Kurumsal e-posta dolandırıcılığı, işletmelerin elektronik haberleşme sistemlerine haksız müdahaleler yapılarak ödeme akışlarının saptırılması ve menfaat temin edilmesi fiillerini kapsar. 5237 sayılı Türk Ceza Kanunu'nun 157. maddesinin 1. fıkrasında hileli davranışlarla bir kimseyi aldatıp onun veya başkasının zararına olarak kendisine ya da başkasına yarar sağlamak temel dolandırıcılık suçu olarak düzenlenmiş olup bir yıldan beş yıla kadar hapis ve beş bin güne kadar adlî para cezası yaptırımına bağlanmıştır. Bu tür vakalarda eylemin bilişim sistemlerinin veya banka ya da kredi kurumlarının araç olarak kullanılması suretiyle işlenmesi halinde ise aynı Kanun'un 158. maddesinin 1. fıkrasının (f) bendi uyarınca nitelikli dolandırıcılık suçu oluşur ve bu bent kapsamındaki fiiller için öngörülen hapis cezasının alt sınırı dört yıldan az olamaz.
5237 sayılı TÜRK CEZA KANUNU m. 157Kaynağı aç
başkasının zararına olarak, kendisine veya başkasına bir yarar sağlayan kişiye
bir yıldan beş yıla kadar hapis ve beşbin güne kadar adlî para cezası verilir.
Nitelikli dolandırıcılık
5237 sayılı TÜRK CEZA KANUNU m. 158Kaynağı aç
a) Dinî inanç ve duyguların istismar edilmesi suretiyle,
b) Kişinin içinde bulunduğu tehlikeli durum veya zor şartlardan yararlanmak
suretiyle,
c) Kişinin algılama yeteneğinin zayıflığından yararlanmak suretiyle,
d) Kamu kurum ve kuruluşlarının, kamu meslek kuruluşlarının, siyasi
parti, vakıf veya dernek tüzel kişiliklerinin araç olarak kullanılması
suretiyle,
e) Kamu kurum ve kuruluşlarının zararına olarak,
f) Bilişim sistemlerinin, banka veya
kredi kurumlarının araç olarak kullanılması suretiyle,
g) Basın ve yayın araçlarının sağladığı kolaylıktan yararlanmak
suretiyle,
h) Tacir veya şirket yöneticisi olan ya da şirket adına hareket eden
kişilerin ticari faaliyetleri sırasında; kooperatif yöneticilerinin
kooperatifin faaliyeti kapsamında,
i) Serbest meslek sahibi kişiler tarafından, mesleklerinden dolayı
kendilerine duyulan güvenin kötüye kullanılması suretiyle,
j) Banka veya diğer kredi kurumlarınca tahsis edilmemesi gereken bir
kredinin açılmasını sağlamak maksadıyla,
k) Sigorta bedelini almak maksadıyla,
l) (Ek: 24/11/2016-6763/14 md.) Kişinin,
kendisini kamu görevlisi veya banka, sigorta ya da kredi kurumlarının çalışanı
olarak tanıtması veya bu kurum ve kuruluşlarla ilişkili olduğunu söylemesi
suretiyle,
İşlenmesi halinde, üç yıldan on yıla kadar hapis ve beşbin güne kadar
adlî para cezasına hükmolunur. (Ek cümle: 29/6/2005 – 5377/19 md.; Değişik:
3/4/2013-6456/40 md.) Ancak, (e), (f), (j), (k) ve (l) bentlerinde sayılan
hâllerde hapis cezasının alt sınırı dört yıldan, adli para cezasının miktarı suçtan
elde edilen menfaatin iki katından az olamaz.[71]
(2) Kamu görevlileriyle ilişkisinin olduğundan, onlar nezdinde hatırı
sayıldığından bahisle ve belli bir işin gördürüleceği vaadiyle aldatarak,
başkasından menfaat temin eden kişi, yukarıdaki fıkra hükmüne göre
cezalandırılır.
(3) (Ek fıkra: 24/11/2016-6763/14 md.)
Bu madde ile 157 nci maddede yer alan suçların, üç veya daha fazla kişi tarafından
birlikte işlenmesi hâlinde verilecek ceza yarı oranında; suç işlemek için
teşkil edilmiş bir örgütün faaliyeti çerçevesinde işlenmesi hâlinde verilecek
ceza bir kat artırılır.
Daha az cezayı gerektiren hal
Dolandırıcılık Suçunda Cezayı Artıran Nitelikli Nedenler
Kurumsal bilişim altyapılarına yönelik organize müdahaleler ceza sorumluluğunun derecesini doğrudan etkiler. 5237 sayılı Türk Ceza Kanunu'nun 158. maddesinin 3. fıkrası uyarınca dolandırıcılık veya nitelikli dolandırıcılık suçlarının üç veya daha fazla kişi tarafından birlikte işlenmesi hâlinde verilecek ceza yarı oranında artırılmaktadır. Eylemin suç işlemek amacıyla kurulmuş bir örgütün faaliyeti çerçevesinde gerçekleştirilmesi durumunda ise faillere uygulanacak ceza bir kat artırılır.
Bilişim Sistemlerine ve Veri Akışına Müdahale Suçları
Bilişim sistemlerinin kendi içindeki veya sistemler arasındaki veri hareketlerinin harici müdahalelerle dinlenmesi veya takibi özel bir suç tipi olarak yaptırıma bağlanmıştır. 5237 sayılı Türk Ceza Kanunu'nun 243. maddesinin 4. fıkrasına göre, bir sisteme yetkisiz giriş yapılmaksızın teknik vasıtalar kullanılarak sistem içi veya sistemler arası veri iletiminin hukuka aykırı biçimde izlenmesi hâlinde fail hakkında bir yıldan üç yıla kadar hapis cezasına hükmolunur.
5237 sayılı TÜRK CEZA KANUNU m. 243Kaynağı aç
hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye bir yıla kadar
hapis veya adlî para cezası verilir.[100]
(2) Yukarıdaki fıkrada tanımlanan fiillerin bedeli karşılığı yararlanılabilen
sistemler hakkında işlenmesi halinde, verilecek ceza yarı oranına kadar indirilir.
(3) Bu fiil nedeniyle sistemin içerdiği veriler yok olur veya değişirse,
altı aydan iki yıla kadar hapis cezasına hükmolunur.
(4) (Ek: 24/3/2016-6698/30 md.) Bir bilişim sisteminin kendi
içinde veya bilişim sistemleri arasında gerçekleşen veri nakillerini, sisteme
girmeksizin teknik araçlarla hukuka aykırı olarak izleyen kişi, bir yıldan üç
yıla kadar hapis cezası ile cezalandırılır.
Sistemi engelleme, bozma, verileri yok etme veya değiştirme
Sistemdeki mevcut bilgilerin manipüle edilmesi veya yetkisiz iletimlerin gerçekleştirilmesi durumunda veri güvenliğini koruyan ceza normları işletilir. 5237 sayılı Türk Ceza Kanunu'nun 244. maddesinin 2. fıkrası uyarınca bilişim sistemindeki verileri bozan, yok eden, değiştiren, erişilmez kılan, sisteme veri yerleştiren veya var olan verileri başka bir yere gönderen kişiye altı aydan üç yıla kadar hapis cezası verilir.
5237 sayılı TÜRK CEZA KANUNU m. 244Kaynağı aç
bozan kişi, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır.
(2) Bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez
kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen
kişi, altı aydan üç yıla kadar hapis cezası ile cezalandırılır.
(3) Bu fiillerin bir banka veya kredi kurumuna ya da bir kamu kurum veya
kuruluşuna ait bilişim sistemi üzerinde işlenmesi halinde, verilecek ceza yarı
oranında artırılır.
(4) Yukarıdaki fıkralarda tanımlanan fiillerin işlenmesi suretiyle
kişinin kendisinin veya başkasının yararına haksız bir çıkar sağlamasının başka
bir suç oluşturmaması halinde, iki yıldan altı yıla kadar hapis ve beşbin güne
kadar adlî para cezasına hükmolunur.
Banka veya kredi kartlarının kötüye kullanılması
Bilişim sistemlerine ve verilere yönelik bu hukuka aykırı eylemler üzerinden maddi yarar sağlanması kanunda tamamlayıcı bir sorumluluk olarak yer almaktadır. 5237 sayılı Türk Ceza Kanunu'nun 244. maddesinin 4. fıkrası doğrultusunda, sistemin işleyişini engelleme veya verileri bozma, yok etme, değiştirme eylemleri sonucunda kişinin kendisi veya başkası yararına haksız bir çıkar sağlamasının başka bir suç oluşturmaması halinde iki yıldan altı yıla kadar hapis ve beş bin güne kadar adlî para cezasına hükmolunur.
Kişisel Verilerin Korunması Mevzuatı Kapsamındaki Yükümlülükler
Kurumsal e-posta altyapısının hedef alınması sürecinde kişisel veri güvenliğinin temini bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin 1. fıkrası uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişilmesini engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır. Kanun'un 12. maddesinin 2. fıkrası uyarınca verilerin veri sorumlusu adına bir başkası tarafından işlenmesi hâlinde bu tedbirlerin alınmasında veri sorumlusu veri işleyenle birlikte müştereken sorumludur. Veri sorumlusu aynı maddenin 3. fıkrası gereğince kendi bünyesinde Kanun hükümlerinin uygulanmasını temin etmek için gerekli denetimleri yapmak veya yaptırmakla mükellef olup, 4. fıkra uyarınca veri sorumluları ile veri işleyenlerin öğrendikleri verileri kanuna aykırı başkasına açıklamama ve işleme amacı dışında kullanmama yükümlülüğü görevden ayrıldıktan sonra da devam eder.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
a) Kişisel verilerin hukuka
aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka
aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını
sağlamak,
amacıyla uygun güvenlik düzeyini
temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
(2) Veri sorumlusu, kişisel
verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde,
birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte
müştereken sorumludur.
(3) Veri sorumlusu, kendi
kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli
denetimleri yapmak veya yaptırmak zorundadır.
(4) Veri sorumluları ile veri
işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak
başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden
ayrılmalarından sonra da devam eder.
(5) İşlenen kişisel verilerin
kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu
bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde
bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan
edebilir.
DÖRDÜNCÜ BÖLÜM
Başvuru, Şikâyet ve Veri Sorumluları
Sicili
Veri sorumlusuna başvuru
6698 sayılı Kanun'un 12. maddesinin 5. fıkrası uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirir; Kurul gerek görmesi durumunda bu ihlali kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir. Bildirim gerçekleştirilirken teknik incelemenin tamamlanmış olması şart olmayıp, ilk bildirim mevcut verilerle yapılabilir ve sonradan ek bilgi ile güncelleme sağlanabilir.
Finansal Tedbirler ve Hukuki Tazminat Sorumluluğu
Yetkisiz talimatlar neticesinde ödeme gerçekleştirildiği anlaşıldığında, gecikmeksizin transferin yapıldığı gönderici bankaya yazılı ve kayıtlı başvuru gerçekleştirilmelidir. Başvuruda işlemin hileli olduğu belirtilerek alıcı hesabın bloke edilmesi, tutarın iadesi ve karşı bankaya acil uyarı iletilmesi talep edilmelidir. Gerçekleştirilen transfer işleminin SWIFT olması durumunda ise muhabir banka ve alıcı banka nezdinde geri çağırma (recall) süreci ivedilikle başlatılmalıdır.
Şirketin e-posta sisteminde çok faktörlü kimlik doğrulama mekanizmalarını kurmaması, olağan dışı ödeme talimatlarına yönelik iç kontrol prosedürlerini işletmemesi veya ihlali öğrenmesine rağmen muhatabını gecikerek uyarması tazminat sorumluluğu doğurabilir. Bununla birlikte ödemeyi gerçekleştiren tarafın olağan dışı hesap ve IBAN değişikliklerini teyit etmeksizin transfer yapması da somut olayın özelliklerine göre müterafik kusur kapsamında değerlendirilebilir.
Kurumsal e-posta dolandırıcılığı suçunda ceza nasıl belirlenir?
Dolandırıcılık fiilinin bilişim sistemleri veya banka araç kılınarak işlenmesi nitelikli hâl teşkil eder ve hapis cezasının alt sınırı dört yıldan az olamaz; eylemin üç veya daha fazla kişiyle birlikte işlenmesi hâlinde ceza yarı oranında, suç örgütü faaliyeti çerçevesinde işlenmesi durumunda ise bir kat artırılır.
KVKK veri ihlali bildiriminde teknik incelemenin sonuçlanması zorunlu mudur?
Kişisel Verileri Koruma Kuruluna yapılacak bildirimde teknik incelemenin bütünüyle tamamlanmış olması zorunlu değildir; bildirim eldeki mevcut verilerle yapılabilir ve sonradan ek bilgi ile güncelleme sunulabilir.
Hileli transfer sonrasında banka nezdinde hangi adımlar atılmalıdır?
Paranın sevk edildiği gönderici bankaya yazılı başvurularak alıcı hesabın blokesi, tutarın iadesi ve karşı bankaya acil bildirim yöneltilmesi talep edilmeli; işlem SWIFT niteliğinde ise muhabir ve alıcı banka nezdinde derhal geri çağırma süreci işletilmelidir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy