CEO Fraud ve BEC Dolandırıcılığı Kavramları
CEO Fraud, dolandırıcının bir şirketin üst düzey yöneticisi gibi davranarak çalışanlara ödeme talimatı vermesi veya şirket adına para transferi yapılmasını sağlaması şeklinde gerçekleşir.
Business Email Compromise (BEC) dolandırıcılığı ise kurumsal e-postaların, tedarikçi yazışmalarının, fatura süreçlerinin, ödeme onay mekanizmalarının ve müşteri ilişkilerinin manipüle edildiği kapsamlı bir modeli ifade eder.
Türk Ceza Kanunu Kapsamında Dolandırıcılık ve Bilişim Suçları
Hileli davranışlarla bir kimsenin aldatılıp onun veya başkasının zararına olarak failin kendisine veya bir başkasına yarar sağlaması, 5237 sayılı Türk Ceza Kanunu'nun 157. maddesi uyarınca bir yıldan beş yıla kadar hapis ve beş bin güne kadar adli para cezası yaptırımına bağlanan dolandırıcılık suçunu oluşturur.
5237 sayılı TÜRK CEZA KANUNU m. 157Kaynağı aç
başkasının zararına olarak, kendisine veya başkasına bir yarar sağlayan kişiye
bir yıldan beş yıla kadar hapis ve beşbin güne kadar adlî para cezası verilir.
Nitelikli dolandırıcılık
5237 sayılı Kanun'un 158. maddesinin birinci fıkrasında nitelikli dolandırıcılık suçları için kural olarak üç yıldan on yıla kadar hapis ve beş bin güne kadar adli para cezası öngörülmektedir. Fiilin bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle işlenmesi ise aynı fıkranın (f) bendi kapsamında yer almakta olup bu nitelikli hâlde hükmedilecek hapis cezasının alt sınırı dört yıldan, adli para cezası ise suçtan elde edilen menfaatin iki katından az olamaz.
5237 sayılı TÜRK CEZA KANUNU m. 158Kaynağı aç
a) Dinî inanç ve duyguların istismar edilmesi suretiyle,
b) Kişinin içinde bulunduğu tehlikeli durum veya zor şartlardan yararlanmak
suretiyle,
c) Kişinin algılama yeteneğinin zayıflığından yararlanmak suretiyle,
d) Kamu kurum ve kuruluşlarının, kamu meslek kuruluşlarının, siyasi
parti, vakıf veya dernek tüzel kişiliklerinin araç olarak kullanılması
suretiyle,
e) Kamu kurum ve kuruluşlarının zararına olarak,
f) Bilişim sistemlerinin, banka veya
kredi kurumlarının araç olarak kullanılması suretiyle,
g) Basın ve yayın araçlarının sağladığı kolaylıktan yararlanmak
suretiyle,
h) Tacir veya şirket yöneticisi olan ya da şirket adına hareket eden
kişilerin ticari faaliyetleri sırasında; kooperatif yöneticilerinin
kooperatifin faaliyeti kapsamında,
i) Serbest meslek sahibi kişiler tarafından, mesleklerinden dolayı
kendilerine duyulan güvenin kötüye kullanılması suretiyle,
j) Banka veya diğer kredi kurumlarınca tahsis edilmemesi gereken bir
kredinin açılmasını sağlamak maksadıyla,
k) Sigorta bedelini almak maksadıyla,
l) (Ek: 24/11/2016-6763/14 md.) Kişinin,
kendisini kamu görevlisi veya banka, sigorta ya da kredi kurumlarının çalışanı
olarak tanıtması veya bu kurum ve kuruluşlarla ilişkili olduğunu söylemesi
suretiyle,
İşlenmesi halinde, üç yıldan on yıla kadar hapis ve beşbin güne kadar
adlî para cezasına hükmolunur. (Ek cümle: 29/6/2005 – 5377/19 md.; Değişik:
3/4/2013-6456/40 md.) Ancak, (e), (f), (j), (k) ve (l) bentlerinde sayılan
hâllerde hapis cezasının alt sınırı dört yıldan, adli para cezasının miktarı suçtan
elde edilen menfaatin iki katından az olamaz.[71]
(2) Kamu görevlileriyle ilişkisinin olduğundan, onlar nezdinde hatırı
sayıldığından bahisle ve belli bir işin gördürüleceği vaadiyle aldatarak,
başkasından menfaat temin eden kişi, yukarıdaki fıkra hükmüne göre
cezalandırılır.
(3) (Ek fıkra: 24/11/2016-6763/14 md.)
Bu madde ile 157 nci maddede yer alan suçların, üç veya daha fazla kişi tarafından
birlikte işlenmesi hâlinde verilecek ceza yarı oranında; suç işlemek için
teşkil edilmiş bir örgütün faaliyeti çerçevesinde işlenmesi hâlinde verilecek
ceza bir kat artırılır.
Daha az cezayı gerektiren hal
5237 sayılı Kanun'un 158. maddesinin üçüncü fıkrası doğrultusunda, dolandırıcılık suçlarının üç veya daha fazla kişi tarafından birlikte işlenmesi hâlinde ceza yarı oranında, suç işlemek için teşkil edilmiş bir örgütün faaliyeti çerçevesinde işlenmesi hâlinde ise bir kat artırılır.
Bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı şekilde giren ya da sistemde kalmaya devam eden kimse, 5237 sayılı Kanun'un 243. maddesinin birinci fıkrası uyarınca bir yıla kadar hapis veya adli para cezasıyla cezalandırılır. Bilişim sisteminin kendi içinde veya sistemler arasında gerçekleşen veri nakillerini sisteme girmeksizin teknik araçlarla hukuka aykırı izleyen kişi hakkında ise aynı maddenin dördüncü fıkrası gereğince bir yıldan üç yıla kadar hapis cezası öngörülür.
5237 sayılı TÜRK CEZA KANUNU m. 243Kaynağı aç
hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye bir yıla kadar
hapis veya adlî para cezası verilir.[100]
(2) Yukarıdaki fıkrada tanımlanan fiillerin bedeli karşılığı yararlanılabilen
sistemler hakkında işlenmesi halinde, verilecek ceza yarı oranına kadar indirilir.
(3) Bu fiil nedeniyle sistemin içerdiği veriler yok olur veya değişirse,
altı aydan iki yıla kadar hapis cezasına hükmolunur.
(4) (Ek: 24/3/2016-6698/30 md.) Bir bilişim sisteminin kendi
içinde veya bilişim sistemleri arasında gerçekleşen veri nakillerini, sisteme
girmeksizin teknik araçlarla hukuka aykırı olarak izleyen kişi, bir yıldan üç
yıla kadar hapis cezası ile cezalandırılır.
Sistemi engelleme, bozma, verileri yok etme veya değiştirme
5237 sayılı Kanun'un 244. maddesinin birinci fıkrası uyarınca bir bilişim sisteminin işleyişini engelleyen veya bozan kişi bir yıldan beş yıla kadar hapisle cezalandırılır. Aynı maddenin ikinci fıkrasında bilişim sistemindeki verileri bozan, yok eden, değiştiren, erişilmez kılan, sisteme veri yerleştiren veya var olan verileri başka bir yere gönderen kişi hakkında altı aydan üç yıla kadar hapis cezası düzenlenmiştir. Anılan maddede tanımlanan fiillerin işlenmesi suretiyle kişinin kendisine veya başkasına haksız bir çıkar sağlaması ve eylemin başka bir suç oluşturmaması hâlinde ise dördüncü fıkra uyarınca iki yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezasına hükmolunur.
5237 sayılı TÜRK CEZA KANUNU m. 244Kaynağı aç
bozan kişi, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır.
(2) Bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez
kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen
kişi, altı aydan üç yıla kadar hapis cezası ile cezalandırılır.
(3) Bu fiillerin bir banka veya kredi kurumuna ya da bir kamu kurum veya
kuruluşuna ait bilişim sistemi üzerinde işlenmesi halinde, verilecek ceza yarı
oranında artırılır.
(4) Yukarıdaki fıkralarda tanımlanan fiillerin işlenmesi suretiyle
kişinin kendisinin veya başkasının yararına haksız bir çıkar sağlamasının başka
bir suç oluşturmaması halinde, iki yıldan altı yıla kadar hapis ve beşbin güne
kadar adlî para cezasına hükmolunur.
Banka veya kredi kartlarının kötüye kullanılması
Dolandırıcılık Tespit Edildiğinde Alınması Gereken Önlemler
Sahte IBAN dolandırıcılığı fark edildiğinde, şirketin ilk anda bankaya yazılı başvuruda bulunması, alıcı hesaba bloke konulmasını talep etmesi, karşı bankaya acil bildirim yapılmasını istemesi ve eş zamanlı biçimde savcılık başvurusu hazırlaması gerekir.
E-posta hesaplarının güvenliği için şifrelerin değiştirilmesi, tüm aktif oturumların kapatılması, çok faktörlü kimlik doğrulamanın aktif edilmesi, otomatik yönlendirme kurallarının taranması ve gizli klasör ya da posta kuralı oluşturulup oluşturulmadığının incelenmesi gerekmektedir.
Adli ve teknik süreçlerin yürütülmesi için şüpheli e-postalar silinmemeli; ham başlık bilgileri, ödeme dekontları, sahte IBAN bildirimi, alan adı bilgileri, IP-log kayıtları, sunucu kayıtları ve güvenlik uyarıları eksiksiz muhafaza edilmelidir.
Savcılık Başvurusunda Talep Edilecek Delil İşlemleri
Savcılık suç duyurusunda alıcı banka hesabına bloke konulması, hesap sahibinin kimlik ve hesap açılış belgelerinin celbi, paranın sonraki transfer hareketlerinin tespiti, ATM ve kamera kayıtlarının alınması, e-posta servis sağlayıcılarından IP-log kayıtlarının istenmesi ve sahte alan adı kullanılmışsa domain kayıtlarının araştırılması talep edilmelidir.
Kişisel Verilerin Korunması Mevzuatı Kapsamındaki Yükümlülükler
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin birinci fıkrası gereğince veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır. Verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde veri sorumlusu bu tedbirlerin alınması hususunda anılan kişilerle müştereken sorumludur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
a) Kişisel verilerin hukuka
aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka
aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını
sağlamak,
amacıyla uygun güvenlik düzeyini
temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
(2) Veri sorumlusu, kişisel
verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde,
birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte
müştereken sorumludur.
(3) Veri sorumlusu, kendi
kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli
denetimleri yapmak veya yaptırmak zorundadır.
(4) Veri sorumluları ile veri
işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak
başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden
ayrılmalarından sonra da devam eder.
(5) İşlenen kişisel verilerin
kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu
bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde
bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan
edebilir.
DÖRDÜNCÜ BÖLÜM
Başvuru, Şikâyet ve Veri Sorumluları
Sicili
Veri sorumlusuna başvuru
Veri sorumlusu, kendi kurum veya kuruluşunda kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmakla yükümlüdür. Ayrıca veri sorumluları ile veri işleyen kişiler öğrendikleri kişisel verileri kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu sır saklama yükümlülüğü görevden ayrılmalarından sonra da sürer.
6698 sayılı Kanun'un 12. maddesinin beşinci fıkrası uyarınca, işlenen kişisel verilerin kanuna aykırı yollarla başkaları tarafından ele geçirilmesi durumunda veri sorumlusunun bu durumu gecikmeksizin ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na bildirmesi yasal zorunluluktur; Kurul gerek görmesi hâlinde bu durumu kendi internet sitesinde ya da uygun bulacağı başka bir vasıtayla ilan edebilir. Teknik inceleme süreci devam etse dahi eldeki ilk tespitlerle bildirimde bulunulup tamamlayıcı bilgilerin sonradan sunulması mümkündür.
Sözleşmesel Riskler, Çalışan Sorumluluğu ve Koruyucu Hükümler
Şirketin güvenlik zafiyeti belirginse, müşterilere geç bildirim yapılmışsa veya ödeme talimatı gerçek şirket hesabından gönderilmişse şirketin tazminat sorumluluğu gündeme gelebilir. Buna karşın müşteri yüksek tutarlı ve olağan dışı IBAN değişikliğini doğrulamadan ödeme yapmışsa müterafik kusur değerlendirmesi yapılabilir.
CEO Fraud süreçlerinde çalışanın kötü niyetli hareket etmesi veya açık talimatlara aykırı davranması halinde iş hukuku kapsamında disiplin, fesih ve tazminat ya da rücu süreçleri işletilebilir. Bununla birlikte çalışanın hatası şirketin kurumsal sorumluluğunu kendiliğinden ortadan kaldırmaz.
Şirket içi uygulamalarda IBAN değişikliği hiçbir zaman yalnızca e-posta ile kabul edilmemeli, tedarikçinin veya müşterinin kayıtlı telefon numarası üzerinden teyit alınmalı ve e-postada bildirilen yeni telefon bilgisi kullanılmamalıdır. Yüksek tutarlı ödemelerde ise en az iki yönetici onayı aranmalıdır.
Ticari ilişkilerde taraflar, banka hesabı ve IBAN değişikliklerinin yalnızca yetkili temsilci imzalı resmi yazı, Kayıtlı Elektronik Posta (KEP), güvenli elektronik imza veya kayıtlı telefon teyidi ile geçerli olacağını sözleşmeyle kararlaştırabilir.
BEC dolandırıcılığı fark edildiğinde banka blokesi nasıl talep edilir?
Şirketin ilk anda gönderici bankaya yazılı başvuruda bulunarak alıcı hesaba bloke konulmasını ve karşı bankaya acil bildirim yapılmasını talep etmesi, eş zamanlı olarak savcılığa suç duyurusunda bulunması gerekir.
Kişisel veri ihlalinde bildirim süresi nedir?
6698 sayılı Kanun'un 12. maddesinin beşinci fıkrası gereğince kişisel verilerin hukuka aykırı şekilde üçüncü kişilerin eline geçmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na bildirmesi zorunlu olup teknik tespitler sürerken ilk bildirimin yapılması ve ilave bilgilerin sonradan tamamlanması mümkündür.
Şirketler sahte IBAN riskine karşı sözleşmelerine hangi şartları koyabilir?
Ticari sözleşmelere eklenecek özel hükümlerle hesap ve IBAN değişikliklerinin yalnızca şirket yetkilisinin imzasını taşıyan resmi yazı, Kayıtlı Elektronik Posta (KEP), güvenli elektronik imza veya kayıtlı telefon aracılığıyla teyit edilmesi şartına bağlanması mümkündür.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy