Fidye Yazılımı Saldırılarında Hukuki Süreç ve Haklar

Fidye Yazılımı Saldırılarının Türk Ceza Kanunu Kapsamındaki Yeri

Fidye yazılımı vakalarında failin bilişim sistemine yetkisiz erişim sağlaması, 5237 sayılı Türk Ceza Kanunu'nun 243. maddesinde düzenlenen bilişim sistemine girme suçunu gündeme getirebilir. Anılan maddenin birinci fıkrasına göre bir bilişim sisteminin tamamına veya bir bölümüne hukuka aykırı biçimde giren ya da sistemde kalmayı sürdüren kişilere bir yıla kadar hapis veya adlî para cezası verilebilir. Söz konusu fiillerin bedel karşılığı yararlanılan sistemlere yönelmesi durumunda cezada yarı oranına kadar indirim uygulanır. Gerçekleşen yetkisiz giriş ya da sistemde kalma neticesinde sistemdeki verilerin yok olması yahut değişikliğe uğraması hâlinde altı aydan iki yıla kadar hapis cezası öngörülmüştür. Sisteme bizzat girmeksizin sistem içi veya sistemler arası veri aktarımlarının teknik araçlarla hukuka aykırı izlenmesi fiili ise bir yıldan üç yıla kadar hapis cezası ile yaptırıma bağlanmıştır.

Sistemlerin şifrelenerek verilerin erişilmez kılınması, bozulması, silinmesi, değiştirilmesi veya başka bir ortama aktarılması, 5237 sayılı Kanun'un 244. maddesinde düzenlenen sistemi engelleme, bozma, verileri yok etme veya erişilmez kılma fiillerini gündeme getirebilir. Bu maddenin birinci fıkrası uyarınca bilişim sisteminin işleyişine engel olan veya işleyişini bozan fail hakkında bir yıldan beş yıla kadar hapis cezasına hükmedilir. Sistem verilerini bozan, yok eden, değiştiren, erişilmez kılan, sisteme veri ekleyen ya da verileri başka bir yere ileten kişilere altı aydan üç yıla kadar hapis cezası verilir. Bahse konu eylemlerin banka, kredi kurumu veya kamu kurum ve kuruluşlarına ait sistemlerde gerçekleştirilmesi cezayı yarı oranında artırır. Bu fiiller aracılığıyla failin kendisi veya başkası lehine haksız menfaat temin etmesi başka bir suç teşkil etmediği takdirde iki yıldan altı yıla kadar hapis ve beş bin güne kadar adlî para cezası uygulanır. Saldırganın ödeme talebinde bulunması durumunda ise somut olayın niteliğine göre şantaj, tehdit, nitelikli dolandırıcılık, kişisel verilerin hukuka aykırı ele geçirilmesi veya yayılması ile ticari sırların açıklanması suçları değerlendirilebilir.

Delillerin Korunması ve Müdahale Esasları

Bir saldırı sonrasında atılacak ilk adım, kontrollü izolasyonun sağlanması ve dijital delillerin muhafazasıdır. Deliller korunmadan yapılan müdahaleler savcılık sürecini, veri koruma hukuku incelemelerini, sigorta ve tazminat süreçlerini zayıflatabilir. Korunması gereken kayıtlar arasında fidye notu, saldırganın iletişim adresleri, kripto cüzdan bilgileri, e-posta başlıkları, log ve güvenlik duvarı kayıtları, VPN ve RDP erişim kayıtları, EDR ve antivirüs uyarıları, şifrelenmiş dosya örnekleri, zararlı yazılım dosyaları, sunucu imajları, ağ trafiği kayıtları, yedekleme logları ve saldırganla yapılan yazışmalar bulunur.

Delil koruma işlemlerinin adli bilişim uzmanı desteğiyle yürütülmesi önem taşır. Saldırının kapsamına ilişkin teknik sorular cevaplanmadan fidye ödemesi yapılması, kamuoyu açıklamasında bulunulması veya veri sızıntısı olmadığı yönünde kesin beyan verilmesi risklidir. Süreç kapsamında yürütülen her adımın yazılı tutanakla kayıt altına alınması gerekir.

Cumhuriyet Başsavcılığına Suç Duyurusu

Fidye yazılımı saldırısında Cumhuriyet Başsavcılığına suç duyurusunda bulunulmalı ve dilekçe teknik delillerle desteklenmiş bir bilişim suçu başvurusu olarak hazırlanmalıdır. Başvuruda saldırının tespit tarihi, saldırı yöntemi, etkilenen sistemler, fidye notu, saldırganın kullandığı iletişim adresleri, kripto cüzdan adresi, IP ve log kayıtları, zararlı yazılım örneği, sızdırıldığı iddia edilen veriler, uğranılan zarar, iş kesintisi, müşteri etkisi ve hazırlanan teknik rapor yer almalıdır.

Başvuruda savcılık makamından eylemde kullanılan IP numaralarının tespiti, alan adlarının tetkiki, kripto varlık cüzdan trafiğinin belirlenmesi, ilgili servis sağlayıcılardan log kayıtlarının temini ve şüpheli hesapların incelenmesi talep edilebilir; failler hakkında 5237 sayılı Kanun'un 243 ve 244. maddeleri başta olmak üzere olaya uyan suçlardan soruşturma açılması istenebilir. Suç duyurusunun gecikmesi hâlinde belirli logların kısa süreli tutulması, saldırı altyapısının süratle kapatılması ve kripto hareketlerinin başka adreslere intikal ettirilmesi gibi nedenlerle delil kaybı yaşanabilir.

6698 Sayılı Kanun Kapsamında Güvenlik ve İhlal Bildirimi Yükümlülükleri

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin birinci fıkrası uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Maddenin ikinci fıkrasına göre kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde, anılan tedbirlerin alınması hususunda veri sorumlusu bu kişilerle birlikte müştereken sorumludur. Veri sorumlusu kendi kurumunda kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumluları ve veri işleyen kişiler öğrendikleri kişisel verileri kanuna aykırı olarak başkasına açıklayamaz ve amacı dışında kullanamaz; bu sır saklama yükümlülüğü görevden ayrılmadan sonra da devam eder.

Fidye yazılımı olaylarında veri ihlali; veri tabanının kopyalanması, dosyaların dışarı aktarılması, müşteri listesinin çalınması, çalışan verilerinin sızması, özel nitelikli verilerin ele geçirilmesi, örnek veri yayımlanması ya da sistem loglarının veri çıkışını göstermesi durumlarında gündeme gelir. Saldırganın verileri aldığını beyan etmesi tek başına kesin kanıt teşkil etmeyebilirse de ciddiye alınması gereken bir risk işaretidir. Veri güvenliği önlemlerinin her veri sorumlusunun yapısına, faaliyetlerine ve tabi olduğu risklere uygun olarak belirlenmesi gerekir.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin beşinci fıkrası uyarınca, işlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi durumunda veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirmesi zorunludur; Kurul icap ederse bu ihlali internet sitesinde veya uygun göreceği başka bir vasıtayla ilan edebilir. Kanuni düzenlemede bildirimin 'en kısa sürede' yapılacağı belirtilmiş olup uygulamaya yönelik idari açıklamalarda ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunulması gerektiği dile getirilmektedir. Kişisel veri ihlalinin tespiti veya ihlal ihtimalinin makul düzeyde belirmesiyle birlikte bildirim konusu değerlendirilmelidir. Etkilenen veri kategorilerine ilişkin tespitlerin teknik inceleme raporuyla desteklenmesi tavsiye edilir. İdari uygulamada 72 saatlik sürecin tüm teknik tespitlerin nihayete ermesini beklemediği, incelemeler sürüyorsa mevcut verilerle ilk bildirimin sunulabileceği, ardından ek açıklamalar yapılabileceği ve bildirimde gecikme varsa gerekçesinin açıklanması gerektiği ifade edilmektedir.

Kurula iletilecek bildirimde olayın tarihi, tespit edilme zamanı, etkilenen sistemler, veri kategorileri, ilgili kişi grupları, muhtemel sonuçlar, alınan önlemler ve irtibat kurulacak kişi bilgileri bulunmalıdır. Bildirim için öngörülen sürenin aşılması veri güvenliği önlemleri ve bildirim yükümlülüğünün yerine getirilmesi bakımından Kurul incelemesi riskini gündeme getirebilir. İhlal bildiriminin yapılmış olması veri sorumlusunu kendiliğinden sorumluluktan kurtarmamakta, bildirim sonrasında da Kurul tarafından inceleme kararı verilebilmektedir.

İlgili Kişilere Yapılacak Bildirimlerin İçeriği

Saldırı neticesinde kişisel verileri etkilenen müşteriler, çalışanlar, eski çalışanlar, üyeler, hastalar, müvekkiller, öğrenciler veya tedarikçi temsilcileri gibi ilgili kişilerin bilgilendirilmesi gerekir. Bu bildirimin amacı, ilgili kişilerin meydana gelebilecek zararları azaltmak için koruyucu önlemler alabilmelerine olanak tanınmasıdır.

İlgili kişilere yöneltilecek bilgilendirmenin sade, açık ve yol gösterici nitelikte olması önem taşır. Bildirimde hangi verilerin etkilenmiş olabileceği, ihlalin ne zaman gerçekleştiği, olası riskler, kurumca alınan tedbirler ve kişilerin uygulayabileceği koruyucu adımlar yer almalıdır. Parola verileri etkilenmişse parola değişikliği önerilmeli, iletişim verileri sızmışsa kimlik avı saldırılarına karşı uyarı yapılmalı, finansal veriler söz konusu ise hesap hareketlerinin izlenmesi tavsiye edilmelidir. Belirsiz sistemsel aksaklık açıklamalarıyla yetinilmemeli; henüz teknik olarak doğrulanmamış başlıklarda kesin ifadeler kullanmaktan kaçınılmalıdır.

Fidye Ödemesi Kararının Taşıdığı Hukuki Riskler

Hukuken fidye ödemesi yapılması her durumda doğrudan yasak şeklinde basitçe değerlendirilemez; ancak bu işlem ciddi riskler barındırır. Ödemenin yapılması verilerin geri alınacağını garanti etmez. Ayrıca ödeme yapılması, veri sorumlusunun veri koruma sorumluluğunu ortadan kaldırmaz. Kişisel veriler dışarı çıkarılmış veya yetkisiz kişilerce elde edilmişse ödeme yapılsa dahi veri ihlali bildirimi gündeme gelebilir; saldırganın verileri yayımlamaması karşılığında ödeme yapılmış olması da gerekli teknik ve idari tedbirlerin alınıp alınmadığına ilişkin incelemeleri kendiliğinden bertaraf etmez.

Fidye ödeme kararı verilmeden önce teknik kurtarma imkânları, yedeklerin durumu, sigorta poliçesi, yaptırım listeleri, kara para aklama riski, şirket içi onay mekanizması, savcılık süreci ve veri koruma yükümlülükleri birlikte değerlendirilmelidir. Saldırganla yapılan her yazışma ve ödeme talebi delil olarak saklanmalıdır.

Siber Sigorta Kapsamı ve Kriz Yönetimi

Siber sigortada bildirim süresi, teminat kapsamı, istisnalar, fidye ödemesi, veri kurtarma giderleri, iş kesintisi zararları, hukuki danışmanlık, adli bilişim hizmetleri, üçüncü kişi talepleri ve idari para cezaları poliçeden poliçeye değişiklik gösterir. Sigortacıya geç bildirimde bulunulması teminat kaybına yol açabilir.

Sigorta şirketleri bazı durumlarda belirli adli bilişim firmalarıyla çalışılmasını şart koşabilir veya ödeme öncesinde onay talep edebilir. Geç sigorta bildirimi sebebiyle teminat kaybı yaşanmaması adına kriz ekibi bünyesinde sigorta sorumlusunun veya mali danışmanın bulunması tavsiye edilir.

Tedarikçi ve Çalışan İlişkilerinde Sorumluluk

Kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde veri sorumlusu tedbirlerin alınması bakımından veri işleyenle birlikte müştereken sorumlu olabilir. Bu sebeple ihlalin tedarikçi sisteminde gerçekleştiği ileri sürülerek sorumluluktan otomatik olarak kurtulunamaz. Çalışanın kasıtlı veri sızdırması veya saldırgana yardım etmesi durumunda iş akdinin haklı nedenle feshi, suç duyurusu ve tazminat talepleri gündeme gelebilir. Olayda yalnızca çalışan hatası mevcutsa, şirketin gerekli eğitimleri verip vermediği ve teknik önlemleri alıp almadığı da incelenir.

Kullanıcı adı ile parolanın birden çok platformda aynı şekilde belirlenmesi, periyodik parola yenilemesinin aksatılması ve iki kademeli kimlik doğrulama mekanizmalarından yararlanılmaması gibi durumların veri ihlallerine yol açabildiği belirtilmektedir.

USOM ve SOME Koordinasyonu

Her fidye yazılımı saldırısında tüm şirketler bakımından aynı şekilde Ulusal Siber Olaylara Müdahale Merkezi (USOM) bildirim zorunluluğu bulunduğu söylenemez. Ancak saldırının niteliği, şirketin sektörü, kritik altyapı bağlantısı ile elektronik haberleşme, finans, enerji, sağlık veya kamu hizmeti boyutu varsa USOM ve sektörel SOME süreçlerinin ayrıca değerlendirilmesi gerekir.

USOM; siber güvenliğe karşı tehditleri belirlemek, muhtemel saldırı ve olayların etkilerini azaltmak veya ortadan kaldırmak amacıyla faaliyet göstermekte olup siber olaylara müdahalede koordinasyonu 7/24 esasına göre yürütür ve konusu suç teşkil eden bulgularda adli makamlar ile kolluk kuvvetleriyle koordinasyon sağlar. Elektronik haberleşme sektöründe ise işletmecilerin siber saldırılara karşı tedbir alma, Kurumsal SOME kurma ve Sektörel SOME koordinesinde çalışma gibi yükümlülükleri bulunmaktadır.

Tazminat Sorumluluğu ve Alınması Gereken Önlemler

Hukuki tazminat sorumluluğu incelenirken saldırının öngörülebilir nitelikte olup olmadığı, hayata geçirilen teknik ve idari tedbirler, veri koruma politikaları, yedekleme altyapısı, olaya müdahale sürati, ilgililere yapılan bilgilendirme, tedarikçi denetimleri ve ortaya çıkan zarar ile ihlal arasındaki nedensellik bağı ele alınır. Yeterli önlemlerin alınmadığı veya olay sonrası gerekliliklerin savsaklandığı durumlarda tazminat sorumluluğu riski yükselebilir. Sağlık, biyometrik veri, mahkûmiyet bilgisi, çocuk verileri, finansal kayıtlar veya mesleki sırlar gibi nitelikli verilerin sızması daha ağır neticeler doğurabileceğinden manevi tazminat ihtimali ağırlık kazanabilir. Ayrıca müşterilerin siber saldırıdan doğrudan zarar görmesi hâlinde sözleşmeye dayalı tazminat talepleri de gündeme gelebilir.

Teknik güvenlik önlemleri kapsamında periyodik ve çevrim dışı yedekleme yapılması, yedeklerin test edilmesi, çok aşamalı kimlik doğrulama, güçlü parola kuralları, uzaktan erişim ve ağ güvenliği, uç nokta koruma yazılımları, güvenlik duvarları, yama ve kayıt yönetimi ile zafiyet taramaları öne çıkar. Alınan bu önlemlerin yalnızca uygulanması değil, gerektiğinde gösterilebilmesi için belgelenmesi önem taşır. Bu kapsamda olay tutanakları, teknik ve adli bilişim incelemeleri, sistem logları, fidye talebine dair yazışmalar ve cüzdan kayıtları, kurumsal bildirimler, savcılık başvurusu ve sigorta temaslarını içeren bir olay dosyasının muhafaza edilmesi tavsiye edilir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy