İnternet Saldırıları ve Hukuki Yollar

Oltalama, hesap ele geçirme, bilişim dolandırıcılığı, özel veri ifşası, sosyal medyada hakaret ve siber şantaj karşısında başvurulabilecek cezai, hukuki ve idari yollar üzerine kapsamlı rehber.

1. Giriş

Dijital ekosistem; iletişim, ticaret, sağlık ve kamu hizmetlerinin büyük bölümünü çevrimiçi alanda topladığı ölçüde, bireyler ve kurumlar için yeni bir saldırı yüzeyi de yaratmıştır. Oltalama (phishing) e-postaları, fidye yazılımı saldırıları, hesap ele geçirmeler, sosyal medyada yürütülen hakaret ve taciz kampanyaları, özel görüntülerin rızasız ifşası ve bilişim sistemi üzerinden yapılan dolandırıcılıklar; hem ceza hukuku hem özel hukuk hem de idari hukuk alanlarını kesen çok katmanlı bir hukuki müdahaleyi gerektirir.

Bu rehber; Türk hukukundaki mevcut mekanizmalar çerçevesinde, internet üzerinden gerçekleştirilen saldırıların türleri, bu saldırıların kanuni karşılıkları, mağdurun başvurabileceği cezai-hukuki-idari yollar, delil toplama ve koruma yöntemleri ile içerik kaldırma / URL engelleme süreçlerini uygulama odaklı biçimde açıklamaktadır.

2. İnternet Saldırısı Türleri

3. Cezai Boyut: TCK’da Bilişim Suçları

Türk Ceza Kanunu’nun “Bilişim Alanında Suçlar” başlıklı 10. bölümü (m. 243-246), temel bilişim suçlarını kapsar. Bunun yanı sıra bilişim sistemi araç olarak kullanıldığında genel suçların nitelikli hâlleri devreye girer.

TCK m. 243 – Bilişim Sistemine Girme

Bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren veya orada kalmaya devam eden kişi cezalandırılır. Sistemdeki verilerin nakli veya çoğaltılması halinde ceza artırılır. Oltalama sonucu ele geçirilen hesaba girilmesi ya da zafiyet üzerinden sunucuya erişim bu kapsamdadır.

TCK m. 244 – Sistemi Engelleme, Bozma, Verileri Yok Etme

Bilişim sisteminin işleyişini engelleyen, bozan, verileri yok eden, değiştiren ve erişilmez kılan kişiler cezalandırılır. Fidye yazılımı, DDoS, SQL injection ile veri silme bu madde kapsamındadır. Bu suç bir banka, kredi kurumu veya kamu kurumu aleyhine işlenirse ceza yarı oranında artırılır (m. 244/4).

TCK m. 245 – Banka veya Kredi Kartlarının Kötüye Kullanılması

Başkasına ait banka/kredi kartını izin alarak veya sahte ad hesabı oluşturarak kullanan, yarar sağlayan kişi cezalandırılır. Oltalama sonucu elde edilen kart bilgileriyle yapılan alışveriş veya transfer bu kapsamdadır. Sahte kart üretimi de ayrıca yaptırım gerektirir (m. 245/2).

TCK m. 245/A – Yasak Cihaz veya Program

Bilişim sistemlerinde işlenen suçlarda kullanılmak üzere cihaz, bilgisayar programı, şifre veya sair güvenlik kodu üreten, satan, bulunduran kişi cezalandırılır.

TCK m. 158/1-f – Nitelikli Dolandırıcılık (Bilişim Sistemi ile)

Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle dolandırıcılık işlenmesi, nitelikli hâlidir. Sosyal mühendislik saldırısı sonucu para transferi ettirmek bu madde kapsamındadır. Yaptırım ağırdır; ceza alt sınırı 3 yıldan başlar.

Diğer Genel Suçlar

• TCK m. 125-131 – Hakaret (sosyal medya, yorum, DM, e-posta)
• TCK m. 132 – Haberleşmenin gizliliğini ihlal
• TCK m. 134 – Özel hayatın gizliliğini ihlal
• TCK m. 135-136 – Kişisel verilerin hukuka aykırı kaydedilmesi ve verilmesi
• TCK m. 138 – Kişisel verilerin yok edilmemesi
• TCK m. 106 – Tehdit (siber şantaj)
• TCK m. 107 – Şantaj
• TCK m. 142/2-e – Bilişim sistemi kullanılarak hırsızlık
• TCK m. 226/3 – Müstehcen görüntünün üretilmesi ve yayılması
• TCK m. 267 – İftira
• TCK m. 288 – Adil yargılamayı etkilemeye teşebbüs (yargılama sürecindeki sosyal medya paylaşımları)

4. 5651 Sayılı Kanun: İçerik Kaldırma ve URL Engelleme

5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun; internet içeriğine karşı hızlı koruma mekanizmaları öngörür. Temel yollar şunlardır:

İçerik Sağlayıcıya / Yer Sağlayıcıya Doğrudan Başvuru

Kişilik haklarının ihlal edildiğini düşünen kişi; içerik sağlayıcıya veya yer sağlayıcıya doğrudan başvurup içeriğin kaldırılmasını ister. Başvuruya 24 saat içinde cevap verilmezse Sulh Ceza Hâkimliğine başvurulur (m. 9/1).

Sulh Ceza Hâkimliğinden İçerik Çıkarma ve URL Engelleme

Sulh Ceza Hâkimliği; başvuru üzerine 24 saat içinde karar verir. Kararda; içeriğin çıkarılması ve/veya ilgili URL adresine erişimin engellenmesi hükmolunur. Karara karşı itiraz CMK m. 268 gereği mümkündür.

Özel Hayatın Gizliliğinin İhlali – m. 9/A

Özel hayatın gizliliğini ihlal ettiği iddia edilen içerik için; doğrudan Bilgi Teknolojileri ve İletişim Kurumu’na (BTK) başvurulabilir. BTK; erişim engellemeyi 4 saat içinde uygular. Uygulamanın hâkim onayına 24 saat içinde sunulması zorunludur.

5237 s. TCK Eşliğinde Katalog Suçlar – m. 8

Çocukların cinsel istismarı, intihara yönlendirme, uyuşturucu ticareti, bahis gibi “katalog suçlara” ilişkin içerikler; BTK tarafından re’sen engellenir. Ayrıca hâkim, mahkeme veya savcılık kararı ile de engelleme yapılır.

Unutulma Hakkı

Anayasa Mahkemesi’nin N.B.B. (2013/5653) kararı, unutulma hakkını Türk hukukunda tanımış; sonraki kararlarda da zenginleştirmiştir. Geçmişte yayınlanmış içeriğin; bugün kişinin onuruna zarar vermesi ve arama motorunda çıkmaya devam etmesi hâlinde, içerik kaldırma veya arama sonuçlarından dizinleme dışı bırakma talep edilebilir.

5. Kişisel Verilerin Korunması Boyutu

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK); siber saldırı sonucu meydana gelen veri ihlallerini de doğrudan ilgilendirir.

Veri İhlali Bildirimi – KVKK m. 12/5

Veri sorumlusu; kişisel verilerin ele geçirilmesi hâlinde en kısa sürede ilgili kişiye ve Kurul’a bildirim yapmakla yükümlüdür. Kurul 72 saat içerisinde bildirim yapılmasını yerleşik uygulama hâline getirmiştir.

İdari Para Cezası

Veri güvenliğine ilişkin yükümlülüklere aykırılıkta KVKK m. 18 gereği idari para cezası verilir. Ayrıca ilgili kişi; veri sorumlusundan zararının tazminini isteyebilir (KVKK m. 14).

Şikayet Süreci

1. İlgili kişi; önce veri sorumlusuna yazılı başvurur (KVKK m. 13).
2. Başvurudan 30 gün içinde cevap alınamazsa veya cevap yetersizse; Kurul’a şikayet yapılabilir (KVKK m. 14).
3. Kurul kararına karşı idari yargı yolu açıktır.

6. Özel Hukuk Boyutu: Tazminat

TBK m. 49 – Haksız Fiil Tazminatı

Kusurlu ve hukuka aykırı bir fiille başkasına zarar veren kişi, bu zararı gidermekle yükümlüdür. İnternet saldırısı sonucu doğan maddi zarar (haksız transfer, iş kaybı, itibar kaybı) ve manevi zarar; bu hüküm kapsamında talep edilir.

TMK m. 24-25 – Kişilik Hakkının Korunması

Kişilik hakkı saldırıya uğrayan kişi; saldırıya son verilmesini (önleme davası), saldırının hukuka aykırılığının tespitini, sonuçlarının ortadan kaldırılmasını ve manevi tazminat (TMK m. 25; TBK m. 58) talep edebilir.

İhtiyati Tedbir

HMK m. 389-397 gereği; ağır ve telafisi güç zarar doğuran saldırıda mahkemeden içeriğin kaldırılması, yayının durdurulması veya erişim engellenmesi yönünde ihtiyati tedbir kararı alınabilir. Uygulamada özellikle özel görüntü paylaşımı davalarında tedbir kararı hızlı alınır.

7. İdari ve Platform Başvuruları

BTK (Bilgi Teknolojileri ve İletişim Kurumu)

5651 sayılı Kanun kapsamındaki idari yetkilidir. URL engelleme, içerik çıkarma ve erişim engelleme kararlarını uygular. Özel hayatın gizliliğine ilişkin doğrudan başvurular BTK’ya yapılabilir.

USOM (Ulusal Siber Olaylara Müdahale Merkezi)

Kritik altyapı veya kamu kurumlarını ilgilendiren saldırılarda koordinasyon sağlayan birimdir. Zararlı yazılım, botnet, phishing alan adı bildirimleri USOM aracılığıyla izlenir.

KVKK Şikayetleri

Veri ihlallerinde Kurul nezdinde şikayet ve veri sorumlusuna başvuru yolu izlenir.

Platform Bildirimleri

Meta (Facebook, Instagram, WhatsApp), X (Twitter), Google, YouTube, TikTok gibi platformların içerik kaldırma formları; hakaret, taciz, özel görüntü, fikri mülkiyet ihlali, dolandırıcılık kategorilerini kapsar. Başvuruya eklenen hukuki dayanak ve mahkeme kararı, platform yanıt hızını artırır.

8. Delil Toplama ve Koruma

Siber suçların en kritik yönü; dijital delillerin kolayca silinebilir nitelikte olmasıdır. Dava ve soruşturma sürecinde delil değeri taşıyabilmesi için usulüne uygun tespit şarttır.

Noter Aracılığıyla Tespit

Noterin uygulama ekranında incelediği içeriği görüntüleyerek fotoğrafsız tutanak veya screen-shotlu tutanak düzenlemesi. Türkiye Noterler Birliği e-tespit uygulaması, web sayfasının zamanlı tespitini resmi belge hâline getirir.

Sulh Hukuk Mahkemesinden Delil Tespiti – HMK m. 400

İleride ispatı zorlaşacak delillerin tespiti için mahkemeden karar istenir; bilirkişi marifetiyle dijital kopya alınır.

Bağımsız Dijital Delil Merkezleri

Özel dijital adli bilişim uzmanları; log, veri tabanı, sosyal medya içeriğini hash değeriyle birlikte kaydeder; mahkemede kabul edilebilir rapor hazırlar.

Arşivleme Siteleri

Web sayfasının tespiti için Wayback Machine (archive.org) ve archive.today kullanılabilir. Bu arşivler doğrulama için referans oluştur; tek başına yeterli değildir ancak destekleyici niteliktedir.

Ham Verinin Korunması

• E-postaların başlık bilgisiyle (header) birlikte saklanması (IP izi)
• Sosyal medya gönderi URL’si, gönderi tarihi, gönderen hesap adı ve arşiv görüntüsü
• Banka işlemi için hesap hareketi, SMS/e-posta bildirimleri
• İşletmeler için sunucu ve güvenlik duvarı logları (minimum 6 ay muhafaza)
• Telefon uygulamalarında konuşma/mesaj kaydı için uygulama dışa aktarımı

9. Şikayet ve Soruşturma Süreci

1. Delil toplama. Yukarıda belirtilen yöntemlerle eldeki tüm delil belgelenir.
2. Şikayet dilekçesi. Olaya ilişkin tüm kişi, platform, IP, tarih, ekran görüntüsü ve kanun maddesi gerekçeleri dilekçede yer alır.
3. Cumhuriyet Başsavcılığına sunum. Yerleşim yeri veya suçun işlendiği yer cumhuriyet başsavcılığına dilekçe sunulur. Bilişim suçlarında yetki, mağdurun bilgisayarının bulunduğu yer mahkemesinde de kurulabilir (CMK m. 12).
4. Soruşturma başlatılması. Savcılık, gerekli gördüğü adli işlemleri yapar: IP tespiti, alan adı kayıtları, banka işlem hareketleri, sosyal medya platformlarından bilgi istemi (MLAT veya doğrudan).
5. Arama-el koyma. CMK m. 116 vd. gereği şüphelinin dijital cihazlarında arama; CMK m. 134 gereği bilgisayar kütükleri ve şifrelerin incelenmesi.
6. İddianame. Delil oluştuğunda iddianame düzenlenir ve kovuşturma aşaması başlar.
7. Paralel başvurular. 5651 çerçevesinde içerik kaldırma ve tazminat davası aynı zamanda yürütülür.

CMK m. 134 – Bilişim Sistemlerinde Arama

Bilgisayar programları ve kütüklerinde arama, kopyalama ve el koyma; ancak yapılmakta olan soruşturmada başka surette delil elde etme imkanı bulunmayan hâllerde hâkim kararı ile gerçekleşir. Aksine yapılan arama sonucu elde edilen delil hukuka aykırı sayılır.

10. Elektronik Dolandırıcılıkta İade ve İtiraz

Banka Başvurusu

Oltalama veya kart bilgisi çalınması sonucu haksız işlem yapılması hâlinde; derhal bankaya itiraz kaydı açılır. Banka; POS/ATM işlemlerinde “şart dışı” iddialar için ilk 30 gün içinde değerlendirme yapar.

Uluslararası Kart İşlemlerinde Chargeback

Mastercard, Visa gibi kart şemalarının chargeback (ters ibraz) mekanizması; dolandırılan kullanıcıya 120 gün içinde iade talep etme imkânı sağlar.

Havale/EFT İptali

Yeni EFT işlemleri için bankanın “işlem reddi” mekanizması sınırlı sürelerde geçerlidir. Hızlı bildirim alıcı bankaya blokaj koyulmasını sağlayabilir.

Kripto Varlık İşlemleri

Kripto borsası aracılığıyla yapılan dolandırıcılıkta; borsaya derhal KYC verisi talep edilerek hesap dondurma başvurusu yapılır. Cüzdan bazlı işlemlerde işlem hash’i ile takip edilebilir.

11. Kurumlara Yönelik Saldırılar: Çoklu Sorumluluk

Bir şirketin bilişim sistemi saldırıya uğradığında sorumluluk katmanlı oluşur:

• Cezai: Saldırganın TCK m. 243, 244, 245, 158/1-f kapsamında yargılanması.
• Kişisel Veri: KVKK m. 12 gereği Kurul’a bildirim, idari para cezası riski.
• Özel Hukuk: Etkilenen müşterilerin veri sorumlusuna tazminat talebi.
• Sözleşmesel: Müşteri ile arasındaki hizmet sözleşmesi kapsamında sorumluluk, hizmet seviyesi taahhütleri.
• İşletme Hukuki: Yöneticilerin özen yükümlülüğü (TTK m. 369, 553).
• Düzenleyici: Bankacılık, elektronik haberleşme, ödeme hizmetlerinde sektörel otoritelerin (BDDK, BTK) soruşturması.

12. Unutulma Hakkı ve İçerik Temizleme

Google gibi arama motorları; unutulma hakkı çerçevesinde Türkiye’de yerleşik bireylerin başvurularını değerlendirir. AYM’nin yerleşik içtihadına göre; unutulma hakkı değerlendirmesinde şu ölçütler gözetilir:

• İçeriğin konu edildiği olayın üzerinden geçen süre
• Kişinin kamusal figür olup olmaması
• İçeriğin güncel kamusal yararı
• İçeriğin doğruluğu ve şimdiki etkisi
• Kişinin toplumsal konumu ve özel hayatına yansıma

“Unutulma hakkı; kişinin geçmişte doğru biçimde yayınlanmış olsa dahi, bugün için kişilik hakkına ağır bir zarar oluşturan içeriğin arama motoru sonuçlarından dizinlenmemesini ve/veya kaynaktan silinmesini talep etme hakkıdır.” — AYM, N.B.B. (2013/5653) ve sonraki kararlar.

13. Üç Pratik Senaryo

Senaryo 1: Oltalama ile Banka Hesabından Transfer

Kullanıcının e-postasına gelen sahte bankacılık bildirimi üzerine; oltalama sitesinde bilgilerini giren kullanıcının hesabından başka bir hesaba haksız transfer yapılır.

• Cezai: TCK m. 243 (sisteme girme) + m. 244 (veri değişikliği) + m. 158/1-f (bilişim dolandırıcılığı) çerçevesinde savcılığa şikayet.
• Hukuki: Bankaya itiraz; zarardan bankanın kusuru varsa (örn. iki faktörlü doğrulama yapılmamış) sorumluluk talebi.
• İdari: Oltalama sitesinin 5651 ve BTK aracılığıyla erişime engellenmesi.
• Platform: Google Safe Browsing ve Türk Telekom / Vodafone / TTNet DNS engelleme raporu.

Senaryo 2: Sosyal Medyada Hakaret ve İftira

X (Twitter) üzerinde kimliği belli bir kullanıcı hakaret içerikli paylaşım yapar ve bu paylaşım yayılır.

• Delil: Noter tespiti ile gönderinin URL, tarih, kullanıcı adı ve içeriği kayıt altına alınır.
• Cezai: TCK m. 125 (hakaret); kamusal figür ise m. 125/3-a artırıma tabi.
• 5651: X’e içerik kaldırma bildirimi; 24 saat cevap gelmezse Sulh Ceza Hâkimliğine URL engelleme talebi.
• Özel Hukuk: TMK m. 24 kapsamında tespit ve önleme davası + TMK m. 25 / TBK m. 58 manevi tazminat.
• Platform: X’in şikayet formu üzerinden topluluk kuralı ihlali bildirimi.

Senaryo 3: Özel Görüntünün Rızasız Paylaşımı

Eski bir ilişki sonrası; özel görüntüler sosyal medyada paylaşılır.

• İvedi: 5651 m. 9/A kapsamında BTK’ya başvuru; 4 saat içinde erişim engellemesi.
• Cezai: TCK m. 134 (özel hayat) + m. 135-136 (kişisel veri) + m. 226/3 (müstehcen içerik yayma) + m. 107 (şantaj, varsa).
• Özel Hukuk: Kişilik haklarının korunması davası + ihtiyati tedbir (HMK m. 389) + manevi tazminat.
• Unutulma: Google ve ilgili arama motorlarına unutulma hakkı başvurusu.

14. Sıkça Sorulan Sorular

15. Pratik Hatırlatmalar

• Saldırı tespit edildiğinde ilk saat kritiktir: delil bozulmadan ekran görüntüsü, URL, tarih, kullanıcı adı kayıt altına alınmalıdır.
• E-posta başlıkları (header) ile birlikte saklanmalı; sadece gövdesi değil.
• Dijital delil için mümkünse iki farklı tespit yolu kullanılmalı (noter + arşiv).
• Aynı eylemin birden fazla TCK suçunu karşıladığı unutulmamalı; şikayet dilekçesinde tüm maddeler açık belirtilmelidir.
• İnternet içeriğinin erişime kapatılması için sadece mahkeme kararı beklenmemeli; platform başvuruları da paralel yürütülmelidir.
• KVKK kapsamında 72 saatlik bildirim süresi; kurumsal vakalarda ihmal edilmemelidir.
• Fidye yazılımı saldırısında fidye ödemeden önce mutlaka hukuki ve teknik değerlendirme yapılmalıdır.
• AYM bireysel başvuru süresi; derece mahkemesi kararının kesinleşmesinden itibaren 30 gündür. Süre kaçırılmamalıdır.

16. Sonuç

İnternet saldırıları; teknik arka planın karmaşıklığına karşın, Türk hukukunda çok yönlü ve birbirini tamamlayan hukuki araçlarla karşılanır. Ceza hukukundaki bilişim suçları düzenlemesi; 5651 sayılı Kanun’un hızlı müdahale mekanizmaları; KVKK’nın veri güvenliği rejimi; TMK ve TBK’nın kişilik hakları koruması; ve uluslararası platform başvuruları birlikte uygulandığında, saldırı sonrası hasar kontrol altına alınabilir ve failler tespit edilerek yargılanabilir.

Başarılı bir siber saldırı müdahalesi; hızlı delil koruma, doğru merciilere eş zamanlı başvuru, ceza ve hukuk davalarının paralel yürütülmesi ve bilirkişi incelemesinin usulüne uygun talep edilmesi temelinde yükselir. Saldırı sonrası ilk 24 saatin kayıt altına alınmış her hareketi; sonraki aylarda hukuki sonucu belirleyen asıl delil hâline gelecektir.