Epieos’a bir mail adresi giriyorsun; o mail adresiyle Google Takvim, Haritalar ve en bombası profil fotoğrafını şak diye önüne getiriyor. Abi şaka yapmıyorum eğer siber güvenliğine önem vermeyen biriyse evinin konumuna kadar çıkarıyor. haaaaahooooo, o da ne? Az önce exif.tools ile analiz ettiğimiz o selfie karşında!

4. Sızdırılmış Veriler

LinkedIn, Adobe, Yemeksepeti vs. bazen “hackleniyor” ve veriler ortalığa saçılıyor. Have I Been Pwned? gibi sitelere o kişinin mailini yazdığınızda her şey dökülüyor. Kendi mailinizi yazdığınızda çıkan “Pwned!” yazısını görünce “Eyvah!” deyip şifreleri değiştirmeye başlıcaksınız, kolay gelsin.

İnternetin Karanlık Ayna’sı: Shodan’ı Anlamak

Sıradan insanlar Google’a giderler. Ama bir siber güvenlikçiyseniz, gideceğiniz yer Shodan‘dır. Shodan internete bağlı olan cihazları tarar. Shodan ile aramızda geçen muhabbet tam olarak şu;

Ben: “selamalikim baba biz arkadaşlarla kendi aramızda konuştuk şöyle güzel bir açığı bulunan bir akıllı telefon, bilgisayar, akıllı saat, !!! ARABA (multiplayer) !!! İP’si versen…. bizde takılsak kendimize…” Shodan: “aleykümselam babba! babba istediğiniz sonuçlar bunlar…” yazdığını görünce ‘ benim kafamın içinde bugüne kadar bulgur pilavı varmış’ dersin…

Shodan Nasıl Çalışır?

Shodan sürekli dünyadaki tüm IP adreslerini gezer ve bir “Banner” alır. İçinde hangi işletim sistemi, hangi servisler (HTTP, FTP, SSH….), cihazın markası, konumu ve hangi açıklar olduğu yazar. Utanmasa nasıl hacklenir onu da anlatır.

Shodan Dorking: Doğru Anahtarı Kullanmak

city:"Ankara": Sadece Ankara’daki cihazlar.
os:"Windows 7": Eski ve zafiyetli Windows’lar (Hackerlar için açık hedef!).
has_screenshot:true: En “magazinel” kısım; açık kameraların ekran görüntüleri. vs vs bunu başkasının makalesinden okuyun ben yazmayacam hepsini…

Bu Dijital Vahşi Batı’da Kendimizi Nasıl Koruruz?

Fotoğraflarınızı Paylaşmadan Önce “Yıkayın”: Konum servislerini kapatın ve exif.tools ile verileri silin.
Her Kapıya Farklı Anahtar: Parola yöneticileri (Bitwarden vb.) en iyi dostunuz olsun.
“Beni Hatırla” Demeden Önce İki Kez Düşünün: Eski ve kullanmadığınız hesaplarınızı kapatın. Dijital minimalizm hayat kurtarır.
İki Faktörlü Doğrulama (2FA) Şart!: Sadece şifre yetmez, Google Authenticator kullanın.
Kendinize Periyodik Olarak OSINT Yapın: Dışarıdan nasıl göründüğünüzü bilin ki açıklarınızı kapatın.

En Önemli Bölüm: Bir Kardeş Tavsiyesi ve Vicdan Muhasebesi

Dostlarım, buraya kadar teknikten, araçlardan bahsettik. Ama şimdi hepsini bir kenara bırakın. Yazdığım tüm bu maddeler arasında en önemlisi, kalbinize dokunarak söyleyeceğim bu son sözlerdir.

Siber güvenlik, dışarıdan bakıldığında “cool” görünen bir dünya gibi geleblir. Ama bu güç bir bıçak gibidir; ya ekmek keser karın doyurursunuz, ya da karanlık bir yola girer can yakarsınız. Ülkemizin, kafası zehir gibi çalışan gençlerin bu işe “tam şimdi” başlamasına ihtiyacı var. Ancak bir şartla: artistlikten ve o karanlık “siyah şapka” cazibesinden uzak durarak.

Kötü yola girmek kolaydır abiler. Birinin verisini çalmak anlık bir güç hissettireblir. Ama o yolun sonu karanlıktır; sadece hapislerden bahsetmiyorum, vicdan hapsinden bahsediyorum. Kendi vatanına, masum insanların emeğine göz dikmiş bir “hacker” olmaktansa; devletinin dijital sınırlarını bekleyen bir nefer olmak gerçek kahramanlıktır.

Şunu hiç unutma: İyi bir insan olmak için çabalamak, kötü olmaktan çok daha zordur. Emek ister, sabır ister, karakter ister. Kötülük bir anlık gaflettir ama iyilik bir ömür süren bir erdemdir. Ve gerçek erdem, elindeki bu büyük gücü sadece iyilik için, vatanın için kullanabilmektir. Bu yola girerken cebinizde teknik bilginizden önce “etik” değerleriniz olsun. Eğer doğru yoldan saparsanız, karşınıza çıkacak olan sadece kanunlar değil; kaybettiğiniz onurunuz olacaktır.

Gelin, bu gücü inşa etmek için kullanalım. İyi bir insan olmayı başarablmek, dünyadaki en zor ama en kutsal iştir. Bunu başaranlardan olmanız dileğiyle… Yolunuz açık, vicdanınız hür olsun. Geleceğiniz Allah’a emanet olsun…