Bilişim Alanında Suçlar

Bilişim alanında suçlar, TCK m.243 ilâ m.246 arasında düzenlenmiş olup bilişim sistemlerinin güvenliğini, verilerin bütünlüğünü ve dijital ödeme araçlarına duyulan güveni koruma altına alır. Bilişim sistemine hukuka aykırı olarak girme, sistemi engelleme, bozma, verileri yok etme veya değiştirme ile banka veya kredi kartlarının kötüye kullanılması bu kapsamdadır. Dijitalleşmenin hızlanmasıyla birlikte bu suçlar hem sayısal olarak artmış hem de adli bilişim incelemesi gerektiren teknik dosyalar hâline gelmiştir.

Bilişim alanında suçlar, Türk Ceza Kanunu’nun teknolojik gelişmelere en doğrudan cevap veren bölümünü oluşturur. Türkiye’nin taraf olduğu Avrupa Konseyi Siber Suç Sözleşmesi (Budapeşte Sözleşmesi), bu alandaki uluslararası çerçeveyi belirlemekte; 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun ise idari boyutu tamamlamaktadır. Bu suçlarda korunan hukuki değer, bilişim sistemlerinin işleyişine ve bu sistemlerde tutulan verilerin güvenilirliğine duyulan toplumsal güvendir.

Bilişim Sistemine Girme (TCK m.243), bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak giren veya orada kalmaya devam eden kişiyi bir yıla kadar hapis veya adli para cezasıyla cezalandırır. Suçun bedeli karşılığı yararlanılabilen sistemler hakkında işlenmesi hâlinde ceza yarı oranına kadar indirilir. Fiil nedeniyle sistemin içerdiği veriler yok olur veya değişirse altı aydan iki yıla kadar hapis cezasına hükmolunur. Maddeye eklenen dördüncü fıkra uyarınca, bir bilişim sisteminin kendi içinde veya bilişim sistemleri arasında gerçekleşen veri nakillerini, sisteme girmeksizin teknik araçlarla hukuka aykırı olarak izleyen kişi bir yıldan üç yıla kadar hapis cezasıyla cezalandırılır.

Bu suçun en önemli özelliği, sisteme girmenin zarar verme amacı taşımasının aranmamasıdır. Yetkisiz erişimin sağlanması tek başına suçu oluşturur. Bu nedenle, bir başkasının sosyal medya veya e-posta hesabına şifresini ele geçirerek girmek, içerikte hiçbir değişiklik yapılmasa dahi bu suçu oluşturur. Uygulamada bu fiil, çoğu zaman TCK m.132 (haberleşmenin gizliliğini ihlal), m.134 (özel hayatın gizliliğini ihlal) ve m.136 (kişisel verileri hukuka aykırı olarak ele geçirme) suçlarıyla birlikte gündeme gelir; bu hâlde fikri içtima veya gerçek içtima kurallarının doğru uygulanması gerekir.

Sistemi Engelleme, Bozma, Verileri Yok Etme veya Değiştirme (TCK m.244), bir bilişim sisteminin işleyişini engelleyen veya bozan kişiyi bir yıldan beş yıla kadar hapis cezasıyla cezalandırır. Bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen kişi altı aydan üç yıla kadar hapis cezasına çarptırılır. Fiillerin bir banka veya kredi kurumuna ya da bir kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlenmesi hâlinde verilecek ceza yarı oranında artırılır.

Maddenin dördüncü fıkrası uygulamada büyük önem taşır: Yukarıdaki fıkralarda tanımlanan fiillerin işlenmesi suretiyle kişinin kendisinin veya başkasının yararına haksız bir çıkar sağlamasının başka bir suç oluşturmaması hâlinde, iki yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezasına hükmolunur. Bu düzenleme, tali norm (ikincil norm) niteliğindedir; yani fiil TCK m.158/1-f uyarınca bilişim sistemlerinin araç olarak kullanılması suretiyle nitelikli dolandırıcılık suçunu oluşturuyorsa, bu fıkra uygulanmaz. Fidye yazılımı (ransomware) saldırıları, hizmet dışı bırakma (DDoS) saldırıları ve veri tabanı manipülasyonları bu madde kapsamında değerlendirilir.

Banka veya Kredi Kartlarının Kötüye Kullanılması (TCK m.245), başkasına ait bir banka veya kredi kartını, her ne suretle olursa olsun ele geçiren veya elinde bulunduran kimsenin, kart sahibinin veya kartın kendisine verilmesi gereken kişinin rızası olmaksızın bunu kullanarak veya kullandırtarak kendisine veya başkasına yarar sağlamasını üç yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezasına bağlar. Başkalarına ait banka hesaplarıyla ilişkilendirilerek sahte banka veya kredi kartı üreten, satan, devreden, satın alan veya kabul eden kişi üç yıldan yedi yıla kadar hapis ve on bin güne kadar adli para cezasıyla cezalandırılır. Sahte oluşturulan veya üzerinde sahtecilik yapılan bir banka veya kredi kartını kullanmak suretiyle kendisine veya başkasına yarar sağlayan kişi ise, fiil daha ağır cezayı gerektiren başka bir suç oluşturmadığı takdirde dört yıldan sekiz yıla kadar hapis ve beş bin güne kadar adli para cezasına çarptırılır.

Maddenin dördüncü fıkrası, malvarlığına karşı suçlardaki şahsi cezasızlık sebeplerine paralel bir düzenleme içerir: Birinci fıkrada yer alan suçun; haklarında ayrılık kararı verilmemiş eşlerden birinin, üstsoy veya altsoyunun veya bu derecede kayın hısımlarından birinin ya da evlat edinen veya evlatlığın, aynı konutta beraber yaşayan kardeşlerden birinin zararına olarak işlenmesi hâlinde ilgili akraba hakkında cezaya hükmolunmaz. Ayrıca TCK m.245/5 uyarınca birinci fıkra kapsamına giren fiillerle ilgili olarak malvarlığına karşı suçlara ilişkin etkin pişmanlık hükümleri uygulanır.

Şu soru pratikte sıkça sorulmaktadır: Eşimin veya çocuğumun telefonuna casus yazılım yüklemek suç mudur? Cevaben belirtmek gerekir ki, bir kişinin bilgisi ve rızası dışında cihazına izleme yazılımı yüklenmesi; TCK m.243 uyarınca bilişim sistemine hukuka aykırı erişim, m.132 uyarınca haberleşmenin gizliliğini ihlal, m.134 uyarınca özel hayatın gizliliğini ihlal ve m.136 uyarınca kişisel verileri hukuka aykırı olarak ele geçirme suçlarını birlikte oluşturabilir. Evlilik birliği veya velayet ilişkisi, bu fiilleri hukuka uygun hâle getirmez. Ayrıca bu yolla elde edilen kayıtlar, boşanma davasında dahi hukuka aykırı delil niteliği taşıdığından hükme esas alınamaz.

Bu dosyalarda adli bilişim (dijital forensik) incelemesi belirleyicidir. CMK m.134 uyarınca, bir suç dolayısıyla yapılan soruşturmada başka surette delil elde etme imkânının bulunmaması hâlinde, Cumhuriyet savcısının istemi üzerine hâkim tarafından bilgisayarlarda, bilgisayar programlarında ve kütüklerinde arama yapılmasına, kopya çıkarılmasına ve bu kayıtların çözülerek metin hâline getirilmesine karar verilir. Bu işlemler sırasında sistemdeki bütün verilerin yedeklemesi yapılır ve istenmesi hâlinde bu yedekten bir kopya çıkarılarak ilgiliye verilir. Bu usule aykırılık, elde edilen delilin hükme esas alınmasını engelleyen en güçlü savunma noktasını oluşturur.

Adli bilişim incelemesinde delil bütünlüğünün (chain of custody) korunması hayati önemdedir. İncelemeye konu cihazın imajının alınması, hash (özet) değerinin hesaplanması ve tutanağa geçirilmesi, incelemenin orijinal cihaz üzerinde değil imaj üzerinde yapılması ve tüm işlem adımlarının belgelenmesi gerekir. Hash değeri alınmamış veya doğrulanamayan, el koyma ile inceleme arasındaki muhafaza zinciri belgelenmemiş dijital deliller, güvenilirlik itirazına açık hâle gelir. Ayrıca IP kayıtlarının tek başına kişiyi faile bağlamaya yetmediği; ortak ağ kullanımı, IP paylaşımı (CGNAT) ve cihaz üzerinden erişim ihtimalleri göz önüne alınarak somut bağlantının ortaya konması gerektiği savunmada ileri sürülebilecek önemli bir husustur.

Ceza sürecinin yanında paralel yollar da işletilmelidir. İnternet ortamındaki hukuka aykırı içerikler bakımından 5651 sayılı Kanun m.8, m.8/A ve m.9 uyarınca erişimin engellenmesi ve içeriğin çıkarılması kararları alınabilir. Kişisel veri ihlalleri bakımından 6698 sayılı Kanun kapsamında veri sorumlusuna başvuru ve Kişisel Verileri Koruma Kurulu’na şikâyet yolu açıktır; ayrıca veri ihlali bildirimi yükümlülüğü doğar. Kart mağduriyetlerinde ise 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu ile Türk Borçlar Kanunu hükümleri çerçevesinde bankaya karşı itiraz ve iade talepleri ileri sürülebilir.

Netice itibariyle bilişim alanında suçlar, teknik bilgi ile hukuki değerlendirmenin birlikte yürütülmesini zorunlu kılan bir alandır. Bu dosyalarda; fiilin hangi madde kapsamında değerlendirileceğinin doğru tespiti, içtima kurallarının isabetli uygulanması, CMK m.134 usulüne uygunluğun denetlenmesi, adli bilişim raporlarındaki teknik bulguların hukuki sonuçlarının değerlendirilmesi ve dijital delil zincirindeki eksikliklerin ortaya konulması belirleyici olmaktadır. Bu nedenle sürecin hem ceza hukukuna hem de adli bilişim usullerine hâkim bir avukat tarafından yürütülmesi büyük önem taşımaktadır.