Bilişim suçu denildiğinde tek bir suç tipi yoktur. Aynı olayda bir sisteme yetkisiz erişim, verilerin değiştirilmesi, banka veya kredi kartının kullanılması, kişisel verilerin ele geçirilmesi ya da bilişim sisteminin yalnız bir araç olarak kullanıldığı dolandırıcılık gündeme gelebilir. Hukuki nitelendirme, kullanılan cihazdan çok failin ne yaptığına, hangi hukuki değerin ihlal edildiğine ve sonucun nasıl meydana geldiğine göre yapılır. Bu nedenle ekran görüntüsüne veya olayın internette gerçekleşmesine bakıp her fiili bilişim suçu olarak adlandırmak doğru değildir.
TCK 243 kapsamındaki sisteme girme fiili nedir?
Türk Ceza Kanunu bilişim sistemine hukuka aykırı olarak girme ve sistemde kalma davranışını özel olarak düzenler. Korunan alan sistemin erişim güvenliğidir. Hesabın şifresini tahmin ederek giriş yapmak, yetki süresi bittikten sonra kurumsal sisteme erişmeye devam etmek veya teknik bir açığı kullanarak kapalı bir alana ulaşmak olayın şartlarına göre bu çerçevede değerlendirilebilir.
Burada en önemli soru erişimin yetkili olup olmadığıdır. Bir kişinin cihazı fiziksel olarak kullanabiliyor olması, o cihazdaki bütün hesap ve verilere sınırsız erişim yetkisi bulunduğu anlamına gelmez. İşveren çalışan ilişkisi, aile içi ortak cihaz kullanımı ve daha önce paylaşılmış şifreler yetkinin kapsamını ayrıca incelemeyi gerektirir.
TCK 244 hangi fiilleri kapsar?
Sistemin işleyişini engelleme veya bozma ile sistemdeki verileri bozma, yok etme, değiştirme veya erişilmez kılma fiilleri farklı bir hukuki ağırlığa sahiptir. Sunucuyu çalışamaz hale getiren saldırılar, yetkisiz silme veya şifreleme işlemleri, veritabanına müdahale, dosyaların erişilemez kılınması veya yetkisiz veri değişikliği bu başlık altında değerlendirilebilir.
Bir saldırıda yalnız sisteme giriş yapılmışsa başka, girişten sonra veri silinmiş veya sistem çalışamaz hale getirilmişse başka bir nitelendirme gündeme gelebilir. Olayın teknik zaman çizelgesi bu nedenle kritik önem taşır.
Banka ve kredi kartı olayları neden ayrı değerlendirilir?
TCK 245 banka veya kredi kartlarının kötüye kullanılmasına ilişkin özel düzenlemeler içerir. Kartın veya kart bilgilerinin rıza dışında kullanılması, sahte kart oluşturulması veya bu kartların kullanılması gibi fiillerin unsurları kendi içinde değerlendirilir. Buna karşılık mağdurun hileyle para göndermeye ikna edildiği bir internet dolandırıcılığında bilişim sistemi çoğu zaman suçun konusu değil, dolandırıcılığı gerçekleştiren araçtır.
Bu ayrım önemlidir. Örneğin sahte ilanla mağdurdan havale alınması, hesaba doğrudan yetkisiz girilip para transfer edilmesi ve ele geçirilmiş kart bilgisinin kullanılması teknik olarak benzer görünse de ceza hukuku bakımından aynı fiil değildir.
Bilişim yoluyla dolandırıcılık ile bilişim suçları nasıl ayrılır?
Dolandırıcılıkta merkezde mağdurun hileli davranışlarla aldatılması ve bunun sonucunda malvarlığına ilişkin tasarrufta bulunması vardır. Bilişim sistemleri bu hilenin kurulmasında araç olabilir. Saf bilişim suçlarında ise sistemin güvenliği, verinin bütünlüğü veya kart sisteminin korunması doğrudan ihlal edilir.
Bir e posta hesabının ele geçirilip mağdurun iş ortağına sahte ödeme talimatı gönderilmesi örneğinde, hesabın ele geçirilmesi ile paranın hileyle alınması ayrı hukuki değerlendirmeler doğurabilir. Aynı olay birden fazla suç tipinin unsurlarını taşıyabilir. Zincirin her aşaması ayrı incelenmelidir.
Kişisel verinin ele geçirilmesi her zaman TCK 243 müdür?
Hayır. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi, yayılması veya ele geçirilmesi TCK içindeki kişisel veriye özgü suç hükümlerini de gündeme getirebilir. Bir sisteme yetkisiz giriş yapılmadan kişisel veri hukuka aykırı şekilde paylaşılmış olabilir. Tersi de mümkündür. Sisteme girilmiş fakat kişisel veri alınmamış olabilir.
Bu nedenle KVKK kapsamındaki idari yükümlülükler ile ceza hukuku hükümleri birbirine karıştırılmamalıdır. Aynı olay hem veri sorumlusunun güvenlik yükümlülüğünü hem de fail bakımından ceza sorumluluğunu doğurabilir.
Dijital delilde en kritik konu nedir?
Dijital dosyalar kolay kopyalanabildiği ve değiştirilebildiği için delilin kaynağı, bütünlüğü ve elde edilme yöntemi önemlidir. Yalnız ekran görüntüsü çoğu dosyada yeterli teknik tabloyu göstermez. Sunucu logları, erişim kayıtları, IP bilgileri, cihaz zamanları, hesap hareketleri, e posta üst bilgileri ve gerektiğinde adli bilişim imajları olayın zaman çizelgesini kurmak için birlikte değerlendirilmelidir.
Ceza Muhakemesi Kanunundaki bilgisayar, bilgisayar programı ve kütüklerinde arama, kopyalama ve elkoymaya ilişkin kurallar soruşturma makamlarının dijital delile müdahalesinde ayrıca önem taşır. Delilin hukuka uygun elde edilmesi kadar inceleme sırasında bütünlüğünün korunması da tartışma konusudur.
IP adresi tek başına faili ispatlar mı?
IP kaydı önemli bir başlangıç verisidir fakat tek başına her olayda belirli bir kişiyi kesin fail yapmaz. Ortak ağ, kurumsal internet, CGNAT, VPN, ele geçirilmiş modem veya hesap, uzaktan bağlantı ve zaman eşleştirmesi gibi teknik ihtimaller dikkate alınmalıdır. IP kaydının tarih, saat, port bilgisi ve servis sağlayıcı kayıtlarıyla eşleştirilmesi gerekir.
Benzer şekilde bir sosyal medya hesabının belirli bir kişiye ait görünmesi de her paylaşımın o kişi tarafından yapıldığını otomatik kanıtlamaz. Hesap güvenliği, cihaz kayıtları ve oturum geçmişi önem taşıyabilir.
Şikayet süresi var mı?
Bilişim suçlarının önemli bir kısmı şikayete bağlı suçlardan değildir ve soruşturma makamlarınca resen soruşturulur. Ancak olay başka suç tipleriyle birlikteyse her suç bakımından soruşturma koşulları ayrıca değerlendirilmelidir. Mağdurun yine de gecikmeden başvurması, dijital kayıtların silinmesini veya saklama sürelerinin dolmasını önlemek açısından önemlidir.
Bir bilişim dosyasında doğru hukuki analiz sırası
- Önce hangi hesap, cihaz, sistem veya verinin etkilendiği belirlenir.
- Erişimin yetkili olup olmadığı ve varsa yetkinin sınırı incelenir.
- Sisteme yalnız girilip girilmediği, veri üzerinde işlem veya sistemde bozma olup olmadığı ayrılır.
- Para hareketi varsa mağdurun aldatılması mı yoksa hesaba doğrudan müdahale mi olduğu belirlenir.
- Kişisel veri, kart bilgisi veya ticari sır gibi ayrıca korunan değerler tespit edilir.
- Dijital delilin kaynağı, bütünlüğü ve zaman eşleşmesi kontrol edilir.
Bilişim dosyasında doğru soru bu olay internette mi oldu değildir. Doğru soru sistemde tam olarak hangi teknik işlem yapıldı ve bu işlem hangi hukuki değeri ihlal etti sorusudur.
Av. Mehmet Uğur BABUŞCU
Sık Sorulan Sorular
Başkasının sosyal medya hesabına şifreyle girmek suç olabilir mi?
Erişim yetkisi yoksa veya verilen yetkinin sınırı aşılmışsa bilişim sistemine hukuka aykırı giriş hükümleri gündeme gelebilir. Somut yetki ilişkisi ayrıca incelenir.
Ekran görüntüsü dijital delil için yeterli midir?
Bazı olaylarda destekleyici delil olabilir fakat kaynağın ve bütünlüğün tartışmalı olduğu dosyalarda log, cihaz, hesap ve zaman kayıtlarıyla desteklenmesi gerekir.
IP adresi bulunan kişi kesin fail midir?
Hayır. IP kaydı bağlantıyı gösterir. Fiili kullanan kişinin belirlenmesi için zaman, port, cihaz, hesap ve diğer teknik kayıtların birlikte değerlendirilmesi gerekir.