Bilişim sistemine girme ve sistemi engelleme suçları

Bilişim suçları, TCK'nın "Bilişim Alanında Suçlar" bölümünde düzenlenmiştir. Bölüm, 24/3/2016 tarihli 6698 sayılı Kanunla genişletilmiş; veri nakillerinin izlenmesi ve suç işlemeye yarayan araçların üretilmesi ayrı suçlar hâline getirilmiştir.

Sisteme hukuka aykırı girme

TCK m.243/1: bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye bir yıla kadar hapis veya adlî para cezası verilir.

İki seçimlik hareket vardır:

• Hukuka aykırı olarak girmek,
• Orada kalmaya devam etmek.

İkinci hareket önemlidir: giriş hukuka uygun olsa dahi, yetkinin sona ermesinden sonra sistemde kalınması suç oluşturur. İşten ayrılan bir çalışanın eski hesabıyla sisteme erişmeye devam etmesi bu kapsamda değerlendirilir.

Suçun oluşması için veriye zarar verilmesi gerekmez; yalnızca girme veya kalma yeterlidir.

Hukuka aykırılık unsuru, yetkinin bulunup bulunmadığıyla belirlenir. Bu nedenle dosyada, failin sisteme erişim yetkisinin kapsamı ve süresi belgelenmelidir: yetkilendirme kayıtları, iş sözleşmesi, gizlilik taahhütnamesi ve erişim logları bu ispatta kullanılır.

m.243/2 bir indirim öngörür: yukarıdaki fıkrada tanımlanan fiillerin bedeli karşılığı yararlanılabilen sistemler hakkında işlenmesi hâlinde, verilecek ceza yarı oranına kadar indirilir.

Bu fıkra, ücretli abonelik sistemlerine izinsiz erişimi daha hafif değerlendirir.

m.243/3 ağırlaşmış hâli düzenler: bu fiil nedeniyle sistemin içerdiği veriler yok olur veya değişirse, altı aydan iki yıla kadar hapis cezasına hükmolunur.

Burada verilerin yok olması veya değişmesi, failin doğrudan kastı olmasa dahi girme fiilinin sonucu olarak gerçekleşmiştir. Kasten veri bozma ise m.244/2 kapsamındadır.

Veri nakillerini izleme

TCK m.243/4 (24/3/2016 tarihli 6698 sayılı Kanunla eklenmiştir): bir bilişim sisteminin kendi içinde veya bilişim sistemleri arasında gerçekleşen veri nakillerini, sisteme girmeksizin teknik araçlarla hukuka aykırı olarak izleyen kişi, bir yıldan üç yıla kadar hapis cezası ile cezalandırılır.

Bu fıkranın ayırt edici unsuru "sisteme girmeksizin" ifadesidir. Fail sisteme girmemiş; ancak sistemler arasındaki veri akışını teknik araçlarla izlemiştir.

Uygulama alanı, ağ trafiğinin dinlenmesi ve araya girme yöntemleriyle veri akışının izlenmesidir. Ceza, m.243/1'deki basit girme suçundan belirgin biçimde ağırdır.

Sistemi engelleme, bozma, verileri yok etme

TCK m.244 dört ayrı fıkrada farklı fiilleri düzenler.

m.244/1: bir bilişim sisteminin işleyişini engelleyen veya bozan kişi, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır.

m.244/2: bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen kişi, altı aydan üç yıla kadar hapis cezası ile cezalandırılır.

İkinci fıkra altı ayrı hareket sayar:

• Bozmak
• Yok etmek
• Değiştirmek
• Erişilmez kılmak
• Sisteme veri yerleştirmek
• Var olan verileri başka bir yere göndermek

Son iki hareket özellikle dikkat çekicidir: veri yerleştirme ve veri gönderme de bu kapsamdadır. Verilerin kopyalanarak dışarı aktarılması bu fıkra kapsamında değerlendirilir.

m.244/3: bu fiillerin bir banka veya kredi kurumuna ya da bir kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlenmesi hâlinde, verilecek ceza yarı oranında artırılır.

m.244/4 tamamlayıcı bir hüküm getirir: yukarıdaki fıkralarda tanımlanan fiillerin işlenmesi suretiyle kişinin kendisinin veya başkasının yararına haksız bir çıkar sağlamasının başka bir suç oluşturmaması hâlinde, iki yıldan altı yıla kadar hapis ve beşbin güne kadar adlî para cezasına hükmolunur.

Bu fıkra tali niteliktedir: yalnızca fiil başka bir suç oluşturmuyorsa uygulanır. Örneğin fiil dolandırıcılık veya m.245 kapsamındaki kart suçlarını oluşturuyorsa, bu fıkra uygulanmaz.

Bu nedenle dosyada önce fiilin başka bir suç oluşturup oluşturmadığı denetlenmelidir.

Suç işlemeye yarayan araçlar

TCK m.245/A (6698 sayılı Kanunla eklenmiştir): bir cihazın, bilgisayar programının, şifrenin veya sair güvenlik kodunun; münhasıran bu Bölümde yer alan suçlar ile bilişim sistemlerinin araç olarak kullanılması suretiyle işlenebilen diğer suçların işlenmesi için yapılması veya oluşturulması durumunda, bunları imal eden, ithal eden, sevk eden, nakleden, depolayan, kabul eden, satan, satışa arz eden, satın alan, başkalarına veren veya bulunduran kişi, bir yıldan üç yıla kadar hapis ve beşbin güne kadar adli para cezası ile cezalandırılır.

Bu madde, hazırlık hareketlerini bağımsız suç hâline getirir. Kapsamı geniştir: imal, ithal, sevk, nakil, depolama, kabul, satış, satışa arz, satın alma, başkasına verme ve bulundurma sayılmıştır.

Ancak maddede kritik bir sınırlayıcı ifade vardır: "münhasıran". Araç, yalnızca bu suçların işlenmesi için yapılmış veya oluşturulmuş olmalıdır.

Bu, savunmanın merkezidir: güvenlik testi, sistem yönetimi veya akademik araştırma gibi meşru amaçlarla da kullanılabilen çift kullanımlı araçlar bakımından "münhasıran" koşulu tartışılır. Aracın meşru kullanım alanı bulunduğu ortaya konabilirse madde uygulanmamalıdır.

Tüzel kişiler

TCK m.246: bu bölümde yer alan suçların işlenmesi suretiyle yararına haksız menfaat sağlanan tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunur.

Kurumsal bağlamda işlenen bilişim suçlarında, suçtan yarar sağlayan şirket bakımından ayrı bir yaptırım gündeme gelir.

Dijital delil ve CMK m.134

Bilişim suçu dosyalarında delil elde etme usulü, CMK m.134'e tabidir.

m.134/1: bir suç dolayısıyla yapılan soruşturmada, somut delillere dayanan kuvvetli şüphe sebeplerinin varlığı ve başka surette delil elde etme imkânının bulunmaması hâlinde, hâkim veya gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısı tarafından şüphelinin kullandığı bilgisayar ve bilgisayar programları ile bilgisayar kütüklerinde arama yapılmasına, kopya çıkarılmasına ve bu kayıtların çözülerek metin hâline getirilmesine karar verilir.

İki koşul birlikte aranır: somut delillere dayanan kuvvetli şüphe ve başka surette delil elde etme imkânının bulunmaması. İkinci koşul, bu tedbirin ikincil olduğunu gösterir.

25/7/2018 tarihli 7145 sayılı Kanunla eklenen üç cümle, savcı kararlarına bir denetim getirir: Cumhuriyet savcısı tarafından verilen kararlar yirmi dört saat içinde hâkim onayına sunulur. Hâkim kararını en geç yirmi dört saat içinde verir. Sürenin dolması veya hâkim tarafından aksine karar verilmesi hâlinde çıkarılan kopyalar ve çözümü yapılan metinler derhâl imha edilir.

Bu süreler savunma bakımından denetim noktasıdır: savcı kararı süresinde hâkim onayına sunulmamışsa veya hâkim süresinde karar vermemişse, elde edilen kopyaların imha edilmesi gerekir.

m.134/2: şifrenin çözülememesi, gizlenmiş bilgilere ulaşılamaması veya işlemin uzun sürecek olması hâlinde bu araç ve gereçlere elkonulabilir. Şifre çözümü yapılıp kopyalar alındığında elkonulan cihazlar gecikme olmaksızın iade edilir.

m.134/3: elkoyma işlemi sırasında, sistemdeki bütün verilerin yedeklemesi yapılır.

m.134/4: alınan yedekten bir kopya çıkarılarak şüpheliye veya vekiline verilir ve bu husus tutanağa geçirilerek imza altına alınır.

Bu fıkra, müdafi bakımından somut bir hak doğurur: yedeğin bir kopyası şüpheliye veya vekiline verilmek zorundadır. Verilmemişse bu husus tutanağa geçirilmeli ve sonraki aşamada ileri sürülmelidir.

m.134/5: bilgisayar veya bilgisayar kütüklerine elkoymaksızın da, sistemdeki verilerin tamamının veya bir kısmının kopyası alınabilir. Kopyası alınan veriler kâğıda yazdırılarak tutanağa kaydedilir ve ilgililer tarafından imza altına alınır.

Hukuka aykırı delilin reddi

CMK m.206/2: ortaya konulması istenilen bir delil, delil kanuna aykırı olarak elde edilmişse reddolunur.

CMK m.217/2: yüklenen suç, hukuka uygun bir şekilde elde edilmiş her türlü delille ispat edilebilir.

Bu iki hüküm birlikte, m.134'teki usule uyulmadan elde edilen dijital delillerin kullanılamayacağını gösterir. Bilişim dosyalarında savunmanın ilk hattı, delilin elde ediliş usulünün denetlenmesidir.

Örnek senaryo

Bir şirketten ayrılan çalışan, kendisine ait olan ancak yetkisi sona ermiş hesapla şirket sistemine erişmiş; müşteri listesini kendi e-posta adresine göndermiştir.

Değerlendirme:

1. Sisteme girme. Yetki sona erdiğinden erişim hukuka aykırıdır; m.243/1 kapsamında girme veya kalmaya devam etme suçu oluşur.
2. Veri gönderme. Müşteri listesinin dışarı aktarılması, m.244/2'deki "var olan verileri başka bir yere gönderen" hareketini oluşturur; ceza altı aydan üç yıla kadar hapistir.
3. Yarar sağlama. Fiil suretiyle haksız çıkar sağlanmış ve bu başka bir suç oluşturmuyorsa m.244/4 uyarınca ceza iki yıldan altı yıla çıkar. Fiil başka bir suç oluşturuyorsa bu fıkra uygulanmaz.
4. Yetki kapsamı. Savunma bakımından, erişim yetkisinin gerçekten sona erip ermediği; yetkilendirme kayıtları, işten ayrılma tarihi ve hesap kapatma işlemleriyle denetlenir.
5. Kişisel veri boyutu. Müşteri listesi kişisel veri içeriyorsa, KVKK ve TCK'nın kişisel verilere ilişkin hükümleri ayrıca değerlendirilir.
6. Tüzel kişi. Fiilden başka bir şirket yarar sağlamışsa m.246 uyarınca güvenlik tedbirleri gündeme gelir.
7. Delil. Erişim logları ve e-posta kayıtları, CMK m.134'teki usule uygun elde edilmelidir. Savcı kararı yirmi dört saat içinde hâkim onayına sunulmamışsa kopyaların imhası gerekir.
8. Yedek kopyası. m.134/4 uyarınca yedeğin bir kopyasının şüpheliye veya vekiline verilip verilmediği denetlenir.

Sık yapılan hatalar

• Veri zararı olmadan suç oluşmayacağının sanılması. m.243/1 için girme veya kalma yeterlidir.
• "Kalmaya devam etme" hareketinin gözden kaçırılması. Yetkinin sona ermesinden sonraki erişim de suçtur.
• m.243/4'ün bilinmemesi. Sisteme girmeksizin veri nakillerini izleme ayrı ve daha ağır bir suçtur.
• m.244/4'ün her hâlde uygulanacağının sanılması. Fıkra talidir; fiil başka bir suç oluşturuyorsa uygulanmaz.
• m.245/A'da "münhasıran" koşulunun atlanması. Çift kullanımlı araçlarda bu koşul tartışılmalıdır.
• CMK m.134'teki iki koşulun denetlenmemesi. Kuvvetli şüphe ve başka yolla delil elde edilememesi birlikte aranır.
• Savcı kararının hâkim onayına sunulma süresinin kontrol edilmemesi. Süre aşımında kopyalar imha edilir.
• Yedek kopyasının talep edilmemesi. m.134/4 bunu zorunlu kılar.