Siber suç mağduru ilk 24 saatte ne yapmalı? Delili koruyarak başvuruya hazırlanmak

Bir hesabın ele geçirilmesiyle sahte bir yatırım bağlantısına para gönderilmesi aynı olay değildir. İlkinde saldırganın erişimini kesmek, ikincisinde para hareketini bankaya veya platforma bildirmek öne çıkar. Fidye yazılımı bulaşmış şirket bilgisayarında ise aceleyle cihazı sıfırlamak, saldırıyı durdurmuş görünürken inceleme için gerekli kayıtları yok edebilir. Bu yüzden ilk günün işi, rastgele belge toplamak değil, olayın hangi kanallardan sürdüğünü belirlemek, zararı sınırlamak ve sonradan denetlenebilir bir olay kaydı kurmaktır.

Buradaki “ilk 24 saat” bir kanuni şikâyet süresi değildir. Hesap oturumları, ödeme hareketleri, sahte sayfalar ve platform kayıtları hızla değişebildiği için kullanılan operasyonel bir zaman penceresidir. Şikâyet koşulu ve süresi, fiilin hukuki niteliğine göre ayrıca değerlendirilir. Suçun adını ilk anda doğru koyamıyor olmanız başvuruya engel değildir: gözlediğiniz fiili, zamanı, hesabı ve işlemi doğru tarif etmeniz, tahminle suç maddesi seçmenizden daha değerlidir. Emniyet Genel Müdürlüğünün siber suç açıklaması da bilişim sistemine yönelen fiillerle yalnızca bilişim sistemi kullanılarak işlenen fiiller arasındaki ayrımın önemini gösterir.

Hangi fiilin hangi suç tipine yaklaşabileceği ve şüpheli ile şirket bakımından farklı sorular siber suçlar ve bilişim suçları rehberinde bir arada açıklanır. Burada ilk saatlerde yapılabilecek kayıt ve başvuru işlemlerine odaklanıyoruz.

İlk ayrım: Ne kaybedildi, saldırganın erişimi sürüyor mu?

Birçok olay birden fazla katman içerir. Sahte giriş sayfasına parolasını yazan kişi hem hesabını hem banka bilgisini tehlikeye atmış olabilir. E-posta kutusuna giren saldırgan, henüz para çekmeden faturadaki IBAN’ı değiştirmiş olabilir. Bu nedenle “dolandırıldım” demekle yetinmeyin; şu dört soruyu ayrı ayrı cevaplayın:

1. Yetkisiz erişim devam ediyor mu? Tanımadığınız cihaz, yeni kurtarma e-postası, değiştirilmiş telefon numarası, yönlendirme kuralı veya API anahtarı var mı?
2. Para hareketi gerçekleşti mi? Banka havalesi, kart harcaması, ödeme kuruluşu işlemi, borsa içi aktarım ve zincir üstü transfer birbirinden farklı kanallardır.
3. Hangi veri açığa çıktı? Kimlik belgesi, müşteri listesi, özel görüntü, şirket yazışması veya yalnızca bir parola mı?
4. Saldırganın kontrol ettiği bir cihaz ya da şirket ağı var mı? Böyleyse bireysel parola değişikliği tek başına olayı bitirmeyebilir.

Bu tablo teşhis koymaz; sırayı belirler. Örneğin kripto hesabına erişim sağlandıktan sonra çekim yapılmışsa hem hesap güvenliği hem fon hareketi paralel ele alınır. Ayrıntılı saldırı örüntüleri için SIM swap ve kripto hesabı ile phishing sonrası platform sorumluluğu incelemeleri farklı soruları cevaplar.

Hukuki nitelendirmede de aynı ayrım gerekir. Bilişim sistemine hukuka aykırı erişim TCK m. 243; sistemin işleyişine veya veriye müdahale m. 244; başkasına ait banka veya kredi kartının kötüye kullanılması m. 245 bakımından incelenebilir. Sahte yatırım ya da satış vaadiyle para alınması, sistemin mutlaka ele geçirildiği anlamına gelmez; somut hileli davranışlar dolandırıcılık hükümleri yönünden ayrıca değerlendirilir. Kişisel verinin ele geçirilmesi ve yayılması da kendi koşulları içinde incelenir. Aynı olayda birden fazla fiil bulunabileceği gibi, birinin varlığı diğerinin otomatik kanıtı değildir. Bu maddelerin metni Türk Ceza Kanunu’nun resmî kopyasında yer alır; başvuru dilekçesinde esas olan, kendi başınıza kesin suç vasfı atamak değil, gözlediğiniz eylemleri ayırmaktır.

Erişimi keserken olayı görünmez hâle getirmeyin

Saldırgan hâlâ hesabı kullanıyorsa uzun bir delil toplama turunu beklemek doğru sıra değildir. Önce güvenilir bir cihazdan platformun kendi adresini açın; mesajdaki bağlantıya veya arama sonucundaki reklama dönmeyin. Hesabınızda oturum geçmişi görünüyorsa saatleri ve tanımadığınız cihazları kaydedin, ardından parolayı değiştirip diğer oturumlardan çıkış yaptırın. Kurtarma e-postası, telefon, iki aşamalı doğrulama yöntemleri, bağlı uygulamalar ve varsa otomatik e-posta yönlendirme kuralları kontrol edilmelidir. Google’ın ele geçirilmiş hesap için resmî yönergesi, güvenlik olayları ve cihazları incelemeyi, parolayı yenilemeyi, yabancı erişimleri kaldırmayı ve iki aşamalı doğrulamayı açmayı önerir.

E-posta hesabı özel önem taşır; başka hesapların parola sıfırlama bağlantıları oraya gelir. Yalnızca ele geçirilen uygulamanın parolasını değiştirmek, e-posta kutusu veya kurtarma numarası da saldırganın kontrolündeyse yeterli olmayabilir. Aynı parolayı başka yerde kullandıysanız o hesapları da güvenli cihazdan yenileyin. SIM kartınız beklenmedik şekilde hizmet dışı kaldıysa operatörünüzle numara taşıma veya SIM değişimi olup olmadığını resmî kanaldan kontrol edin. Bu ayrım, özellikle tek kullanımlık kodun telefon numarasına gönderildiği hesaplarda önemlidir.

Hesaba giremiyorsanız üçüncü kişilerin “hesabı geri açma” bağlantılarını kullanmayın. Platformun kendi hesap kurtarma akışını başlatın; başvuru numarasını, verilen yanıtı ve zamanı saklayın. Kurtarma işlemi sürerken kayıtlı kart veya banka hesabınız etkilenebiliyorsa ilgili finans kuruluşuna ayrıca haber verin. Bir platformun hesabı dondurması, geçmiş işlemi otomatik olarak geri alacağı anlamına gelmez; bunlar ayrı taleplerdir.

Şirket cihazında zararlı yazılım veya fidye yazılımı şüphesi varsa kişisel hesap kurtarma adımlarını bütün ağ için genelleştirmeyin. Etkilenen cihazın ağ bağlantısını kesmek, ek yayılımı sınırlandırabilir; fakat cihazı fabrika ayarlarına döndürmek veya logları temizlemek incelemeyi zorlaştırabilir. BT ve hukuk ekipleri hangi sistemlerin çalışır kalacağına, hangi verinin adli kopyasının alınacağına birlikte karar vermelidir. ABD Ulusal Standartlar ve Teknoloji Enstitüsünün 2025 tarihli olay müdahalesi rehberi, müdahalenin tespit, yanıt ve kurtarma süreçleriyle birlikte kurumsal risk yönetimine yerleştirilmesini önerir. Delilin kim tarafından, ne zaman ve nasıl toplandığı ayrıca belgelenmelidir. PEGA’nın fidye yazılımı ve şirket müdahalesi yazısı bu kurumsal akışın ayrı yükümlülüklerini inceler.

Para çıktıysa iki ayrı kayıt açın: güvenlik olayı ve ödeme itirazı

Bankaya “dolandırıldım” demek başlangıçtır; hangi işlemin nasıl yapıldığını da söylemek gerekir. Aradığınız numarayı mesajdaki linkten değil, bankanın resmî uygulamasından, kartın arkasından veya önceden bildiğiniz kaynaktan alın. Yetkisiz oturum veya kart kullanımını bildirin; devam eden erişim varsa kısıtlanmasını isteyin. İşlem tarihini, tutarı, alıcı IBAN’ı veya kart işlem bilgisini vererek ödeme itirazı, transferin izlenmesi, alıcı bankaya bildirim ya da mümkün işlemin durdurulması için bankanın hangi prosedürü uyguladığını sorun. Görüşmenin tarihini, kanalını ve kayıt numarasını yazın. Ticaret Bakanlığı da şifre ya da finansal bilgi paylaşımı görülen şüpheli işlemlerde bankayla derhal iletişime geçilmesini öneriyor.

Kart harcamasına yapılan itiraz ile kişinin kendi onayıyla gönderdiği havalenin geri istenmesi aynı işlem değildir. Her birinde ödeme aracının kuralları, olayın nasıl gerçekleştiği ve mevcut kayıtlar önem taşır. Bankadan mutlaka yazılı veya elektronik başvuru izi alın; yalnızca telefon görüşmesine güvenmeyin. “Para kesin döner” diyen bir çağrı merkezi görevlisinin sözünü değil, bankanın işlem numarasını ve yazılı değerlendirmesini izleyin. Bankanın iç incelemesi, ceza soruşturmasının yerine geçmez; savcılık başvurusu da bankaya yapılacak acil bildirimi ertelememelidir. Yetkisiz kart kullanımında fiilin ceza hukuku yönü ve delil ayrımı, TCK m. 245 kapsamında kartın kötüye kullanılması incelemesinde ayrıca ele alınır.

Bazı olaylarda ayrıca CMK m. 128/A’daki hesap askıya alma mekanizması gündeme gelebilir. Bu hüküm her internet dolandırıcılığına veya her siber suça uygulanmaz: TCK m. 142/2-e, 158/1-f ve l ile 245’te belirtilen suçlar bakımından makul şüphe koşuluyla, ilgili banka, ödeme hizmeti sağlayıcısı veya kripto varlık hizmet sağlayıcısının suçta kullanılan hesabı en çok kırk sekiz saat askıya alabilmesine ilişkindir. Kurumun kararı ve Cumhuriyet başsavcılığına bildirim usulü kanunda ayrıca düzenlenmiştir. Mağdurun yapabileceği şey, olayı ve ilgili işlemi gecikmeden somut kayıtlarla kuruma ve adli makamlara bildirmektir; hesabın askıya alınacağı veya paranın iade edileceği peşinen söylenemez.

Kripto varlık söz konusuysa önce olayın borsa içi işlem mi yoksa zincir üstü transfer mi olduğunu ayırın. Borsa içi hareketin yalnızca hesap ekranında görülen işlem numarası olabilir; zincir üstü transferde ağ ve TxID gerekir. İlgili borsaya resmî destek kanalından yetkisiz giriş/çekim bildirimi açın; hesabın korunmasını, varsa henüz sonuçlanmamış işlemlerin incelenmesini ve hesap, cihaz, oturum, güvenlik ayarı değişikliği ile çekim kayıtlarının saklanmasını talep edin. Karşı borsanın hesabına varan fonlar için mağdur sıfatıyla doğrudan KYC dosyasını alamayabilirsiniz; başvuruda bu kayıtların soruşturma makamlarınca istenmesini somutlaştırın. Bir blokzincir adresi veya risk etiketi tek başına kişinin kimliğini ispatlamaz.

Saldırgan “parayı kurtarma komisyonu”, “vergi”, “cüzdan doğrulama” veya “savcılık harcı” adıyla yeniden ödeme isteyebilir. İlk kaybı telafi edeceği iddia edilen ikinci transferi yapmadan önce talebin muhatabını ve dayanağını bağımsız kanaldan doğrulayın. Özellikle borsaya zaten bildirim yapılmışsa, destek ekibinin sizi özel mesajla yeni bir cüzdana yönlendirdiği iddiasını platformun kendi panelinden teyit edin. Kripto varlık hırsızlığı yazısı zincir üstü kayıp ile platform sorumluluğunu daha ayrıntılı ayırır.

Bu aşamada kurtarma cümlesi, özel anahtar, seed phrase veya tek kullanımlık doğrulama kodu hiçbir “destek” hesabına gönderilmemelidir. Başvuruya cüzdanın açık adresi, işlem kimliği ve ağ bilgisi eklenebilir; cüzdanı kontrol etmeyi sağlayan gizli bilgi ayrı ve korunmuş tutulur. Delil üretmek için özel anahtarı üçüncü bir siteye yazmak, ilk olaydan bağımsız yeni bir kayba yol açabilir.

Delil dosyası: ekran görüntüsünün arkasındaki izi de saklayın

Oturum, IP ve cihaz izlerinin neyi gösterebildiği ile kişiye atfın sınırları dijital delil ve IP adresi incelemesinde açılıyor. İlk gün için amaç, bu inceleme yapılabilsin diye kayıtların özgün bağlamını kaybetmemektir.

Ekran görüntüsü olayın anını gösterir; fakat hangi hesaptan, hangi saat diliminde, hangi URL’de ve hangi işlemle oluştuğunu her zaman göstermez. İlk günün sonunda bir araştırmacının olay zincirini baştan kurabilmesi için özgün kayıt + açıklama + zaman üçlüsünü hedefleyin.

Şüpheli e-postayı silmeyin. Mümkünse sağlayıcının sunduğu biçimde özgün iletiyi, tam başlık bilgisiyle indirin; ekran görüntüsünü ayrıca alın. Sahte ödeme sayfasının yalnızca logosunu değil tam adresini, yönlendirme yaptığı adresleri ve açıldığı saati kaydedin. Mesajlaşmada tek cümleyi kesip almak yerine konuşmanın öncesini ve sonrasını, gönderici profilini ve tarihini de koruyun. Transfer dekontu için işlem referansı, alıcı, tutar ve zaman görünür olmalı. Kripto transferinde TxID, ağ adı, varlık cinsi ve borsa çekim kayıtları birlikte tutulmalı; yalnızca cüzdan ekranının görüntüsü yeterli sayılmamalıdır. Ses veya görüntünün gerçekliği tartışmalıysa dosyanın aslı, hangi cihazdan ne zaman alındığı ve varsa metadata korunmalıdır; deepfake içeriklerin adli değerlendirmesi bu ayrımı gösterir.

Pratik bir klasör düzeni kullanın:

Klasör adları yalnızca çalışma düzenidir; resmî bir delil formatı değildir. Özgün dosyaları düzenlemeyin veya üzerine yeni sürüm kaydetmeyin. Çalışma kopyasını ayrı tutun. Teknik destek alan dosyalarda SHA-256 gibi dosya özetinin alınması, daha sonra sunulan kopyanın aynı dosya olup olmadığını kontrol etmeye yardımcı olur; fakat tek başına olayın kim tarafından gerçekleştirildiğini veya içeriğin doğru olduğunu kanıtlamaz. Dosyayı kimin, hangi cihazdan, ne zaman aldığına dair kısa bir kayıt daha değerlidir. Kurumsal sistemlerde log rotasyonu ve saklama politikası nedeniyle kayıtlar değişebileceğinden BT ekibine ilgili zaman aralığı ve sistemleri derhal bildirin.

Delil korumak adına üçüncü kişinin hesabına izinsiz girme, saldırganın cihazına erişme veya canlı sistemi “karşı hackleme” girişiminde bulunmayın. Kendi hesabınızda gördüğünüz kayıtların korunması ile soruşturma makamlarının dijital arama ve elkoyma işlemleri ayrı hukuki alanlardır. Somut olayda teknik incelemenin yöntemini ve kapsamını yetkili makamlar ile uzmanlar belirlemelidir.

Savcılık veya kolluk başvurusu nasıl somutlaştırılır?

Ceza Muhakemesi Kanunu’nun 158. maddesi uyarınca suça ilişkin ihbar veya şikâyet Cumhuriyet Başsavcılığına ya da kolluk makamlarına yapılabilir. “Siber suçlar birimine gitmezsem başvurum kabul edilmez” düşüncesi bu genel yolu gözden kaçırır. Olayı anlatırken bilinmeyeni bilinmiyor diye yazın. Bir IP adresinin görünmesi, o adresin abonesinin mutlaka fail olduğu; bir IBAN’ın bulunması, hesabın sahibinin mutlaka organizatör olduğu anlamına gelmez. Buna karşılık bu bilgiler araştırılabilir başlangıç verileridir.

Başvuru metninin omurgası şu sırayla kurulabilir: olayın nasıl başladığı; sizin yaptığınız ve yapmadığınız işlemler; erişim veya para hareketinin zaman çizelgesi; kullanılan hesap, URL, telefon, IBAN, cihaz ve işlem referansları; bankaya ve platforma yapılan bildirimler; elinizdeki kayıtların listesi; halen kaybolma riski bulunan kayıt türleri. İncelemeden ne beklendiği de somut olmalı: belirli tarih aralığındaki oturum bilgileri, güvenlik ayarı değişiklikleri, ilgili banka/ödeme veya borsa kayıtları, sahte alan adının kayıtları, yetkisiz para hareketi gibi. “Bütün internet araştırılsın” şeklindeki geniş talep, hangi delilin nerede bulunduğunu göstermeye yardımcı olmaz.

Başvurunun alındığını gösteren evrakı veya dosya numarasını saklayın. Sonradan yeni işlem veya mesaj ortaya çıkarsa eski anlatımı sessizce değiştirmek yerine ek dilekçe ve ek listeyle zaman çizelgesini tamamlayın. Bankanın değerlendirmesi, platformun teknik yanıtı ve soruşturma evrakı farklı dosyalardır; birinin sonuçlanmasını beklerken diğerindeki kayıtların kaybolmasına izin vermeyin. Şirket olayında veri sorumlusu sıfatı da varsa, kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi bakımından ayrı bildirim yükümlülüğü doğabilir. Kişisel Verileri Koruma Kurulu, bu durumda Kurula bildirim için “en kısa süre”yi öğrenmeden itibaren en geç 72 saat olarak yorumlamıştır; 2019/10 sayılı resmî duyuru bu süreci ve aşamalı bilgi verilebilmesini açıklar. Bu yükümlülük veri sorumlusunundur; her bireysel mağdurun otomatik olarak KVKK ihlal bildirimi yapması anlamına gelmez.

Üç olayda sıra neden değişir?

Faturadaki IBAN son anda değişti. Muhasebe birimi beklediği tedarikçiden gelmiş gibi görünen e-postaya dayanarak ödeme yaptı. İlk bildirim gönderen bankaya yapılır; işlem referansı, tutar ve alıcı IBAN verilir. Ardından e-posta aslı, fatura sürümleri ve önceki yazışmalar korunur. Gerçek tedarikçiyle, şüpheli e-postadaki telefon yerine önceden bilinen numaradan görüşülür. E-posta hesabının ele geçirilip geçirilmediği, posta yönlendirme kuralları ve giriş kayıtları araştırılır. Ödeme geri döner varsayımıyla beklemek yerine bankaya yapılan başvuru ile adli başvuru paralel yürütülür. Konunun kendi ayrıntıları e-posta ve IBAN değişikliği dolandırıcılığı yazısında işlenmiştir.

Telefon hattı sustu, kripto hesabından çekim yapıldı. Burada yalnızca cüzdan adresine bakmak, saldırının numara taşıma veya SIM değişimiyle başlayan kısmını kaçırır. Operatörden işlem zamanını ve başvuru kanalını öğrenmeye çalışırken borsa hesabına erişim kısıtı ve çekim kayıtlarının korunması talep edilir. E-posta parola sıfırlama, iki aşamalı doğrulama değişikliği, yeni cihaz girişi ve çekim zamanı tek çizelgede karşılaştırılır. Blokzincir işlemi için ağ ve TxID, platform içi işlem için platform kayıt numarası ayrı tutulur. Son hedef adres görünse bile bu bilgi kullanıcı kimliği değildir.

Şirket dosyaları şifrelendi ve müşteri verisi sızdırılmakla tehdit ediliyor. İş sürekliliğini sağlamak isteyen ekip bütün cihazları yeniden kurmaya yönelebilir. Önce hangi sistemlerin etkilendiği, saldırının devam edip etmediği, yedeklerin erişilebilirliği ve hangi logların korunması gerektiği belirlenir. Banka veya borsa hesabına erişim olup olmadığı ayrıca kontrol edilir. Kişisel veri elde edildiğine dair bulgular, veri sorumlusu bildirim değerlendirmesini tetikler. Fidye notundaki iddialar doğrulanmış veri sızıntısı gibi duyurulmaz; fakat sadece iddia denilerek inceleme de geciktirilmez. Teknik müdahale, hukuki bildirim ve kurum içi iletişim aynı olay çizelgesinde tutulur.

Bu üç örnekte ortak olan, ilk günün sonunda tek cümlelik bir “hacklendik” anlatısı yerine doğrulanabilir olay dizisi bulunmasıdır. Soruşturma makamı, banka veya platform farklı sorular soracaktır; düzenli kayıt bunların her birine aynı olgusal temelden cevap vermeyi sağlar.

İlk gün kapanırken iki kontrol

Önce erişim kontrolünü yeniden değerlendirin: yabancı oturum kaldı mı, kurtarma yöntemleri değişti mi, kayıtlı ödeme araçları veya yetkili uygulamalar kontrol edildi mi, ilgili kişiler ve kurumlar kendi resmî kanallarından bilgilendirildi mi? Hesabı geri almak saldırganın kopyaladığı veriyi geri getirmez; bu yüzden veri riski ayrıca izlenir. Çalınan kimlik görüntüsü, müşteri listesi veya özel görüntü varsa yayılım ve kötüye kullanım ihtimali olay kaydına eklenir.

Sonra iz sürülebilirliği kontrol edin: başvuru numaraları, banka veya platform yazışmaları, dekontlar, özgün ileti dosyaları ve saat dilimleri bir arada mı? Henüz cevap gelmeyen her talebin tarihi ve muhatabı belli mi? Ertesi gün yeni kayıt geldiğinde ilk dosyayı değiştirmeden eklemek mümkün mü? Bu iki kontrol, mağdurun bir yandan zararı sınırlandırırken diğer yandan hak arama sürecinin maddi temelini korumasına yardım eder.

Şüpheliye yeniden ödeme yapmak, platform dışında “kurtarma hizmeti” satın almak, sahte destek hesabına belge göndermek veya öfkeyle karşı tarafın kişisel bilgilerini yayımlamak yeni zararlar yaratabilir. Yetkili kurumlara ve gerçek platform kanallarına yapılan tarihli, somut bildirimler daha güçlü bir başlangıçtır.

Başvurulan birincil kaynaklar

• Emniyet Genel Müdürlüğü, Siber Suç Nedir?: suç türleri arasındaki kavramsal ayrım.
• 5237 sayılı Türk Ceza Kanunu (Adalet Bakanlığı metni): fiillerin ceza hukuku bakımından ayrımı.
• 5271 sayılı Ceza Muhakemesi Kanunu, m. 158 (Adalet Bakanlığı metni): ihbar ve şikâyet makamları.
• CMK m. 128/A’yı ekleyen 7571 sayılı Kanun, m. 22 (TBMM kanun metni): belirli suçlarda finansal kurumun hesap askıya alma yetkisi ve sınırları.
• Kişisel Verileri Koruma Kurulu, 2019/10 sayılı veri ihlali bildirimi kararı: veri sorumlusunun bildirim yükümlülüğü.
• Ticaret Bakanlığı, dijital ve finansal dolandırıcılık uyarısı: banka ve kollukla hızlı temas.
• Google, ele geçirilmiş hesabı güvene alma adımları: oturum, kurtarma yöntemi ve hesap güvenliği için platform örneği.
• NIST, SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: güncel kurumsal olay müdahalesi çerçevesi.