Çalınmış veya Paylaşılmış Parolaların Kullanıldığı Suçlarda Failin Belirlenmesi

Bir sisteme doğru parolayla giriş yapılması, işlemi parolanın kayıtlı sahibinin gerçekleştirdiğini veya girişin hukuka uygun olduğunu tek başına göstermez. Parola çalınmış, isteyerek paylaşılmış, ortak kullanım için verilmiş ya da önceki bir yetkilendirme ilişkisinden kalmış olabilir. Bu olasılıklar aynı hukuki sonucu doğurmaz. Failin belirlenmesi, kimlik doğrulama kaydının yanında parolanın elde edilişini, kullanım iznini ve somut işlemi araştırmayı gerektirir.

Parola, sistem açısından belirli bir sırrın bilindiğini gösteren doğrulama aracıdır. Ceza muhakemesi ise bu sırrı kullanan gerçek kişiyi ve kişinin davranışının hukuki niteliğini belirlemeye çalışır. NIST SP 800-63B-4, doğrulayıcıların isteyerek paylaşılmasına karşı teknik korumaların sınırını ayrıca ele alır. Teknik sistemin kullanıcıyı kabul etmesi, parolanın kim tarafından hangi iradeyle kullanıldığı sorusunu bütünüyle çözmez.

Parolanın edinilme biçimi neden ayrı araştırılır

Çalınmış parola iddiasında elde etme olayı ile sonraki kullanım birbirinden ayrılmalıdır. Bilginin kimlik avı, zararlı yazılım, izinsiz kayıt veya başka yolla ele geçirildiği ileri sürülüyorsa, bu yönteme ilişkin deliller araştırılır. Parolanın sonradan bir kişinin cihazında bulunması, bilgiyi ilk ele geçirenin mutlaka o kişi olduğunu göstermez. Bilgi başka kaynaktan aktarılmış veya ortak çalışma sırasında verilmiş olabilir.

İstekle paylaşılmış parola bakımından ise paylaşımın amacı ve kapsamı belirlenir. Bir dosyanın indirilmesine izin verilmesi, bütün hesap verilerinin okunmasına veya başkası adına işlem yapılmasına sınırsız izin anlamına gelmez. Bununla birlikte iznin kapsamı varsayımla daraltılamaz. Tarafların mesajları, görev dağılımı ve olay öncesi davranışları birlikte değerlendirilir. Sonradan ortaya çıkan anlaşmazlık, geçmişte verilmiş izni kendiliğinden yok etmez.

Parolayı bilen kişi sayısı arttıkça kimlik doğrulama kaydının gerçek kullanıcıya ilişkin ayırt ediciliği azalabilir. Ancak ortak kullanım ihtimali bulunması, hiçbir işlemin kişiye bağlanamayacağı anlamına gelmez. İşlem zamanındaki cihaz, fiziksel erişim, oturum ve iletişim kayıtları ek bağlantılar sağlayabilir. İnceleme, ortak sırrın varlığıyla yetinmek yerine, belirli işlemi diğer olası kullanıcılardan ayıran veriyi araştırmalıdır.

Hesap sahibinin rızası ile sistem üzerindeki yetki

Parolayı paylaşan kişinin ilgili erişime izin verme yetkisi bulunup bulunmadığı ayrıca incelenir. Çalışanın kendisine tanınmış kurumsal hesabı başka birine vermesi, her zaman sistem sahibi adına geçerli izin oluşturmaz. Öte yandan bir kurumda fiilen yürütülen ortak çalışma düzeni ve yetkilendirme biçimi de göz ardı edilemez. Teknik hesap düzeniyle hukuki erişim hakkı arasındaki ilişki somut belgeler üzerinden belirlenmelidir.

Kullanım şartlarında parola paylaşımının yasaklanmış olması, her ihlalin otomatik olarak bilişim suçunu oluşturduğu anlamına gelmez. Sözleşmeye aykırılık, erişimin hukuka aykırılığı, suçun maddi unsurları ve kast ayrı değerlendirilir. Ceza normunun kapsamı sözleşme hükmüyle sınırsız biçimde genişletilemez. TCK 243 bakımından sisteme hukuka aykırı giriş veya orada kalmaya devam etme olgusu kanıtlanmalıdır. Yalnız hizmet sağlayıcının kullanım kuralının ihlal edildiğini söylemek yeterli değildir.

Kişi parolayı yetkili olduğunu düşündüğü birinden almışsa, bu düşüncenin dayanakları ve olayın koşulları araştırılır. Yetki konusunda hata iddiası TCK 30 ve somut suçun unsurları çerçevesinde değerlendirilir. Parolanın verilmiş olması her durumda hukuka uygunluk sağlamaz, fakat kişinin bilgisi ve iradesi hakkında anlam taşıyabilir. Mahkeme, teknik erişim imkanını ve hukuki yetkiyi ayırırken manevi unsur tartışmasını da atlamamalıdır.

İznin geri alınması ve eski parolanın çalışmaya devam etmesi

İş ilişkisinin, ortaklığın veya hizmet sözleşmesinin sona ermesi, erişim hakkının kapsamını değiştirebilir. Hesabın teknik olarak kapatılmamış olması ise önceki yetkinin sınırsız biçimde sürdüğünü kanıtlamaz. İzin sona ermişse, bunun zamanı ve kullanıcı tarafından nasıl öğrenildiği araştırılır. Olay tarihindeki sözleşme ve bildirimler, sonradan düzenlenen açıklamalardan ayrılmalıdır. Hesabın çalışıyor olması ile erişim hakkının devamı farklı olgulardır.

Buna karşılık ilişkinin sona ermesi, bütün erişimlerin aynı anda hukuka aykırı hale geldiğini her olayda göstermez. Devir, teslim veya kalan işlerin tamamlanması için sınırlı yetki tanınmış olabilir. Bu yetkinin hangi verileri ve süreyi kapsadığı belirlenir. Sisteme giriş kaydı, izinli teslim işlemiyle izinsiz veri alma arasında ayrım yapmayabilir. Bu nedenle erişilen kaynak ve yapılan işlem de araştırmanın parçası olmalıdır.

Parolanın değiştirilmesi veya hesabın devre dışı bırakılması, izin tarihini belirlemede yardımcı olabilir. Ancak teknik işlem geç yapılmış veya otomatik süreçle gerçekleşmiş olabilir. Hukuki yetkinin sona erdiği tarih, yalnız sistem yöneticisinin düğmeye bastığı anla eşitlenemez. Tarafların yetkilendirme ilişkisi ile sistemdeki uygulama arasındaki fark açıklanır. Failiyet ve kast değerlendirmesi bu farkın bilinip bilinmediğini de dikkate alır.

Kimlik doğrulama olayından sonraki işlemler

Başarılı giriş kaydı, sistemin sunulan doğrulama bilgisini kabul ettiğini gösterir. Hangi kaynaklara erişildiği ve hangi işlemlerin yapıldığı için uygulama kayıtları gerekebilir. Bir hesaba giriş yapılmasıyla hesap üzerinden para aktarılması, dosya silinmesi veya mesaj gönderilmesi aynı fiil değildir. Suç isnadı belirli işleme dayanıyorsa, giriş ile işlem arasında oturum veya işlem tanımlayıcısı üzerinden bağ kurulması önem taşır.

Parolanın kayıtlı olduğu tarayıcı veya parola yöneticisi, manuel giriş yapılmadan oturum kurulmasını sağlayabilir. Böyle bir ortamda kişinin parolayı ezbere bilmesi, hesabı kullanmanın tek yolu değildir. Ortak bilgisayara erişebilen başka kişi de mevcut oturumu kullanmış olabilir. Bu ihtimal somut cihaz düzeni ve kayıtlarla sınanır. Otomatik doldurma özelliğinin varlığı, işlemin kim tarafından başlatıldığını tek başına açıklamaz.

Bir sistemde aynı hesapla eşzamanlı birden fazla oturum açılabilir. Tek giriş olayını bütün sonraki işlemlerin kaynağı saymak, başka oturumları gözden kaçırabilir. Cihaz bilgisi, oturum kimliği ve işlem sırası birlikte değerlendirilir. Kayıtlar bu ayrımı desteklemiyorsa, raporun kesinlik dili sınırlandırılır. Teknik verinin izin vermediği kişisel atıf, yalnız hesap adı tekrar edilerek kurulamaz.

Ortak kullanılan hesaplarda kayıt mimarisi

Ortak hesaplar, işlemlerin tek kullanıcı adı altında toplanmasına yol açabilir. Kurumun iş düzeni böyle kurulmuşsa, logda görünen ad kişisel hesap sahibi gibi yorumlanmamalıdır. Hesabın paylaşım biçimi, parolanın kimlerce bilindiği ve vardiya veya görev düzeni araştırılır. Olaydan sonra kişiselleştirilmiş hesaplara geçilmiş olması, geçmişte de aynı ayrıntıda kayıt bulunduğu anlamına gelmez. İnceleme olay tarihindeki mimariyi esas almalıdır.

Vardiya çizelgesi veya görev kaydı, belirli kişinin işlem yapma imkanını gösterebilir. Bununla birlikte o saatlerde başka erişim kanallarının bulunmadığı ayrıca değerlendirilir. Uzaktan bağlantı, açık bırakılmış oturum veya otomatik görev ihtimali somut sistemde mevcut olabilir. Fiziksel erişimi gösteren kayıt, dijital işlemin bütün nedenlerini açıklamayabilir. Farklı delillerin neyi doğruladığı raporda ayrı ayrı belirtilmelidir.

İşlem kayıtlarında gerçek kullanıcının ayrıca seçildiği sistemlerde de seçimin güvenilirliği incelenir. Kullanıcı etiketi otomatik mi üretilmiş, elle mi girilmiş veya ortak hesapla değiştirilebilir mi olduğu belirlenmelidir. Bir alanın “işlemi yapan” adı taşıması, içindeki değerin doğrulanmış insan kimliği olduğunu kendiliğinden göstermez. Alanın teknik anlamı, kişisel atıfta kullanılmadan önce açıklığa kavuşturulmalıdır.

Parolayı paylaşan kişinin sorumluluğu

Parolayı başkasına vermek, o kişinin daha sonra işlediği bütün suçlara otomatik iştirak anlamına gelmez. TCK'nın iştirak hükümleri bakımından paylaşan kişinin somut katkısı, bilgisi ve suçla kurduğu ilişki araştırılır. Meşru iş için verilen erişimin sonradan kötüye kullanılmasıyla, suçun gerçekleşmesi için bilerek erişim sağlanması farklıdır. Sonraki fiil, önceki paylaşımın amacını tek başına geriye dönük olarak belirlemez.

Paylaşan kişi belirli suçun işleneceğini biliyor ve buna katkı sağlıyorsa, rolü ilgili iştirak hükümleri çerçevesinde değerlendirilebilir. Ancak bu sonuç yalnız taraflar arasındaki yakınlık veya ortak çalışma ilişkisine dayandırılamaz. Talimat, görüşme, menfaat paylaşımı ve olayın hazırlanmasına ilişkin kayıtlar somut bağlantı sağlayabilir. Her kişinin hareketi ayrı gösterilmeli, tek parolanın kullanılması bütün katılanların aynı fiili gerçekleştirdiği şeklinde yorumlanmamalıdır.

TCK 245/A'daki yasak cihaz veya programlar düzenlemesi de parola ve güvenlik kodlarından söz eder. Hükümdeki, ilgili suçların işlenmesi için münhasıran yapılma veya oluşturulma koşulu göz ardı edilemez. Her parolanın paylaşılması veya bir listede bulunması bu suçun bütün unsurlarını kendiliğinden oluşturmaz. Hangi materyalin hangi amaçla oluşturulduğu ve kişiye isnat edilen seçimlik hareket ayrıca belirlenmelidir. Teknik nesnenin adı, kanuni koşulların yerine geçmez.

Cihazda bulunan parola listesinin sınırları

Bir cihazda hesap bilgileri içeren dosya bulunması, bilginin kişinin erişiminde olduğunu gösterebilir. Dosyanın kaynağı, edinilme tarihi, kullanım izleri ve olayda kullanılan hesapla ilişkisi ayrıca araştırılır. Eski bir yedek, güvenlik araştırması verisi veya otomatik indirme sonucu bulunan dosya, doğrudan bütün hesaplara erişildiğini kanıtlamaz. Buna karşılık olayla eşleşen oturumlar ve işlem kayıtları dosyanın kullanımına ilişkin ek dayanak sağlayabilir.

Parola listesindeki bilginin olay tarihinde geçerli olup olmadığı da önem taşır. Eski veya değiştirilmiş parola, sonraki başarılı girişin kaynağını açıklamayabilir. İnceleme sırasında test amacıyla hesaba giriş yapılması ise yeni kayıtlar oluşturabilir ve ayrı yetki sorunları doğurabilir. Teknik doğrulama yöntemi hukuka uygun kurulmalı, özgün olay kaydıyla araştırma sırasında yapılan işlemler karıştırılmamalıdır. Rapor bu iki dönemi açıkça ayırmalıdır.

Dosyanın kişinin kullanıcı klasöründe bulunması, insan tarafından bilerek kaydedildiğini her zaman göstermez. Eşitleme, paylaşılan klasör veya başka uygulama verisi aynı konumda dosya oluşturmuş olabilir. Dosya yolu, yalnız bulunduğu yeri gösterir. Kişinin içeriği gördüğü veya kullandığı sonucu için ek bulgular gerekir. İnceleme aracının ürettiği dosya adları ve kurtarılmış parçalar da özgün kullanıcı belgelerinden ayrı açıklanmalıdır.

Yazışmaların erişim iznine ilişkin anlamı

Parola paylaşımına ilişkin mesajlar, iznin kapsamını açıklayan doğrudan kaynaklardan biri olabilir. Ancak konuşmanın tamamı, tarihi ve taraf aidiyeti doğrulanmalıdır. “Hesaba bak” ifadesi, bağlama göre belirli belgeyi kontrol etme veya daha geniş yönetim görevi verme anlamına gelebilir. Tek cümleden sınırsız yetki veya hiç yetki verilmediği sonucu çıkarılması, iletişimin gerçek içeriğini bozabilir.

Mesajın daha sonra düzenlenmesi, iletilmesi veya ekran görüntüsüne dönüştürülmesi de değerlendirmeyi etkiler. Özgün konuşma kaydı ve karşı taraftaki kopya mevcutsa karşılaştırma yapılabilir. Aynı görüntünün iki ayrı raporda bulunması bağımsız doğrulama sayılmaz. Konuşmanın teknik bütünlüğü ile tarafların beyanlarının doğruluğu da farklı konulardır. Değiştirilmeden korunmuş bir mesaj, içinde söylenen her şeyin gerçek olduğunu kanıtlamaz.

İznin geri alındığı ileri sürülen mesajın muhataba ulaşıp ulaşmadığı ve nasıl anlaşıldığı araştırılabilir. Teslim veya okundu göstergeleri kullanılan hizmete göre farklı anlamlar taşıyabilir. Teknik teslim bilgisi, her zaman gerçek kişinin içeriği bilerek okuduğunu göstermez. Bununla birlikte diğer davranışlarla birlikte kişinin bilgisi hakkında çıkarım sağlayabilir. Manevi unsur değerlendirmesi, tek bir arayüz işaretine indirgenmeden somut olayın bütününde yapılmalıdır.

Parola sırrının korunması ve incelemenin kapsamı

Adli inceleme raporunda gerçek parolanın gereksiz yere açık biçimde tekrar edilmesi, yeni güvenlik ve kişisel veri sorunları yaratabilir. İspat için gereken olgu, çoğu kez belirli doğrulama bilgisinin ilgili hesapla ilişkisi ve kullanım zamanıdır. Rapor, gerekli teknik açıklamayı sağlarken sır niteliğindeki bilgilerin erişimini uygun biçimde sınırlandırabilir. Gizlilik tedbiri, savunmanın ilgili bulguyu denetlemesini tamamen engelleyecek biçimde kurulamaz.

Şüphelinin cihazından veri elde edilmesi, uygulanabilir ceza muhakemesi kararına ve inceleme kapsamına dayanmalıdır. Parolanın biliniyor olması, bu parolayla bağlantılı bütün uzak hizmetlerin sınırsız incelenebileceği anlamına gelmez. Yerel cihaz verisi ile başka sunucuda tutulan veri, temin yolu bakımından farklı sorular doğurur. İnceleme, teknik erişim imkanını hukuki yetki yerine kullanmamalıdır. Her kayıt için kaynak ve elde edilme usulü açıklanmalıdır.

NIST SP 800-86 gibi adli inceleme rehberleri, veri kaynaklarının korunması ve analiz adımlarının belgelenmesi bakımından yardımcıdır. Teknik rehber, rızanın hukuki kapsamını veya aramanın geçerliliğini tek başına belirlemez. Bu konular ilgili hukuk kurallarıyla değerlendirilir. Raporda kullanılan teknik yöntemin doğruluğu ile verinin hukuka uygun elde edilmesi ayrı denetim alanlarıdır. İkisinin de kişisel isnat bakımından önemi bulunur.

Birden fazla kullanıcı arasındaki ayırt edici deliller

Failin belirlenmesinde ortak hesap adının ötesine geçen veriler aranır. Belirli cihazın işlem anındaki kullanımı, işlemle eşleşen dosya, doğrulanmış talimat veya sonuçtan yararlanma bağlantısı açıklayıcı olabilir. Ancak bunların her biri kendi sınırlarıyla değerlendirilmelidir. Sonuçtan yararlanmış olmak, işlemi bizzat yapmayı her zaman göstermez. Cihazın yakınında bulunmak da cihaz üzerinden gerçekleşen bütün işlemleri üstlenmek anlamına gelmez.

Alternatif kullanıcılar arasında seçim, yalnız en olası görünen kişiye yönelerek yapılamaz. Hangi delilin diğer açıklamaları ne ölçüde dışladığı gerekçelendirilmelidir. Teknik kayıtlar kullanıcıları ayıramıyorsa, bu eksiklik raporda açıkça belirtilir. Sanığın parolayı paylaşmadığını kanıtlayamaması, suçun onun tarafından işlendiğinin kanıtı yerine geçirilemez. İspat değerlendirmesi, iddianın dayanaklarının gücüne ve bütün delillerin birlikte tartışılmasına dayanır.

CMK 217 kapsamında hukuka uygun deliller duruşmada tartışılırken, paylaşımın amacı ve işlemin gerçek kullanıcısı ayrı sorular olarak korunmalıdır. CMK 223 uyarınca yüklenen fiilin sanık tarafından işlendiğinin sabit olup olmadığı değerlendirilir. Doğru parola, sisteme kabulün teknik nedenini açıklayabilir. Kimin hangi yetkiyle ve hangi kastla hareket ettiğini açıklayan hukuki gerekçenin yerine geçmez. Parolaya dayalı kimlik doğrulamanın gücü, kişisel ceza sorumluluğuna sınırsız kesinlik kazandırmaz.