Bilişim Sistemlerine Sızma Suçunda 10 Önemli Detay

Bilişim Sistemlerine Sızma Suçunda 10 Önemli Detay. Bilişim teknolojilerinin küresel ölçekte toplumsal, ekonomik ve bireysel faaliyetlerin merkezine yerleşmesi, ceza hukukunun bu yeni gerçekliğe uyum sağlamasını zorunlu kılmıştır. Türk Ceza Kanunu (TCK), “Bilişim Alanında Suçlar” başlığı altında, dijital varlıkların korunmasına yönelik kapsamlı bir koruma kalkanı oluşturmuştur. Bu koruma kalkanının temel taşını ise 5237 sayılı TCK’nın 243. maddesinde düzenlenen “Bilişim Sistemine Girme” suçu oluşturmaktadır. Genellikle “sızma” veya “hacking” olarak adlandırılan bu fiil, bilişim sistemlerinin güvenliğine, verilerin mahremiyetine ve sistem üzerindeki hak sahiplerinin tasarruf yetkisine yönelik en temel saldırı biçimidir. Bilişim sistemine sızma suçu, yalnızca teknik bir erişim ihlali değil, aynı zamanda özel hayatın gizliliği, haberleşme özgürlüğü ve mülkiyet haklarının dijital dünyadaki izdüşümüdür.

1. Bilişim Sistemi Kavramının Teknik ve Hukuki Sınırları

Bilişim sistemine sızma suçunun unsurlarını analiz etmeden önce, suçun konusunu teşkil eden “bilişim sistemi” kavramının netleştirilmesi gerekmektedir. Yargıtay’ın yerleşik içtihatlarına göre bilişim sistemi; verileri toplayıp yerleştirdikten sonra bunları otomatik işlemlere tabi tutma olanağı veren manyetik sistemlerdir. Bu tanım, sistemin hem donanımsal hem de yazılımsal unsurlarını kapsayan geniş bir perspektif sunmaktadır. Bilişim alanı ise, bu sistemlerin bir araya gelerek oluşturduğu, bilgilerin depolandığı ve işlendiği dijital ekosistemi ifade eder.

Günümüz teknolojisinde bir cihazın bilişim sistemi olarak kabul edilmesi için sadece masaüstü bir bilgisayar olması gerekmemektedir. Akıllı telefonlar, tabletler, ağ sunucuları (server), yönlendiriciler (router), akıllı televizyonlar ve nesnelerin interneti (IoT) kapsamındaki akıllı ev aletleri, bünyelerinde veri işleme kapasitesi barındırdıkları sürece TCK 243 anlamında birer “bilişim sistemi” olarak kabul edilirler. Hukuki açıdan önemli olan, sistemin dışarıdan erişime kapalı olması ve belirli bir güvenlik eşiğiyle (şifre, biyometrik veri, ağ kısıtlaması vb.) korunuyor olmasıdır. Herkesin erişimine açık olan, herhangi bir engel barındırmayan web sayfalarına giriş yapılması bu suçu oluşturmaz.

Bilişim sistemine sızma suçunda, sistemin bütününe girilmesi şart değildir; sistemin sadece bir kısmına, örneğin bir kullanıcı hesabına, belirli bir klasöre veya bir veri tabanına yetkisiz erişim sağlanması da suçun oluşumu için yeterlidir. Kanun koyucu, sistemin mahremiyetine yönelik en küçük bir ihlali dahi cezai yaptırıma bağlayarak dijital mülkiyetin bütünlüğünü korumayı amaçlamıştır.

2. Seçimlik Hareketler: Sisteme Girme ve Orada Kalma Fiilleri

TCK 243. maddesinin birinci fıkrası, suçu iki seçimlik hareketle tanımlamıştır: bilişim sistemine “hukuka aykırı olarak girmek” veya “orada kalmaya devam etmek”. 24 Mart 2016 tarihinde yürürlüğe giren 6698 sayılı Kanun ile yapılan değişiklikle, madde metnindeki “ve” ibaresi “veya” olarak değiştirilmiştir. Bu değişiklik, suçun oluşumu için hem sisteme girmeyi hem de orada kalmayı zorunlu kılan eski görüşü ortadan kaldırmış; sadece sisteme girilmesinin dahi suçun tamamlanması için yeterli olduğunu kesinleştirmiştir.

Sisteme girme fiili, yetkisiz bir kişinin sistemin koruma önlemlerini aşarak veri işlemeye elverişli manyetik alana dahil olmasıdır. Bu fiil “ani suç” niteliğindedir; yani sisteme giriş yapıldığı anda suç tamamlanmış olur. Giriş yöntemi olarak şifre çalma, sosyal mühendislik, brute-force saldırıları veya sistem açıklarından faydalanma gibi teknikler kullanılabilir. Önemli olan, failin sistemde oturum açması veya veri akışına dahil olmasıdır.

Sistemde kalmaya devam etme fiili ise “mütemadi (kesintisiz) suç” niteliğindedir. Bu hareket, kişinin başlangıçta rızayla veya teknik bir hata sonucu girdiği bir sistemde, rıza geri alındıktan veya hata fark edildikten sonra çıkmaması durumunda ortaya çıkar. Örneğin, arkadaşının bilgisayarında oturumu açık kalan bir sosyal medya hesabına bakan kişi, hesaptan çıkmak yerine mesajları okumaya devam ederse “sistemde kalma” suçunu işlemiş olur. Bu suçun temadi etmesi, iştirak hükümlerinin uygulanması ve zamanaşımı sürelerinin başlangıcı açısından büyük önem arz eder.

3. Hukuka Aykırılık ve Rıza Kavramının Sınırları

Bilişim sistemine sızma suçunun en kritik unsurlarından biri, eylemin “hukuka aykırı” olmasıdır. Eğer failin sisteme girmek için yasal bir dayanağı veya hak sahibinden aldığı geçerli bir rızası varsa, suç oluşmaz. Hukuka uygunluk nedenleri arasında en sık rastlanılanı “ilgilinin rızası”dır. Ancak ceza hukuku doktrininde rızanın geçerli olabilmesi için belirli şartların varlığı aranmaktadır.

Rıza, bilişim sistemi üzerinde tasarruf yetkisine sahip kişi tarafından verilmelidir. Ayrıca bu rıza, “aydınlatılmış” bir rıza olmalı ve failin sisteme giriş amacını kapsamalıdır. Örneğin, bir bilişim uzmanına sadece bilgisayarındaki teknik sorunu çözmesi için şifresini veren kişinin rızası, uzmanın kişisel yazışmaları okumasını kapsamaz. Eğer uzman, tamir amacı dışına çıkarak özel verilere erişirse, rıza sınırları aşıldığı için eylem hukuka aykırı hale gelecektir. Rıza, eylemden önce veya en geç eylem sırasında açıklanmalıdır; suç işlendikten sonra verilen icazet, fiili geçmişe etkili olarak hukuka uygun hale getirmez.

Sisteme sızma suçunda rıza tartışmalarının en yoğun yaşandığı alan eşler arası ilişkilerdir. Yargıtay, evlilik birliğinin taraflara birbirinin özel hayatına sınırsız müdahale hakkı vermediğini savunmaktadır. Bir eşin, diğerinin sosyal medya hesabına veya e-posta adresine gizlice girmesi, TCK 243 anlamında suç teşkil eder. Şifrenin ortak kullanılıyor olması veya bir kağıtta yazılı bırakılması, her zaman her amaçla giriş yapılabileceği anlamına gelmez.

4. Neticesi Sebebiyle Ağırlaşmış Hal: Veri Kaybı ve Değişimi

TCK 243. maddesinin üçüncü fıkrası, sisteme sızma fiilinin bir zarara yol açması durumunda cezanın artırılmasını öngörmektedir. Kanun koyucu, “bu fiil nedeniyle sistemin içerdiği veriler yok olur veya değişirse” ifadesiyle, suçun neticesi sebebiyle ağırlaşmış halini düzenlemiştir. Bu fıkranın uygulanabilmesi için failin temel kastı, sadece sisteme girmek veya orada kalmak olmalıdır; verileri yok etme veya değiştirme amacı taşıması gerekmez.

Eğer veri kaybı veya değişimi, failin sisteme giriş eyleminin bir “yan sonucu” olarak ortaya çıkmışsa, fail TCK 243/3 uyarınca cezalandırılır. Örneğin, bir veri tabanına sadece meraktan giren bir hacker’ın yanlış bir komut çalıştırması sonucu bazı verilerin silinmesi bu kapsamdadır. Ancak, failin doğrudan amacı verileri silmek veya bozmak ise, bu durumda TCK 244/2 maddesinde düzenlenen “Verileri Yok Etme veya Değiştirme” suçu oluşacaktır. Bu ayrım, failin manevi unsurunun (kastının) hangi yöne odaklandığının tespiti ile yapılır.

Bu fıkra kapsamında “veri” terimi, sistem içindeki her türlü soyut unsuru, dijital bilgiyi ve formatlanmış içeriği kapsar. Verilerin geri döndürülemez şekilde silinmesi (yok olma) ile verinin içeriğinin başkalaştırılması (değişme) arasında ceza açısından fark gözetilmemiştir. Uygulamada, failin sisteme girmesiyle birlikte otomatik olarak tetiklenen bazı güvenlik yazılımlarının verileri silmesi dahi, failin girişi ile sonuç arasında illiyet bağı olduğu gerekçesiyle bu madde kapsamında değerlendirilebilir.

5. Bedeli Karşılığı Yararlanılan Sistemler ve Ceza İndirimi

TCK 243. maddesinin ikinci fıkrası, bilişim hukukunda özgün bir indirim nedeni öngörmüştür: “Tanımlanan fiillerin bedeli karşılığı yararlanılabilen sistemler hakkında işlenmesi halinde, verilecek ceza yarı oranına kadar indirilir”. Bu düzenlemenin rasyonalitesi, ücretli hizmet sunan sistemlerin bir anlamda “ticari alana” dahil olması ve bu sistemlere yönelik izinsiz girişlerin, tamamen mahrem tutulan kişisel sistemlere kıyasla daha az haksızlık içeriği barındırdığı varsayımıdır.

“Bedel” kavramı sadece para ile sınırlı olmayıp, sistemden yararlanmak için sunulan her türlü ekonomik karşılığı ifade eder. Aylık abonelik gerektiren film ve dizi platformları, ücretli oyun sunucuları, profesyonel veri tabanı abonelikleri veya belirli bir kullanım ücreti olan bulut bilişim hizmetleri bu fıkra kapsamındadır. Fail, bir sisteme girmek için teknik önlemleri aştığında eğer o sistem halka açık fakat ücretli bir platformsa, temel ceza üzerinden indirim alacaktır.

Ancak bu indirimin uygulanabilmesi için bazı ince detaylar mevcuttur. Eğer fail, ücretli bir sisteme girdikten sonra oradaki verileri siler veya değiştirirse, TCK 243/3 hükümleri ile 243/2 hükümleri birleşir. Bu durumda, daha ağır ceza öngören fıkra üzerinden bir belirleme yapılması gerekebilir. Ayrıca, fail sisteme girip de oranın ücretli olduğunu fark ettiği anda derhal sistemden çıkarsa, suçun manevi unsurunun oluşmadığı kabul edilerek ceza verilmeyebilir. Bu fıkra, bilişim sistemlerinin ekonomik değerini korurken, erişim ihlalinin mahiyetine göre cezai adaleti sağlamayı hedefler.

6. Veri Nakillerinin İzlenmesi: Araya Girme ve MITM Saldırıları

Bilişim dünyasındaki en sinsi saldırı yöntemlerinden biri, sisteme doğrudan sızmak yerine, sistemler arasındaki veri akışını gizlice takip etmektir. Siber güvenlik terminolojisinde “Man-in-the-Middle” (MITM – Ortadaki Adam) saldırısı olarak bilinen bu eylem, TCK 243. maddesine 2016 yılında eklenen dördüncü fıkra ile bağımsız bir suç tipi olarak düzenlenmiştir.

Bu fıkra uyarınca; bir bilişim sisteminin kendi içinde veya sistemler arasında gerçekleşen veri nakillerini, sisteme girmeksizin teknik araçlarla hukuka aykırı olarak izleyen kişi, bir yıldan üç yıla kadar hapis cezası ile cezalandırılır. Bu suçun oluşması için failin hedef bilgisayara veya sunucuya “login” olması, yani sisteme girmesi gerekmez. Fail, ağ trafiğini dinleyen cihazlar (sniffing tools), sahte erişim noktaları (evil twins) veya protokol analizörleri kullanarak paketleri havada yakalayıp izlemektedir.

Bu düzenleme ile sadece sistemlerin “statik” güvenliği değil, verilerin “dinamik” akış güvenliği de korunmaktadır. Eğer fail araya girerek veriyi sadece izlemekle kalmayıp onu değiştirirse veya durdurursa, eylem artık TCK 243/4 kapsamından çıkarak TCK 244 (sistemi engelleme ve verileri değiştirme) kapsamına girer. Bu fıkra, siber istihbarat ve kurumsal casusluk faaliyetlerine karşı kritik bir yasal bariyer niteliğindedir.

7. TCK 243 ile TCK 244 Arasındaki Hassas Sınır: Erişim vs. Sabotaj

Bilişim suçları yargılamalarında en sık karşılaşılan tartışma konusu, fiilin TCK 243 (Bilişim sistemine girme) kapsamında mı yoksa TCK 244 (Sistemi engelleme, bozma, verileri yok etme veya değiştirme) kapsamında mı kalacağıdır. Doktrinde bu iki madde arasındaki ilişki “geçitli suç” kavramıyla açıklanır. Bilişim sistemini bozmak veya verileri silmek isteyen bir kişinin, çoğu zaman öncelikle o sisteme girmesi gerekir. Bu durumda, daha ağır cezayı gerektiren TCK 244 maddesi, giriş fiilini de içinde barındırdığı için tek başına uygulanır.

İki madde arasındaki temel fark, failin kastının yoğunlaştığı yerdir. TCK 243, bir “erişim ihlali” suçudur; sistemin gizlilik duvarının aşılmasını cezalandırır. TCK 244 ise bir “fonksiyonel müdahale” suçudur; sistemin işleyişini durdurmayı veya içeriğini tahrif etmeyi hedefler.

Yargıtay 8. Ceza Dairesi’nin yerleşik kararlarına göre, bir kişinin sosyal medya hesabına girip sadece profilini incelemek TCK 243/1 iken; şifreyi değiştirip asıl kullanıcının girmesini engellemek “erişilmez kılma” fiili nedeniyle TCK 244/2 kapsamında değerlendirilmektedir. Bu ayrım, cezai yaptırımın alt ve üst sınırlarını dramatik bir şekilde değiştirdiği için savunma ve iddia makamları açısından hayati öneme sahiptir.

8. Dijital Deliller ve İspat Süreci: IP Adresi Mahkumiyet İçin Yeterli mi?

Bilişim suçlarının ispatlanması, dijital izlerin teknik yöntemlerle toplanmasını gerektirir. Bu süreçteki en temel delil IP (Internet Protocol) adresidir. İnternete bağlanan her cihazın bir kimlik numarası olması, failin tespiti için bir “başlangıç noktası” teşkil eder. Ancak Yargıtay ve siber güvenlik uzmanları, tek başına IP adresinin mahkumiyet için yeterli bir delil sayılamayacağını vurgulamaktadır.

IP adresleri, statik (sabit) veya dinamik (değişken) olabilir. Özellikle dinamik IP kullanan ev ve iş yerlerinde, aynı IP adresi farklı zamanlarda farklı kullanıcılara atanabilir. Ayrıca, kablosuz ağların şifresinin kolayca kırılabilmesi veya “open relay” gibi teknik açıklar, failin başka birinin internet hattını kullanarak suç işlemesine olanak tanır. Bu nedenle, sağlıklı bir yargılama için şu ek delillerin toplanması zorunludur:

1. MAC Adresi Tespiti: Suçun işlendiği bilgisayarın veya telefonun fiziksel ağ kartı adresi.
2. Port Bilgisi: Özellikle CGNAT (Carrier Grade NAT) yapılarında, aynı IP’yi paylaşan binlerce kullanıcı arasından doğru portu kullanan kişinin belirlenmesi.
3. Log Kayıtları: Hedef sisteme giriş-çıkış saatleri ile internet servis sağlayıcının (ISS) bağlantı kayıtlarının örtüşmesi.
4. Cihaz İncelemesi (CMK 134): Şüphelinin evinde/işyerinde bulunan dijital materyallere el konularak, içeriklerinde suç konusu sistemle ilgili kalıntıların (çerezler, tarama geçmişi, kayıtlı şifreler vb.) aranması.

Hukuka uygun bir delil tespiti yapılmadığı sürece, sadece bir IP adresinin şüpheliyi işaret etmesi, “şüpheden sanık yararlanır” ilkesi gereği beraat kararı verilmesine neden olmaktadır.

9. Usul Hukuku Detayları: Soruşturma, Zamanaşımı ve Uzlaşma

Bilişim sistemine sızma suçları, kamu düzenini ve dijital güvenliğin genel işleyişini tehdit ettiği için şikayete tabi suçlar kategorisinde değildir. TCK 243 kapsamında yer alan tüm fiiller savcılık tarafından “re’sen” (kendiliğinden) soruşturulur. Mağdurun şikayetinden vazgeçmesi, açılmış olan kamu davasını sona erdirmez ve yargılama devam eder.

Bu suç tipinde “uzlaşma” prosedürü de uygulanmamaktadır. 5271 sayılı CMK’nın 253. maddesinde belirtilen uzlaşma kapsamındaki suçlar arasında bilişim suçları yer almaz. Bu durum, fail ile mağdur arasında bir anlaşma sağlanmış olsa dahi, devletin cezalandırma yetkisinin devam ettiği anlamına gelir.

Dava zamanaşımı süresi, TCK 243/1 maddesindeki ceza miktarı göz önüne alındığında 8 yıldır. Eğer suçun işlendiği tarihten itibaren 8 yıl içinde kesin bir hüküm kurulamazsa, dava düşer. Görevli mahkeme ise “Asliye Ceza Mahkemesi”dir. Yetkili mahkeme ise genellikle suçun işlendiği yer, yani failin sisteme giriş yaptığı yerdeki mahkemedir. Ancak bilişim suçlarının sınır aşan niteliği nedeniyle, mağdurun bulunduğu yer veya sistemin merkezinin bulunduğu yer de yetkili kılınabilmektedir.

10. Diğer Suç Tipleriyle İlişki: Hırsızlık, Dolandırıcılık ve Özel Hayat

Bilişim sistemine sızma, çoğu zaman daha büyük bir suç zincirinin ilk halkasıdır. Bu durumda, eylemin tek başına TCK 243 olarak mı kalacağı, yoksa başka bir suçun “unsuru” veya “ağırlaştırıcı nedeni” mi olacağı sorusu gündeme gelir.

• Bilişim Suretiyle Hırsızlık (TCK 142/2-e): Failin amacı sisteme girmek değil, sistem üzerinden para transferi yaparak haksız kazanç sağlamak ise, bu durum artık bir bilişim suçu değil, nitelikli hırsızlık suçudur. Yargıtay, banka hesaplarından izinsiz para havale edilmesini bu madde kapsamında değerlendirir.
• Bilişim Suretiyle Dolandırıcılık (TCK 158/1-f): Fail, bilişim sistemini bir “hile” aracı olarak kullanıp mağduru aldatarak bir menfaat temin ederse nitelikli dolandırıcılık suçu oluşur.
• Özel Hayatın Gizliliğini İhlal (TCK 134) ve Kişisel Veriler (TCK 135-136): Sisteme girildikten sonra özel fotoğraf veya yazışmaların ele geçirilmesi durumunda, hem sisteme girme suçu hem de özel hayata karşı işlenen suçlar gündeme gelir. Fail, tek bir fiil ile birden fazla suçu işlediği için fikri içtima hükümleri uyarınca en ağır cezayı gerektiren suçtan sorumlu tutulur.

Buna ek olarak, TCK 245. maddesinde düzenlenen “Banka veya Kredi Kartlarının Kötüye Kullanılması” suçu da bilişim sistemine sızma ile sıkça iç içe geçer. Ancak kanun koyucu bu suç için “etkin pişmanlık” hükümlerini öngörmüşken, TCK 243 için böyle bir özel düzenleme yapmamıştır.

Gelecek Projeksiyonu

Bilişim sistemlerine sızma suçu, teknolojinin gelişimiyle birlikte sürekli yeni formlar kazanmaktadır. Geçmişte sadece basit bir şifre kırma eylemi olarak görülen bu fiil, günümüzde yapay zeka destekli saldırılar, kuantum şifre çözme denemeleri ve karmaşık sosyal mühendislik yöntemleriyle çok daha tehlikeli bir boyuta ulaşmıştır. Türk Ceza Kanunu’nun 243. maddesi, bu değişimlere cevap verebilmek adına 2016 yılında güncellenmiş ve “araya girme” gibi modern saldırı türlerini de kapsama almıştır.

Hukuk uygulamasında, teknik bilginin yetersizliği veya dijital delillerin hatalı toplanması, adli hatalara yol açabilmektedir. Bu nedenle, bilişim suçları yargılamalarında uzman bilirkişi incelemeleri, IP adresi dışındaki yan delillerin (MAC, Log, HASH) titizlikle tespiti ve failin manevi unsurunun doğru analizi hayati önem taşımaktadır. Bilişim sistemlerinin dokunulmazlığı, sadece bir veri güvenliği meselesi değil, aynı zamanda dijitalleşen dünyada insan onurunun ve mahremiyetinin korunması meselesidir. Kanunun öngördüğü yaptırımlar ve Yargıtay’ın geliştirdiği içtihatlar, siber dünyada hukukun üstünlüğünü tesis etmeye yönelik kararlı bir iradeyi yansıtmaktadır.