Bilişim Sistemlerine Yönelik Sabotaj Eylemlerinin Hukuki Niteliği
Teknolojinin iş hayatının ve günlük yaşamın merkezine yerleşmesi, ceza hukukunda da yeni koruma mekanizmalarının doğmasını zorunlu kılmıştır. 5237 sayılı Türk Ceza Kanunu’nun (TCK) “Bilişim Alanında Suçlar’’ başlıklı bölümünde yer alan TCK madde 244, bilişim sistemlerinin işleyişini ve bu sistemlerde yer alan verilerin bütünlüğünü güvence altına almayı hedefler. Kanun koyucu, bu madde ile sadece sisteme yetkisiz erişimi değil, sistemin işleyişine müdahale edilmesini ve veriler üzerinde izinsiz tasarrufta bulunulmasını da cezalandırmaktadır.
Söz konusu suç, uygulamada sıklıkla siber saldırılar, veri hırsızlığı, şirket veri tabanlarının eski çalışanlar tarafından silinmesi veya web sitelerinin erişilemez hale getirilmesi (DDoS saldırıları gibi) şeklinde karşımıza çıkar. Maddenin birinci fıkrasında bir bilişim sisteminin işleyişinin engellenmesi veya bozulması yaptırıma bağlanırken; ikinci fıkrasında ise sistemdeki verilerin yok edilmesi, değiştirilmesi, silinmesi, erişilmez kılınması veya sisteme veri yerleştirilmesi eylemleri düzenlenmiştir. Bu yönüyle suç, çok boyutlu bir teknik ve hukuki inceleme gerektirir.
Uygulamada Sık Karşılaşılan Sorunlar ve Usuli Hatalar
Bilişim suçlarının soruşturma ve kovuşturma aşamalarında en sık karşılaşılan hata, dijital delillerin usulüne uygun şekilde elde edilmemesi ve korunmamasıdır. Ceza Muhakemesi Kanunu’nun (CMK) 134. maddesi uyarınca, bilgisayarlarda, bilgisayar programlarında ve kütüklerinde arama, kopyalama ve elkoyma işlemlerinin yapılabilmesi için mutlak surette hakim kararı gerekmektedir. Kolluk kuvvetlerinin bu usule riayet etmeden, doğrudan bilgisayar kasalarına veya sunuculara el koyarak imaj (kopya) almaması, elde edilen tüm delilleri hukuka aykırı hale getirir.
Bir diğer önemli usul hatası ise, şirket içi anlaşmazlıklarda işten ayrılan personelin bilgisayarında yapılan incelemelerin tek taraflı uzman raporlarına dayandırılmasıdır. Sanığın veya şüphelinin gıyabında, hash (özet) değerleri alınmadan incelenen dijital materyallerin, sonradan değiştirilmediği veya manipüle edilmediği garanti edilemez. Bu durum, şüpheden sanık yararlanır ilkesinin ihlaline yol açmaktadır.
Özellikle bankacılık altyapılarına yönelik müdahalelerde, eylemin niteliği doğru tayin edilmelidir. Eğer sisteme müdahale edilerek haksız bir menfaat temin edilmişse, TCK 244/4 maddesi uyarınca daha ağır cezayı gerektiren nitelikli hal veya somut olayın özelliklerine göre TCK 158/1-f Bilişim Sistemleri Aracılığıyla Nitelikli Dolandırıcılık suçu gündeme gelecektir. Bu iki suç tipi arasındaki sınırın doğru çizilmesi, sanığın alacağı ceza miktarını doğrudan etkilemektedir.
Yargıtay Kararları Işığında Suçun Somut Sınırları ve Kriterleri
Yargıtay Ceza Genel Kurulu ve ilgili ceza daireleri, bilişim sistemini engelleme ve verileri yok etme suçlarında cezai sorumluluğun belirlenmesi için son derece katı ve teknik somut kriterler geliştirmiştir. Bu kriterlerden en önemlileri şunlardır:
- IP Adresinin Tek Başına Yetersizliği Kriteri: Yargıtay, suçun işlendiği tespit edilen IP (Internet Protocol) adresinin sanık adına kayıtlı olmasını tek başına mahkumiyet için yeterli görmemektedir. Mahkemelerin, söz konusu IP adresine bağlı kablosuz ağın şifresiz olup olmadığını, üçüncü kişilerin bu ağa izinsiz erişim sağlayıp sağlayamayacağını ve bilgisayar üzerinde fiziksel/uzaktan kontrol analizi (log kayıtları) yapılmasını zorunlu kılmaktadır.
- Sistemin İşlevselliğini Yitirmesi Şartı: TCK 244/1 maddesindeki suçun oluşabilmesi için, bilişim sisteminin işleyişinin kısmen veya tamamen engellenmiş ya da bozulmuş olması gerekir. Yargıtay kararlarında, sisteme sadece girilmiş olmasının bu suçu değil, TCK 243. maddesindeki bilişim sistemine sızma suçunu oluşturacağı, 244. madde için mutlaka sistemin çalışmasında bir aksama veya verilerde bir bozulma meydana gelmesi gerektiği vurgulanmaktadır.
- Veri Değiştirme ve Yok Etmede Menfaat Unsuru: Yargıtay 8. Ceza Dairesi emsal kararlarında, TCK 244/2 kapsamında bir verinin silinmesi veya değiştirilmesi eyleminin cezalandırılabilmesi için, sanığın bu işlemi kasıtlı olarak gerçekleştirdiğinin şüpheye yer bırakmayacak şekilde ispatlanması gerektiğini belirtir. Hatalı güncellemeler, sistemsel çökmeler veya yetkilendirme hatalarından kaynaklanan veri kayıplarında kastın bulunmadığı kabul edilmektedir.
Siber Ceza Davalarında Savunma ve Hak Arama Stratejileri
Bilişim suçlarında iddia makamının sunduğu delilleri çürütmek ve hak kaybına uğramamak için profesyonel bir savunma stratejisi izlenmelidir. İlk olarak, dosyaya sunulan dijital delillerin MD5 veya SHA-1 hash değerleri incelenmelidir. Eğer el koyma anında bu değerler tespit edilip tutanağa bağlanmamışsa, delil bütünlüğünün bozulduğu yönünde güçlü bir usuli itiraz yapılmalıdır.
İkinci olarak, suçun işlendiği iddia edilen tarih ve saatteki log (erişim) kayıtları detaylıca analiz edilmelidir. Şüpheli veya sanığın o saatte başka bir konumda olduğunu gösteren baz istasyonu (HTS) kayıtları, iş yeri kamera görüntüleri veya üçüncü taraf yazılım logları mahkemeye sunularak suçsuzluk ispatlanabilir. Gerekirse, bağımsız adli bilişim uzmanlarından TCK 67. maddesi uyarınca uzman görüşü (mütalaa) alınarak mahkeme heyetine sunulmalıdır.
Ayrıca, ticari hayatta sıkça karşılaşılan eski çalışanların veri silme iddialarında, çalışanın o verileri silme yetkisinin bulunup bulunmadığı analiz edilmelidir. Eğer çalışanın iş tanımı gereği o verileri güncelleme veya silme yetkisi varsa, eylemin hukuka aykırılık boyutu ve kastı yeniden değerlendirilmelidir.
Sıkça Sorulan Sorular
TCK 244 suçunun cezası ne kadardır?
Bir bilişim sisteminin işleyişini engelleyen veya bozan kişi, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır. Bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez kılan kişi ise altı aydan üç yıla kadar hapis cezası alır. Bu eylemlerin bir banka veya kamu kurumuna ait sistem üzerinde gerçekleştirilmesi halinde ceza yarı oranında artırılır.
Şirket bilgisayarındaki dosyaları silmek suç mudur?
Evet, şirkete ait bilgisayarlardaki veya bulut sistemlerindeki verilerin yetkisiz bir şekilde silinmesi, değiştirilmesi veya erişilmez kılınması TCK 244/2 kapsamında verileri yok etme suçunu oluşturur. İşten ayrılırken projeleri veya müşteri datalarını silen çalışanlar bu suçtan yargılanmaktadır.
IP adresi tespiti mahkumiyet için yeterli midir?
Hayır, Yargıtay'ın yerleşik içtihatlarına göre sadece IP adresi tespiti cezalandırma için yeterli değildir. IP adresinin başkaları tarafından kullanılıp kullanılmadığı, modem hat güvenliği ve bilgisayarda yapılan adli bilişim incelemesi neticesinde sanığın o eylemi bizzat gerçekleştirdiği kesin olarak kanıtlanmalıdır.
Bu suçta etkin pişmanlık hükümleri uygulanır mı?
TCK 244. maddesinde düzenlenen suçlar için özel bir etkin pişmanlık hükmü yer almamaktadır. Ancak, eğer eylem sonucunda bir zarar meydana gelmişse ve bu zarar soruşturma veya kovuşturma aşamasında tamamen giderilirse, genel hükümler çerçevesinde cezada indirim yapılması veya hükmün açıklanlığının geri bırakılması (HAGB) kararı verilmesi mümkündür.
Hak Kayıplarını Önlemek İçin Atılması Gereken Adımlar
Bilişim sistemlerine yönelik suçlamalarla karşı karşıya kalındığında, sürecin başından itibaren teknik ve hukuki desteğin bir arada yürütülmesi hayati önem taşır. Kollukta verilecek ilk ifadeden önce mutlaka dijital materyallerin imajlarının usulüne uygun alınıp alınmadığı denetlenmelidir. Hatalı veya eksik adli bilişim incelemeleri, masum kişilerin uzun süreli hapis cezaları ile karşı karşıya kalmasına neden olabilir. Bu nedenle, ceza davası sürecinde savunmanın adli bilişim uzmanları ve alanında deneyimli ceza avukatları eşliğinde yapılandırılması, gerçeğin ortaya çıkarılması için en güvenli yoldur.