Bilişim sisteminde veri değiştirme, silme, engelleme: TCK 244 ve teknik delil

Bir sabah şirketin muhasebe uygulamasındaki kayıtlar farklı görünür. Bir kullanıcı hesabının şifresi değişmiştir; o kullanıcı artık dosyalarına ulaşamaz. Aynı saatlerde sunucu hata verir. Bu üç bulgu tek bir “hack” etiketiyle anlatıldığında olayın en önemli soruları kaybolur: Sistemin çalışması mı engellendi, bir veri mi değiştirildi, erişim mi kesildi? Müdahale hangi yetkiyle ve kimin eliyle yapıldı? Türk Ceza Kanunu’nun 244. maddesi bu ayrımlara göre okunur.

TCK 244 yalnız dışarıdan yapılan saldırılar için değildir. Sisteme usulüne uygun kimlikle giren bir kişinin yetkisini aşarak veri yerleştirmesi de madde kapsamında tartışılabilir. Öte yandan hata mesajı, kayıp dosya veya alışılmadık bir IP kaydı tek başına suçun ve failin ispatı değildir. Sağlam inceleme, önce teknik olayın ne olduğunu ve ne zaman yaşandığını ortaya koyar; sonra eylemin hukuki niteliğini ve kişiye bağlanmasını tartışır.

Siber suçlar ve bilişim suçları rehberi olayın tamamını sınıflandırır; burada sistem işleyişi ve veri üzerindeki hareketlerin ayrı delillerle nasıl sınanacağına odaklanıyoruz. Yetkisiz girişin kendi unsurları için TCK 243 incelemesine bakılabilir.

TCK 244 hangi müdahaleleri kapsıyor?

TCK 244’ün güncel metni dört fıkrada farklı işlevler görür. Birinci fıkra bilişim sisteminin işleyişini engelleme veya bozmayı düzenler; yaptırımı bir yıldan beş yıla kadar hapistir. İkinci fıkra sistemdeki veri üzerindeki hareketleri sayar: bozma, yok etme, değiştirme, erişilmez kılma, sisteme veri yerleştirme ve var olan verileri başka yere gönderme. Bu fıkradaki ceza altı aydan üç yıla kadar hapistir.

Üçüncü fıkra, ilk iki fıkradaki fiiller bir banka veya kredi kurumuna ya da kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlendiğinde cezanın yarı oranında artırılmasını öngörür. Dördüncü fıkra ise önceki fıkralardaki fiillerle kişinin kendisine veya başkasına haksız çıkar sağlamasını, başka bir suç oluşturmaması şartıyla, iki yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezasıyla karşılar. Bu son kayıt önemlidir: Elde edilen yarar görüldü diye 244/4 otomatik uygulanmaz; olayın hırsızlık, dolandırıcılık veya kartın kötüye kullanılması gibi başka bir suçu oluşturup oluşturmadığı ayrıca incelenir.

Bu tablo bir suç tarifini mekanik biçimde uygulamak için değil, delil sorularını doğru kurmak için kullanılır. Aynı olayda hem hizmet kesintisi hem veri değişikliği bulunabilir. Olayın bütünlüğü, kast, hukuka uygunluk nedenleri ve suçların birbirleriyle ilişkisi, yalnız teknik etiketle çözülemez.

Sistem engellenmesi ile veri müdahalesi arasındaki çizgi

Bir web hizmeti erişilemiyorsa ilk bakışta TCK 244/1 akla gelebilir. Yine de erişilemezliğin nasıl oluştuğu belirlenmelidir. Uygulama yanıt vermez hâle gelmiş olabilir; veri tabanı bilerek durdurulmuş, ağ bağlantısı kesilmiş ya da dışarıdan gelen yoğun isteklerle hizmet tüketilmiş olabilir. Fakat aynı görünüm hatalı yazılım güncellemesi, disk arızası veya kapasite sınırı nedeniyle de doğabilir. Kullanıcıların gördüğü hata ekranı, bu olasılıkları ayırmaz.

Dosyaları şifreleyen bir saldırıda ise başka bir tablo vardır. Dosyalar sistemde durduğu hâlde anahtar olmadan okunamıyorsa “veriyi erişilmez kılma” bakımından TCK 244/2 gündeme gelebilir. Şifreleme aynı zamanda hizmetin tamamını durdurmuşsa 244/1 yönünden de soru doğar. Fidye mesajının bulunması, teknik hareketin yerini tutmaz; ayrıca tehdit, şantaj veya başka suç iddiaları için olayın sözü, muhatabı ve elde edilmek istenen yarar ayrı değerlendirilir. Yazılımın adına bakarak tek bir ceza maddesine atlamak, delil incelemesini tersine çevirir.

Veri değişikliğinde önceki ve sonraki hâlin karşılaştırılması gerekir. Bir tabloda ödeme tutarı sıfırlanmışsa bunun kullanıcı ekranındaki bir görüntü hatası mı, veri tabanındaki kalıcı değişiklik mi, yoksa geçerli işlem akışı içindeki yetkili düzeltme mi olduğu belirlenir. “Kayıt silindi” diyen kişinin kullandığı uygulama, aslında kaydı yalnız görünümden kaldırmış olabilir. Silme, sürüm geri alma, erişim iznini kapatma ve arşive taşıma teknik olarak farklıdır. Hukuki değerlendirmeyi taşıyacak rapor, bu farkları somut kayıtlarla göstermelidir.

Yetkili giriş, yetkisiz veri işlemini aklamaz

TCK 243, bilişim sisteminin bütününe veya bir kısmına hukuka aykırı girmeyi ya da orada kalmayı düzenler. TCK 244 ise sistemin işleyişine veya veriye yapılan müdahaleye yönelir. Her veri değiştirme olayında önce izinsiz giriş bulunması gerekmez. İşyerindeki bir yönetici, muhasebeci veya sistem görevlisi kendisine verilmiş kullanıcı hesabıyla giriş yapabilir; yetkisinin kapsamı dışındaki kaydı oluşturduğu iddiası yine araştırılır.

Bu ayrımı Yargıtay 8. Ceza Dairesinin 20 Kasım 2024 tarihli, E.2024/16492, K.2024/8900 sayılı kararı somutlaştırıyor. Muhasebeci, SGK’nın sağladığı kullanıcı adı ve şifreyle sisteme girmiş; gerçekte çalışmayan kişiler için elektronik işe giriş bildirgeleri düzenlemişti. Daire çoğunluğu, hukuka uygun girişin TCK 244/2’deki hukuka aykırı veri yerleştirme iddiasını ortadan kaldırmadığını belirtti. Kamu kurumuna ait sistem söz konusu olduğundan 244/3 artırımının uygulanmamasını da bozma nedeni yaptı. Karar oy çokluğuyla verildi: Karşı oy, bu fiilin sistem veya veri için suç tipinin gerektirdiği zarar ya da tehlikeyi doğurmadığını savundu. Dolayısıyla kararı, her yanlış form girişini ceza suçu sayan genel bir kural gibi okumak doğru olmaz; yetki, içerik, fiilin etkisi ve somut kast incelenir.

Başka bir sınır Yargıtay 12. Ceza Dairesinin 3 Haziran 2024 tarihli, E.2021/1730, K.2024/2899 sayılı kararında görülür. Hesap sahibi Facebook şifresini sanığa kendi rızasıyla vermişti. Daire, bu şartlarda ilk girişin TCK 243 bakımından hukuka aykırı giriş sayılamayacağını söyledi. Ancak sanığın şifreyi sonradan değiştirip hesap sahibinin girişini engellediği iddiasının teknik incelemeyle açıklığa kavuşturulmasını ve doğrulanırsa TCK 244/2 yönünden değerlendirilmesini istedi. Karar, rıza verilmiş bir girişle daha sonra yapıldığı ileri sürülen erişim engelleme hareketini ayırır. Şifrenin gerçekten değiştirildiğini kesin olarak hükme bağlamaz.

TCK 243/3 de gözden kaçırılmamalıdır: Hukuka aykırı giriş fiili nedeniyle sistemdeki veriler yok olur veya değişirse ayrıca bir düzenleme içerir. Böyle bir sonuç ile bilerek yapılan ayrı veri müdahalesinin aynı olayda nasıl ilişkilendirileceği, fiilin akışı ve uygulanacak normlar üzerinden incelenir. Yalnız “giriş de var, veri de değişmiş” diyerek her fıkradan ayrı mahkûmiyet sonucu çıkarılamaz.

Veriyi başka yere göndermek: hareketi görmek yetmez

TCK 244/2, var olan verilerin başka yere gönderilmesini de sayar. Günlük işleyişte veri sürekli hareket eder: otomatik yedekler alınır, e-posta ekleri gönderilir, bulut klasörleri eşitlenir, kurum içi servisler birbirine kayıt aktarır. Bu nedenle raporda “yüksek hacimli trafik” ifadesi tek başına yeterli değildir. Aktarılan verinin ne olduğu, çıkış ve varış noktaları, işlemi başlatan hesap, yetki, rutin işlem akışı ve verinin orada hangi amaçla tutulduğu birlikte incelenmelidir.

Örneğin işten ayrılmadan önce bir müşteri listesinin kişisel depolama alanına kopyalandığı iddiasında, dosya adları ve aktarım miktarı olayın yalnız bir parçasıdır. Liste gerçekten gönderilmiş mi? Sistem, dosyayı otomatik olarak eşitlemiş olabilir mi? Aynı kullanıcı hesabı birden fazla cihazda açık mıydı? Kurumun veri erişim ve dışa aktarma yetkisi neydi? Alınan kopya, kişisel veriler içeriyorsa TCK 136 gibi başka bir norm yönünden de ayrı değerlendirme gerekir. Bir normun adını diğerinin yerine yazmak, hem delil talebini hem hukuki sonucu saptırır.

Veri hareketinin gerçekleşmediği iddiası da doğrulanmalıdır. Dışa aktarma penceresinin ekran görüntüsü, dosyanın hedefe ulaştığını göstermez. Sunucu çıkış kaydı, bulut hizmetinin nesne oluşturma kaydı, ağ bağlantısı, cihazdaki dosya ve varsa alıcı taraf kayıtları aynı zaman çizelgesinde ele alınır. Erişilemeyen kaynak açıkça belirtilir; elde edilmeyen log varmış gibi varsayılmaz.

Haksız çıkar ve diğer suçlarla ilişki

TCK 244/4’ün sonundaki “başka bir suç oluşturmaması hâlinde” ibaresi, bu fıkrayı okurken başlangıç noktasıdır. Bir kullanıcı bakiyesinin değiştirilmesi, başkasının banka hesabından para çıkarılması, kartla ödeme yapılması veya sahte ilanla kişinin para göndermeye ikna edilmesi aynı hukukî yol değildir. Hangi hareketle, nasıl ve kime haksız menfaat sağlandığı belirlenmeden “siber dolandırıcılık” ya da “244/4” etiketi seçilmemelidir.

Kartın bizzat kullanıldığı olaylar için Yargıtay Ceza Genel Kurulunun 14 Ocak 2026 tarihli, E.2024/199, K.2026/28 sayılı kararı önemli bir sınır çiziyor. Mağdur banka kartını ATM’de, hesabı açık durumda unutup ayrıldıktan sonra başka bir kişi kartla para çekmişti. Çoğunluk, kart üzerindeki fiilî hâkimiyetin sona erdiği bu özel olayda TCK 245/1’deki kartın kötüye kullanılması hükmünü, bilişim yoluyla hırsızlığa göre özel norm saydı. Dört üye karşı oy kullandı. Bu karar, kartın hiç kullanılmadığı bir internet bankacılığı aktarımına veya aldatıcı satış ilanına doğrudan taşınamaz.

Kamu kurumuna ait sistemde gerçeğe aykırı kayıt oluşturulması bakımından da tek bir nitelendirmeyi ezbere kullanmamak gerekir. Yukarıdaki SGK kararında Daire çoğunluğu veri yerleştirmeyi TCK 244/2 kapsamında gördü; farklı suç vasıfları ve 244/3 artırımını ayrıca tartıştı. Buna karşılık “kurum zarar gördü” sözü, haksız çıkarın gerçekleştiğini veya dolandırıcılık unsurlarının tamamlandığını tek başına ispatlamaz. İşlem ve sonuç, ayrı kayıtlarla kurulmalıdır.

Teknik delil incelemesi hangi soruları yanıtlamalı?

Bir ağ kaydından gerçek kullanıcıya geçerken hangi eşleşmenin eksik kalabileceği IP adresi ve dijital delil rehberinde inceleniyor. TCK 244 dosyasında buna, sistemin veya verinin önceki ve sonraki hâli de eklenmelidir.

İyi bir teknik inceleme, “şüpheli IP bulundu” cümlesiyle bitmez. Olayın mümkünse değişiklik öncesi hâli, müdahalenin işlendiği nokta ve değişiklik sonrası hâli birlikte gösterilir. Özellikle kurumsal sistemlerde uygulama günlüğü, kimlik doğrulama kaydı, veri tabanı işlem kaydı, sürüm geçmişi, yedek, ağ kaydı ve kullanıcı yetki listesi farklı parçaları açıklar. Bunların hiçbiri tek başına her soruyu cevaplamaz.

Zaman çizelgesi kurulurken saat dilimi açıkça yazılmalıdır. Sunucu UTC, telefon Türkiye saati, bulut hizmeti başka bir bölge saatiyle kayıt tutabilir. Dakika düzeyindeki uyumsuzluk, işlem sırasını değiştirebilir. Kaynak saatin eşzamanlama durumu, kayıtların saklama politikası ve kesinti anında log üretiminin durup durmadığı da önemlidir. NIST’in log yönetimi rehberi, farklı kaynak kayıtlarının toplanması ve ilişkilendirilmesini sistematik bir iş olarak ele alır; bu belge Türk ceza muhakemesi normu değil, teknik yöntem kaynağıdır.

IP adresi, bir bağlantı veya abonelik hakkında izdir; kullanıcı kimliğiyle eşanlamlı değildir. Ortak Wi-Fi, işyeri ağı, dinamik adres, adres paylaşımı, uzaktan erişim ve başkasınca kullanılan cihaz ihtimalleri göz ardı edilmemelidir. Yargıtay 8. Ceza Dairesinin 4 Haziran 2025 tarihli, E.2025/3641, K.2025/4670 sayılı kararının aktardığı önceki bozma sürecinde, sosyal medya hesabına erişimin bir internet aboneliği üzerinden görünmesi karşısında internet kafenin ve ortak kullanımdaki cihazların araştırılması istenmişti. Son karar ise zamanaşımı nedeniyle davanın düşmesine ilişkindir; bu olay bir mahkûmiyet örneği değildir. Teknik ilke nettir: ağ izini kişiye bağlayan ara adımlar gösterilmelidir.

İnceleme sırası nasıl kurulabilir?

Birinci katman: nesne. Müdahalenin hedefi olan sistem, hesap, tablo, dosya veya hizmet açıkça adlandırılır. “Şirket sunucusu” çok geniş bir tanımdır; hangi uygulama sürümü ve hangi kayıt kümesi inceleniyor?

İkinci katman: hareket. Silme, değiştirme, şifreleme, izin değiştirme, hizmet durdurma ya da başka yere gönderme arasından hangisi teknik olarak gözlendi? Gözlem ile kullanıcının tahmini ayrı cümlelerde yer alır.

Üçüncü katman: zaman ve kaynak. Her kayıt için üretildiği sistem, tarih-saat, saat dilimi, saklama süresi ve elde edilme yöntemi not edilir. Bir CSV dışa aktarımıyla sistemin özgün günlük kaydı aynı şey değildir.

Dördüncü katman: kişiyle bağlantı. Hesap sahipliği, cihaz erişimi, doğrulama yöntemi, yetki değişiklikleri, fiziksel bulunma, iletişim ve alternatif kullanıcı olasılıkları birlikte değerlendirilir. Başkasının şifresini bilmek veya bir cihazı kullanmış olmak, her işlemi yapmış olmayı kendiliğinden kanıtlamaz.

Beşinci katman: hukukî yetki ve sonuç. İşlemi yapanın o veriyi o amaçla değiştirme hakkı var mıydı? Sistem gerçekten işlev kaybetti mi? Haksız çıkar doğdu mu? Bu soruların bir kısmı teknik rapordan değil, sözleşme, görev tanımı, kurum kayıtları ve tanıklardan cevap bulur.

Bu sıra bir laboratuvar sertifikası veya mahkeme kararı yerine geçmez. İncelemenin gücü, her adımın hangi veriyle desteklendiğinin ve hangi ihtimalin hâlâ açık kaldığının görünür olmasından gelir.

Delili korumak: ekran görüntüsünün ötesi

Olay fark edildiğinde ilk ihtiyaç, canlı sistemde daha fazla zarar oluşmasını önlemektir. Bununla birlikte panikle bütün hesapları silmek, şüpheli cihazı defalarca yeniden başlatmak veya günlükleri temizlemek, müdahalenin izlerini kaybettirebilir. Kurumun bilgi işlem ekibi, iş sürekliliği ile delil korumayı birlikte planlamalı; hangi değişikliğin hangi saatte yapıldığını kaydetmelidir. Yetki dışı hesaplara giriş veya karşı tarafa ait cihazı “kontrol etme” girişimi, delil toplama yöntemi değildir.

Dosya ve cihaz kopyalarında SHA-256 gibi kriptografik özet değerleri, aynı bit dizisinin sonraki aşamalarda korunup korunmadığını denetlemeye yardım eder. Özet değer, dosyanın nereden geldiğini, içeriğin doğru olduğunu veya işlemi kimin yaptığını tek başına kanıtlamaz. Kaynağın tanımı, alma zamanı, alan kişi, kullanılan yöntem, kopyaların tutulduğu yer ve erişim geçmişi ayrıca belgelenmelidir. NIST IR 8387, dijital delilin korunmasında bu kaynak ve muhafaza zinciri sorunlarını inceler. NIST SP 800-86 ise incelemenin kayıt altına alınması ve kopya üzerinde çalışılması gibi adli bilişim ilkelerini açıklar.

Ceza soruşturmasında şüphelinin kullandığı bilgisayar veya kütüklerde arama, kopyalama ve elkoyma ayrı bir usulî yetki konusudur. CMK 134’ün mevcut metni, belirli şartlarda bu tedbire ilişkin karar, kopya ve tutanak düzenini içerir. AYM’nin 12 Şubat 2026 tarihli, E.2023/128, K.2026/36 sayılı kararı, maddenin arama ve elkoymaya ilişkin bazı temel bölümlerini iptal etmiş, iptal hükmünün Resmî Gazete yayımından dokuz ay sonra yürürlüğe girmesini öngörmüştür. Karar 25 Mayıs 2026’da yayımlandığından, öngörülen yürürlük tarihi 25 Şubat 2027’dir. 23 Eylül 2026 itibarıyla ertelenmiş iptal henüz yürürlüğe girmemiştir. Bu nedenle somut olayda uygulanacak usul, işlem tarihi ve sonraki mevzuat değişiklikleriyle birlikte kontrol edilmelidir. Mağdurun kendi hesabından aldığı kayıtları koruması ile devletin bir şüpheli cihazında CMK 134 tedbiri uygulaması aynı işlem değildir.

Bir olay dosyasını okunabilir hâle getirmek

Savcılığa veya mahkemeye sunulan teknik anlatım, yüzlerce ekran görüntüsünün dosyaya yığılmasıyla güçlenmez. Her iddia için “önce”, “müdahale” ve “sonra” kaydının seçilmesi daha değerlidir. Örneğin bir sipariş sistemindeki fiyatların değiştirildiği ileri sürülüyorsa önceki sürüm, değişiklik kaydı, işlem hesabının yetkileri, işlem saati, geri alma kaydı ve bu değişikliğin maddi sonuçları ayrı başlıklarla gösterilir. Ekran görüntüsü yalnız görünümü destekler; sistem kaydı ve yedekle karşılaştırılmalıdır.

İlk dosya özeti dört sütunla hazırlanabilir: iddia edilen fiil, mevcut kayıt, kaydın gösterdiği şey, henüz doğrulanmamış husus. “23.14’te yönetici hesabından bir değer değişti” gözlemi, “A kişisi 23.14’te değeri değiştirdi” sonucundan ayrılır. Bir başka kullanıcının hesaba erişimi, otomasyon veya yetkili düzeltme ihtimali araştırılmadan son sütun kapatılmaz.

Bu yöntem hem mağdur hem şüpheli bakımından önemlidir. Hizmet kesintisini yaşayan kurum müdahaleyi gerçek sebebiyle açıklayabilir; hesabı suçta kullanıldığı ileri sürülen kişi de lehine olan erişim, konum, görev ve teknik imkânsızlık kayıtlarının değerlendirilmesini isteyebilir. Dijital delilin değeri, olayı olduğundan kesin gösteren bir etiket üretmesinde değil, birbirine rakip açıklamaları sınayabilmesindedir.

Olayı değerlendirirken hangi eşikte durmalı?

TCK 244 bakımından en zor soru çoğu zaman “veri değişmiş mi?” değildir. Değişikliğin yetki sınırını aşıp aşmadığı, sistemi veya veriyi hangi biçimde etkilediği ve ilgili işlemin belirli bir kişiye güvenilir şekilde bağlanıp bağlanamadığıdır. Aynı olayda sistem arızası, yetkisiz erişim, veri müdahalesi, kişisel veri ifşası ve malvarlığına yönelik başka fiiller yan yana bulunabilir; bunlar birbirinin kısa adı değildir.

Resmî kararların gösterdiği sınır da burada birleşir: Geçerli şifreyle giriş yapılması sonraki veri işlemini otomatik meşrulaştırmaz; bir hesabın veya IP’nin görünmesi failin kimliğini kendiliğinden ispatlamaz; erişim kaybı ve veri değişikliği teknik olarak doğrulanmadan hukuki nitelendirme tamamlanmaz. Okunabilir bir zaman çizelgesi, kaynağı belli kayıtlar ve açıkça bırakılmış belirsizlikler, “siber saldırı oldu” cümlesinden çok daha sağlam bir başlangıçtır.