Mouse jiggler nasıl tespit edilir ve onu avlamak neden asıl sorunu çözmez?

İzleme panonuz, öğle arasında bile hiç durmayan bir klavye ya da fare gösteriyorsa, karşınızda bir mouse jiggler'ın klasik izi var demektir. Bu örüntüyü fark etmek kolaydır. Zor olan, bir çalışanın neden aktivite taklidi yapma ihtiyacı duyduğunu anlamaktır ve bu ikinci soru, ilkinden daha önemlidir.

Mouse jiggler (fare hareket ettirici), imleci belirli aralıklarla oynatan ya da tuş vuruşlarını taklit eden küçük bir cihaz veya yazılımdır; amacı bilgisayarın boşta görünmesini engellemektir. Bazıları USB'ye takılan küçük aparatlar, bazıları farenin üzerine konduğu küçük platformlar, bazıları ise yalnızca birer programdır. Hedef hep aynıdır: kimse çalışmazken durum göstergesinin yeşil kalması. Uzaktan ve hibrit çalışmanın yaygınlaşmasıyla bu konu Türkiye'deki şirketlerde de giderek daha sık gündeme geliyor.

Bu rehber sorunun iki yüzünü de ele alıyor. Önce teknik kısım: Bu araçlar nasıl çalışır ve biri kullandığında gerçekte ne görünür? Ardından, daha önemlisi: Bir jiggler'ı tespit etmek neden işin kolay yüzde 10'luk kısmıdır, geri kalan yüzde 90 neye benzer ve Türkiye'de bilgisayar başındaki aktiviteyi kontrol etmek isteyen bir işveren hangi kurallara uymalıdır?

Mouse jiggler aslında ne yapar?

Donanım jiggler'ı genellikle küçük bir dongle görünümünde bir USB çevre birimidir. İşletim sistemine, tıpkı her klavye veya fare gibi, HID (Human Interface Device) sınıfında bir cihaz olarak tanıtılır ve belirli aralıklarla küçük hareket ya da tıklama sinyalleri gönderir. Yazılım jiggler'ları aynı işi donanım olmadan yapar: Arka planda çalışan bir betik, imleci bir piksel kaydırır veya belirli aralıklarla zararsız bir tuşa basar. Ayrıca fareyi fiziksel olarak hareket ettiren ve ayrı bir cihaz olarak hiç görünmeyen tamamen mekanik modeller de vardır.

Tüm bu türlerin varlık nedeni aynıdır: boşta kalma tespitini atlatmak. Teams veya Slack'teki “uzakta” durumu, otomatik ekran kilidi ve bazı izleme araçları, hareketsizliği işaretlemeden önce bir süre hiç girdi gelmemesini bekler. Jiggler, ortada hiçbir iş yapılmadan bu sinyali ortadan kaldırır.

Mouse jiggler nasıl anlaşılır: kontrol etmeye değer sinyaller

Tek başına hiçbir sinyal, birinin jiggler kullandığını kanıtlamaz; ancak bazı örüntüler, bir sonuca varmadan önce daha yakından bakmayı hak eder.

• Metronom gibi düzenli zamanlama. Gerçek fare hareketleri düzensizdir: ani hareketler, duraklamalar, düzeltmeler. Şüphe uyandıracak kadar eşit aralıklarla, örneğin her 30-60 saniyede bir, hep aynı küçük mesafe kadar kayan bir imleç, insan işi değil makine işi gibi görünür. Ele veren hareketin kendisi değil, düzenliliğidir.
• Sonuçsuz hareket. İmleç hareket eder, ama hiçbir pencere değişmez, hiçbir belge kaydırılmaz, hiçbir tıklama bir şeye denk gelmez. Hiçbir etkisi olmayan hareket, tek başına en güçlü ipucudur.
• Hiç düşmeyen aktivite. Her iş gününün doğal boşlukları vardır: bir telefon görüşmesi, bir çay molası, öğle yemeği. Sekiz saatlik mesai boyunca hiç düşmeden sürekli aktif görünen bir durum, normal molalar içeren bir durumdan daha şüphelidir.
• Birbirini tutmayan kanallar. İmleç hareketi var, ama aynı zaman dilimindeki uygulama geçişleri, web sitesi etkinliği veya mesajlaşma hareketsiz. Gerçek iş neredeyse her zaman aynı anda birden fazla kanalda iz bırakır.

Bu sinyallerin hiçbiri tek başına bir suçlamaya dayanak olamaz. Bir disiplin sürecine değil, bir konuşmaya gerekçe olurlar.

Teknik tespitin sınırları

Çoğu rehberin atladığı kısım burasıdır; oysa teknik tespitin gerçekte neler sağlayabileceğine dair gerçekçi beklentiler oluşturduğu için önemlidir.

İşletim sistemleri jiggler tespit etmek için tasarlanmamıştır. Windows yeni bir cihaz bağlandığında bunu kaydeder (örneğin Olay Görüntüleyicisi'nde) ve Grup İlkesi ya da Microsoft Defender cihaz denetimi ile hangi USB cihazlarının yüklenebileceği kısıtlanabilir. Ancak bu size cihazlar hakkında bilgi verir, bir girdinin bir insandan gelip gelmediği hakkında değil; Görev Yöneticisi'nde ise bunların hiçbiri görünmez. macOS'ta çalışan işlemleri Etkinlik Monitörü'nde, oturum açılışında yüklenen arka plan öğelerini ise Sistem Ayarları'nda veya komut satırı aracı sfltool ile kontrol edebilirsiniz; bu yolla en iyi ihtimalle bir yazılım jiggler'ı bulunur, donanım jiggler'ı asla. Yaygın işletim sistemlerinin hiçbirinde yerleşik bir jiggler dedektörü yoktur.

Donanım jiggler'ları işi daha da karmaşık hale getirir. Standart HID cihazı olarak tanındıkları için ilke olarak üretici ve ürün kimlikleriyle ayırt edilebilirler; BT ekibi yazılım kurulumunu yöneticilerle sınırlayabilir, yalnızca kayıtlı giriş cihazlarına izin verebilir veya yeni bir giriş cihazı takıldığında uyarı alabilir. Ne var ki bir engelleme listesi yalnızca daha önce listeye eklenmiş cihazları durdurur; farenin altına konan mekanik modeller ise hiç görünmez. Yazılım jiggler'ları daha da zordur: Girdi düzeyinde, imleci bir piksel oynatan bir betik, faresine hafifçe dokunan bir insandan neredeyse ayırt edilemez. Windows yazılımla üretilen girdileri dahili olarak “enjekte edilmiş” diye işaretler; ancak uzak masaüstü veya erişilebilirlik araçları gibi meşru araçlar da aynı işareti taşır ve bu işaret atlatılabilir. Tek başına hiçbir şeyi kanıtlamaz.

Pratik sınır şudur: Yalnızca girdi düzeyine dayanan tespit her zaman hem yanlış alarm hem de gözden kaçan vaka üretir, çünkü işletim sistemi “bunu bir makine hareket ettirdi” ile “bir insan buna zar zor dokundu” arasındaki farkı kesin olarak ayırt edemez. Bir jiggler uyarısını kanıt saymak, platform ne olursa olsun bir hatadır.

Bağlam neden fare kayıtlarından daha çok şey söyler ve Türkiye'de hukuk neye izin verir?

İmleç ve klavye kayıtları soruyu tek başına çözemiyorsa ne çözebilir? Bağlam. İşaretlenen zaman dilimine ait bir ekran görüntüsü, gerçekten açık bir belge üzerinde çalışılıp çalışılmadığını, bir uygulamanın ön planda ve kullanımda olup olmadığını ya da jiggler durumu yeşil tutarken ekranın bütün süre boyunca kilit ekranında veya boş bir masaüstünde kalıp kalmadığını gösterir.

Simülasyon tam da burada çöker: Bir jiggler boşta kalma zamanlayıcısını kandırabilir, ama bunlar doğru değilse bir belgeyi düzenleniyormuş ya da bir tarayıcı sekmesini etkinmiş gibi gösteremez. Girdi verileri hareketi, program etkinliği ve ekran görüntüleri ise içeriği gösterir. İki kaynak farklı sorulara yanıt verir.

Türkiye'de bu araçların çerçevesini 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çizer. Kanuna göre kişisel veriler belirli, açık ve meşru amaçlar için; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmelidir (md. 4). Açık rızanın yanı sıra sözleşmenin ifası, hukuki yükümlülük ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati de işleme şartları arasındadır (md. 5). Hangi şarta dayanılırsa dayanılsın, işveren çalışanlarını hangi verilerin hangi amaçla ve hangi hukuki sebeple işlendiği konusunda bilgilendirmek zorundadır (md. 10, aydınlatma yükümlülüğü). Uygulamayı Kişisel Verileri Koruma Kurumu ve karar organı Kişisel Verileri Koruma Kurulu denetler. 7499 sayılı Kanunla yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikler ise özellikle özel nitelikli kişisel verilere, yurt dışına aktarıma ve idari para cezalarına karşı başvuru yoluna ilişkin kuralları yeniledi.

Kurul'un kararları da kademeli bir yaklaşıma işaret ediyor. Kurumsal e-posta hesabının incelenmesine ilişkin 2023/86 sayılı kararda Kurul, iletişim akışının izlenmesinin içeriğin incelenmesinden önce geldiğini ve içeriğe bakmanın daha güçlü bir gerekçe gerektirdiğini vurguladı; somut bir şüphe ortaya çıktıktan sonra yapılan ve yalnızca ilgili kayıtlarla sınırlı kalan inceleme ölçülü bulundu. Ekran görüntüleri için de benzer bir yol makul görünüyor: önce özet aktivite verileri, ancak somut bir gerekçe varsa belirli bir zaman dilimine ait ekran görüntüleri; tüm günün kesintisiz kaydı değil.

CleverControl ile bir yönetici, söz konusu dönemi güvenli web hesabında inceleyebilir ve ekran görüntülerini aynı zaman dilimi için kaydedilen uygulama ve web sitesi etkinliğiyle karşılaştırabilir. İmleç hareket ettiği halde ekran saatlerce boş bir masaüstü ya da hiç dokunulmamış bir uygulama gösteriyorsa, bu kombinasyon imleç kaydının tek başına söyleyebileceğinden çok daha fazlasını anlatır. Hangi modüllerin etkin olacağı her bilgisayar için ayrı ayrı belirlenebilir; böylece yapılandırma, çalışanlara duyurduğunuz izleme politikası ve aydınlatma metniyle birebir örtüşür.

Asıl soru: Biri neden jiggler'a başvurur?

Bu, en önemli bölümdür ve tamamen teknik bir yaklaşımın atladığı bölüm de tam olarak budur. Jiggler bir neden değildir. Bir şeye verilen tepkidir; çoğunlukla çalışanın adaletsiz, belirsiz veya dürüstçe karşılanması imkânsız bulduğu bir sisteme.

Bir jiggler'ın varlığı aslında şunlara işaret eder:

• Çıktıyı değil varlığı ölçen bir performans göstergesi (KPI). Birinin verimli görünüp görünmediğini belirleyen ölçüt “fare hareket etti mi?” ise, fare hareketini taklit etmeye yönelik bir teşvik yaratmışsınız demektir. Bu, kendiliğinden ortaya çıkmış bir sahtekârlık değil, kötü tasarlanmış bir ölçüte verilen öngörülebilir bir tepkidir.
• İş yükü uyumsuzluğu. Gerçek görevleri günde dört saat süren, ama sekiz saatlik görünür aktivite göstermesi beklenen biri, kalan dört saati “üretmeye” teşvik edilmiş olur. Jiggler, kimsenin yapmadığı iş yükü konuşmasının sonucudur.
• İzlemenin kendisine güvensizlik. İnsanlar, iş yapılsa da yapılmasa da her boşta kalma anının cezalandırılacağına inanıyorsa, aktivite taklidi yapmak, işini aslında iyi yapan biri için bile rasyonel bir hamleye dönüşür.
• Gerçek kandırma niyeti. Bu da olur: Biri düpedüz çalışmıyordur ve bunu gizlemek ister. Bu gerçek bir olasılıktır, ama birkaç açıklamadan yalnızca biridir; varsayılan kabul değildir.

Her jiggler uyarısını son açıklamanın kanıtı sayıp ilk üçünü atlayan bir yönetici hiçbir şeyi çözmez. Daha kötüsü, ekibin geri kalanına hatalı bir göstergeye verilecek en güvenli yanıtın sorunu dile getirmek değil, daha iyi saklanmak olduğunu öğretir. Bu tuzağa düşmeden işyerinde zaman hırsızlığını nasıl tespit edebileceğinizi ayrı rehberimizde anlatıyoruz.

Ölçülü bir yanıt: Somut olarak ne yapılmalı?

Önünüzde şüpheli bir örüntü olduğunda uygulanabilir bir sıra şöyledir:

1. Bir neden söylemeden önce örüntüyü doğrulayın. İşaretlenen zaman dilimine ait bağlamı, çalışanlara duyurduğunuz politikanın ve aydınlatma metninin izin verdiği ölçüde inceleyin. Teknik yanlış alarmları eleyin: zamanlanmış bir görev, takılı kalmış bir betik, meşru bir erişilebilirlik aracı.
2. Yalnızca kişiyi değil, göstergeyi de sorgulayın. Rolün hedeflerinin görünür aktiviteyle mi, çıktıyla mı, yoksa ikisiyle birden mi ölçüldüğünü sorun. Yanıt “çoğunlukla aktiviteyle” ise muhtemel kök nedeni bulmuşsunuz demektir ve bu, tek bir kişiyi değil tüm ekibi ilgilendirir.
3. Önce konuşun, sonra gerekiyorsa işlem yapın. Bir sonuçla değil, gözlemlediğiniz şeyle başlayın: “Kayıtlarda, ekranın boşta göründüğü dönemlerde kesintisiz girdi olduğunu fark ettim. O sırada neler olduğunu bana anlatabilir misiniz?” Bu size bilgi kazandırır; suçlamayla başlamak ise yalnızca savunma getirir.
4. İki sonucu birbirinden ayırın. Konuşma bir iş yükü veya gösterge sorununu ortaya çıkarıyorsa, düzeltilmesi gereken kuraldır: ölçütü uyarlayın, işi yeniden dağıtın, o rol için “verimli”nin ne anlama geldiğini netleştirin. Bir yükümlülük ihlali ortaya çıkıyorsa, bu şirketin olağan disiplin süreciyle ve gerçekten kanıtlanabilen ölçüde ele alınır. İş Kanunu'nun 19. maddesi, belirsiz süreli bir iş sözleşmesinin işçinin davranışı veya verimi ile ilgili nedenlerle feshinden önce savunmasının alınmasını öngörür; 25. maddenin (II) numaralı bendindeki haklı nedenle fesih hakkı saklıdır.
5. Yalnızca olayı değil, teşviki de düzeltin. Sisteminiz meşgul görünmeyi ödüllendirdiği için bir jiggler ortaya çıkıyorsa, tek bir çalışanla yapılan tek bir konuşma bir sonrakinin aynı kestirmeye başvurmasını engellemez. İzlemenin gerçekte neyi ölçtüğünü yeniden gözden geçirin.

Şeffaflık burada her türlü tespitten daha fazlasını yapar. Neyin ölçüldüğünü, bir yöneticinin neyi görüp neyi göremediğini bilen çalışanlar en kötüsünü varsaymaya daha az eğilimlidir ve bir iş yükü sorununu sessizce etrafından dolaşmak yerine doğrudan dile getirmeye daha yatkındır. Bu yaklaşımı, çalışanları izleme konusunda nasıl bilgilendireceğiniz ve çalışan izlemenin etiği üzerine yazılarımızda ayrıntılı olarak ele alıyoruz. Belirsiz bir politika, jiggler'ların tam olarak istismar ettiği boşluktur.

Jiggler'a ihtiyaç duymayan bir kültür

En kalıcı çözüm daha iyi bir tespit yöntemi değildir. Çözüm, birinin jiggler kullanmak istemesinin nedenini ortadan kaldırmaktır.

• Mümkün olan yerde çıktıyı ölçün. Teslimatlar, yanıt süreleri, tamamlanan görevler: imleç hareketinden çok gerçek işe yakın olan her şey.
• İzleme politikasını açıkça duyurun. Neyin izlendiğini ve nedenini açıkça belirtin; politikanın amacının insanları yakalamak değil, sonuçları doğrulamak ve ekibi desteklemek olduğundan emin olun.
• Denetleyenleri de denetleyin. Yöneticilerin aktivite verilerini, her boşta kalma anını şüpheli saymadan, ölçülü biçimde kullanıp kullanmadığını düzenli olarak kontrol edin. Normal molalara aşırı tepki göstermek, insanlara bu molaları saklamayı öğretir.
• Molaları olağan karşılayın. Politikanız aktivitedeki her düşüşü sessizce cezalandırıyorsa, jiggler'ın yanıt verdiği teşviki tam olarak siz yaratmışsınız demektir.

Uzaktan çalışmada doğru dayanak noktası zaten mevcut: Uzaktan Çalışma Yönetmeliği'ne göre uzaktan çalışma sözleşmesi yazılı olarak yapılır ve çalışmanın yapılacağı zaman aralığı ile süresi sözleşmede belirtilir. Hedefleri, düzenli görüşmeleri ve gerekiyorsa şeffaf bir çalışma süresi takibini tanımlamanın doğru yeri burasıdır; sohbet uygulamasındaki yeşil bir nokta değil.

Göstergeye güvenen bir ekibin onu taklit etmesine gerek yoktur. Bu sorunu çözmek, piyasaya çıkan her yeni jiggler modelinin peşine düşmekten daha ucuzdur. Bunun için üç şey gerekir: neyin ve neden ölçüldüğünü söyleyen bir politika, salt varlığı değil gerçek çıktıyı izleyen bir gösterge ve şüpheli bir örüntüyü hükümle değil soruyla açmak üzere eğitilmiş yöneticiler. Bu üçü yerine oturduğunda, tespit üzerine teknik silahlanma yarışı büyük ölçüde önemini yitirir.

Sık sorulan sorular

Mouse jiggler kullanmak yasa dışı mı?
Cihazın kendisi yasak değildir. Belirleyici olan iş sözleşmesi, varsa toplu iş sözleşmesi, disiplin yönetmeliği ve şirketin bilgi işlem kullanım politikasıdır. Jiggler, yapılmayan bir işi yapılıyormuş gibi göstermek için kullanılıyorsa, işçinin özen ve sadakat borcuyla bağdaşmayan bir davranış olarak disiplin sürecine konu olabilir; ağır ve kanıtlanmış durumlarda iş sözleşmesinin feshi de gündeme gelebilir. Bunun için işverenin, çalışanı önceden aydınlatarak ve KVKK'ya uygun şekilde elde ettiği verilere dayanabilmesi gerekir.

İzleme yazılımı bir mouse jiggler'ı otomatik olarak tespit edebilir mi?
Bazı araçlar olağandışı aktivite örüntülerini otomatik olarak işaretler, aktivite özetleri de anormallikleri görünür kılar; ancak bir işaret, doğrulanmış bir yanıt değildir. Bir yöneticinin yine de bağlamı incelemesi ve örüntünün gerçekten mekanik mi, yoksa yalnızca gerçek ama sakin geçen bir iş günü mü olduğuna karar vermesi gerekir. Bir uyarıyı otomatik kanıt saymak, ne olduğunu gerçekten netleştiren adımı atlamak demektir.

Çalışandan açık rıza almak yeterli mi?
Çoğu zaman tek başına yeterli değildir. Kişisel Verileri Koruma Kurumu'nun açık rızaya ilişkin yayınına göre, rıza vermemenin çalışan için olumsuz bir sonuç doğurması muhtemelse rızanın özgür iradeyle verildiği kabul edilemez. Bu nedenle izleme yazılımını yalnızca imzalatılan bir onay formuna dayandırmak yerine, KVKK'nın 5. maddesindeki işleme şartlarından hangisine dayanıldığını belirlemek, ölçülülüğü değerlendirmek ve çalışanları 10. madde uyarınca aydınlatmak daha sağlam bir yoldur.

Jiggler kullandığından şüphelendiğim bir çalışana ne söylemeliyim?
Bir sonuçla değil, gözlemlediğiniz şeyle başlayın: Kayıtlardaki somut örüntüyü anlatın ve açıklamasını isteyin. Böylece savunmacı bir tepki yerine bir açıklama alırsınız ve yanıtın sahtekârlık değil, bir iş yükü sorunu olma ihtimaline de yer bırakırsınız.

Donanım jiggler'larını engellemek yazılım olanlardan daha mı kolay?
Biraz daha kolay. USB jiggler'lar, tanımlanabilir üretici ve ürün kodlarına sahip giriş cihazları olarak tanınır; BT ekibi bunları ilke olarak güvenlik politikalarıyla engelleyebilir veya izin verilen cihazlar listesiyle dışarıda tutabilir. Ancak yeni cihazlar, engelleme listelerinin güncellenmesinden daha hızlı ortaya çıkar. Mekanik modeller teknik olarak hiç görünmez; yazılım jiggler'ları ise gerçek ve hafif fare kullanımından ayırt edilmesi çok zor bir düzeyde girdi taklit eder.

Asıl sorunun çalışan değil, performans göstergem olduğunu nasıl anlarım?
Bir çalışanın ölçüldüğü gösterge tamamlanan işi değil görünür aktiviteyi ödüllendiriyorsa, bu, herhangi bir bireysel vakaya geçmeden önce teşvikin kendisinin düzeltilmesi gerektiğine dair güçlü bir işarettir. Aynı göstergeyle ölçülen başka kişilerin de benzer örüntüler gösterip göstermediğine bakın: Ekip genelindeki bir örüntü kişiyi değil, sistemi işaret eder.

İzlemeye başlamadan önce çalışanları bilgilendirmem gerekir mi?
Evet. KVKK'nın 10. maddesindeki aydınlatma yükümlülüğü gereği çalışanlar, en geç verilerin elde edilmesi sırasında; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11. maddedeki hakları konusunda bilgilendirilmelidir. Uygulamada bu genellikle yazılı bir aydınlatma metni ve şirket içi izleme politikasıyla yapılır; varsa toplu iş sözleşmesi hükümleri de dikkate alınmalıdır. Şirketiniz AB'de de faaliyet gösteriyorsa GDPR ayrıca uygulanabilir; genel çerçeve için çalışan izlemede GDPR ve veri koruma gereklilikleri yazımıza göz atabilirsiniz. Herhangi bir aracı devreye almadan önce şirketiniz için geçerli şartları bir hukuk danışmanıyla teyit edin.

Not: Bu yazı genel bir bilgilendirme niteliğindedir ve somut durumunuza ilişkin hukuki danışmanlığın yerini tutmaz.