Bilişim Suçları

Bilişim Suçları TCK 243 ve devamı maddelerinde düzenlenmiş olup,çok genel ve basit bir ifadeyle dijital araçlar ve internet yoluyla elektronik ortamda işlenen suçları ifade etmektedir.

Siber Saldırılar ve Bilişim Sistemlerine Karşı Hukuka Aykırı Fiiller Nelerdir?

Türk ceza ve ceza muhakemesi hukukunda Bilişim Suçları ,siber saldırılar ve bilişim sistemlerine yönelik hukuka aykırı fiiller; 5237 sayılı Türk Ceza Kanunu (TCK) ile 5271 sayılı Ceza Muhakemesi Kanunu (CMK) çerçevesinde düzenlenmektedir.

• Bilişim Sistemine Girme (TCK m. 243): Maddenin birinci fıkrasına göre; “Bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye bir yıla kadar hapis veya adlî para cezası verilir.” Sistemin bedeli karşılığı yararlanılabilen bir sistem olması hâlinde ceza yarı oranına kadar indirilir (m. 243/2). Fiil sebebiyle veriler yok olur veya değişirse altı aydan iki yıla kadar hapis cezasına hükmolunur (m. 243/3). Sisteme girmeksizin veri nakillerinin teknik araçlarla hukuka aykırı izlenmesi de müstakil bir suçtur (m. 243/4).
• Sistemi Engelleme, Bozma, Verileri Yok Etme veya Değiştirme (TCK m. 244): Bilişim sisteminin işleyişini engelleyen veya bozan fail bir yıldan beş yıla kadar hapisle cezalandırılır (m. 244/1). Verileri bozan, yok eden, değiştiren, erişilmez kılan, sisteme veri yerleştiren veya var olan verileri başka yere gönderen fail ise altı aydan üç yıla kadar hapis cezası alır (m. 244/2). Eylemin kamu kurumu ya da banka/kredi kurumuna ait sistemde işlenmesi artırım sebebidir (m. 244/3). Bu fiillerle haksız bir çıkar sağlanması ve eylemin başka suç oluşturmaması hâlinde TCK m. 244/4 tatbik olunur.
• Banka veya Kredi Kartlarının Kötüye Kullanılması (TCK m. 245): Başkasına ait bir kartın rıza dışı kullanılması veya kullandırtılması suretiyle yarar sağlanması cezalandırılmaktadır (m. 245/1).
• Yasak Cihaz veya Programlar (TCK m. 245/A): Bilişim suçlarının işlenmesi için özel olarak üretilen cihaz, bilgisayar programı veya güvenlik kodlarının imalatı, nakli, satışı veya bulundurulması yaptırıma bağlanmıştır.
• Nitelikli Malvarlığı Suçları (TCK m. 142/2-e ve m. 158/1-f): Hırsızlık fiilinin “Bilişim sistemlerinin kullanılması suretiyle,” işlenmesi TCK m. 142/2-e gereğince beş yıldan on yıla kadar hapis cezasını gerektirir. Dolandırıcılık suçunun “Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle,” işlenmesi ise TCK m. 158/1-f uyarınca nitelikli hâl kabul edilmiştir.

Bilişim Suçlarında Başvurulacak Hukuki Yollar ve Alınacak Tedbirler Nelerdir?

• Bilgisayarlarda Arama, Kopyalama ve El koyma (CMK m. 134): Şüphelinin kullandığı bilgisayar ve bilişim kütüklerinde arama, kopya çıkarma ve metin hâline getirme işlemleri hâkim kararı veya gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısının emriyle yapılır. Savcı kararı yirmi dört saat içinde hâkim onayına sunulur. El koyma durumunda sistemdeki verilerin bütünüyle yedeklenmesi ve alınan yedekten şüpheliye veya vekiline bir kopyanın tutanakla verilmesi zorunludur.
• Hesabın Askıya Alınması ve El koyma Tedbiri (CMK m. 128/A): TCK m. 142/2-e, m. 158/1-f-l ve m. 245 suçlarında makul şüphe bulunması durumunda, banka, ödeme hizmeti sağlayıcısı veya kripto varlık hizmet sağlayıcıları nezdindeki hesaplar mali kurumlarca kırk sekiz saate kadar askıya alınabilmektedir. Suça konu menfaate askıya alma süresinde el konulabilmekte ve hâkim onayı kırk sekiz saat içinde açıklanmadığı takdirde el koyma kendiliğinden kalkmaktadır.

Yargıtay 4. Ceza Dairesinin 02.06.2022 tarihli, 2021/26919 E. ve 2022/13965 K. sayılı kararında tanımlandığı üzere, “”Bilişim sistemine girmek”, bir bilişim sisteminde bulunan verilerin bir kısmına veya tamamına, fiziken ya da uzaktan başka bir cihaz yoluyla erişilmesidir.” Aynı kararda Daire, “Bir bilişim sistemine e-posta veya dosya gönderilmesi durumunda, bilişim sistemine girme söz konusu olmayıp yalnızca veri gönderildiğinden bu durum girme kapsamında düşünülemez.” ayrımını yapmıştır.

Yargıtay içtihatlarında, yetkisiz erişim sonrası gerçekleştirilen müdahaleler fiilin niteliğine göre derecelendirilmektedir:

• Veri Değiştirme ve Yerleştirme: Kamu kurumuna ait internet sitesindeki resimlerin IP numarası kullanılarak değiştirilmesi fiilinin Yargıtay 8. Ceza Dairesinin 16.10.2023 tarihli kararında (2021/3977 E., 2023/7484 K.) TCK m. 244/2’de yer alan “bilişim sistemindeki verileri bozma, yok etme, erişilmez kılma, sisteme veri yerleştirme vb.” suçunu oluşturduğu kabul edilmiştir.
• Sosyal Medya ve E-Posta Hesaplarının Ele Geçirilmesi: Bir sosyal medya veya e-posta hesabının şifresini ele geçirerek hesaba girmek ve üçüncü kişilere mesaj göndermek eylemleri, Yargıtay 8. Ceza Dairesi kararlarında “bilişim sistemine veri yerleştirmekten ibaret eylem” (17.04.2024, 2024/181 E., 2024/3234 K.) ve TCK m. 244/2 kapsamında değerlendirilmiştir. Yargıtay kararının tam metnine  https://www.eyavuz.av.tr/makaleler/yuksek-mahkeme-kararlari/ linkinden ulaşabilirsiniz. Benzer şekilde mağdurun hesabına girilerek listedeki kişilere mesaj atılması (Yargıtay 8. CD, 09.10.2023, 2021/3937 E., 2023/7182 K.; 20.11.2023, 2021/5169 E., 2023/8748 K.) ve şifrenin kırılarak değiştirilmesi (Yargıtay 8. CD, 08.01.2024, 2021/9032 E., 2024/54 K.) eylemleri de “bilişim sistemindeki verileri bozma yok etme, erişilmez kılma, sisteme veri yerleştirme” suçu çerçevesinde onanmış veya düzeltilerek onanmıştır. Yargıtay 15. Ceza Dairesi de 22.11.2018 tarihli kararında (2016/4375 E., 2018/8406 K.) hesabın asıl sahibinin erişimini engellemek için şifrenin değiştirilmesinin “TCK’nın 244/2. maddesinde düzenlenen bilişim sistemindeki verileri bozma yok etme, erişilmez kılma, sisteme veri yerleştirme suçunu da oluşturacağı” tespitini yapmıştır.
• Sistemin İşleyişini Engelleme (TCK m. 244/1): Yargıtay 23. Ceza Dairesinin 24.05.2016 tarihli kararında (2015/9146 E., 2016/6542 K.), verileri bozma veya değiştirme olmaksızın hesap şifresinin değiştirilip hesap sahibi gibi davranılması fiilinin “TCK’nın 244/1. maddesindeki bilişim sisteminin işleyişini engelleme suçunu oluşturduğu” belirtilerek TCK m. 244/2 uygulanması bozma nedeni yapılmıştır.
• Sistem Verilerinin Kopyalanması: Şirkete ait sisteme yetkisiz girilerek verilerin şahsi bilgisayara veya CD’ye kopyalanması, Yargıtay 8. Ceza Dairesinin 14.07.2014 tarihli kararında (2013/3173 E., 2014/18506 K.) bütün olarak TCK m. 244/2 kapsamında değerlendirilmiştir.
• Verilerin Şifrelenmesi ve Menfaat Temini: Bilişim sistemine uzaktan erişilerek verilerin şifrelenmesi ve şifrelerin açılması karşılığında ödeme talep edilip alınması eylemi, Yargıtay 8. Ceza Dairesinin 29.02.2024 tarihli kararında (2022/4121 E., 2024/2002 K.) “sistemi engelleme, bozma, verileri yok etme veya değiştirme suretiyle kendisine haksız bir çıkar sağlama” (TCK m. 244/4) olarak nitelendirilmiştir.

Bilişim Suçları konusunda Nitelikli Hırsızlık ve Dolandırıcılık Nasıl Olur?

• Bilişim Suretiyle Hırsızlık (TCK m. 142/2-e): İnternet bankacılığı şifrelerinin ele geçirilmesi ve mevduatın rıza dışı başka hesaplara aktarılması Yargıtay içtihatlarında nitelikli hırsızlık sayılmaktadır.

Yargıtay 2. Ceza Dairesinin 16.02.2022 tarihli kararında (2022/510 E., 2022/2390 K.) aktarılan önceki Yargıtay ilamında; “Trojan programları vasıtası ile ele geçirilen başkalarına ait hesap numaraları ve şifreler kullanılarak hesaplardaki paraların failin kendisine veya bir başkasına ait banka hesabına havale edilmesi eylemine sıkça rastlanılmakta ve bu da sanal/siber bilişsel bir hırsızlık olarak nitelenebilmektedir.” tespiti yer almaktadır. Yargıtay 8. Ceza Dairesi de internet bankacılığı yoluyla hesaba girilip paranın transfer edilmesini TCK m. 142/2-e kapsamında görmüştür (28.03.2024, 2022/567 E., 2024/2892 K.; 07.12.2015, 2015/9171 E., 2015/25340 K.).

• Bilişim Sistemlerinin Araç Kılınması Suretiyle Dolandırıcılık (TCK m. 158/1-f): Hileli yollarla (örneğin sahte mesajlar veya sosyal mühendislik) mağdurun iradesi sakatlanarak bilgi veya para temin edilmesi dolandırıcılık vasfını doğurur.

Yargıtay 8. Ceza Dairesinin 09.10.2024 tarihli kararında (2024/152 E., 2024/7551 K.), sahte sosyal medya mesajıyla elde edilen şifreyle internet bankacılığına girilip paranın aktarılması eyleminin TCK m. 158/1-f’yi oluşturduğu, kartla doğrudan harcama yapılmadığı için TCK m. 245/1 unsurlarının bulunmadığı kabul edilmiştir.

Bilişim Suçları dolayısıyla yapılan yargılamada dijital deliller nelerdir ve nasıl elde edilir?

Ceza Muhakemesi Hukukunda Bilişim Suçları konusunda bu suçların oluşması için , usulüne uygun toplanmış dijital delillere dayanmak zorundadır:

• Delillerin Hukuka Uygunluğu: Yargıtay Ceza Genel Kurulunun 26.09.2017 tarihli kararında (2017/956 E., 2017/370 K.), bilgisayar verisi “olguların, bilginin veya kavramların bir bilgisayar sisteminde işlenmeye uygun haldeki her türlü temsili” olarak tanımlanmış ve “Yüklenen suç, hukuka uygun bir şekilde elde edilmiş her türlü delille ispat edilebilir” ilkesi vurgulanarak geçmiş internet kayıtlarının incelenmesinde CMK m. 134 hükümlerinin gözetilmesi gerektiği kabul edilmiştir.
• Salt IP Bilgisinin Yetersizliği ve Kapsamlı Bilirkişi İncelemesi: Yargıtay içtihatlarında, failin yalnızca IP adresi üzerinden mahkûm edilemeyeceği, teknik ayrıntıların uzman bilirkişiler marifetiyle incelenmesi gerektiği istikrarlı olarak vurgulanmaktadır:
  • Yargıtay 8. Ceza Dairesinin 14.05.2014 tarihli kararında (2014/3415 E., 2014/12298 K.), “siteye yapıldığı iddia olunan siber saldırının ne şekilde gerçekleştiği, niteliği, sitenin geçici veya daimi olarak erişilmez kılınıp kılınmadığı yahut mevcut verilerin yok edilip edilmediği” araştırılmadan hüküm kurulması eksik inceleme sayılmıştır.
  • Yargıtay 8. Ceza Dairesinin 28.03.2024 tarihli kararında (2022/567 E., 2024/2892 K.), modem ve bilgisayarların uzman bilirkişiye tevdi edilerek “internet hattında ne özellikte modem kullanıldığı, şifreli olup olmadığı, internet bağlantısına dışarıdan girilip girilemeyeceği, IP numarasının değiştirilmesinin mümkün olup olmadığı, bilgisayarlara virüs gönderilerek bilgilerinin alınıp alınmadığı” yönünde rapor alınması gerektiği ifade edilmiştir.
  • Yargıtay 2. Ceza Dairesinin 16.02.2022 tarihli kararında aktarılan Yargıtay içtihadında “Bu suçlar ile mücadelede ve suçun tespiti için bilgisayar ile ilgili bilgilerin kanıtların tutulması (LOG) şarttır” denilerek LOG kayıtlarının hayati rolüne dikkat çekilmiştir.
  • Yargıtay 11. Ceza Dairesinin 02.02.2026 tarihli kararında (2026/247 E., 2026/1079 K.), bilişim suçlarında savcılığın “hemen işin gerçeğini araştırmaya başlamalı” kuralı gereğince telefondaki zararlı uygulamaları, internet trafiğini ve ödeme hareketlerini eksiksiz toplaması gerektiği vurgulanmıştır.

Bilişim Suçları konusunda uygulamada öne çıkan ana başlıklar özetle nelerdir?

Siber saldırı fiillerine ilişkin ceza hukuku tatbikatında:

1. Bir sisteme fiziken veya uzaktan izinsiz erişim sağlanması TCK m. 243’ü ihlal ederken; sisteme yalnızca e-posta veya dosya gönderilmesi eylemi sisteme girme kapsamında sayılmamaktadır.
2. Sisteme girildikten sonra şifrelerin değiştirilerek erişimin engellenmesi, sistemdeki verilerin değiştirilmesi, resim/bilgi eklenmesi veya üçüncü kişilere mesaj gönderilmesi TCK m. 244/1 ve m. 244/2 kapsamında değerlendirilmektedir.
3. Hesap sahibinin bilgisi dışında zararlı yazılımlar (trojan vb.) veya internet bankacılığı kanalıyla bakiye transfer edilmesi eylemleri TCK m. 142/2-e uyarınca nitelikli hırsızlık; aldatıcı yöntemlerle şifrenin temin edilmesi suretiyle gerçekleştirilen transferler ise TCK m. 158/1-f kapsamında nitelikli dolandırıcılık olarak kabul edilmektedir.
4. Dijital delillerin toplanmasında CMK m. 134 arama, kopyalama ve el koyma güvencelerine mutlak surette uyulması şarttır; yalnızca IP adresi tespitine dayanılarak karar verilemez. Modem özellikleri, şifreleme düzeyi, dışarıdan erişim olasılığı, virüs/casus yazılım ihtimalleri ve LOG kayıtları teknik uzmanlar marifetiyle incelenmeksizin verilen hükümler Yargıtay tarafından bozulmaktadır. Ayrıca suça konu menfaatin kaçırılmasını önlemek amacıyla mali kurumlara tanınan 48 saatlik hesap askıya alma yetkisi (CMK m. 128/A) koruma mekanizmasının önemli bir parçasıdır.