Zararlı Yazılım Suçunun Hukuki Altyapısı
Teknolojinin hızla gelişmesi, ceza hukuku normlarının da dijital dünyaya uyarlanmasını zorunlu kılmıştır. Bu kapsamda, 6526 sayılı Kanun ile Türk Ceza Kanunu’na eklenen TCK 245/A maddesi, bilişim sistemlerinin güvenliğini tehlikeye düşüren zararlı yazılımları bağımsız bir suç tipi olarak düzenlemiştir. Kanun koyucu, bir cihazın veya sistemin işleyişini bozmak, verileri ele geçirmek ya da sistemi engellemek amacıyla özel olarak hazırlanan programların ticari veya bireysel amaçlarla dolaşıma sokulmasını cezalandırmayı hedeflemektedir.
İlgili madde uyarınca; bir cihazın, bilgisayar programının, şifrenin veya güvenlik kodunun münhasıran bu suçları işlemek amacıyla yapılması, ithal edilmesi, sevk edilmesi, nakledilmesi, satılması, satın alınması, kabul edilmesi veya bulundurulması fiilleri suçun maddi unsurunu oluşturur. Bu suç için öngörülen hapis cezası bir yıldan üç yıla kadar, adli para cezası ise beş yüz güne kadar olarak belirlenmiştir.
Uygulamada Sık Karşılaşılan Usul Hataları ve Teknik Eksiklikler
Bilişim ceza davalarında en sık yapılan hata, dijital delillerin toplanması ve muhafaza edilmesi aşamasında CMK 134. maddesi hükümlerine aykırı hareket edilmesidir. Soruşturma makamlarının, şüphelinin bilgisayar, telefon veya harici depolama birimlerinde arama ve kopyalama işlemi yaparken imaj (yansıma) alma kuralına uymaması, delillerin sıhhatini tartışmalı hale getirmektedir. MD5 veya SHA-1 gibi kriptografik algoritma değerleri (hash değerleri) zamanında tespit edilmeyen dijital materyaller, sonradan müdahaleye açık hale geldiği için hükme esas alınamaz.
Bir diğer önemli usul hatası ise "münhasıran" (sadece ve yalnızca) zarar verme amacıyla üretilmemiş, çift kullanımlı (dual-use) yazılımların doğrudan suç aleti olarak kabul edilmesidir. Örneğin, siber güvenlik uzmanlarının sızma testlerinde (penetrasyon testleri) kullandığı açık kaynak kodlu analiz araçları veya uzaktan yönetim programları, kötü niyetli kişilerce zarar vermek amacıyla da kullanılabilir. Ancak bu durum, söz konusu yazılımların TCK 245/A kapsamında kendiliğinden suç teşkil ettiği anlamına gelmez.
Yargıtay'ın Güncel Kriterleri ve Somut Karar Esasları
Yargıtay Ceza Daireleri, bilişim suçlarında teknik bilirkişi raporlarının niteliğine büyük önem vermektedir. Yüksek mahkemenin yerleşik içtihatlarına göre, bir programın bu suçun konusunu oluşturabilmesi için şu üç temel kriteri bir arada taşıması gerekmektedir:
- Münhasıran Suç İşleme Amacı: Yazılımın, yasal veya meşru hiçbir kullanım alanının bulunmaması, sadece sisteme zarar verme veya yetkisiz erişim sağlama amacıyla tasarlanmış olması gerekir.
- Teknik Bilirkişi Raporunun Zorunluluğu: Mahkemenin sadece kolluk kuvvetlerinin hazırladığı ön inceleme raporlarıyla yetinmemesi; TÜBİTAK, Adli Tıp Kurumu veya üniversitelerin bilgisayar mühendisliği bölümlerinden akademik ve teknik düzeyde uzman raporu alması zorunludur.
- Kastın Yoğunluğu ve Özel Kast: Failin, ele geçirilen dijital aracın zararlı niteliğini bilmesi ve bu aracı bilerek, isteyerek zilyetliğinde bulundurması veya yayması aranır.
Yargıtay, sanığın bilgisayarında sadece bir "truva atı" (trojan) veya "keylogger" bulunmasını cezalandırma için yeterli görmemekte, bu programın sanık tarafından hangi amaçla elde tutulduğunun ve sisteme entegre edilip edilmediğinin somut delillerle ispatlanmasını aramaktadır. Örneğin, şüphelinin siber güvenlik alanında eğitim aldığı veya çalıştığı durumlarda, bu dosyaların sadece araştırma/geliştirme amacıyla bulundurulduğu savunması hayatın olağan akışına uygun kabul edilebilmektedir.
Ceza Yargılamasında Etkin Savunma Stratejileri
Zararlı yazılım iddialarıyla karşı karşıya kalan bir şüphelinin veya sanığın ceza yargılamasında izlemesi gereken en önemli strateji, ele geçirilen yazılımın işlevsel analizini yaptırmaktır. Savunma makamı, ceza davası devam ederken uzman mütalaası (CMK 179 ve 293. maddeleri kapsamında) alarak mahkemeye sunmalıdır. Bu mütalaa ile yazılımın meşru kullanım senaryoları ortaya konulmalı, "münhasıran" zarar verme amacı taşımadığı teknik verilerle kanıtlanmalıdır.
Ayrıca, dijital materyallerin el koyma anındaki hash değerleri ile adli bilişim incelemesi sırasındaki hash değerlerinin karşılaştırılması talep edilmelidir. Eğer değerler arasında uyuşmazlık varsa, zincirleme veri güvenliği (chain of custody) bozulmuş demektir. Bu durumda, vergi davalarında re'sen araştırma ilkesi ve delil sınırları konusundaki katı delil kurallarına benzer şekilde, ceza yargılamasında da hukuka aykırı delillerin hükme esas alınamayacağı ilkesi ileri sürülmelidir. Şüphelinin bilgisayarına dışarıdan bir siber saldırı sonucu zararlı yazılımın bulaştırılmış olma ihtimali (zombi bilgisayar / botnet üyesi olma durumu) de mutlaka log kayıtları incelenerek araştırılmalıdır.
Sıkça Sorulan Sorular
TCK 245/A suçu şikayete tabi midir?
Hayır, bu suç kamu güvenliğini ve bilişim sistemlerinin işleyişini koruduğu için şikayete tabi değildir. Cumhuriyet savcılıkları tarafından resen soruşturulur ve dava açılır. Herhangi bir şikayetten vazgeçme davanın düşmesine yol açmaz.
Zararlı yazılımı bilgisayarda sadece bulundurmak suç oluşturur mu?
Kanun metninde "bulundurma" fiili de cezalandırılmaktadır. Ancak buradaki bulundurmanın cezalandırılabilmesi için yazılımın münhasıran suç işleme amacıyla üretilmiş olması ve failin bu durumu bilerek, yani doğrudan kastla hareket etmesi gerekir. Kazara indirilen veya sisteme virüs yoluyla bulaşan dosyalar cezai sorumluluk doğurmaz.
Bu suç kapsamında adli kontrol veya tutuklama kararı verilebilir mi?
Suçun ceza üst sınırı üç yıl olduğundan, tutuklama kararı verilmesi teorik olarak mümkün olsa da uygulamada genellikle adli kontrol tedbirlerine (yurt dışı çıkış yasağı, belirli yerlere başvuru vb.) hükmedilmektedir. Ancak somut olayın vahameti ve delillerin karartılma şüphesi varsa tutuklama yoluna gidilebilir.
Hükmün Açıklanmasının Geri Bırakılması (HAGB) kararı verilebilir mi?
Sanığın sabıkasız olması, mahkemedeki tutumu ve cezanın iki yıl veya daha az süreli hapis cezası olarak belirlenmesi durumunda, CMK 231. maddesindeki diğer şartlar da mevcutsa Hükmün Açıklanmasının Geri Bırakılması (HAGB) kararı verilmesi mümkündür.
Hak Kayıplarını Önlemek İçin Somut Tavsiyeler
Bilişim sistemlerine yönelik iddialarla soruşturma altına alındığınızda, kolluk kuvvetlerine dijital cihazlarınızı teslim etmeden önce mutlaka el koyma tutanağına cihazların imajlarının o esnada alınıp alınmadığını şerh düşmelisiniz. Teknik bilgi gerektiren bu süreçlerde, ham verilerin adli bilişim uzmanları eşliğinde analiz edilmesi hayati önem taşır. Hukuki sürecin başından itibaren profesyonel bir ceza avukatının hukuki desteğinden faydalanmak, telafisi imkansız hak kayıplarının önüne geçecektir.