Bilişim Sistemini Engelleme ve Bozma Suçu | Av.Sami IŞILAK

Günümüzde şirketlerin, kamu kurumlarının ve e-ticaret platformlarının tüm ticari faaliyetleri ve veri akışları bilişim sistemleri üzerinden yürütülmektedir. Bu dijitalleşme, kurumların altyapılarını siber saldırılara karşı doğrudan hedef haline getirmektedir. Uygulamada en sık karşılaşılan eylemlerden biri, kamuoyunda DDoS saldırısı olarak bilinen, sunuculara aşırı trafik gönderilerek sistemin kilitlenmesi ve erişilemez hale getirilmesidir.

Ticari rakiplerin, organize suç gruplarının veya kötü niyetli şahısların, bir şirketin satış yapmasını engellemek, itibarını zedelemek veya şantaj yoluyla maddi menfaat temin etmek amacıyla gerçekleştirdiği bu saldırılar, basit bir teknik arıza değil, ağır yaptırımları olan bir ceza hukuku ihlalidir.

Türk Ceza Kanunu'nun (TCK) 244. maddesinde düzenlenen "Bilişim Sistemini Engelleme, Bozma, Verileri Yok Etme veya Değiştirme" suçu, failin sisteme yetkisiz giriş yapıp yapmadığına bakılmaksızın, sistemin işleyişini durduran her türlü eylemi cezalandırmaktadır. Bu makalede; sistemi engelleme ve bozma suçunun maddi unsurlarını, DDoS saldırılarının kanundaki karşılığını, suçun nitelikli halleri ile ağırlaştırıcı nedenlerini ve Cumhuriyet Başsavcılığı nezdinde yürütülecek soruşturma usulünü teknik bir hukuki perspektifle inceliyoruz.

Bilişim sistemini engelleme ve bozma suçu, TCK'nın "Bilişim Alanında Suçlar" bölümünde düzenlenmiş olup, sistemin işleyişini korumayı amaçlamaktadır. Kanun koyucu, eylemin niteliğine göre suçu farklı fıkralarda sınıflandırmıştır.

A) Sistemi Engelleme ve Bozma (TCK Madde 244/1) Kanunun ilk fıkrası; "Bir bilişim sisteminin işleyişini engelleyen veya bozan kişi, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır" hükmünü amirdir.

• Engelleme Eylemi: Sistemin geçici veya kalıcı olarak işlevini yerine getirememesi durumudur. DDoS saldırıları tam olarak bu kapsama girer. Fail, sisteme dışarıdan milyonlarca sahte talep göndererek sunucunun kapasitesini doldurur ve gerçek kullanıcıların sisteme girişini engeller. Sistemin çökmesi şart değildir; yavaşlatılması veya olağan işleyişinin aksatılması dahi engelleme suçunun oluşması için yeterlidir.
• Bozma Eylemi: Sistemin donanımsal veya yazılımsal altyapısına zarar verilerek çalışamaz hale getirilmesidir. Sunucuya virüs bulaştırmak veya sistemin ana kod dizinini silerek çökertmek bozma eylemine örnektir.

B) Verilere Yönelik Eylemler (TCK Madde 244/2) Eğer fail, sadece sistemi durdurmakla kalmaz; aynı zamanda sistemin içindeki verilere müdahale ederse suçun boyutu değişir. "Bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen kişi, altı aydan üç yıla kadar hapis cezası ile cezalandırılır." Veritabanına sızarak müşteri kayıtlarını silmek veya şifreleyerek erişilemez hale getirmek (fidye yazılımı saldırıları) bu madde kapsamında cezalandırılır.

Bilişim sistemlerine yapılan saldırılarda, hedeflenen kurumun niteliği cezanın miktarını doğrudan etkilemektedir. Kanun koyucu, kamu düzenini ve finansal güvenliği korumak amacıyla özel bir ceza artırımı öngörmüştür.

• Banka ve Kamu Kurumlarına Yönelik Saldırılar: TCK Madde 244/3 uyarınca; engelleme, bozma veya verileri yok etme fiillerinin bir banka veya kredi kurumuna yahut bir kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlenmesi hâlinde, verilecek ceza yarı oranında artırılır.
• Örneğin; bir devlet hastanesinin randevu sistemine veya bir bankanın mobil uygulamasının sunucularına yönelik gerçekleştirilen siber saldırılarda, fail hakkında hükmedilecek cezanın alt sınırı doğrudan artırımlı olarak uygulanır ve hükmün açıklanmasının geri bırakılması (HAGB) veya erteleme gibi lehe kurumların uygulanma ihtimali ciddi oranda düşer.

Siber saldırıların büyük bir kısmı maddi kazanç elde etme güdüsüyle yapılmaktadır. Fail, rakip firmanın e-ticaret sitesini çökerterek kendi sitesine müşteri çekmeyi amaçlayabilir veya "Sisteminizi normale döndürmek istiyorsanız şu kripto cüzdanına ödeme yapın" diyerek haksız menfaat temin edebilir.

• TCK Madde 244/4 hükmüne göre; yukarıdaki fıkralarda tanımlanan fiillerin işlenmesi suretiyle kişinin kendisinin veya başkasının yararına haksız bir çıkar sağlaması hâlinde, verilecek ceza çok daha ağırdır.
• Bu durumda faile, iki yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezası verilir. Failin haksız çıkarı elde edip etmemesi önemli değildir; eylemin bu kastla yapılmış olması ve sistemde bir zafiyet yaratılması suçun tamamlanması için yeterlidir.

Bilişim sistemini engelleme ve bozma suçu, kural olarak şikâyete tabi suçlardan değildir. Suç, Savcılık tarafından re'sen (kendiliğinden) soruşturulur. Dolayısıyla 6 aylık şikâyet süresi bulunmamakta olup, eylem 8 yıllık genel dava zamanaşımı süresi içinde her zaman ihbar veya şikâyet konusu yapılabilir.

• Delillerin Muhafazası: Saldırıya uğrayan şirket yetkililerinin veya sistem yöneticilerinin yapması gereken ilk iş, sunucu log kayıtlarını, trafik dökümlerini ve şüpheli IP adreslerini ham veri olarak derhal yedeklemektir. Sistem normale döndürüldüğünde bu dijital izlerin silinmesi, failin bulunmasını imkânsız hale getirebilir.
• Siber Suçlarla Mücadele Şubesi: Savcılığa sunulan şikâyet dilekçesinin ardından, dosya Emniyet Siber Suçlarla Mücadele birimlerine sevk edilir. Uzman kolluk personeli, saldırının kaynaklandığı IP adreslerini tespit eder, internet servis sağlayıcıları ile yazışarak bu adreslerin hangi abonelere ait olduğunu bulur.
• Gerektiğinde şüphelilerin ev ve işyerlerinde arama yapılarak dijital materyallerine (bilgisayar, hard disk, modem) el konulur ve imajları alınarak adli bilişim incelemesi yapılır.

Soru 1: E-ticaret sitemize yapılan siber saldırı yüzünden günlerce satış yapamadık ve on binlerce lira zarar ettik. Faile ceza davası dışında tazminat davası açabilir miyiz?

Cevap: Evet. Ceza mahkemesinde yürütülen yargılama failin hürriyeti bağlayıcı ceza alması içindir. Uğradığınız ticari kazanç kaybını ve sistem altyapınızı düzeltmek için yaptığınız masrafları, Asliye Hukuk veya Asliye Ticaret Mahkemesinde açacağınız "Haksız Fiilden Kaynaklanan Maddi Tazminat Davası" ile failden yasal faiziyle birlikte talep edebilirsiniz.

Soru 2: Saldırının yapıldığı IP adresleri yurt dışı lokasyonlu görünüyor. Failin bulunması mümkün müdür?

Cevap: Profesyonel saldırılarda failler kimliklerini gizlemek için genellikle yabancı lokasyonlu sanal ağlar üzerinden işlem yaparlar. Savcılık, uluslararası adli yardımlaşma sözleşmeleri kapsamında ilgili ülkelerden log kayıtlarını talep edebilir. Süreç uzasa da, failin dikkatsiz davrandığı tek bir şifresiz giriş bağlantısı dahi gerçek kimliğinin tespit edilmesi için yeterli olabilmektedir.

Soru 3: Şirketimizde çalışan bir yazılımcı işten çıkarıldıktan sonra sunucu şifrelerini değiştirip veritabanına erişimimizi engelledi. Bu da aynı suça girer mi?

Cevap: Kesinlikle girer. Sisteme yetkili veya yetkisiz girmiş olmasının önemi yoktur. Önemli olan sistemin işleyişinin engellenmesi ve verilere erişilmez kılınmasıdır. İlgili personelin eylemi TCK 244/2 kapsamında değerlendirilir; ayrıca ticari sır niteliğindeki verileri sızdırmışsa cezai sorumluluğu daha da ağırlaşır.

(Aşağıdaki belge, şirket sunucularına yönelik gerçekleştirilen sistem engelleme saldırısı neticesinde, faillerin tespiti ve haklarında kamu davası açılması amacıyla Cumhuriyet Başsavcılığına sunulacak resmi şikâyet dilekçesi taslağıdır.)

[KONYA] CUMHURİYET BAŞSAVCILIĞINA

MÜŞTEKİ: [Şirketinizin Tam Ticari Unvanı] - [Vergi No] ADRES: [Şirket Merkez Adresi]

VEKİLİ: Av. Sami IŞILAK

ŞÜPHELİ: Kimliği tespit edilecek şahıs veya şahıslar

SUÇ: Bilişim Sistemini Engelleme, Bozma, Verileri Yok Etme veya Değiştirme (TCK m. 244/1 ve m. 244/4)

SUÇ TARİHİ: .../.../20.. (Saat: ..:.. itibarıyla)

AÇIKLAMALAR:

1. Müvekkil şirket, [Sektör, Örn: e-ticaret / lojistik] alanında faaliyet göstermekte olup, tüm ticari operasyonlarını, müşteri kayıtlarını ve muhasebe sistemlerini [www.sirketadresi.com] alan adlı bilişim sistemi ve bağlı sunucuları üzerinden yürütmektedir.
2. Suç tarihinde saat ..:.. sularında, kimliği belirsiz kişi veya kişiler tarafından müvekkil şirketin sunucularına yönelik yoğun bir siber saldırı başlatılmıştır. Sunucuya saniyeler içinde olağan dışı kapasitede trafik gönderilerek sistemin işleyişi durdurulmuş, şirket altyapısı saatlerce erişilemez hale getirilerek ticari faaliyetler tamamen kilitlenmiştir.
3. Müvekkil şirketin bilgi işlem departmanı tarafından yapılan ilk tespitlerde, saldırının [Şüpheli IP Adresi 1, IP Adresi 2] adresleri üzerinden koordine edildiği saptanmıştır. İlgili sunucu log kayıtları ve trafik dökümleri dilekçemiz ekinde (CD/Flash Bellek ortamında) sunulmuştur.
4. Şüphelilerin eylemi, TCK Madde 244 kapsamında düzenlenen Bilişim Sistemini Engelleme ve Bozma suçunun tüm maddi ve manevi unsurlarını oluşturmaktadır. Ayrıca eylemin, rakip firmalarca haksız ticari çıkar sağlamak amacıyla azmettirilmiş olma ihtimali kuvvetle muhtemeldir.

SONUÇ VE İSTEM: Yukarıda arz ve izah edilen nedenlerle; Makamınızca re'sen gözetilecek hususlar da dikkate alınarak, dilekçemiz ekinde sunduğumuz log kayıtları ve dijital deliller ışığında Siber Suçlarla Mücadele Şube Müdürlüğüne müzekkere yazılmasına, IP adreslerinden şüphelilerin gerçek kimlik ve adreslerinin tespit edilerek haklarında etkin bir soruşturma yürütülmesine ve nihayetinde TCK Madde 244 kapsamında cezalandırılmaları talebiyle kamu davası açılmasına karar verilmesini vekaleten saygılarımla arz ve talep ederim.

TARİH: .../.../2026

MÜŞTEKİ VEKİLİ: Av. Sami IŞILAK (İmza)

Av. Sami IŞILAK Hukuk & Danışmanlık (Bu metin bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz. Detaylı bilgi için iletişime geçebilirsiniz.)