Bir soruşturma dosyasında “şüphelinin IP adresinden giriş yapılmış” cümlesi geçiyorsa önce cümlenin hangi iki kaydı birbirine bağladığını sormak gerekir. Platform bir oturum için dış IP adresi kaydetmiş olabilir. İnternet sağlayıcısı aynı adresin o saatte bir aboneye tahsisli olduğunu bildirmiş olabilir. İki kayıt tutarlı olsa bile üçüncü ve en zor soru açık kalır: O oturumu hangi insan başlattı? Evdeki bir başka kullanıcı, ortak işyeri ağı, ele geçirilmiş bir cihaz veya uzaktan erişim olasılığı hangi delille sınandı?
IP kaydını küçümsemek de onu kişi kimliğiyle eşitlemek de dosyayı zayıflatır. IP, olayın ağ katmanındaki yerini ve zamanını daraltabilir. Bazı koşullarda başka kayıtlarla birleşerek güçlü bir atıf zinciri kurar. Fakat bu zincirin her halkası —platform, servis sağlayıcı, cihaz, hesap ve işlem— ayrı veri kaynağından gelir; farklı saat kullanır ve farklı kişilerin kontrolündedir. Bu yazı o halkaları, teknik incelemenin yapılabilir sorularına çeviriyor. Suç tiplerinin ve başvuru yollarının genel haritası için siber suçlar ve bilişim suçları rehberine bakılabilir.
IP adresi gerçekte neyi gösterir?
Bir platformun oturum kaydındaki IP adresi, platforma ulaşan bağlantının görünen ağ adresidir. Bu adres bazen doğrudan bir abonenin bağlantısıyla, bazen ev yönlendiricisiyle, şirket çıkış noktasıyla, mobil operatörün ortak adresleme sistemiyle veya VPN sunucusuyla ilişkilidir. Adresin bir aboneye tahsisi, o abonenin oturum açtığını kanıtlamaz. Abone ile cihazı kullanan kişi aynı olabilir; bu, ayrı delillerle kurulacak bir sonuçtur.
IP sürümü de önemlidir. IPv4 ile IPv6 tahsis ve kayıt yöntemleri aynı varsayımla okunmamalıdır. IPv4’te ağ adresi çevirisi çok yaygındır. Bir evde birden çok cihaz tek bir dış IPv4 adresiyle görünür. Operatör düzeyindeki taşıyıcı NAT, yani CGNAT, bir dış IPv4 adresini farklı aboneler arasında da paylaştırabilir. Aynı dış IP’nin farklı dosyalarda görülmesi bu yüzden tek başına kullanıcı ortaklığı göstermez.
Bir adrese coğrafi konum etiketi yapıştıran kamuya açık siteler de delil zincirinin yerine geçmez. Böyle bir sonuç çoğu zaman ağ işletmecisi veya yaklaşık bölge hakkında çıkarım verir; kişinin olay anında bulunduğu binayı ya da şehri kesinleştirmez. Ters yönde, görünen adresin başka ülkede olması da kullanıcının gerçekten orada bulunduğunu zorunlu kılmaz. VPN, kurumsal ağ veya çıkış sunucusu devrede olabilir. Bu olasılıkların varlığı otomatik savunma değildir; kullanım izleri ve diğer kayıtlar aranır.
CGNAT dosyasında port ve saniye neden belirleyicidir?
Taşıyıcı NAT bulunan bir bağlantıda operatör, birden çok abonenin trafiğini aynı dış IPv4 adresinden çıkarabilir. Ayrım için yalnız dış IP ve gün değil, kaynak portu, taşıma protokolü ve yeterince hassas zaman damgası gerekir. IETF’nin IP adresi paylaşımına ilişkin RFC 6269 belgesi, ortak IPv4 kullanımında IP adresinin aboneyi tekilleştirmediğini; kaynak portu ve doğru zaman kaydının iz sürme açısından önemini açıklar. RFC 6888’in CGN günlüklerine ilişkin bölümü, dış adres, dış kaynak portu, protokol, zaman ve abone tanımlayıcısının eşleştirilmesini teknik bağlamıyla gösterir. Bunlar Türk ceza muhakemesi kuralı değil, ağın nasıl çalıştığını açıklayan teknik kaynaklardır.
Soruşturmadaki port, “web sitesi 443 portunu kullanıyor” bilgisinden farklıdır. 443 çoğunlukla hedef hizmetin portudur. Abone atfında önemli olan, bağlantının karşı tarafta görünen dış kaynak portu olabilir. Bir tutanakta yalnız “IP: 198.51.100.42, port: 443” yazıyorsa bunun kaynak mı hedef port mu olduğu sorulmadan CGNAT eşleştirmesi yapılamaz. Bu IP, örneği gerçek bir kullanıcıya bağlamamak için RFC 5737’de belgelendirme amacıyla ayrılmış aralıktan seçilmiştir.
Örnek bir olayda platform 14.03.2026 saat 21:08:17 UTC’de, dış kaynak portu 53124 olan bir bağlantı görmüş olsun. Operatör kaydı ise Türkiye saatiyle tutuluyorsa aynı an 15.03.2026 00:08:17 olarak görünür. Operatör yalnız “14 Mart saat 21” bilgisiyle sorgulanırsa doğru abone bulunmayabilir veya birden fazla olası kayıt çıkabilir. Saatlerin dönüşümü, saniye hassasiyeti ve yaz/kış saati uygulamasına ilişkin varsayımlar açıkça yazılmalıdır. İncelemede ham zaman değeri korunur; karşılaştırma için dönüştürülmüş sütun ayrıca oluşturulur.
Bir diğer ihtimal portun hiç kaydedilmemesidir. İnternet yüzü gören sunucular için RFC 6302, IP’ye ek olarak kaynak portunun ve doğru zamanın kaydedilmesini önerir. Servis bu alanları tutmamışsa sonradan bir bilirkişi portu güvenilir biçimde “tahmin” edemez. İlgili servisin başka oturum belirteçleri veya cihaz kayıtları araştırılabilir; ama eksik alanın hangi soruyu cevapsız bıraktığı raporda görünür kalır. Buna karşılık portun bulunması da yalnız abone eşleştirmesini güçlendirir, kişinin klavyenin başında olduğunu doğrudan göstermez.
Platform günlüğünden insan fiiline uzanan beş ayrı eşleştirme
Sağlam bir atıf incelemesi tek uzun cümle kurmaz. Beş bağlantıyı ayrı ayrı gösterir:
| Bağlantı | Sorulacak soru | Tipik kayıt | Sık görülen boşluk |
|---|---|---|---|
| Olay–hesap | Hangi hesapta hangi işlem oldu? | Platform işlem ve oturum kaydı | Ekran adının değişebilir olması |
| Hesap–ağ | İşlem anındaki görünen IP, port ve zaman neydi? | Servis erişim günlüğü | Sadece IP’nin veya yuvarlanmış saatin saklanması |
| Ağ–abonelik | Dış bağlantı o anda hangi aboneye eşleşti? | Operatör tahsis ve CGN kaydı | Kaynak/hedef portun karışması, saat uyuşmazlığı |
| Abonelik–cihaz | Hangi cihaz bağlantıyı kullandı? | Yönlendirici, işletim sistemi, tarayıcı, uygulama kayıtları | Ortak ağ, sıfırlanmış cihaz, eksik imaj |
| Cihaz–kişi | Cihazı ve hesabı o anda kim kontrol etti? | Oturum açma, 2FA, fiziksel erişim, tanık ve bağlam | Ortak kullanım, uzaktan erişim, çalınmış oturum |
Beş bağlantının her olayda beş farklı kayıttan ispatlanması gerekmez; delillerin ağırlığı dosyaya göre değişir. Ancak hangi bağlantının doğrudan kayıt, hangisinin çıkarım olduğunu ayırmamak ciddi bir yöntem hatasıdır. “IP eşleşti, dolayısıyla şüpheli hesaba girdi” ifadesi iki ara adımı atlar. “Cihazda iz yok, dolayısıyla hiç giriş olmadı” ifadesi de imajın ne zaman ve nasıl alındığını, tarayıcı verisinin silinip silinmediğini ve olayın başka cihazda gerçekleşip gerçekleşmediğini görmezden gelir.
Platformun kayıt mimarisi ayrıca anlaşılmalıdır. Güvenlik duvarı, CDN veya ters vekil sunucu varsa uygulama günlüğünde görünen IP bazen gerçek ziyaretçinin değil aradaki sunucunun adresidir. X-Forwarded-For gibi başlıklar kullanılan mimariye göre yardımcı olabilir, fakat bu başlığın güvenilir kaynak tarafından mı yazıldığı araştırılmadan tek başına gerçek istemci IP’si sayılamaz. Platformun ham ağ kaydı, uygulama oturum kaydı ve yönetici işlem kaydı farklı olayları gösterebilir. Aynı dosyada hepsine “IP kaydı” demek teknik ayrımı siler.
Oturumun devamı yeni giriş anlamına gelmeyebilir
Bir hesapta işlem görülmesi, her seferinde parolanın yeniden girildiğini göstermez. Tarayıcı çerezi, uygulama oturum belirteci veya “beni hatırla” mekanizması önceden kurulmuş bir oturumu sürdürebilir. Parola sızıntısı, kimlik avı, ele geçirilmiş token ve hesap kurtarma işlemi de farklı giriş yollarıdır. Bu nedenle platformdan yalnız “hangi IP giriş yaptı?” diye değil, hangi kimlik doğrulama olayının ve hangi işlem türünün kaydedildiği sorulmalıdır.
Çok faktörlü doğrulamada da tek bir “SMS geldi” kaydı çoğu zaman yetersizdir. Kod hangi numaraya gönderildi? O tarihte SIM değişimi veya numara taşıma var mıydı? Uygulama içi onay hangi cihazda verildi? Onay ekranda hangi işlemi gösteriyordu? Kullanıcı kandırılarak gerçek onayı kendisi vermiş olabilir; saldırgan telefonuna erişmiş de olabilir. İşlemi kimin başlattığı ve kimin onayladığı ayrı değerlendirildiğinde “2FA vardı, o hâlde yetkiliydi” gibi acele sonuçlardan kaçınılır.
Bir kurumsal dosyada kullanıcı hesabı eski çalışanın adına olabilir, fakat erişim hakkı işten ayrılma günü bitmiş; parola ekip içinde paylaşılmış veya hesap devredilmemiş olabilir. Cihazın seri numarası, kullanıcı profili, EDR kaydı, VPN girişi ve fiziksel kapı kaydı birbirini destekleyebilir. Fakat tek başına bir kullanıcı adı da insan kimliği değildir. Hesap atfının gücü, teknik kayıtların iş akışı ve erişim yönetimiyle birlikte okunmasına bağlıdır.
IP, cihaz ve işlem zaman çizelgesini aynı düzleme taşıyın
Dosyadaki ilk teknik iş, her kaynağın kendi saatini yazmaktır. Banka Türkiye saati, bulut servisi UTC, telefon yerel saat, kamera kayıt cihazı elle ayarlanmış bir saat ve operatör farklı zaman biçimi kullanabilir. Logların saklama süresi, saniye veya milisaniye çözünürlüğü, yaz saati ve saat senkronizasyonu bilinmeden yan yana duran zaman damgaları eşzamanlı sayılamaz.
Örnek zaman çizelgesinde 21:08:17 UTC platform oturumu, 00:08:19 Türkiye saatiyle banka transferi ve cihazda 00:08:15 görünen ekran kilidi açma kaydı olsun. Bunlar birbirine yakın görünebilir. Fakat cihaz saatinin üç dakika ileri olduğu belirlenirse yorum değişir. Daha güçlü yöntem, her satırda özgün zaman değerini, kaynağın saat dilimini, bilinen saat sapmasını ve dönüştürülmüş karşılaştırma zamanını ayrı tutmaktır. Böylece bilirkişinin yaptığı dönüşüm denetlenebilir.
Zaman çizelgesi yalnız şüpheliyi doğrulamak için kurulmaz. Şüphelinin aynı dakikada işyerinde başka bir cihazla giriş yaptığı, kartın kayıp bildiriminin işlemden önce kayda geçtiği veya servis oturumunun olaydan çok önce kurulup sürdüğü ortaya çıkabilir. Tersine, savunmanın ileri sürdüğü imkânsızlık da kamera, cihaz ve platform kaydıyla çelişebilir. İnceleme, her iki yönde sınanabilir olmalıdır.
Dijital delilin kökeni ve bütünlüğü nasıl gösterilir?
Ekran görüntüsü delilin başlangıcı olabilir, sonu değil. Görüntüdeki kullanıcı adı sonradan değişmiş olabilir; URL kesilmiş olabilir; saat cihazın yerel ayarını yansıtabilir. E-posta için tam üstbilgi, platform için hesap veya nesne kimliği, bankacılık için işlem referansı, dosya için orijinal sürüm ve oluşturulma zinciri mümkün olduğu ölçüde korunmalıdır. Özellikle platform içeriği silinebilir olduğunda hangi tarihte, hangi yöntemle ve kim tarafından dışa aktarıldığı yazılır.
Hash, bir dosyanın daha sonra aynı bit dizisiyle durup durmadığını sınamaya yarar. İlk elde edilen kopyaya SHA-256 değeri hesaplanıp kayıt altına alınırsa sonraki kopyalarla karşılaştırma yapılabilir. Fakat görüntü ilk anda kurguysa onun hash’inin sabit kalması görüntünün doğru olduğunu kanıtlamaz. Aynı şekilde hash uyuşmazlığı her zaman kötü niyetli değişiklik demek değildir; dışa aktarma biçimi, meta veri veya sıkıştırma değişmiş olabilir. Önce hash’in hangi nesneye uygulandığı belirlenir: telefonun tam imajına mı, mesaj dışa aktarımına mı, ekran görüntüsüne mi?
NIST’in dijital adli inceleme rehberi, verinin tanımlanması, toplanması, incelenmesi ve analizinde bütünlüğün ve muhafaza zincirinin korunmasına odaklanır. Bu belge Türk muhakeme usulü yerine geçmez; teknik yöntemin izlenebilirliğini açıklamak için yararlıdır. Dosyada ilk teslim alan kişi, alınan imaj veya kopya, kullanılan araç ve sürümü, tarih, saat, bütünlük değeri, saklama ortamı ve sonraki her devir tutanakla izlenebilmelidir. Analiz kopyası üzerinde çalışılması, orijinalin korunmasına yardımcı olur. Canlı sistemde güvenlik için acil müdahale gerekiyorsa yapılan her işlem ve bunun delile olası etkisi kaydedilir.
Telefonun yalnız ekranına bakılarak yapılan incelemeyle usulüne uygun imaj ve kayıt çözümlemesi aynı şey değildir. Bazı uygulamalar veriyi cihazda, bazıları bulutta veya kısa süreli önbellekte tutar. Silinmiş uygulama, sıfırlanmış telefon ya da şifreli yedek yokluğu farklı sınırlardır. Bilirkişi “uygulama izine rastlanmadı” sonucunu hangi veri kaynağına, hangi tarih aralığına ve hangi yöntemle baktığını söylemeden “işlem bu cihazdan yapılmadı” biçiminde büyütmemelidir.
Mahkeme kararları hangi yöntem hatasını gösteriyor?
Yargıtay 11. Ceza Dairesinin 30 Mart 2026 tarihli E.2025/6048, K.2026/3392 kararı, bir e-posta hesabından sahte borç içerikli mesaj gönderildiği iddiası üzerine verilmiş kovuşturmaya yer olmadığı kararına ilişkindir. Taraflar arasında hukuk davası bulunması, iddianın araştırılmasını gereksiz kılmadı. Daire IP ve e-posta kaynağı, işyeri bilgisayarı, tanıklar ve bağlantılı hukuk dosyası gibi somut araştırmaların yapılmasını istedi. Karar, IP’nin tek başına fail ispatı olduğu yönünde bir hüküm değildir; delil zinciri kurulmadan dosyanın kapatılamayacağını gösterir.
Yargıtay 8. Ceza Dairesinin 6 Haziran 2024 tarihli E.2023/3345, K.2024/4929 kararı da sosyal medya hesabına erişim iddiasının, platform yurt dışında diye yerel araştırma yapılmadan sonlandırılamayacağını ortaya koydu. Daire tanık ve müşteki beyanlarıyla ilgili boşanma dosyasının incelenmesi gibi elde edilebilir kayıtları işaret etti. Buradan her yabancı platformun kayıt vereceği sonucu çıkarılamaz. Resmî yanıtın belirsizliği, eldeki yerel delillerin değerlendirilmesini gereksiz kılmaz.
Karşı delilin ciddiye alınması bakımından Anayasa Mahkemesinin Halil Akkaya kararı (B. No: 2021/2754, 7 Haziran 2023) önemlidir. Sahte tatil ilanı üzerinden gelen para başvurucunun hesabına yatmış; başvurucu kartının kayıp olduğunu ve parayı başka birinin çektiğini savunmuştu. Telefon, banka, ATM çevresi görüntüsü ve benzer dosyalara ilişkin belirleyici taleplerin soyut gerekçeyle reddi adil yargılanma hakkı yönünden ihlal oluşturdu. AYM başvurucuyu beraat ettirmedi. Karar, hesap sahipliği ile fiil sahipliği arasındaki mesafenin somut karşı delillerle sınanması gerektiğini hatırlatır.
CMK 134 ve dijital incelemenin hukuki sınırı
Ceza Muhakemesi Kanunu’nun 134. maddesi bilgisayarlarda, bilgisayar programlarında ve kütüklerinde arama, kopyalama ve elkoymaya ilişkin özel usulü düzenler. Hangi cihazın, hangi şüphe ve amaçla, hangi karara dayanılarak incelendiği; kopyanın nasıl alındığı ve saklandığı sonuç kadar önemlidir. Şüphelinin kendi telefonundaki kaydı korumasıyla kolluğun o telefonda adli arama yapması aynı işlem değildir. Bir işverenin iç ağında yaptığı güvenlik incelemesi de otomatik olarak sınırsız çalışan yazışması okuma yetkisi vermez.
Yürürlük takvimi bu konuda alışılmadık derecede önemlidir. Anayasa Mahkemesi 12 Şubat 2026 tarihli E.2023/128, K.2026/36 kararıyla CMK 134’ü iptal etti; karar 25 Mayıs 2026’da Resmî Gazete’de yayımlandı ve iptalin yürürlüğü dokuz ay ertelendi. Bu yazının hazırlandığı Eylül 2026’da madde yürürlüktedir; ertelenmiş iptal tarihi 25 Şubat 2027’dir. Kanun koyucu o tarihten önce yeni hüküm getirirse uygulama yeniden okunmalıdır. AYM’nin vurgusu, özellikle elde edilen kişisel verilerin sonraki kullanımı, saklanması, silinmesi ve kişiye tanınan güvencelerin kanunda yeterli açıklıkta düzenlenmemesidir. İptal kararı, karar tarihinden sonraki her dijital incelemenin kendiliğinden hukuka aykırı olduğu anlamına gelmez.
Bu usul sorusunun dosyaya etkisi nettir: Bir dijital bulgunun doğruluğu ile hukuka uygun elde edilişi ayrı eksenlerdir. Cihazda ilgili mesaj gerçekten bulunabilir; yine de arama kararı, kapsamı ve kopyalama yöntemi sorgulanmalıdır. Öte yandan usule ilişkin itiraz, teknik kaydın ne anlattığı sorusunu ortadan kaldırmaz. Rapor, toplama aşamasını ve içerik analizini ayrı başlıklarda gösterirse mahkeme her ikisini de denetleyebilir.
Şüpheli ve mağdur bakımından karşı delil nasıl toplanır?
Hakkında atıf yapılan kişi önce dosyadaki teknik iddianın tam şeklini öğrenmelidir: Tek IP mi var, IP–port–saat üçlüsü mü, platform oturumu mu, banka talimatı mı? Ardından erişim yetkisi, ortak ağ, cihazın o sıradaki kullanıcısı, SIM işlemleri, işyeri girişleri, kamera, uzaktan erişim ve hesap kurtarma kayıtları gibi gerçekten sınanabilir alternatifleri belirleyebilir. Alternatifin yalnız mümkün olması yeterli açıklama değildir; olay zamanına temas eden kayıt aranır. Savunma için orijinal cihazı, mesajı veya yedeği değiştirmeden saklamak; üçüncü kişinin hesabına izinsiz girmeden kayıtların usulüne uygun istenmesini sağlamak önemlidir.
Mağdurun da yalnız şüphelinin IP’sini göstermeye çalışması çoğu zaman dar kalır. Hesaba erişim bildirimi, parola sıfırlama mesajı, ödeme dekontu, platformun işlem kimliği, alıcı hesap, gönderilen sahte bağlantı ve görüşmeler aynı zaman çizelgesine konmalıdır. İşlem hâlâ sürüyorsa güvenli bir cihazdan erişimin kesilmesi ve ilgili platform ya da finansal kuruluşla resmî kanaldan hemen temas kurulması gerekir. Delil muhafazası, süren saldırının durdurulmasını erteleme gerekçesi olmamalıdır.
Bir rapor veya başvuruda “port kaydı yok” denmesi, otomatik olarak olayın çözülemeyeceği anlamına gelmez. Platform hesabına bağlanan cihaz belirteçleri, çok faktörlü doğrulama geçmişi, e-posta üstbilgisi, banka talimatı ve fiziksel kayıtlar başka bir yol açabilir. Fakat eksik port alanı CGNAT üzerinden kesin abone atfına izin vermiyorsa bu sınır saklanmamalıdır. Aynı disiplin şüpheli lehine eksiklikler için de geçerlidir: bir logun tutulmaması, logda bulunmama ve incelenen kopyada iz bulunmama farklı cümlelerdir.
Teknik raporu okuyanın soracağı sorular
Rapordaki sonucu kabul veya itiraz etmeden şu sorular metnin kendi içinde cevaplanabilmelidir:
- Olay tam olarak hangi platform, hesap, işlem ve zaman aralığı için incelendi? Hesabın değişmez servis kimliği var mı?
- Kaydın ilk üreticisi kim? Ham kayıt mı, ekran görüntüsü mü, servis sağlayıcısının özet yanıtı mı? Orijinal kayıtla bağlantı nasıl kuruldu?
- IP adresi IPv4 mü IPv6 mı? CGNAT, VPN, proxy, kurumsal ağ veya yönlendirici kullanımı araştırıldı mı?
- “Port” kaynak portu mu hedef portu mu? Protokol ve saniye hassasiyeti biliniyor mu? Operatör eşleştirmesinin dayandığı alanlar gösterildi mi?
- Her kaynağın özgün zaman damgası, saat dilimi ve olası saat sapması yazıldı mı? Dönüşüm geri izlenebiliyor mu?
- Hesap oturumu yeni kimlik doğrulamasıyla mı açıldı, mevcut tokenla mı sürdü? Parola sıfırlama ve çok faktörlü onay geçmişi neler gösteriyor?
- İncelenen cihazın tam imajı mı, seçilmiş dosyalar mı alındı? Hash hangi nesneye ait? Analiz yöntemi ve bulunamayan veri sınırlı biçimde anlatıldı mı?
- Abonelikten insan fiiline geçen aşamada hangi bağımsız kayıt var? Ortak kullanım, cihaz devri, uzaktan erişim veya hesap ele geçirilmesi olasılıkları hangi delille sınandı?
- Lehe ve aleyhe kayıtlar aynı yöntemle karşılaştırıldı mı? Cevapsız kalan sorular ve teknik belirsizlik açıkça yazıldı mı?
- İncelemenin CMK 134 veya olayın gerektirdiği başka usul dayanağı, karar kapsamı, tutanak ve muhafaza zinciri dosyada görülebiliyor mu?
Bu soruların yanıtı tek bir sayfada çıkmayabilir. İyi raporun ayırt edici yanı, çok kesin görünmesi değil; okuyanın her sonucun hangi kayıttan üretildiğini ve hangi alternatif açıklamayı dışlamadığını görebilmesidir. Bir IP adresi olayın ağ kapısını işaret eder. Fail atfı, kapıdan sonraki hareketlerin de izlenmesini gerektirir.
Metinde başvurulan kaynaklar
Yargıtay 11. Ceza Dairesi, E.2025/6048, K.2026/3392; Yargıtay 8. Ceza Dairesi, E.2023/3345, K.2024/4929; AYM, Halil Akkaya, B. No: 2021/2754; AYM, E.2023/128, K.2026/36 kararına ilişkin resmî açıklama; IETF RFC 6269, RFC 6888 ve RFC 6302; NIST SP 800-86.
