1. Siber

Norbert Wiener liderliğindeki bir grup bilim adamının kullandığı cybernetics kelimesi, Yunanca’da dümenci ya da vali anlamına gelen kybernetes kelimesinden türetilmiştir. Bu terim, 1948 yılında Wiener tarafından yayınlanan “Cybernetics or Control and Communication in the Animal and the Machine” kitap ile popüler olmuştur. Cybernetics, bilgisayarların da dahil olduğu makine sistemlerindeki ve insandaki, denetim ve yönetim mekanizmaları üzerine yapılan çalışmalar ya da bilim dalıdır.

Türkçe’ye sibernetik olarak çevrilen cybernetics kelimesindeki cyber kelimesi bir tamlayan olarak birçok tanımlamada da kullanılmıştır. Siber uzay (cyberspace), siber kültür (cyberculture), siber hukuk (cyberlaw), siber savaş (cyberwar) gibi.

Şu anki yaygın kullanımı itibariyle siber, bilgisayar ya da bilgisayarla ilgili olarak kullanılmaktadır.

2. Siber Suç

İngilizce’de cyber crime, Fransızca’da cybercriminalité ve Almanca’da computerkriminalität olarak kullanılan siber suç terimi basitçe, bilgisayarı ilgilendiren suçlar olarak tanımlanabilir.

Amerikan Ulusal Adalet Enstitüsü, bilgisayarla ilgili suç terimini kullanarak “bilgisayar teknolojisi bilgisinin dahil olduğu ceza kanunu ihlalleri” tanımını yapmaktadır.

İlk kullanımından bu yana altmış yıldan fazla süre geçmiş olan bilgisayarların, kullanım alanları her geçen gün artmış, neredeyse girmediği hiçbir alan kalmamıştır. Mal ve hizmet üretiminde, yayıncılıkta, güvenlikte, silahlarda, coğrafik hizmetlerde, insanlar arası sosyal ilişkilerde ve sayılamayacak sayıda birçok alanda bilgisayar kullanımı yaygındır ve her geçen gün de artmaktadır.

Birden fazla kişinin birlikte yaşaması sırasında da haksızlıkların olması doğaldır. Bunların bir kısmı devlet tarafından müeyyideye de bağlanabilir. Bunlara hukukta suç denir. Bilgisayarın kullanıldığı bu alanlarda bilgisayarı ilgilendiren suçların olması da normal bir süreçtir.

Haksızlığa sebep olmanın ceza hukukunda yer alması kaçınılmazdır. Siber suçların ceza kanunlarında ayrı suçlar olarak tanımlanmasına ihtiyaç olup olmadığı konusunda farklı görüşler vardır. Bir görüşe göre, mevcut kanunların bilgisayarla ilgili suçların cezalandırılması konusunda yeterli olduğu ve bilgisayara özel düzenleme yapılmasına gerek olmadığı savunulurken diğer görüşe göre ise hukuki, teknik ve pratik argümanlar örnek gösterilerek dijital çağda mevcut yasaların yetersizliğinden bu suçlar için özel düzenlemeler yapılması gerekmektedir.

Mevcut kanunların dijital çağdaki suçlara uygulanması konusunda teknik sorunların olduğu kuşkusuzdur. Ancak buradaki asıl sorunun, dijital çağdaki yeni hakların aslında insanların baştan beri sahip olduğu hakların yeni görünüşleri olduğunun tespitindeki zorluktur. İnsanların binlerce yılda oluşturduğu hukuk kurallarında belirlenen hakların ötesinde yeni hakların ortaya çıkmadığı gerçeği göz ardı edildiğinden, siber suçlar için özel düzenlemeler hem Avrupa Birliği tarafından kabul edilmiş hem de bizim kanunlarımızda da yer bulmuştur.

Bu sebeple özel kanunların varlığına ihtiyaç olmadığı düşünülse de, bu çalışma şu anki mevcut duruma göre yapılmıştır.

3. Siber Suçların Maddi Konuya Göre Tasnifi

Siber suçlar, suçun konusuna göre (korunan hukuki değere göre değil) iki gruba ayrılır. Birinci grup olan bilgisayarın araç olduğu suçlarda suçun konusu bilgisayar değil, suçun işlenmesinde bilgisayarın kullanılması ile bilgisayar dışında bir konudur.

Siber suçlarda ikinci grup ise bilgisayarın hedef olduğu suçlardır. Bu suçlarda suçun konusu yani hareketin yöneldiği şey bilgisayardır.

Özelliği itibariyle incelenmesi gereken suç türü bilgisayarın hedef olduğu suçlardır. Bilgisayarın araç olduğu suçlar, hukuki açıdan aynı suçun bilgisayarsız işlenmesine benzer olduğundan özellik arz etmezler. Sadece nitelikli hal kabul edilen sınırlı sayılı suçlar da sadece cezanın belirlenmesinde farklılık arz etmektedir.

4. Bilgisayarın Araç Olduğu Suçlar

Bilgisayarın hızla hayatın her alanına girmesi yapılan birçok şeyin bilgisayarla yapılması sonucunu getirmiştir. Yazılar bilgisayarla yazılıyor, ticari işlemler bilgisayar kullanılarak yapılıyor, satışlar bilgisayarın yardımıyla yapılıyor. Bilgisayarla yapılan fiillerin çok büyük bir kısmı bir suçla sonuçlanmazken ancak çok küçük bir kısmı bir suçun işlenmesinde rol oynamaktadır. Bilgisayarın kullanıldığı suçlarda suçun konusunun bilgisayar olduğu durumlar, aşağıda bilgisayarın hedef olduğu suçlarda incelenecektir.

Sadece bilgisayar kullanılarak işlenebilen ve başka bir yöntemle işlenemeyen suç yoktur. Bunun sebebi, suçun zaten ancak fiziksel dünyada meydana gelen değişikliklerle işleyebileceği gerçeğidir.

Sosyal medyada işlenen tüm suçlar ancak bilgisayar yardımı ile işlenebilir. Bu suçlar başka yöntemlerle de işlenebilen suçların özel görünümüdür. Şerefe karşı suçlar ve özel hayata ve hayatın gizli alanına karşı suçlar bunlardan bazılarıdır.

Bilgisayar kullanımı ile her türlü suçun işlenmesi, bilgisayarın suçu işlenmesinde kullanılacak asıl aracı kullanarak da mümkündür. Bilgisayarla yönetilebilen bir silah sistemi ile yaralama ya da öldürme suçu işlenebilir.

Bilgisayarın araç olduğu suçların bazılarında bilgisayarın kullanılması nitelikli hal sayılmıştır. Örneğin TCK md.142’deki nitelikli hırsızlık suçunda, bilişim sistemlerinin kullanılması suçun nitelikli hallerinden sayılmıştır. Ayrıca TCK md.158’deki nitelikli dolandırıcılık suçunda da bilişim sisteminin kullanılması nitelikli hal sayılmasını sağlamıştır.

5. Bilgisayarın Hedef Olduğu Suçlar

Suçun işlenmesinde bilgisayar suçun konusu olduğunda dört türlü suç söz konusu olabilir. Bilgisayara hukuka aykırı erişim, maddi zararın gerçekleşmesi, verilerin bozulması ve bilgisayarın çalışmasının engellenmesi. Yapılan fiil bu zararlardan sadece birine sebep olabileceği gibi her hangi kombinasyonda iki ya da dört zarara birden de sebep olabilir.

Bilgisayara hukuka aykırı erişimin verdiği zarar olarak, mülkiyet hakkının ihlal edilmesi ya da genel kabulde olduğu bilişim sisteminin güvenliğinin zarara uğratılması kabul edilmiştir.

Aşağıda zararların daha kolay anlaşılabilmesi için tek bir zararın olduğu durumlar anlatılmaktadır.

A) Bilgisayara Hukuka Aykırı Erişim

Erişim daha önce yukarıda açıklanmıştı (Bkz.s.15). Erişim, hak sahibinin rızası durumunda ve kanunen sayılan durumlarda yapıldığında hukuka uygundur. Bunun dışındaki durumlarda yapılan erişim hukuka aykırıdır.

Erişimin hukuka aykırı olup olmadığı ile ilgili en önemli nokta, erişenin eriştiği yere serbestçe ulaşım imkânının olup olmadığıdır. Erişim denetimi olmayan ya da erişim denetimi olup da erişenin erişme isteğinin kontrol edilmediği durumlarda erişimin denetlenmemesi, hata sonucu erişim verilmesi ya da engellemenin unutulması veya yazılım hatası sonucu erişilmemesi gereken bilgilerin erişime açılmasıdır. Bu durumlarda erişenin erişmek için fazladan bir çabası gerekmemektedir. Erişen için kendisine kapalı olmayan bir bilgiye erişim denetimini aşmak gibi bir fiil olmadığına göre hukuka aykırı denilebilir mi?

Bu durum hayatta sıklıkla yaşanan olaylarla açıklanabilir. Örneğin bir kişinin masasının üstünde açık şekilde duran bir kâğıdın üzerindekileri okumak hukuka aykırı mıdır? Veya evdeki penceresinin perdesini örtmeyen bir kişinin evine bakmak yasak mıdır? Bu örnekleri bilgisayardaki işlemlere uyguladığımızda erişebilen tüm bilgiler açık bilgiler midir? Bu durumlarda, rızanın varlığı kabul edilebilir mi?

Zımni rızanın varlığından söz edebilmek için şartların değerlendirilmesi gerekecektir. (Bkz.s.46). Bilgisayar erişiminde güvenliğin ön planda olduğu ve neyin erişime açık olduğu ya da olmadığı çoğunlukla kolaylıkla anlaşılabilir. Bir bankacılık sisteminde başkasına ait hesap bilgilerinin görünmesinin istenilen bir durum olmadığının tespiti kolayken, yüzlerce dokümana arasında, görülmesi istenmeyen bir dokümanın diğer dokümanlarla birlikte olması rızanın tespitinin zor olduğu bir durumdur.

Yetki düzenlemesi yapan kişinin hatası sonucu, bazı işlevlere ya da verilere erişim yetkisinin olması ve kullanan kişinin bunun haksız bir yetki olduğunu anlayamayacak olması durumunda, kasıtlı bir hukuka aykırılıktan bahsedilemez.

Hukuka aykırı erişimi, gerçekleştirme şartlarına ve yöntemlerine göre gruplayabiliriz.

a) Erişim denetimi bulunmayan ya da etkin olmadığı durumlar

Bazı bilgisayarlarda erişim denetiminin bulunmadığı yukarıda açıklanmıştı. Örneğin akıllı televizyonlarda açılışta erişim denetimi yoktur. Yani televizyonu başlatabilmek için kullanıcının gizli bazı şeyleri bilmesi gerekmez. Bazı özel amaçlar için üretilmiş düşük özellikli bilgisayarlardaki işletim sistemlerinin de bu tür kontrolleri yoktur. Eski model el terminalleri bunlar arasında sayılabilir.

Bundan daha yaygın olan durum ise erişim denetiminin etkin olmadığı zamanlardır. Açık bırakılan bilgisayar ekranlarında çoğu hizmet için erişim denetimi yoktur. Internet üzerinden bağlanılan e-posta hizmetlerinde ya da sosyal medya sitelerinde erişim denetimini devre dışı bırakma imkânı kullanıcıya verilmektedir. Bu sitelere bağlanıldığı “oturumu sürekli açık tut” gibi seçenekler sitelere giriş için sadece internet tarayıcının çalıştırılmasını yeterli bulmakta ve tarayıcıya yerleştirilen cookie vasıtasıyla kimlik tespit edildiğinden ayrıca kimlik denetimi yapılmamaktadır.

Ortak kullanılan bilgisayarlarda internet tarayıcısı ile bu adreslere ulaşıldığında daha önce oturum açan ve kapatmayan kişinin özel bilgilerine ulaşılabilir. Bu ana kadar yapılan işlemler kasten yapılmadığından hukuka aykırı erişim olmasına rağmen suçun unsurlarında fiilin kasten gerçekleştirilmesi gerektiğinden suçun unsurları oluşmayacaktır.

b) Sahibinin rızası olmadan bir kullanıcı kimliği ile erişimin sağlanması

En yaygın hukuka aykırı erişim türüdür. Kimlik hırsızlığı da denir. Erişen, erişim sırasında kimlik doğrulamasını sağlayacak kimlik bilgilerini ya da fiziksel araçları hukuka aykırı olarak ele geçirir. Kimlik bilgilerinin ya da fiziksel araçların sahibinin kendi rızası ile vermesi de mümkündür. O zaman kimlik sahibinin bu erişime rızasının olmaması gerekir.

Manyetik ya da akıllı karta, kartın yanında şifre soruluyorsa kart ve şifresine (pin kodu da denir) sahiptir ve gerektiğinde bu bilgileri girerek kimlik doğrulaması aşamasını geçer. Kimlik doğrulamasını geçmesi ile elde edilen her türlü erişim türü hukuka aykırı olacaktır.

c) Uygulayıcının kusuru sonucu erişimin sağlanması

Kullanılan yazılımla yapılan yetki denetlemesinin uygulayıcı tarafından durumun gereklerine göre yönetilememesi ya da kullanıcı kimliğinin yanlış seçilmesi, tanımlarda hata yapılması gibi insani hatalar sonucu yetkisi olmaması gereken kullanıcılara yetki verilmesiyle gerçekleşir. Kullanıcı yetkisiz olduğu işlev ya da verileri gördüğünün farkına vardığı andan itibaren kasıtlı davranmaya başlamıştır. Bu durumdaki kullanıcının, yetki denetlemesindeki hatanın sonucunda erişememesi gereken veri ve işlevlere eriştiğini fark edebilmesi için en azından bir kez bu erişimin gerçekleşmesi gerekecektir. Ancak bu erişimden sonra erişenin kastından ve suçtan bahsedilebilir.

Uygulayıcının hatası denildiğinde uygulayıcının kusuru ortaya çıkmaktadır. Uygulayıcı gerekli özeni gösterseydi, her şeyi olması gerektiği gibi yapsaydı bile sorun ortaya çıkacak ise bu durumda uygulayıcının değil yazılımcının kusurundan bahsedilebilir. Uygulayıcının yeterli bilgiye sahip olmaması, olabilecek durumları tahmin edememesi gibi sebepler kusuru azaltmakta ancak yok etmemektedir. Eğitimi yeterli olmayan uygulayıcı, yapması gereken işi kişisel özelliklerini göz önüne alarak yapamayacağını tahmin etmesi gerekir. Bu durumda kusurlu olduğu konu değişir sadece. Yapamayacağını bilmesine rağmen yapmaya zorlanması durumunda ise zorlayan açısından kusur ortaya çıkacaktır.

d) Yazılımcının kusuru sonucu erişimin sağlanması

Hukuka aykırı erişimler içinde en çok zarar verebilecek erişim türüdür. Yazılımcın ürettiği yazılımın bilgisayardaki yerine getirdiği işlevler oluşabilecek yetkisiz erişim sorununun boyutlarını belirler. İşletim sistemi olarak kullanılan yazılımda olabilecek yazılım hataları tüm sistemi erişilebilir hale getirebilir. Medyada yaygın olarak görülen hackleme olaylarındaki hukuka aykırı erişimler bu tür erişimlerdir.

Yazılımcının kusurunun sonuçları yazılımın yaptığı işlevlere göredir. Bankacılık sisteminde ATM yazılımında yapılan hatada müşterilere başka müşterilerin hesap bilgileri gösterilebileceği gibi, bunlar üzerinde işlem yapılmasına da müsaade ediyor olabilir. Ya da sadece toplama çıkarma hatası yaparak erişimi ilgilendirmeyen görsel hata da yapabilir. Bu hatalar, yazılım projesinin nasıl planlandığından, nasıl yazıldığına, nasıl test edildiğine ve nasıl kullanıma sunulduğuna kadar değişik aşamalardan kaynaklanacak hatalardır.

e) Truva Atı Yöntemiyle

Bilgisayarlar dışardan gelen saldırılara karşı birçok güvenlik tedbiri ile korunmaktadırlar. Bilgisayarın kullanıldığı alanın önemine göre bu tedbirler sayesinde zorla girmek neredeyse imkânsızdır. Bilgisayara en büyük tehlike hukuka uygun olarak kullanan kullanıcısından gelir.

Truva Savaşı sırasında kullanılan at yöntemine benzediği için bu yönteme Trojan yani Truva Atı Yöntemi denir. Bu yöntemde kullanıcıya bir dosya gönderilir. Gönderilen dosya görünüşte bir doküman, resim ya da video dosyası izlenimi vermekteyse de açıldığında çalışan bir yazılımdır. Yazılımcısının tercihine göre sanki açılmasında sorun olmuş gibi bir hata mesajı ekrana çıkarabileceği gibi hiçbir işaret de vermeyebilir. Çalışır çalışmaz, bilgisayarın her açılışında işletim sisteminin kendisini de çalıştırması için gerekli değişiklikleri yapar. Daha sonra da hangi amaç için kurgulandıysa bu işlevleri yerine getirmeye başlar.

En yaygın kullanılma amacı yerleştiği bilgisayarı dışarıdaki kişilerin erişimine açmaktır. Şu an kullanılan ağ bağlantısı cihazları dışarıya doğru bağlantılara açıkken, dışardan içeriye bağlantılara kapalıdır. Gerekli işlemler yapılmadığı müddetçe bu şekilde çalışırlar. Bu durumda internet bağlantısını ADSL üzerinden ya da başka bir ağ cihazı ile sağlayan bilgisayara dışarıdan erişim mümkün değildir.

Burada Truva Atı Yöntemi’yle bilgisayara yerleşen yazılım devreye girer. Dışardan içeriye bağlantı kurulamadığı için, yazılım dışarda bağlantı kuracağı adres sabit ise o adresle değil ise bağlantı kuracağı adresi değişik yöntemlerle belirler. En basit yöntemlerden biri DNS sorgulaması ile bulmaktır.

İçerden dışarıya bağlantının yapılması dışardan gelen paketlerin içeriye ulaşmasını da sağlar. Trojan yazılımı, dışardan gelen komutlara göre istenilen işlemleri yerine getirir. Bu bir dosyanın gönderilmesi olabileceği gibi, bilgisayarın kamerasını, mikrofonunu kullanarak bilgisayarın bulunduğu ortamdan ses ve görüntü aktarmak da olabilir.

Trojan yazılımlarının en yaygın kullanıldığı bir başka amaç ise, belli bir web sitesine saldırı düzenlenmesidir. Trojan yazılımı olan yüzlerce veya binlerce bilgisayar belli bir zaman geldiğinde bir web sitesinin çalışmasını engellemek için harekete geçer. Bu saldırı yöntemine de DDOS denir.

B) Bilgisayarın Çalışmasının Engellenmesi

Bilgisayarın hedef olduğu suçlarda, bilgisayarın donanımına ya da sakladığı verilere zarar vermeden bilgisayarın çalışmasının durdurulması mümkündür. En basitinden bilgisayarın elektrik kablosunun çekilmesi, açma-kapama düğmesine basılarak kapatılması, ya da bağlı olduğu şebekenin elektriğinin kesilmesi bilgisayarın çalışmasını engelleyecektir. Bu fiilleri gerçekleştirebilmek için bilgisayara fiziksel erişim yeterlidir. Bilgisayarın elektriğini kesilerek ya da açma-kapama düğmesine basarak kapatmak büyük bir çoğunlukla donanımda bir zarara sebep olmaz. Donanım parçaları, böyle durumlar her an olabileceği için bu durumlara karşı tedbirli olarak planlanmıştır. Çok nadir olarak bu şekilde elektriğin kesilerek bilgisayarın kapatılması saklanan verilerin bozulmasına sebebiyet verebilir.

Uzun süredir özel olarak üretilen sunucu tipindeki bilgisayarlarda, olabilecek elektrik sorunlarına karşı güç kaynakları iki tane olabilmektedir. Bu durumda bilgisayarın çalışmaz hale gelebilmesi her iki güç kaynağının da elektrikle bağlantısının kesilmesi gerekir. Aynı şekilde ağ bağlantı sayıları da arttırılmıştır. Günümüzde üretilen birçok sunucu amaçlı bilgisayarda dört adet ağ bağlantısı vardır.

Bilgisayarın çalışmasının engellenmesinin özel bir durumu da bilgisayarın çalışmasına rağmen beklenen faydayı sağlayamamasıdır. Örneğin internet hizmeti veren bir bilgisayarın aşırı yüklenilmesi sonucu hiçbir isteğe cevap verememesi, fiili olarak ağ kablosunun çekilmesi ya da ağ bağlantılarının yazılımla kapatılması sonucu ağa ulaşamayarak hizmet verememesi. Bu durumlarda bilgisayar gerçekte çalışmakta, yazılım işlemekte ancak kendisinden beklenen işlevi yerine getirememekte ve sonuç olarak fiilen çalışmadığı sonuçla aynı sonuç gerçekleşmektedir. Bilgisayarın fiilen çalışmaması ile aynı değerlendirilebilir.

C) Maddi Zararın Gerçekleşmesi

Sadece maddi zararın gerçekleştiği durumlarda bilgisayarın donanım parçalarından mikroişlemci ve hafıza dışındaki parçalarına zarar verilmesi bilgisayarın çalışmasını engellemeyebilir. Ancak yazılımın çalışması sırasında ihtiyaç duyduğu donanım parçaları zarar görmüşse bilgisayarın çalışması da zarar görerek kendisinden beklenen faydayı sağlayamayacaktır.

Örneğin, fail bir masaüstü ya da dizüstü bilgisayarının ekranına fiziksel şiddet uygulanarak bilgisayar ekranının bozulmasına sebep olsun. Bu durumda oluşan zarar sadece maddi bir zarardır. Bilgisayarda saklanan verilerde bir bozulma olmaz, ayrıca bilgisayarın çalışmasında da kesinti olmayabilir. Masaüstü bilgisayara başka bir ekran bağlandığında ya da dizüstünün ekranı tamir edildiğinde bilgisayar çalışmaya devam edecektir.

Başka örnekler de verilebilir. Bilgisayara bağlı klavyeye, fareye, kasaya, DVD okuyucuya zarar verilmesi bilgisayarın çalışmasını engellemez ya da bir veri kaybına sebep olmaz.

D) Verilerin Bozulması

Verilerin bozulması, verilerin saklandığı alanda içerdiği dijital değerlerin değiştirilmesidir. Verilerin okunamayacak hale gelecek şekilde maddi bozulma verinin bozulması değil cihazın bozulmasıdır.

Bilgisayarın donanımına zarar verilmeden ve bilgisayarın çalışması engellenmeden verilerin bozulması, ancak yazılım kullanılarak gerçekleştirilebilir. Çünkü verilere erişim sadece bilgisayar tarafından gerçekleştirilebilir.

Bu tür zararlar, doğrudan kullanıcının kendisi tarafından farkında olmadan verilebileceği gibi, virüsler tarafından ya da bilgisayara erişebilen diğer kişiler tarafından da gerçekleştirilebilir.

E) Birden Fazla Zarar Türünün Gerçekleşmesi

Zararların tek başına gerçekleştiği durum, birlikte gerçekleştikleri durumlara göre daha azdır. Bilgisayara verilen maddi zararda, maddi zararın yanında veriler bozulmakta ve bilgisayar da çalışamamaktadır. Verileri bozmak için hukuka aykırı erişim gerçekleşmekte, böylece hem sistemin güvenliği zarara uğramakta hem de veriler zarara uğramaktadır.