Fidye Yazılımı Saldırılarının Ceza Hukuku ve Dijital Delil Boyutu

Fidye yazılımı saldırısında görünen ilk belirti, dosyaların açılamaması veya ekranda ödeme talebinin belirmesi olabilir. Ceza hukuku bakımından olay çoğu kez bu andan önce başlayan ve sonrasında devam eden birden fazla fiil içerir. Sisteme erişim, yetkilerin ele geçirilmesi, verilerin kopyalanması, dosyaların şifrelenmesi ve ödeme talebi aynı hukuki sorunun farklı adları değildir. Her aşama, kendine özgü delillerle açıklanması gereken bir davranıştır.

Ransomware adı verilen fidye yazılımı, veriye erişimi engelleyen teknik müdahaleyle ekonomik baskıyı birleştirir. Verinin dışarı aktarılması ve yayımlanacağının bildirilmesi de saldırıya eşlik edebilir. Hatta dosyalar şifrelenmeden yalnız ele geçirilen verinin açıklanacağı tehdidiyle para istenebilir. Bu farklılıklar nedeniyle olayın “fidye yazılımı” olarak adlandırılması hukuki nitelendirmeyi tamamlamaz. Suçun unsurları, kullanılan baskı ve gerçekleştirilen teknik işlemler üzerinden belirlenmelidir.

Şifreleme, sistem engelleme ve veri müdahalesi

TCK 244, bilişim sisteminin işleyişinin engellenmesi veya bozulması ile veriler üzerinde gerçekleştirilen belirli müdahaleleri düzenler. Fidye yazılımının dosyaları kullanılamaz hale getirmesi, ilgili hükümlerin değerlendirilmesini gerektirebilir. Teknik incelemede hangi verilerin etkilendiği, değişikliğin niteliği, sistemin çalışıp çalışmadığı ve müdahalenin süresi açıklanır. Dosya uzantısının değişmiş olması tek başına gerçek şifreleme veya veri kaybı bulunduğunu kanıtlamaz.

Bir kuruluşun bütün sistemi kapatması ile saldırganın bütün sistemi çalışamaz hale getirmesi aynı olgu değildir. Kuruluş yayılmayı önlemek için henüz etkilenmemiş hizmetleri de durdurmuş olabilir. Kesintinin saldırıyla ilişkisi bulunabilir, fakat teknik doğrudan etki ile koruyucu müdahalenin sonucu ayrı gösterilmelidir. Aksi halde etkilenen sistem sayısı ve fiilin kapsamı olduğundan farklı görünebilir. Hukuki değerlendirme, kesintinin nedenlerine ilişkin doğru teknik açıklamaya dayanmalıdır.

Verilerin daha sonra yedekten döndürülmesi, önceki müdahaleyi hiç gerçekleşmemiş hale getirmez. Buna karşılık her kurtarılan dosyanın kalıcı olarak yok edildiğini söylemek de doğru değildir. İnceleme raporu erişilemezlik süresini, kurtarılabilen verileri ve çözülemeyen kayıpları ayırır. Zararın hesaplanması, suçun teknik olarak gerçekleşmesinin tespiti ve tazminat değerlendirmesi farklı sorular içerir. Bu soruların birbirine karıştırılması hem isnadın hem zarar iddiasının kapsamını belirsizleştirir.

Ödeme talebinin içeriği ve hukuki nitelendirme

Ödeme talebinde hangi davranışın vaat edildiği veya hangi zararın bildirildiği belirlenmelidir. Dosyaların açılması karşılığında para istemek, verileri yayımlamakla tehdit etmek ve kuruluşa yeni saldırı yapılacağını bildirmek farklı içeriklerdir. TCK'nın tehdit, şantaj ve diğer ilgili hükümleri somut ifadenin unsurlarına göre değerlendirilir. Yabancı kaynaklarda kullanılan “extortion” sözcüğü, Türk hukukundaki tek bir suç tipine otomatik olarak çevrilemez.

TCK 244'ün dördüncü fıkrasındaki haksız çıkar düzenlemesi de başka suç oluşturmama koşuluyla birlikte okunmalıdır. Her ödeme talebini veya elde edilen yararı doğrudan bu hükme yerleştirmek, diğer suç tipleriyle ilişkiyi gözden kaçırabilir. Aynı olayda farklı fiillerin bulunması halinde içtima tartışması yapılır. Nitelendirme, saldırının bilinen adı üzerinden değil, kanıtlanan hareketler ve bunların hukuki ilişkisi üzerinden kurulmalıdır.

Ödeme yapılmamışsa talebin hiç iletilip iletilmediği, mağdura ulaşıp ulaşmadığı ve ilgili suçun hangi aşamada kaldığı araştırılır. Ödeme yapılmışsa miktar, alıcı yapı ve talep ile ödeme arasındaki bağlantı ayrıca gösterilir. Talep edilen miktarla ödenen miktarın farklı olması mümkündür. Görüşmelerde geçen rakamların doğrudan gerçekleşmiş zarar gibi yazılması, ispat edilen olguyla müzakere içeriğini birbirine karıştırır.

İlk erişim ile şifreleme anı arasındaki süre

Fidye notunun ortaya çıktığı saat, saldırının başlangıç saati olmak zorunda değildir. Saldırgan daha önce erişim sağlamış, hesapları kullanmış veya verileri toplamış olabilir. İnceleme bu nedenle yalnız şifreleme gününe odaklanmamalı, mevcut kayıtların izin verdiği ölçüde ilk erişim ve hazırlık faaliyetlerini araştırmalıdır. Olayın önceki safhalarının bulunması, hem kapsamı hem de farklı kişilerin rollerini anlamaya yardımcı olur.

İlk erişim kaydı ile sonraki yönetim faaliyetleri arasında bağlantı kurulurken hesap, oturum ve cihaz tanımlayıcıları kullanılır. Bir yönetici hesabının saldırıda görünmesi, hesabın meşru sahibinin saldırgan olduğu anlamına gelmez. Parola veya oturum ele geçirilmiş olabilir. Hesabın olağan kullanımından ayrılan davranışlar araştırma yönü sağlayabilir, ancak olağan dışılık tek başına suçluluk ölçütü değildir. İlgili kişinin fiili, başka verilerle desteklenmelidir.

Kurumsal ağ içinde bir cihazdan diğerine geçiş görülüyorsa, her sistemdeki kayıtların zaman uyumu kontrol edilir. Tek sunucunun saatine göre oluşturulan zaman çizelgesi, başka sunucudaki hatalı saat nedeniyle yanlış olay sırası üretebilir. Kayıt kaybı bulunan dönemler de görünür olmalıdır. Bilinmeyen zaman aralığının bütününün saldırganın kontrolünde geçtiği varsayımı, somut delille desteklenmedikçe kesin tespit olarak sunulamaz.

Veri sızdırma iddiasının ayrıca kanıtlanması

Şifreleme olgusu, verinin dışarı aktarıldığını kendiliğinden göstermez. Saldırganın “bütün verileri aldık” açıklaması bir baskı aracı olabilir. Ağ çıkış kayıtları, dosya okuma olayları, bulut yüklemeleri ve sunulan örnek veriler bu iddiayı sınamak için değerlendirilebilir. Aktarım miktarı ile hangi içeriğin aktarıldığı farklı sorulardır. Büyük veri çıkışı, içeriği ayrıca belirlenmedikçe belirli müşteri bilgilerinin sızdırıldığını kesinleştirmez.

Saldırganın yayımladığı örnekler kuruluşun gerçek verileriyle karşılaştırılabilir. Ancak bu örneklerin önceki bir ihlalden veya başka bir kaynaktan elde edilmiş olma ihtimali de araştırılır. Örneklerin güncelliği, yalnız içerdiği tarih alanına dayanılarak belirlenmez. Kaynak sistemdeki kayıtlarla ilişki ve içerik bütünlüğü değerlendirilir. Az sayıdaki gerçek örnek, ileri sürülen toplam veri hacminin tamamını kanıtlamayabilir.

Veri sızdırma ile şifreleme farklı kişilerce gerçekleştirilmiş olabilir. İlk erişimi sağlayan kişi erişim imkanını başka bir gruba devretmiş, sonraki aşama ayrı kişiler tarafından yürütülmüş olabilir. Böyle bir rol ayrımı ileri sürülüyorsa, teknik ve mali kayıtlar kişilerin somut katkılarına göre incelenir. Bir zararlı yazılım ailesinin adının bilinmesi, saldırıya katılan bütün gerçek kişilerin belirlendiği anlamına gelmez.

Fidye notu, görüşmeler ve kimlik iddiası

Fidye notunun özgün dosyası, oluşturulduğu yer ve zaman bilgisiyle korunmalıdır. Notun ekran görüntüsü içeriği gösterebilir, fakat dosyanın teknik özelliklerini ve başka sistemlerdeki kopyalarla ilişkisini sınırlı biçimde yansıtır. Kullanılan iletişim adresleri ve ödeme bilgileri de olayla birlikte kaydedilir. Bu bilgiler, saldırganın kimliğine ilişkin ipucu olabilir, ancak çoğu zaman aracı hesaplara veya sonradan devredilen altyapıya işaret eder.

Görüşme kayıtlarında bütünlük ve bağlam önem taşır. Müzakereyi kuruluş çalışanı, sigortacı veya görevlendirilen uzman yürütmüş olabilir. Kimin hangi sıfatla iletişim kurduğu ve kayıtların nasıl elde edildiği açıklanır. Yalnız seçilmiş mesajların sunulması, talebin kapsamını veya karşı tarafın beyanlarını değiştirebilir. Çeviri yapılmışsa, anlamı etkileyen terimler ve özgün metin arasındaki ilişki denetlenebilir olmalıdır.

Saldırganın belirli bir grup adını kullanması, grubun veya grubun bilinen üyelerinin olaya katıldığını tek başına kanıtlamaz. Başka kişiler aynı adı veya benzer fidye notunu kullanabilir. Teknik aile sınıflandırması ile insan kimliği farklı inceleme düzeyleridir. Güvenlik raporlarında kullanılan aktör adları, ceza yargılamasında gerçek kişi eşleştirmesi gibi aktarılmamalıdır. Kimliğe ilişkin çıkarımın dayandığı ek veriler ayrıca gösterilmelidir.

Kripto varlık transferinin açıklayabildiği olgular

Fidye ödemesinin kripto varlıkla yapılması, işlem hareketlerinin incelenmesine imkan verebilir. Zincir üzerindeki kayıt, belirli bir zamanda belirli adresler arasındaki transferi gösterebilir. Bununla birlikte cüzdan adresini kullanan insan, adresin bağlı olduğu hizmet ve ödeme üzerinde fiili kontrol sağlayan kişi ayrıca araştırılır. Teknik izlenebilirlik, tek başına gerçek kimlik tespiti değildir.

Adres kümelendirme veya hizmet sağlayıcı eşleştirmesi içeren raporlar, kullanılan yöntemi ve belirsizlikleri açıklamalıdır. Bir adresin belirli hizmetle ilişkilendirilmesi, hizmetteki bütün hesapların aynı kişi tarafından yönetildiğini göstermez. Müşteri kayıtları, hesap erişimleri ve çekim işlemleri farklı bilgi katmanları oluşturur. Bu kayıtların hukuka uygun temini ve olay zamanıyla bağlantısı sağlanmadan, yalnız görsel transfer şemasından kişisel ceza sorumluluğu çıkarılamaz.

Ödemenin kuruluş tarafından yapıldığı da ödeme talebi, işlem kaydı ve kuruluşun kendi belgeleriyle ilişkilendirilebilir. Aracı bir kuruluş üzerinden ödeme yapılması halinde aracı rolü ile saldırgan rolü ayrılır. Para hareketini kolaylaştıran her kişinin suç planını bildiği varsayılamaz. İştirak değerlendirmesinde bilgi, amaç ve somut katkı ayrı araştırılır. Aynı ilke, saldırıdan önce altyapı hizmeti sağlayan kişiler bakımından da geçerlidir.

Acil müdahale sırasında delil kaybının yönetilmesi

Devam eden şifrelemeyi durdurmak ve kritik hizmetleri korumak için hızlı müdahale gerekebilir. Ağdan ayırma, hesabı devre dışı bırakma veya sistemi kapatma kararları farklı veri kaybı riskleri taşır. Özellikle bellekte bulunan bilgiler cihaz kapatıldığında kaybolabilir. Buna karşılık zararlı faaliyetin sürmesine izin verilmesi de yeni zarara yol açabilir. Müdahalenin gerekçesi ve etkileri kayıt altına alınarak bu gerilim yönetilmelidir.

CISA, FBI, NSA ve MS-ISAC tarafından yayımlanan #StopRansomware Guide, olay kayıtları, bellek, etkilenen sistem görüntüleri ve saldırganla iletişim gibi farklı kaynakların korunmasına dikkat çeker. Bu teknik yaklaşım, tek bir fidye notuyla yetinmeyen incelemeyi destekler. Rehberdeki öneriler Türk hukukundaki arama veya elkoyma yetkisinin kaynağı değildir. Adli makamların işlemleri, ilgili ceza muhakemesi koşullarına uygun yürütülmelidir.

Kurtarma sırasında yapılan dosya geri yüklemeleri ve sistem kurulumları özgün izleri değiştirebilir. Bu işlemlerden önce alınabilen kopyalar, işlemin zamanı ve kullanılan yedek sürümü kaydedilir. Kuruluşun faaliyete dönmesiyle adli incelemenin tamamlanması aynı zaman çizelgesine sahip olmayabilir. Sonradan hazırlanan rapor, hangi verilerin müdahale öncesinden, hangilerinin kurtarma sonrasından geldiğini açıkça ayırmalıdır. Aksi halde kurtarma faaliyetleri saldırganın işlemleri gibi görünebilir.

Yedeklerin ve örnek dosyaların karşılaştırılması

Etkilenmiş dosya ile önceki güvenilir kopyanın karşılaştırılması, değişikliğin niteliğini anlamaya yardımcı olur. Ancak yedeğin hangi tarihte ve hangi kapsamda oluşturulduğu belirlenmelidir. Yedek de saldırıdan etkilenmiş veya saldırı başladıktan sonra alınmış olabilir. “Yedekten fark var” tespiti, farkın tümünün saldırgan tarafından oluşturulduğunu kanıtlamaz. Aradaki meşru kullanıcı değişiklikleri ve olağan sistem işlemleri hesaba katılır.

Örnek dosyalardan bütün sistem hakkında sonuç çıkarılacaksa örneklemenin sınırları açıklanmalıdır. Seçilen birkaç dosyanın şifrelenmiş olması, diğer bütün dosyaların da aynı biçimde etkilendiğini göstermez. Dosya türüne veya sistem bölümüne göre farklı etkiler bulunabilir. Teknik rapor, doğrudan incelenen kapsam ile diğer kayıtlardan tahmin edilen kapsamı ayırır. Bu ayrım, hem suçun maddi konusu hem de zarar değerlendirmesi bakımından önemlidir.

Kurtarma aracının bazı verileri açabilmesi, bütün dosyaların özgün içeriğine eksiksiz döndüğünü kanıtlamaz. İçerik bütünlüğü ve uygulamanın veriyi doğru okuyabilmesi ayrıca kontrol edilebilir. Kurtarılan verilerin yeni zaman damgaları taşıması da olay tarihini karıştırabilir. Rapor, kurtarma işleminden kaynaklanan değişiklikleri ve kontrol edilemeyen bölümleri göstermelidir. Teknik başarı ifadesinin kapsamı, ceza yargılamasında gereğinden fazla genişletilmemelidir.

Zarar raporu ile failiyet raporunun farklı işlevi

Kuruluşun iş kaybı, yeniden kurulum gideri, veri kurtarma harcaması ve ödenen fidye farklı zarar kalemleridir. Her kalemin saldırıyla ilişkisi ve hesabın dayanağı ayrı gösterilir. Tahmini gelir kaybı ile yapılmış harcama aynı tür veri değildir. Teknik uzman kesinti süresini açıklayabilir, ancak ekonomik zarar hesabının bütün unsurlarını yalnız teknik ölçümle belirleyemez. Uzmanlık alanları arasındaki sınır raporda korunmalıdır.

Ağdaki güvenlik eksiklikleri, saldırganın kimliğine ilişkin delil değildir. Kuruluşun güncellemeleri geciktirmiş olması saldırının nasıl kolaylaştığını açıklayabilir, fakat belirli şüphelinin saldırıyı yaptığı sonucunu doğurmaz. Aynı şekilde güçlü güvenlik önlemleri bulunması, içeriden yardımın zorunlu olduğu anlamına gelmez. Fail tespiti, güvenlik değerlendirmesinden bağımsız olarak somut hesap, cihaz, iletişim ve mali verilerle kurulmalıdır.

CMK 217 çerçevesinde mahkemenin önüne getirilen dijital deliller tartışılabilir ve denetlenebilir olmalıdır. Savunma, şifrelemeye ilişkin tespitle kimliğe ilişkin çıkarımı ayrı ayrı sorgulayabilmelidir. Raporun bazı bölümlerinin ticari sır içermesi, kişisel isnadın teknik dayanağını tamamen kapalı hale getirmemelidir. Uygun koruma tedbirleriyle ilgili verinin incelenmesi sağlanabilir. Hükmün gerekçesi, saldırının ağırlığıyla kişiye ilişkin ispatın gücünü birbirine karıştırmamalıdır.

Yazılımı geliştiren kişi ile saldırıyı yürüten kişinin ayrılması

Fidye yazılımını geliştiren kişinin her saldırıyı doğrudan yürüttüğü varsayılamaz. Yazılımın dağıtımı, erişim sağlanması ve ödeme görüşmeleri farklı kişilerce gerçekleştirilebilir. TCK'nın iştirak hükümleri yönünden değerlendirme yapılırken ortak plan, somut katkı ve kişinin bilgisi araştırılır. Kod benzerliği, yazılım ailesini belirlemeye yardımcı olsa da belirli saldırının bütün faillerini tek başına açıklamaz.

Yazılım geliştirmeye ilişkin kayıtların suçla bağlantısı da ayrıca kurulmalıdır. Kaynak koduna erişim, değişiklik yapma, dağıtım veya saldırıdan pay alma iddiaları farklı deliller gerektirir. Sırf bir depoya erişimi bulunduğu için kişinin bütün sürümleri ve kullanımları bildiği kabul edilemez. Buna karşılık saldırıya özgü talimatlar, yapılandırma ve menfaat paylaşımı kayıtları kişisel katkının değerlendirilmesinde anlam taşıyabilir. Her teknik ilişki, suçun unsurlarıyla bağlantısı açıklanarak kullanılmalıdır.

Birden fazla fiili tek olay içinde açıklayan gerekçe

Fidye yazılımı soruşturmasının güçlü tarafı, şifrelenmiş dosyaların veya fidye notunun görünür olması olabilir. Zor tarafı ise bu görünür sonuçları belirli kişilerin davranışlarıyla ilişkilendirmektir. Her sanık bakımından erişim, veri müdahalesi, talep, tahsil ve varsa diğer katkılar ayrı gösterilmelidir. Bilinmeyen roller, saldırının genel örgütlenmesine ilişkin varsayımlarla doldurulamaz.

Teknik inceleme, hangi veriye ne olduğunu, hangi zaman aralığında hangi sistemlerin kullanıldığını ve hangi bağlantıların doğrulanabildiğini açıklamalıdır. Mahkeme de bu bulguların suçun unsurlarını ve kişisel sorumluluğu nasıl desteklediğini gerekçelendirmelidir. Saldırının ekonomik etkisi ne kadar ağır olursa olsun, cezai isnat delilin gösterdiği sınır içinde kalır. Dosyaların şifrelenmiş olduğuna ilişkin kesinlik, faili belirleyen delillerdeki boşluğu kendiliğinden gidermez.