Bilişim Sisteminin İşleyişini Engelleme ve Verileri Bozma Suçu (TCK 244)

Bir şirketin web sitesine yoğun trafikle saldırıp hizmet dışı bırakmak, eski işyerinin veri tabanındaki kayıtları silmek, bir kişinin bilgisayarına zararlı yazılım yükleyip dosyalarını şifrelemek veya bir e-posta hesabına erişimi engellemek gibi fiiller, ceza hukukunda ayrı suçlar olarak düzenlenmiştir. Bu suçlar TCK 244. maddede yer alır ve bilişim suçlarının en ağır olanları arasındadır. Bu yazıda TCK 244’ün kapsamını, cezalarını ve uygulamadaki tartışmalı noktalarını anlatıyoruz.

Bilişim Sisteminin İşleyişini Engelleme veya Bozma

TCK m. 244/1’e göre bir bilişim sisteminin işleyişini engelleyen veya bozan kişi, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır. Sistemin işleyişinin engellenmesi, sistemin bir kısmının veya tamamının normal işlevini yerine getirememesi anlamına gelir. Örneğin aşırı yükleme (DDoS) saldırıları, sistemi çökerten yazılımlar, sunucuya zararlı kod yerleştirme gibi fiiller bu kapsamdadır. Suç, sistemin işleyişinin fiilen bozulmasıyla tamamlanır.

Verileri Bozma, Yok Etme, Değiştirme

TCK m. 244/2’ye göre bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen kişi, altı aydan üç yıla kadar hapis cezası ile cezalandırılır. Bu fıkra, veri bütünlüğüne yönelik fiilleri kapsar. Dosyaları silmek, şifrelemek, bilgi içeriğini değiştirmek, sisteme yetkisiz veri eklemek veya verileri başka bir sunucuya aktarmak buna örnektir. Fidye yazılımı saldırıları da genellikle bu kapsamda değerlendirilir; çünkü veriler erişilmez hale getirilir.

Ağırlaşan Haller

TCK m. 244/3’e göre bu fiillerin bir banka veya kredi kurumuna ya da bir kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlenmesi halinde, verilecek ceza yarı oranında artırılır. Bu düzenleme, kritik altyapıların ve finansal sistemlerin korunmasını amaçlar. Örneğin bir belediyenin veya devlet kurumunun sistemine yönelik saldırı, aynı fiil özel bir şirkete karşı yapılsa verilecek cezadan daha ağır cezayı gerektirir.

Haksız Çıkar Sağlama

TCK m. 244/4’e göre yukarıdaki fıkralarda tanımlanan fiillerin işlenmesi suretiyle kişinin kendisinin veya başkasının yararına haksız bir çıkar sağlamasının başka bir suç oluşturmaması halinde, iki yıldan altı yıla kadar hapis ve beşbin güne kadar adli para cezasına hükmolunur. Bu hüküm, sistemi bozarak menfaat elde edenleri ağır biçimde cezalandırır. Ancak fiil dolandırıcılık gibi başka bir suç oluşturuyorsa bu fıkra uygulanmaz; o suça ilişkin hükümler devreye girer. Bilişim yoluyla dolandırıcılık için nitelikli dolandırıcılık TCK 158 yazısına bakabilirsiniz.

Sisteme Girme Suçu ile İlişkisi

Bilişim sistemine hukuka aykırı olarak girmek TCK 243’te ayrıca düzenlenmiştir. Bu suçta sisteme girmek ve orada kalmak cezalandırılır; sistem işleyişinin bozulması gerekmez. TCK 244 ise sisteme girildikten sonra yapılan zarar verici fiilleri cezalandırır. Bu nedenle bir olayda hem sisteme girme hem de verileri bozma suçları birlikte oluşabilir ve mahkeme bunları içtima kurallarına göre değerlendirir. Sisteme girme suçu için bilişim sistemine girme suçu yazısı ayrıntı verir. İçtima kuralları için zincirleme suç ve içtima kuralları yazısına bakabilirsiniz.

Kastın ve Yetkisizliğin Önemi

Suçlar kasten işlenir. Sistemin işleyişini bozma veya verileri değiştirme iradesi bulunmalıdır. Yetkili bir kullanıcının sistemde hata sonucu veri kaybına yol açması, kastı bulunmadığı için bu suçu oluşturmaz. Ancak yetkisi olan bir kişinin kasten sistemi bozması halinde de suç oluşur; yetkinin varlığı bu fiillerin suç niteliğini ortadan kaldırmaz. Özellikle işten ayrılan çalışanların eski işverenin verilerini silmesi bu suçun tipik örneğidir.

Deliller ve Dijital İnceleme

Bilişim suçlarının ispatı için dijital deliller belirleyicidir: sunucu kayıtları (log), IP adresleri, erişim zamanları, e-posta yazışmaları ve zararlı yazılımın analizi. Bu delillere el koymak için dijital materyale elkoyma ve imaj alma işlemleri yapılır. Bu işlemlerin hukuka uygunluğu savunma açısından önem taşır. Bu konuda dijital materyale elkoyma ve imaj alma yazısını okuyabilirsiniz. Ayrıca hukuka aykırı elde edilen deliller için hukuka aykırı delil ceza yargılaması yazısı yararlıdır.

İşletmeler İçin Alınabilecek Önlemler

Şirketler, çalışanların erişim yetkilerini düzenli olarak gözden geçirmeli, işten ayrılan personelin hesaplarını derhal kapatmalı, yedekleme ve kayıt sistemleri oluşturmalı ve olay anında delilleri koruyacak protokoller belirlemelidir. Saldırı olduğunda, sistem loglarının değiştirilmeden saklanması ve suç duyurusunda bulunulması gerekir. Kişisel verilerin ihlal edildiği durumlarda ayrıca kişisel veri koruma mevzuatı kapsamında bildirim yükümlülükleri olabilir. Bu konuda kişisel verilerin kaydedilmesi ve yayılması yazısına göz atabilirsiniz.

Sık Yapılan Hatalar

• Saldırı sonrası logları silmek veya sistemi yeniden kurmak,
• Delilleri korumadan doğrudan sistemi onarmak,
• Yetkili kullanıcının hatasıyla kasıtlı fiili birbirine karıştırmak,
• Eski çalışanın hesaplarını kapatmamak,
• Suç duyurusunu geciktirmek.

Örnek Olay

Aşağıdaki örnek kurgusaldır. İşten çıkarılan bir çalışan, hala aktif olan yönetici hesabıyla şirketin müşteri veri tabanına girer ve kayıtların bir kısmını siler. Şirket, kayıtları yedekten geri yükler ancak sistem birkaç saat çalışamaz. Çalışan, sisteme girme suçuna ek olarak verileri yok etme ve sistemin işleyişini engelleme nedeniyle de yargılanabilir; şirket log kayıtlarıyla fiili ispatlar.

Tüzel Kişilerin ve Yöneticilerin Sorumluluğu

Bilişim suçları çoğu zaman bir kurumun bünyesinde, çalışanlar veya yöneticiler aracılığıyla işlenebilir. Tüzel kişiler ceza sorumluluğuna sahip olmasa da, suçun tüzel kişinin yararına işlenmesi halinde güvenlik tedbirleri uygulanabilir. Kurumun siber güvenlik önlemlerini ihmal etmesi ise kişisel veri mevzuatı ve hukuki tazminat bakımından ayrıca sorumluluk doğurabilir. Bu yüzden kurumların erişim yetkilerini yazılı politikalarla yönetmesi, olay müdahale planı hazırlaması ve çalışanlara yönelik bilgilendirme yapması önemlidir. Bir olay yaşandığında, ilk müdahale sırasında delil bütünlüğünü bozmadan hareket etmek dava sürecinin kaderini belirleyebilir.

Yurt Dışından İşlenen Saldırılar

Bilişim saldırıları sıklıkla yurt dışı kaynaklı olabilir. Bu durumda suçun işlendiği yerin belirlenmesi, delillerin uluslararası adli yardımlaşma yoluyla toplanması ve failin yakalanması zorlaşır. Yine de Türkiye’de bulunan sistemlere yönelik saldırılarda Türk mahkemelerinin yargı yetkisi söz konusu olabilir. Mağdur, yine de olayı gecikmeden savcılığa bildirmeli ve elindeki logları, IP bilgilerini ve zarar hesaplamasını sunmalıdır. Sürecin uzun sürmesi ihtimaline karşı, kayıtların düzenli yedeklenmesi önerilir.

Sonuç

TCK 244, bilişim sistemlerinin ve verilerin bütünlüğünü koruyan ağır cezalı bir düzenlemedir. Hem saldırıya uğrayan kişi ve kurumlar hem de hakkında soruşturma başlatılanlar için delil ve süreç yönetimi kritiktir. Bu tür bir olayla karşılaşırsanız ceza hukuku sayfamıza göz atabilir, iletişim üzerinden telefonla veya mesajla bize ulaşabilirsiniz.