Bilişim suçları, bilgisayar, telefon, sunucu, ağ, internet hesabı, veri tabanı veya dijital ödeme araçlarının suçun hedefi ya da aracı olduğu fiilleri ifade eder. Türk Ceza Kanunu’nda doğrudan bilişim sistemlerine karşı işlenen suçlar ayrı bir bölümde düzenlenmiştir. Bunun yanında dolandırıcılık, hırsızlık, hakaret, tehdit, özel hayatın gizliliği ve kişisel verilerle ilgili birçok klasik suç bilişim sistemleri kullanılarak işlenebilir.
Her internet uyuşmazlığı bilişim suçu değildir. Bir internet alışverişinde ürünün geç gönderilmesi sözleşme uyuşmazlığı olabilirken, baştan itibaren sahte kimlik ve ilanla para alma planı nitelikli dolandırıcılık oluşturabilir. Eski çalışanın yetkisi sona erdikten sonra şirket sistemine girmesi bilişim sistemine girme suçunu; sistemdeki verileri silmesi ise ayrıca verileri yok etme suçunu gündeme getirebilir.
Bilişim Sistemi Nedir?
Bilişim sistemi, verileri otomatik olarak işleyen, saklayan veya ileten teknolojik yapıdır. Masaüstü bilgisayar, akıllı telefon, internet sunucusu, bulut hesabı, kurumsal ağ, sosyal medya hesabının arka plan sistemi ve bazı akıllı cihazlar bu kapsamda değerlendirilebilir. Korunan değer yalnızca cihazın fiziksel mülkiyeti değildir; sistem güvenliği, veri bütünlüğü, erişilebilirlik ve kullanıcıların özel alanı da korunur.
Bir hesabın şifresini bilmek, her zaman o hesaba girme yetkisi bulunduğu anlamına gelmez. Daha önce verilen izin sona ermiş, sadece belirli amaçla verilmiş veya izin kapsamı aşılmış olabilir. Hukuka uygun erişim yetkisinin sınırları iş sözleşmesi, kullanıcı politikası, açık rıza ve olayın koşullarıyla belirlenir.
Bilişim Sistemine Girme Suçu
Türk Ceza Kanunu’nun 243. maddesi, bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak girmeyi ya da orada kalmaya devam etmeyi suç sayar. Temel hâlin yaptırımı bir yıla kadar hapis veya adli para cezasıdır. Sisteme girme sonucunda veriler yok olur veya değişirse altı aydan iki yıla kadar hapis cezası gündeme gelir.
Sisteme girmeksizin teknik araçlarla sistemler arasındaki veri nakillerini hukuka aykırı biçimde izlemek de bir yıldan üç yıla kadar hapis cezasıyla yaptırıma bağlanmıştır. Ücret karşılığı yararlanılan sistemlere ilişkin özel indirim hükmü bulunur.
Sosyal medya hesabına, e-posta kutusuna, şirket paneline veya kablosuz ağa izinsiz erişim bu suç kapsamında değerlendirilebilir. Failin verileri çalması veya zarar vermesi şart değildir; yetkisiz giriş temel suç için yeterli olabilir. Yanlışlıkla açılan bir bağlantı veya otomatik oturum nedeniyle kast bulunmaması durumunda suç oluşmayabilir.
Sistemi Engelleme veya Bozma
TCK 244/1, bilişim sisteminin işleyişini engelleyen veya bozan kişiye bir yıldan beş yıla kadar hapis cezası öngörür. Dağıtık hizmet engelleme saldırıları, sistemi çalışamaz hâle getiren kötü amaçlı yazılımlar veya sunucunun işleyişine yönelik kasıtlı müdahaleler bu kapsamda değerlendirilebilir.
Fiilin banka veya kredi kurumuna ya da kamu kurum ve kuruluşuna ait bilişim sistemi üzerinde işlenmesi hâlinde ceza yarı oranında artırılır. Sistemin kısa süreli yavaşlaması ile tamamen hizmet dışı kalması temel cezanın belirlenmesinde farklı ağırlıkta değerlendirilebilir.
Verileri Yok Etme, Değiştirme veya Erişilmez Kılma
Bir bilişim sistemindeki verileri bozmak, yok etmek, değiştirmek, erişilmez kılmak, sisteme veri yerleştirmek veya mevcut verileri başka yere göndermek TCK 244/2 kapsamında altı aydan üç yıla kadar hapis cezasını gerektirir. Verinin ekonomik değer taşıması şart değildir. Kişisel fotoğraf, şirket belgesi, müşteri kaydı veya oyun hesabı verisi de korunur.
Failin önce sisteme izinsiz girmesi ve ardından verileri silmesi hâlinde TCK 243 ve 244 arasındaki suç ilişkisi değerlendirilir. Aynı fiilin farklı hukuki değerleri ihlal etmesi veya bir suçun diğerinin unsuru olması durumunda fikri içtima ve gerçek içtima kuralları uygulanabilir.
Bu fiillerle kişinin kendisine veya başkasına haksız çıkar sağlaması ve eylemin başka bir suç oluşturmaması hâlinde iki yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezası öngörülür. “Başka bir suç oluşturmama” şartı nedeniyle olay nitelikli dolandırıcılık veya kart suçu kapsamında kalıyorsa özel suç tipi uygulanabilir.
Banka veya Kredi Kartlarının Kötüye Kullanılması
Başkasına ait banka veya kredi kartını rıza olmaksızın kullanarak kendisine veya başkasına yarar sağlayan kişi, üç yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezasıyla cezalandırılabilir. Kartın fiziksel olarak ele geçirilmesi şart değildir; kart bilgileriyle çevrim içi alışveriş yapılması da suç kapsamına girebilir.
Başkalarına ait banka hesaplarıyla ilişkilendirilerek sahte kart üretme, satma, devretme, satın alma veya kabul etme fiilleri üç yıldan yedi yıla kadar hapis ve on bin güne kadar adli para cezasına tabidir. Sahte veya üzerinde sahtecilik yapılmış kartı kullanarak yarar sağlama ise dört yıldan sekiz yıla kadar hapis ve beş bin güne kadar adli para cezasını gerektirebilir.
Kanunda belirli yakın akrabalık ilişkileri bakımından şahsi cezasızlık sebebi ve temel kart kullanma fiili için etkin pişmanlık hükümleri bulunmaktadır. Bankanın işlem itirazını kabul edip parayı müşteriye iade etmesi, failin ceza sorumluluğunu otomatik olarak ortadan kaldırmaz.
Yasak Cihaz veya Programlar
TCK 245/A, bilişim suçları veya bilişim sistemi kullanılarak işlenebilen diğer suçların gerçekleştirilmesi için özel olarak yapılmış veya uyarlanmış cihaz, bilgisayar programı, şifre veya güvenlik kodlarını üretme, ithal etme, sevk etme, nakletme, depolama, kabul etme, satma, satışa arz etme, satın alma, başkasına verme veya bulundurma fiillerini düzenler. Yaptırım bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezasıdır.
Her siber güvenlik aracı veya şifre kırma programı otomatik olarak yasak değildir. Aracın suç işlemek amacıyla özel olarak hazırlanması veya bulundurulması ve failin kastı önemlidir. Yetkili sızma testi, akademik araştırma ve sistem sahibinin izniyle yapılan güvenlik çalışmaları hukuka uygun olabilir. Yetkinin yazılı ve kapsamı belirli olması, uzmanlar için önem taşır.
Bilişim Sistemi Kullanılarak Dolandırıcılık
Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması dolandırıcılığın nitelikli hâlidir. Sahte e-ticaret sitesi, sosyal medya satış hesabı, yatırım uygulaması, oltalama bağlantısı, sahte kiralık ev ilanı veya kamu kurumunu taklit eden ödeme sayfası bu kapsamda olabilir.
Dolandırıcılıkta yalnızca sisteme izinsiz erişim değil, mağdurun hileyle aldatılarak malvarlığı işlemi yapması bulunur. Fail mağdurun şifresini ele geçirip hesaptaki parayı doğrudan aktarırsa bilişim yoluyla hırsızlık, kart suçu veya sistem müdahalesi gündeme gelebilir. Mağdur hileli yönlendirmeyle parayı kendisi gönderirse dolandırıcılık değerlendirilir.
Kişisel Verilerin Kaydedilmesi ve Yayılması
Hukuka aykırı olarak kişisel veri kaydetmek TCK 135; kişisel veriyi hukuka aykırı biçimde başkasına vermek, yaymak veya ele geçirmek TCK 136 kapsamında suç oluşturabilir. Kimlik bilgileri, adres, telefon, sağlık verisi, fotoğraf, konum ve kullanıcı bilgileri somut duruma göre kişisel veridir.
Bir veri ihlalinin aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında idari sorumluluk doğurması mümkündür. Ceza soruşturması ile Kişisel Verileri Koruma Kuruluna şikâyet birbirinden farklı süreçlerdir. Veri sorumlusunun güvenlik tedbirlerini almaması idari yaptırım ve tazminat sorumluluğu doğurabilir.
Haberleşmenin ve Özel Hayatın Gizliliği
E-posta, mesaj veya telefon konuşmasının tarafı olmayan kişinin iletişimi kaydetmesi, ifşa etmesi veya ele geçirmesi haberleşmenin gizliliğini ihlal suçunu oluşturabilir. Kişinin özel yaşam alanına ilişkin görüntü veya sesleri hukuka aykırı biçimde kaydetmek ya da yaymak da özel hayatın gizliliğini ihlal kapsamındadır.
Bir yazışmanın tarafı olmak, içeriği her koşulda sınırsız biçimde yayımlama hakkı vermez. Mesajın delil olarak yetkili makama sunulması ile sosyal medyada ifşa edilmesi farklıdır. İfşa, kişisel veri ve hakaret suçlarıyla birlikte değerlendirilebilir.
Sosyal Medya Hesabının Ele Geçirilmesi
Hesabın şifresini değiştirerek sahibinin erişimini engellemek, sisteme girme ve sistemi engelleme suçlarını gündeme getirebilir. Hesaptan başkalarına mesaj atılması, para istenmesi, kişisel fotoğrafların yayılması veya hakaret paylaşılması hâlinde ek suçlar oluşabilir.
Mağdur hesabın ele geçirildiğini fark ettiğinde platformun hesap kurtarma mekanizmasını kullanmalı, e-posta ve telefon şifrelerini değiştirmeli, iki aşamalı doğrulamayı etkinleştirmeli ve oturumları kapatmalıdır. Ekran görüntüsü, platform bildirimleri, giriş e-postaları ve bağlantılar korunarak savcılığa başvurulabilir.
Bilişim Suçlarında Delil Toplama
IP adresi, port bilgisi, zaman damgası, cihaz kimliği, trafik kaydı, kullanıcı hesabı ve banka hareketleri dijital soruşturmalarda kullanılır. IP adresi tek başına kişinin klavyeyi kullanan fail olduğunu kesin biçimde göstermeyebilir. Ortak Wi-Fi, kurumsal ağ, dinamik IP, VPN veya cihaz paylaşımı ihtimalleri araştırılmalıdır.
Dijital materyalde adli kopya alınması, hash değerinin kaydedilmesi ve incelemenin kopya üzerinde yapılması delil bütünlüğünü korur. Ekran görüntüleri kolayca değiştirilebildiğinden kaynağın doğrulanması gerekir. Bulut verileri ve yurt dışındaki platform kayıtları için hizmet sağlayıcılardan bilgi talebi veya adli yardımlaşma gerekebilir.
Log kayıtlarının saklama süresi sınırlı olabileceği için mağdurun hızlı başvurması önemlidir. Savcılıktan platforma veya operatöre veri koruma talebi gönderilmesi istenebilir. Kişinin kendi başına karşı sisteme girerek delil toplamaya çalışması hukuka aykırı olabilir.
Arama, Elkoyma ve Telefon İncelemesi
Telefon veya bilgisayara el konulması, içeriğin sınırsız araştırılmasına izin vermez. Ceza Muhakemesi Kanunu’ndaki arama, kopyalama ve elkoyma şartları uygulanır. Kararın kapsamı, hangi veri için inceleme yapılacağı ve cihazın iade süresi ölçülü olmalıdır.
Dijital inceleme raporunda kullanılan yöntem, bulunan dosyanın oluşturulma ve değiştirilme tarihleri, silinmiş veri olup olmadığı ve kullanıcıyla bağlantısı açıklanmalıdır. Cihazda bir dosyanın bulunması, kişinin onu bilerek oluşturduğu veya kullandığı anlamına gelmeyebilir. Zararlı yazılım, otomatik indirme ve uzaktan erişim ihtimalleri uzman incelemesi gerektirir.
Şikâyet Süresi ve Soruşturma
Türk Ceza Kanunu’nun 243, 244, 245 ve 245/A maddelerinde düzenlenen doğrudan bilişim suçları kural olarak resen soruşturulur; soruşturmanın başlaması için mağdurun usulüne uygun şikâyeti şart değildir. Bununla birlikte aynı olay hakaret, özel hayatın gizliliğini ihlal, haberleşmenin gizliliğini ihlal veya başka bir suç da oluşturuyorsa her suçun takip ve şikâyet rejimi ayrı değerlendirilir.
Şikâyete bağlı eşlik eden bir suç bulunması hâlinde genel şikâyet süresi, fiilin ve failin öğrenilmesinden itibaren altı aydır. Failin anonim hesap kullandığı olaylarda öğrenme tarihi somut delillere göre belirlenir. Ancak bilişim delillerinin kısa sürede silinebilmesi nedeniyle fail bilinmese veya doğrudan bilişim suçu resen takip edilse dahi başvurunun geciktirilmemesi gerekir.
Mağdurun Yapması Gerekenler
Mağdur öncelikle hesabı veya cihazı güvenli hâle getirmeli, banka ve platformlara bildirim yapmalı ve delilleri korumalıdır. Şifreler güvenilir başka bir cihazdan değiştirilmelidir. Uzaktan erişim programları kaldırılmalı, ancak teknik inceleme yapılacaksa cihaz sıfırlanmadan önce uzman görüşü alınmalıdır.
Savcılık başvurusunda kullanıcı adları, bağlantılar, tarih-saat, IP bildirimleri, banka dekontları ve zarar açıklanmalıdır. Para transferi varsa alıcı hesaplara tedbir talep edilebilir. Kişisel veri ihlali varsa ilgili veri sorumlusuna ve şartları bulunuyorsa Kişisel Verileri Koruma Kurumuna başvuru değerlendirilebilir.
Şüpheli veya Sanığın Savunması
Bilişim dosyalarında hesap veya hattın adına kayıtlı olması, failin kesin olarak o kişi olduğunu göstermeyebilir. Cihazı kullanan kişiler, şifre paylaşımı, hesap ele geçirilmesi, IP atama kayıtları ve oturum verileri araştırılmalıdır. Teknik bilirkişi raporu yalnızca sonuç cümlesiyle değil, yöntem ve ham veriler yönünden incelenmelidir.
Yetki bulunduğu, rıza verildiği, erişimin yanlışlıkla gerçekleştiği veya kastın olmadığı savunmaları somut belgeyle desteklenmelidir. İşten ayrılma tarihi, sistem yöneticisinin verdiği yetki, sızma testi sözleşmesi ve erişim logları önem taşıyabilir. Delilin hukuka aykırı elde edilmesi de ayrıca ileri sürülebilir.
Sık Sorulan Sorular
Birinin Instagram hesabına şifresini bilerek girmek suç mudur?
Hesap sahibinin geçerli rızası yoksa veya verilen izin sona ermişse bilişim sistemine girme suçu oluşabilir. Şifrenin daha önce paylaşılmış olması süresiz yetki vermez.
IP adresi tek başına mahkûmiyet için yeterli midir?
Çoğu durumda IP yalnızca bağlantıyı gösterir. Kullanıcı, cihaz, zaman, port ve diğer delillerle desteklenmesi gerekir.
Sahte alışveriş sitesi hangi suçu oluşturur?
Mağdur hileyle para göndermişse bilişim sistemi kullanılarak nitelikli dolandırıcılık gündeme gelebilir. Kart bilgileri kullanılmış veya sisteme girilmişse ek suçlar oluşabilir.
Siber güvenlik testi yapmak suç mudur?
Sistem sahibinin açık ve kapsamı belirli izniyle yapılan test hukuka uygun olabilir. Yetki sınırının aşılması veya gerçek verilerin izinsiz alınması ceza sorumluluğu doğurabilir.
Hukuki Değerlendirme
Bilişim suçlarında hukuki nitelendirme, teknolojik işlemin nasıl gerçekleştiğinin doğru anlaşılmasına bağlıdır. Aynı olay sisteme girme, veri bozma, kart suçu, dolandırıcılık ve kişisel veri suçlarından birini veya birkaçını oluşturabilir. IP ve ekran görüntüsü gibi tekil deliller kesin sonuç olarak kabul edilmemeli; dijital delil zinciri ve kullanıcı bağlantısı teknik olarak doğrulanmalıdır. Bu içerik genel bilgilendirme niteliğindedir; belirli bir olayda cihaz, log, platform ve banka kayıtlarının uzmanlıkla incelenmesi gerekir.