Zararlı Yazılım Kaynaklı Suçlarda Cihaz Sahibinin Ceza Sorumluluğunun Belirlenmesi

Bir bilgisayarın saldırı trafiği üretmesi, bilgisayar sahibinin saldırıyı gerçekleştirdiği sonucunu tek başına taşımaz. Zararlı yazılım, cihazı sahibinin bilgisi dışında başka sistemlere bağlayabilir, dosyaları değiştirebilir veya uzaktaki bir kişinin komutlarını çalıştırabilir. Böyle bir olayda aynı cihaz hem suçta kullanılan araç hem de izinsiz müdahalenin hedefi olabilir. Ceza sorumluluğunun belirlenmesi, mülkiyet kaydından önce bu teknik ilişkinin çözülmesini gerektirir.

Tersine, cihazda zararlı yazılım bulunduğunun söylenmesi de her suç isnadını ortadan kaldırmaz. Tespit edilen yazılımın olay tarihinde çalışıp çalışmadığı, isnat edilen işlemi yapabilecek özellikte olup olmadığı ve gerçekten o işlemle bağlantısı araştırılır. Aylar sonra bulunan ilgisiz bir zararlı dosya, önceki bütün faaliyetleri açıklamaz. İncelemenin konusu, soyut olarak dış müdahalenin mümkün olup olmadığı değil, somut olayın hangi delillerle açıklandığıdır.

Mülkiyet, kullanım ve kontrolün farklı kişilere ait olması

Cihazın faturası, demirbaş kaydı veya abonelik bilgisi, cihazla kişi arasında belirli bir ilişki kurar. Bu ilişki, olay anında klavyeyi kullanan veya uzaktan komut veren kişiyi kendiliğinden göstermez. Aile içinde paylaşılan bilgisayar, işyerindeki ortak terminal ve dışarıdan yönetilen sunucu farklı kullanım düzenlerine sahiptir. Araştırma, cihazın kimin adına alındığından hareketle sonlandırılmamalı, olay zamanındaki erişim imkanlarına yönelmelidir.

Türk Ceza Kanunu'nun 20. maddesindeki şahsi sorumluluk ilkesi, başkasının fiilinden dolayı kişiye ceza verilmesini engeller. Bu nedenle zararlı yazılım aracılığıyla gerçekleştirilen işlem ile cihaz sahibinin davranışı arasında bağ kurulması gerekir. Kişinin cihazı kullanıyor olması, yazılımın bütün işlemlerini bildiği veya istediği anlamına gelmez. İşletim sisteminde onun kullanıcı adının görünmesi de otomatik süreçlerin aynı hesap altında çalışması nedeniyle tek başına insan müdahalesini kanıtlamayabilir.

Kontrol, yalnız cihazın fiziksel olarak elde bulunmasıyla sınırlı değildir. Yönetici yetkisi, uzak erişim oturumu, hizmet hesabı ve zamanlanmış görevler farklı kontrol biçimleri yaratır. Cihaz sahibi uzaktaki saldırgan tarafından kilitlenmiş olabilir veya cihazın bir bölümünü kullanırken arka plandaki faaliyetten habersiz kalabilir. Bilirkişi, “cihaz kontrolü” ifadesini kullandığında hangi yetkiyi ve hangi zaman aralığını kastettiğini açıklamalıdır. Kontrolün kapsamı belirsiz bırakılırsa ceza sorumluluğuna ilişkin çıkarım da belirsizleşir.

Zararlı dosyanın bulunması ile çalışmasının kanıtlanması

Bir güvenlik ürününün dosyayı zararlı olarak işaretlemesi, adli değerlendirme için başlangıç verisidir. Ürünün kullandığı tespit adı, sürümü, güncelleme zamanı ve tespitin hangi nesneye ilişkin olduğu kaydedilir. Farklı ürünler aynı dosyayı farklı aile adlarıyla sınıflandırabilir. Bir dosyanın karantinada bulunması, olay sırasında etkin biçimde çalıştığını kanıtlamaz. Dosya arşiv içinde, indirilen bir örnekte veya güvenlik incelemesi amacıyla tutulmuş olabilir.

Çalıştırma izleri, süreç kayıtları, ağ bağlantıları ve sistemde yapılan değişiklikler dosyanın etkinliğini anlamaya yardımcı olur. Bu izlerin bulunması halinde de hangi davranışı gösterdikleri ayrı açıklanır. Yazılımın başlatılması ile belirli saldırı komutunun yürütülmesi aynı olay değildir. İnceleme, dosyanın genel kapasitesinden hareketle bütün olası davranışlarını gerçekleşmiş kabul edemez. Özellikle eksik kayıt bulunan sistemlerde, gözlenen faaliyet ile teknik olasılık birbirinden ayrılmalıdır.

Zararlı yazılımın diskte dosya bırakmadan veya başka bir meşru sürecin içinde çalışması da mümkündür. Bu nedenle sonradan yapılan disk taramasında sonuç alınamaması, olay tarihinde zararlı faaliyet bulunmadığını kesinleştirmez. Öte yandan bu teknik ihtimal, her delile karşı kendiliğinden geçerli bir açıklama değildir. Bellek verisi, olay kayıtları ve dış sistemlerdeki bağlantı izleri gibi mevcut bulgular üzerinden sınanmalıdır. İncelemenin erişemediği geçmiş durum dürüstçe belirtilmelidir.

Bulaşma zamanının isnat edilen işlemle karşılaştırılması

Sorumluluk tartışmasında yazılımın ne zaman cihaza ulaştığı kadar, hangi tarihler arasında etkin kaldığı da önem taşır. Dosya oluşturma tarihi tek başına bulaşma tarihi sayılamaz. Kopyalama, güncelleme, arşivden çıkarma veya geri yükleme işlemleri zaman alanlarını etkileyebilir. İşletim sistemi kayıtları, indirme geçmişi ve güvenlik ürünü olayları birlikte değerlendirildiğinde daha anlamlı bir zaman aralığı kurulabilir. Belirsiz kalan aralıklar kesin tarih gibi sunulmamalıdır.

İsnat edilen işlem zararlı yazılımın cihaza ulaşmasından önce gerçekleşmişse, o örneğin işlemi açıklaması için ayrıca teknik dayanak gerekir. Sonraki tarihte görülen bulaşmayı geçmişe taşımak, nedensellik incelemesini tersine çevirir. Buna karşılık dosyanın sonradan tespit edilmiş olması, mutlaka sonradan bulaştığını da göstermez. Tespit tarihi ile faaliyetin başlangıcı arasındaki fark araştırılmalıdır. Güvenlik ürününün önceki sürümünün zararlıyı tanımaması bu farkın olası nedenlerinden biridir.

Olay zaman çizelgesine cihaz sahibinin müdahaleleri de eklenebilir. Teknik servise teslim, işletim sistemi kurulumu, hesap değiştirme ve ağ bağlantısının kesilmesi, kayıtların yorumunu etkiler. Servis işlemlerinin yazılımı temizlediği veya yeni izler oluşturduğu iddia ediliyorsa, servis kaydı ve yapılan işlemler araştırılır. Sonradan değişmiş sistemin tek anlık görünümü, olay tarihindeki bütün durumu temsil ediyormuş gibi kullanılmamalıdır. Tarihsel inceleme, eldeki her verinin hangi dönemi yansıttığını göstermelidir.

Uzaktan komut ile yerel kullanıcı davranışının ayrıştırılması

Uzaktan kontrol iddiası, bağlantının yönü, süreç ilişkileri ve komutun yürütüldüğü bağlam üzerinden incelenebilir. Dış adresle iletişim kurulmuş olması tek başına kötü amaçlı kontrol göstermez. Güncelleme hizmetleri, destek yazılımları ve kurumsal yönetim araçları da dış sistemlerle bağlantı kurar. İletişimin zararlı yazılımla ilişkisi ve olayla zamansal bağı ortaya konulmalıdır. İncelemede yalnız tanınmayan alan adı görülmesine dayanarak saldırgan kontrolü sonucuna varılması yeterli değildir.

Yerel kullanıcı hesabı altında yürüyen işlem, uzaktaki bir kişinin talimatıyla başlamış olabilir. Aynı şekilde uzaktan erişim yazılımının bulunması, cihaz sahibinin hiç katkısı olmadığı anlamına gelmez. Yetkili uzaktan çalışma ile izinsiz müdahale arasında ayrım yapılır. Oturumun kuruluşu, kimlik doğrulama, kullanılan yetkiler ve ilgili kişinin açıklamaları birlikte değerlendirilir. Teknik kayıtların hangi kullanıcı etkileşimini doğrudan, hangisini dolaylı olarak gösterdiği raporda belirtilmelidir.

Bir işlemin cihaz sahibinin olağan kullanım saatlerinde gerçekleşmesi ancak yardımcı bir olgu olabilir. Zararlı yazılımlar cihaz açıkken arka planda çalışabilir. Kullanıcının başka bir programı kullandığı sırada saldırı trafiği oluşması, trafiği onun yönettiğini zorunlu kılmaz. Tersine, ekran başında bulunmadığı ileri sürülen saatteki faaliyet de otomatik görev veya uzaktan erişim bakımından araştırılır. Fiziksel bulunma ile dijital işlem arasındaki ilişki, olayın teknik yapısı içinde değerlendirilmelidir.

Kast ve güvenlik ihmali arasındaki ceza hukuku farkı

TCK 21 uyarınca kast, suçun kanuni tanımındaki unsurların bilerek ve istenerek gerçekleştirilmesini gerektirir. Zararlı yazılımın farkında olmayan cihaz sahibinin sırf cihazından veri gönderildiği için kasten hareket ettiği kabul edilemez. Kişinin bilgisi ve iradesi, iletişimleri, hazırlık davranışları, verdiği talimatlar ve olayla bağlantılı diğer delillerle araştırılabilir. Teknik rapor failin iç dünyasını doğrudan ölçmez, ancak hukuki değerlendirmeye esas olacak dış olguları ortaya koyabilir.

Güvenlik güncellemesini geciktirmek veya zayıf parola kullanmak, her durumda bilişim suçunun taksirli biçimini oluşturmaz. TCK 22 gereğince taksirli fiiller ancak kanunda açıkça belirtilen hallerde cezalandırılır. Siber güvenlik bakımından kusurlu görülen davranışın ceza hukuku bakımından hangi suça karşılık geldiği ayrıca gösterilmelidir. İdari, sözleşmesel veya özel hukuk sorumluluğu ihtimaliyle belirli bir bilişim suçundan cezalandırılma koşulları birbirine karıştırılmamalıdır.

Kişinin cihazını bilerek suç için kullandırması veya saldırıya bilerek katkıda bulunması farklı bir değerlendirme gerektirir. Böyle bir iddiada cihazın zararlı yazılımla çalışması, insanın suçla ilişkisini ortadan kaldırmaz. Ancak kast, yalnız teknik bilgisi bulunduğu veya güvenlik yazılımını kapattığı gerekçesiyle varsayılamaz. Bu davranışların amacı ve olayla bağlantısı incelenir. Güvenlik yazılımının kapatılması meşru bakım sürecinin parçası da olabilir, saldırıyı kolaylaştıran bilinçli bir işlem de olabilir.

Botnet içinde görünen cihazın konumu

Bir cihazın çok sayıda hedefe istek göndermesi, botnet faaliyeti şüphesini doğurabilir. Botnet, uzaktan yönetilen ele geçirilmiş cihazların birlikte kullanılabildiği bir yapıdır. İncelemede trafiği üreten uç cihaz ile faaliyeti yöneten kişi veya altyapı birbirinden ayrılır. Uç cihazın abonesini belirlemek, botnet yöneticisini belirlemekle eşdeğer değildir. Aynı kişi hem cihaz sahibi hem de mağdur olabilir.

Ağ kayıtları hangi süreçlerin bağlantı kurduğuyla ilişkilendirilebildiğinde, trafiğin kaynağı daha iyi anlaşılır. Yalnız servis sağlayıcının dış IP kaydı bulunuyorsa, ortak ağ ve adres paylaşımı gibi ek belirsizlikler de ortaya çıkar. İlgili cihazın ağa bağlı olduğu gösterilmeden bütün trafiğin ona ait sayılması doğru olmaz. Cihaz üzerinde inceleme yapılmışsa, incelemenin olaydan ne kadar sonra gerçekleştiği ve bu sürede sistemin değişip değişmediği dikkate alınır.

Saldırı hedefindeki kayıtlar da tek başına kaynak cihazın durumunu açıklamaz. Hedef sistem yalnız gelen bağlantıyı veya paketi görmüş olabilir. Kaynak adresin teknik niteliği, kullanılan iletişim biçimi ve aradaki sistemler değerlendirilmelidir. Birçok cihazdan gelen trafiğin tek şüpheliye bağlanması için yönetim, talimat veya ortak faaliyet delilleri gerekir. Ağ büyüklüğünün etkileyici görünmesi, kişisel isnadın kanıtlanması ihtiyacını azaltmaz.

İnceleme yönteminin cihazda bıraktığı etkiler

Çalışan bir cihazın kapatılması bellekteki verileri kaybettirebilir. Açık tutulması ise yeni ağ bağlantıları ve dosya değişiklikleri üretebilir. Seçilen yöntemin gerekçesi, olayın koşulları ve veri kaybı riskiyle birlikte kaydedilir. Her cihaz için tek bir müdahale biçiminin daima doğru olduğu söylenemez. Adli inceleme, hangi verinin korunabildiğini ve hangi verinin işlem sırasında değişmiş olabileceğini açıkça göstermelidir.

Güvenlik taraması veya temizleme yazılımı bazı dosyaları silebilir, karantinaya taşıyabilir ya da zaman alanlarını değiştirebilir. Bu işlemlerin incelenen sistemde ne zaman yapıldığı bilinmezse, sonradan oluşan kayıtlar saldırının izleriyle karışabilir. Mümkün olan koruma tedbirleri alınırken müdahalenin kendisi de belgelenir. NIST SP 800-83 Rev. 1 ve olay müdahalesine ilişkin NIST SP 800-61 Rev. 3, zararlı yazılım olaylarının yönetimine teknik çerçeve sağlar. Bu çerçeve, ceza muhakemesinin yetki koşullarının yerine geçmez.

İnceleme kopyasının bütünlüğü, kullanılan araçlar ve analiz adımları, başka bir uzmanın bulguları kontrol edebilmesini sağlamalıdır. Zararlı örneğin güvenli ortamda incelenmesi sırasında gözlenen davranış, özgün cihazda aynı davranışın gerçekleştiğiyle eşitlenemez. Deney ortamının ağ erişimi, tarih ayarı veya işletim sistemi farklı olabilir. Rapor, deney sonucunu kapasite analizi olarak mı yoksa olayın yeniden oluşturulması olarak mı kullandığını belirtmelidir.

Savunmanın ileri sürdüğü dış müdahale iddiasının sınanması

Cihaz sahibinin “bilgisayarıma virüs bulaştı” demesi, araştırılması gereken somut olgulara dönüştürülebilir. Hangi güvenlik uyarısının alındığı, cihazda ne tür değişiklik görüldüğü, teknik servise başvurulup başvurulmadığı ve olayla ilgili zaman bilgileri sorulabilir. Bu araştırma, sanığın suçsuzluğunu kanıtlama yükümlülüğü bulunduğu anlamına gelmez. Amaç, eldeki delillerin dış müdahale açıklamasıyla uyumlu olup olmadığını değerlendirmektir.

Savunmanın gösterdiği belirli bir zararlı yazılım kaydı raporda karşılıksız bırakılamaz. Uzman, kaydın isnat edilen işlemle ilişkisini ve neden açıklayıcı bulunduğunu veya bulunmadığını göstermelidir. Yalnız “zararlı yazılım bulunamadı” ifadesi kullanılıyorsa taramanın kapsamı, tarihi ve erişilemeyen alanlar belirtilmelidir. İddianın teknik olarak kesin biçimde dışlanamadığı hallerde, raporun kesinlik dili de buna göre sınırlandırılır. Bilinmeyen bir geçmiş durum, olumsuz tarama sonucuyla bütünüyle yeniden kurulamaz.

İddia makamının sunduğu delillerin gücü de aynı açıklıkla değerlendirilir. Cihaz sahibinin saldırı talimatlarını verdiğini gösteren doğrulanmış iletişim, yalnız cihazdaki bulaşmadan farklı bir ispat değeri taşır. Buna karşılık hesap adı ve IP adresiyle sınırlı ilişki, uzaktan kontrol bulgularının karşısında yeniden ele alınmalıdır. Mahkeme, hangi açıklamanın hangi somut delille desteklendiğini gerekçelendirmeli, teknik ihtimal ile kanıtlanmış olguyu aynı düzeye koymamalıdır.

Tespit adının ötesindeki davranış analizi

Antivirüs sınıflandırmasının tek başına belirleyici kabul edilmesi, yanlış pozitif olasılığını ve tespit kapsamını görünmez kılar. Meşru yönetim araçları da kötüye kullanılabilecek özellikler taşıyabilir. İnceleme, dosyanın adına veya tek ürünün verdiği etikete dayanmak yerine somut davranışı ve olayla ilişkisini açıklar. Aynı yazılımın farklı yapılandırmaları farklı işlevler üretebileceğinden, incelenen örneğin sürümü ve ayarları mümkün olduğu ölçüde belirlenir.

Tespit edilen örneğin özeti veya hash değeri başka bir zararlı yazılım örneğiyle eşleşiyorsa, eşleşmenin neyi gösterdiği açıklanmalıdır. Aynı dosya içeriği, aynı kullanıcı veya aynı saldırı yöneticisi anlamına gelmez. Yaygın bir zararlı birçok bağımsız cihaza ulaşmış olabilir. Örneğin belirli bir saldırıyla ilişkilendirilmesi için yapılandırma, iletişim adresleri ve olay zamanları gibi ek bulguların değerlendirilmesi gerekebilir. Dosya benzerliği ile fail benzerliği arasındaki fark korunur.

Analiz sırasında kullanılan harici hizmetlere hangi verilerin aktarıldığı da kaydedilmelidir. Zararlı olduğundan şüphe edilen dosya kişisel veri veya ticari sır içerebilir. Teknik inceleme amacı, içeriğin sınırsız paylaşımına dayanak oluşturmaz. İnceleme kapsamındaki verinin korunması ve erişimin yetkili kişilerle sınırlandırılması, raporun güvenilirliğinin yanında hukuka uygunluk bakımından da değerlendirilir.

Cihazın rolünden kişinin sorumluluğuna geçiş

Bir adli bilişim raporu, cihazın zararlı faaliyete katıldığını güçlü biçimde gösterebilir ve buna rağmen işlemi yapan insanı kesinleştiremeyebilir. Bu iki sonucun birlikte bulunması çelişki değildir. Teknik araştırmanın erişebildiği sınırı gösterir. CMK 217 ve 223 çerçevesindeki yargısal değerlendirme, hukuka uygun elde edilen ve tartışılan delillerin sanığın fiilini kanıtlayıp kanıtlamadığına yönelir.

Cihaz sahibine sorumluluk yüklenebilmesi, somut suçun unsurlarıyla kişinin davranışını birleştiren gerekçeye bağlıdır. Zararlı yazılımın yetenekleri, cihazın üretmiş olduğu trafik ve kişinin olay hakkındaki bilgisi ayrı ayrı açıklanmalıdır. Mülkiyet kaydı bu incelemenin başlangıcında yararlı olabilir, fakat sonunda kurulması gereken kişisel bağı kendiliğinden tamamlamaz. Ceza yargılamasının dijital sistemle ilgili kesinliği, insanın sorumluluğu hakkında kanıtlanmamış kesinliğe dönüşmemelidir.