Türkiye’de Siber Suçlarla Mücadele ve Hukuki Süreçler

Giriş

Dijitalleşme, günlük hayatı kolaylaştırdığı kadar yeni suç tiplerini ve yeni mağduriyet alanlarını da beraberinde getirmiştir. Bankacılık işlemlerinin mobil uygulamalarla yapılması, sosyal medya hesaplarının kişisel ve ticari itibarın merkezine yerleşmesi, e-ticaret platformlarının yaygınlaşması, şirket verilerinin bulut sistemlerde tutulması ve kişisel bilgilerin dijital ortamlarda işlenmesi, siber suçlarla mücadeleyi hem bireyler hem şirketler hem de kamu otoriteleri açısından son derece önemli hâle getirmiştir.

Bugün bir kişi internetten dolandırılabilir, banka hesabı boşaltılabilir, sosyal medya hesabı çalınabilir, kişisel fotoğrafları izinsiz paylaşılabilir, şirketin müşteri verileri ele geçirilebilir, e-posta hesabı üzerinden sahte ödeme talimatı gönderilebilir veya bir işletmenin internet sitesi siber saldırıyla çalışamaz hâle getirilebilir. Bu tür olaylar yalnızca teknik bir güvenlik problemi değildir. Aynı zamanda ceza hukuku, kişisel verilerin korunması hukuku, tazminat hukuku, ticaret hukuku ve adli bilişim süreçlerini ilgilendiren ciddi hukuki uyuşmazlıklardır.

Türkiye’de siber suçlarla mücadele çok boyutlu bir sistem üzerinden yürütülmektedir. Bu sistemin bir yönünü Türk Ceza Kanunu’nda düzenlenen bilişim suçları oluştururken, diğer yönünü savcılık soruşturması, kolluk işlemleri, dijital delil toplama, içerik kaldırma, erişim engeli, veri ihlali bildirimi, kurumsal siber güvenlik yükümlülükleri ve adli bilişim incelemeleri oluşturmaktadır.

Siber Suç Nedir?

Siber suç, en genel anlamıyla bilişim sistemlerine karşı veya bilişim sistemleri kullanılarak işlenen suçtur. Bilgisayar, cep telefonu, tablet, sunucu, internet sitesi, sosyal medya hesabı, e-posta hesabı, banka uygulaması, dijital cüzdan, veri tabanı, bulut depolama alanı ve elektronik ödeme sistemi bu kapsamda değerlendirilebilir.

Siber suçlarda iki temel görünüm vardır. Birinci grupta suç doğrudan bilişim sistemine yönelir. Örneğin bir kişinin e-posta hesabına izinsiz girilmesi, şirket sunucusunun çökertilmesi, verilerin silinmesi, sisteme zararlı yazılım yerleştirilmesi veya internet sitesinin çalışmasının engellenmesi bu kapsamdadır.

İkinci grupta ise bilişim sistemi suçun aracı olarak kullanılır. Örneğin sahte banka mesajıyla mağdurun kandırılması, internet üzerinden yatırım vaadiyle para alınması, sahte e-ticaret sitesiyle dolandırıcılık yapılması, sosyal medya üzerinden hakaret veya tehdit mesajı gönderilmesi, kripto para vaadiyle kişilerin malvarlığının zarara uğratılması bu gruba girer.

Bu nedenle “siber suç” kavramı yalnızca bilgisayar korsanlığı anlamına gelmez. Bazen fail teknik bilgi kullanarak sisteme sızar; bazen de sosyal mühendislik, sahte link, sahte çağrı merkezi, oltalama mesajı veya psikolojik manipülasyon yoluyla mağduru kandırır. Hukuki süreç bakımından önemli olan, olayın hangi suç tipine girdiğinin doğru belirlenmesi ve delillerin kaybolmadan toplanmasıdır.

Türkiye’de Siber Suçlarla Mücadelenin Hukuki Dayanakları

Türkiye’de siber suçlarla mücadelede temel ceza normları 5237 sayılı Türk Ceza Kanunu’nda yer almaktadır. Türk Ceza Kanunu’nun bilişim alanındaki suçlara ilişkin düzenlemeleri özellikle TCK m.243, m.244, m.245 ve m.245/A hükümlerinde toplanmıştır. Bu maddeler; bilişim sistemine girme, sistemi engelleme veya bozma, verileri yok etme veya değiştirme, banka veya kredi kartlarının kötüye kullanılması ve yasak cihaz veya programlar gibi fiilleri yaptırıma bağlamaktadır.

Siber suçlarla mücadelede yalnızca Türk Ceza Kanunu yeterli değildir. Ceza Muhakemesi Kanunu, dijital delillerin toplanması bakımından önemlidir. CMK m.134, bilgisayarlarda, bilgisayar programlarında ve kütüklerinde arama, kopyalama ve el koyma süreçlerini düzenleyen temel hükümlerden biridir. Bu madde, dijital delil elde edilirken hâkim kararı, savcı kararı, kopyalama, çözümleme ve delilin korunması gibi usul güvenceleri bakımından uygulamada kritik öneme sahiptir.

5651 sayılı Kanun ise internet ortamında yapılan yayınlar, içerik kaldırma, erişimin engellenmesi, kişilik haklarının ihlali ve özel hayatın gizliliğinin korunması bakımından devreye girer. Özellikle sosyal medya paylaşımları, hukuka aykırı haberler, sahte hesaplar, kişilik haklarına saldırı niteliğindeki içerikler ve özel görüntülerin paylaşılması hâlinde bu kanun kapsamında başvuru yolları gündeme gelebilir.

Kişisel verilerin ele geçirilmesi veya yayılması hâlinde 6698 sayılı Kişisel Verilerin Korunması Kanunu da önem taşır. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda veri sorumlusunun ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirim yükümlülüğü bulunmaktadır. KVKK’nın 2019/10 sayılı kararına göre veri ihlalinin öğrenilmesinden itibaren Kurula bildirimin gecikmeksizin ve en geç 72 saat içinde yapılması gerektiği kabul edilmektedir.

2025 yılında yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu da Türkiye’de siber güvenlik ve siber olaylara müdahale alanında önemli bir düzenlemedir. Kanunun amacı; Türkiye’nin siber uzaydaki milli gücüne yönelen tehditlerin tespiti ve bertaraf edilmesi, siber olayların etkilerinin azaltılması, kamu kurumları ve özel sektör dahil olmak üzere ilgili yapıların siber saldırılara karşı korunması ve siber güvenlik politikalarının belirlenmesidir.

Siber Güvenlik Başkanlığı, USOM ve Kurumsal Mücadele Mekanizması

Siber suçlarla mücadele yalnızca savcılık ve mahkemeler aracılığıyla yürütülmez. Türkiye’de siber güvenlik alanında idari ve teknik koordinasyon mekanizmaları da bulunmaktadır. Bu kapsamda USOM, yani Ulusal Siber Olaylara Müdahale Merkezi, uzun süredir siber olaylara müdahale, tehditlerin tespiti, saldırı etkilerinin azaltılması ve ilgili aktörlerle koordinasyon sağlanması amacıyla faaliyet yürütmektedir. BTK’nın açıklamasına göre USOM, 27.05.2013 tarihinde kurulmuş ve siber olaylara müdahale konusunda ulusal ve uluslararası koordinasyon çalışmalarını 7/24 esasına göre yürütmektedir.

2025 yılında kurulan Siber Güvenlik Başkanlığı ise siber güvenlik alanında merkezi idari otorite olarak önemli bir konuma sahiptir. Başkanlığın resmi sitesinde, 7545 sayılı Siber Güvenlik Kanunu’nun 19.03.2025 tarihinde yayımlandığı ve Başkanlığın kritik altyapıların korunması ile dijital risklerin azaltılması konusunda yetkili merci olarak faaliyet yürüttüğü belirtilmektedir.

Bu kurumsal yapı, özellikle büyük ölçekli siber saldırılar, kritik altyapılara yönelik tehditler, kamu kurumlarının sistemlerine yapılan müdahaleler, finansal sistemlere yönelik saldırılar, veri sızıntıları ve ulusal güvenlik boyutu taşıyan siber olaylar bakımından önemlidir. Ancak bireysel mağduriyetlerde de temel başvuru makamı çoğunlukla Cumhuriyet Başsavcılığı ve kolluk birimleridir. Teknik kurumların varlığı, adli sürecin yerini almaz; aksine adli sürece destek sağlayan ve siber güvenlik kapasitesini güçlendiren bir fonksiyon görür.

En Sık Karşılaşılan Siber Suç Türleri

Türkiye’de uygulamada en sık karşılaşılan siber suçlardan biri internet dolandırıcılığıdır. Sahte banka linkleri, sahte kargo mesajları, sahte e-devlet veya banka ekranları, yatırım vaadiyle dolandırıcılık, kripto para tuzakları, ikinci el alışveriş platformları üzerinden dolandırıcılık, sosyal medya üzerinden sahte ürün satışı ve sahte çağrı merkezi yöntemleri bu kapsamda değerlendirilebilir.

Bir diğer yaygın suç tipi sosyal medya hesabının ele geçirilmesidir. Instagram, Facebook, X, TikTok veya benzeri platformlarda hesabın çalınması, hesabın şantaj veya dolandırıcılık amacıyla kullanılması, mağdurun rehberindeki kişilere para isteme mesajları gönderilmesi ve özel yazışmaların ifşa tehdidiyle kullanılması ciddi cezai sonuçlar doğurabilir.

Banka ve kredi kartı bilgilerinin ele geçirilmesi de siber suç dosyalarında sık görülür. Fail, mağdura sahte link gönderebilir, kart bilgilerini elde edebilir, 3D Secure kodunu kandırma yoluyla alabilir veya kart bilgilerini internet alışverişlerinde kullanabilir. Bu durumda olayın niteliğine göre TCK m.245’te düzenlenen banka veya kredi kartlarının kötüye kullanılması suçu, nitelikli dolandırıcılık suçu ve kişisel verilere karşı suçlar birlikte gündeme gelebilir.

Şirketler bakımından en ağır siber suçlardan biri fidye yazılımı saldırılarıdır. Bu saldırılarda şirketin dosyaları şifrelenir, sistemlere erişim engellenir ve verilerin geri verilmesi veya ifşa edilmemesi için para talep edilir. Bu tür olaylarda yalnızca teknik müdahale yeterli değildir. Log kayıtlarının korunması, olay raporunun hazırlanması, veri ihlali değerlendirmesi yapılması, gerektiğinde KVKK bildirimi, savcılık başvurusu ve sigorta/sözleşme süreçlerinin yürütülmesi gerekir.

Siber Suç Mağduru Ne Yapmalı?

Siber suç mağduru olan kişinin ilk yapması gereken şey paniğe kapılmadan delilleri korumaktır. Mağdur, gelen mesajları, linkleri, telefon numaralarını, kullanıcı adlarını, sosyal medya hesaplarını, IBAN bilgilerini, dekontları, ekran görüntülerini, e-posta başlıklarını, URL adreslerini, tarih ve saat bilgilerini saklamalıdır. Deliller silinirse veya hesap kapatılırsa failin tespiti zorlaşabilir.

İkinci adım, zararın büyümesini önlemektir. Banka hesabı veya kart bilgileri ele geçirilmişse derhal bankayla iletişime geçilmeli, kart iptal edilmeli, şüpheli işlemler için itiraz kaydı oluşturulmalı ve mümkünse şüpheli hesaba bloke konulması talep edilmelidir. Sosyal medya hesabı ele geçirilmişse platformun hesap kurtarma ve güvenlik kanalları kullanılmalı, iki aşamalı doğrulama aktif hâle getirilmeli ve hesaptan dolandırıcılık mesajı gönderiliyorsa yakın çevre uyarılmalıdır.

Üçüncü adım, Cumhuriyet Başsavcılığı’na suç duyurusunda bulunmaktır. Suç duyurusu dilekçesinde olayın kronolojisi açıkça anlatılmalı, fail biliniyorsa kimlik bilgileri, bilinmiyorsa kullanılan hesaplar, telefon numaraları, e-posta adresleri, IBAN’lar, kripto cüzdan adresleri, URL bağlantıları ve tüm dijital izler belirtilmelidir.

Dördüncü adım, teknik delillerin kaybolmasını önleyecek taleplerde bulunmaktır. Savcılıktan banka kayıtlarının istenmesi, GSM operatörlerinden hat bilgileri ve HTS kayıtlarının araştırılması, internet servis sağlayıcılarından IP kayıtlarının talep edilmesi, sosyal medya platformlarına müzekkere yazılması, ödeme kuruluşlarından işlem detaylarının istenmesi, cihaz incelemesi ve bilirkişi raporu alınması talep edilebilir.

Savcılık Soruşturması Nasıl İşler?

Siber suçlarda soruşturma genellikle mağdurun şikâyeti veya suç duyurusu ile başlar. Cumhuriyet savcılığı, olayın niteliğine göre Siber Suçlarla Mücadele Şube Müdürlüğü’ne veya ilgili kolluk birimine talimat verebilir. Kolluk birimleri mağdurun beyanını alır, dijital materyalleri inceler, banka ve iletişim kayıtlarını araştırır ve elde edilen bilgileri savcılığa sunar.

Savcılık aşamasında en önemli mesele failin tespitidir. Siber suçlarda fail çoğu zaman sahte hesap, geçici telefon numarası, yabancı IP, VPN, başkasına ait banka hesabı veya aracı kişiler kullanabilir. Bu nedenle soruşturma yalnızca görünen hesap sahibine odaklanmamalı; para akışının son noktası, cihaz bağlantıları, IP kayıtları, hesap erişim bilgileri ve iletişim trafiği birlikte değerlendirilmelidir.

Savcılık yeterli şüpheye ulaşırsa iddianame düzenleyerek kamu davası açabilir. Yeterli şüphe oluşmadığı kanaatine varırsa kovuşturmaya yer olmadığına dair karar verebilir. Ancak siber suç dosyalarında eksik araştırmaya dayalı kararlarla karşılaşılabildiğinden, mağdur vekili bakımından KYOK kararına itiraz süreci önem taşır. Özellikle banka kayıtları istenmeden, IP araştırması yapılmadan, sosyal medya platformlarına yazı yazılmadan veya dijital materyaller bilirkişiye gönderilmeden verilen kararlar, somut dosyanın özelliklerine göre eksik soruşturma yönünden tartışılabilir.

Dijital Delillerin Önemi

Siber suç dosyalarında klasik tanık beyanı çoğu zaman yeterli değildir. Asıl belirleyici unsur dijital delillerdir. IP kayıtları, log kayıtları, e-posta başlık bilgileri, mesaj içerikleri, ekran görüntüleri, banka dekontları, kripto transfer kayıtları, cihaz imajları, sunucu kayıtları, kamera kayıtları ve platform yanıtları dosyanın omurgasını oluşturur.

Ancak dijital delillerin hukuka uygun elde edilmesi gerekir. Başkasının hesabına izinsiz girilerek alınan yazışmalar, hukuka aykırı delil tartışması doğurabilir. Buna karşılık tarafın kendisine gelen mesajları, kendisine ait hesap hareketlerini, ödeme dekontlarını, kamuya açık içerikleri veya hukuka uygun şekilde temin edilen kayıtları sunması mümkündür.

CMK m.134 kapsamında bilgisayarlarda ve dijital materyallerde arama, kopyalama ve el koyma işlemleri özel usule tabidir. Bu nedenle ceza dosyalarında dijital delilin elde edilme yöntemi, delil zinciri, imaj alma işlemi, hash değerleri, bilirkişi incelemesi ve kopya verilerin korunması dikkatle incelenmelidir. Anayasa Mahkemesi’nin 12.02.2026 tarihli ve 2023/128 E., 2026/36 K. sayılı kararıyla CMK m.134’e ilişkin iptal kararı vermesi ve kararın Resmî Gazete’de yayımlanması, bu alandaki usul güvencelerinin güncel olarak takip edilmesi gerektiğini göstermektedir.

İçerik Kaldırma ve Erişimin Engellenmesi

Siber suçların bir kısmında mağduriyet yalnızca ekonomik zarar değildir. Bazen kişinin adı, fotoğrafı, özel hayatı, ticari itibarı veya kişilik hakları dijital ortamda hedef alınır. Sahte hesaplar, ifşa paylaşımları, hakaret içerikleri, gerçeğe aykırı haberler, özel görüntüler veya kişisel verilerin yayımlanması hâlinde içerik kaldırma ve erişimin engellenmesi süreçleri gündeme gelir.

Bu tür durumlarda mağdur hem ceza soruşturması başlatabilir hem de ilgili içeriğin kaldırılması için başvuru yapabilir. Özellikle kişilik haklarının ihlali hâlinde 5651 sayılı Kanun kapsamında sulh ceza hâkimliğine başvuru yapılması mümkündür. Özel hayatın gizliliğinin ihlali, özel görüntülerin yayımlanması veya kişisel verilerin paylaşılması gibi hâllerde hızlı hareket edilmesi gerekir. Çünkü içerik yayında kaldıkça mağdurun itibarı ve özel hayatı daha fazla zarar görebilir.

Burada dikkat edilmesi gereken husus, içerik kaldırılmadan önce delillendirme yapılmasıdır. URL adresi, ekran görüntüsü, paylaşım tarihi, hesap adı, kullanıcı profili, yorumlar ve etkileşimler kayıt altına alınmalıdır. Aksi hâlde içerik silindikten sonra ihlalin ispatı zorlaşabilir.

Şirketler Açısından Siber Saldırı ve Veri İhlali Süreci

Şirketler açısından siber suçlarla mücadele, bireysel mağduriyetlere göre daha karmaşık olabilir. Çünkü bir siber saldırı sonucunda yalnızca şirket sistemi zarar görmez; müşterilerin kişisel verileri, ticari sırlar, finansal kayıtlar, sözleşmeler, çalışan verileri ve kurumsal itibar da etkilenebilir.

Bir şirket siber saldırıya uğradığında öncelikle teknik müdahale yapılmalı, ancak deliller yok edilmemelidir. Log kayıtları korunmalı, sistem imajları alınmalı, saldırının başlangıç ve etki alanı tespit edilmeli, hangi verilerin etkilendiği belirlenmeli ve olay müdahale raporu hazırlanmalıdır.

Eğer kişisel veriler hukuka aykırı olarak elde edilmişse veya böyle bir risk varsa KVKK kapsamında veri ihlali değerlendirmesi yapılmalıdır. Veri sorumlusunun ihlali öğrendiği tarihten itibaren Kurula en geç 72 saat içinde bildirim yapması gerektiği kabul edilmektedir. Ayrıca ihlalden etkilenen kişilere de makul olan en kısa sürede uygun yöntemlerle bildirim yapılması gerekir.

Şirketler ayrıca sözleşmesel yükümlülüklerini de değerlendirmelidir. Müşterilerle, tedarikçilerle, ödeme kuruluşlarıyla, sigorta şirketleriyle veya yabancı iş ortaklarıyla yapılan sözleşmelerde veri güvenliği, gizlilik, olay bildirimi ve sorumluluk hükümleri bulunabilir. Bu nedenle siber saldırı sonrası süreç yalnızca teknik ekibin değil, hukuk, uyum, yönetim ve iletişim ekiplerinin birlikte yürütmesi gereken bir kriz yönetimi sürecidir.

Siber Suçlarda Tazminat ve Hukuki Sorumluluk

Siber suç mağduru, ceza soruşturmasının yanında maddi ve manevi zararlarının giderilmesini de talep edebilir. İnternet dolandırıcılığı sonucu para kaybeden kişi, failin tespiti hâlinde maddi zararını talep edebilir. Sosyal medya üzerinden kişilik hakları ihlal edilen kişi manevi tazminat davası açabilir. Şirketin ticari itibarı, müşteri ilişkileri veya iş sürekliliği zarar görmüşse ticari zararların tazmini de gündeme gelebilir.

Veri ihlallerinde ise hem idari yaptırım hem de özel hukuk sorumluluğu doğabilir. Kişisel verileri hukuka aykırı şekilde işlenen veya üçüncü kişilerin eline geçen ilgili kişiler, somut zararın varlığı hâlinde tazminat talebinde bulunabilir. Veri sorumlusu şirketin gerekli teknik ve idari tedbirleri alıp almadığı bu noktada belirleyici olur.

Siber Suçlarla Mücadelede Avukatın Rolü

Siber suç dosyaları, teknik bilgi ile hukuki bilgiyi birlikte gerektirir. Bu nedenle sürecin başında doğru hukuki stratejinin belirlenmesi önemlidir. Mağdur vekili, olayın hangi suç tiplerine uyduğunu belirlemeli, delillerin kaybolmasını önleyecek talepleri hızlıca hazırlamalı, savcılık makamından gerekli müzekkerelerin yazılmasını istemeli, banka ve platform süreçlerini takip etmeli ve gerektiğinde içerik kaldırma başvurularını yapmalıdır.

Şüpheli veya sanık müdafii bakımından ise dijital delillerin hukuka uygun elde edilip edilmediği, IP adresinin tek başına fail tespiti için yeterli olup olmadığı, cihazın kim tarafından kullanıldığı, hesabın ele geçirilmiş olma ihtimali, kastın bulunup bulunmadığı ve bilirkişi raporunun teknik yeterliliği incelenmelidir.

Şirketler bakımından avukatın rolü daha geniştir. KVKK bildirimi, siber olay raporu, sözleşmesel sorumluluk, çalışan kaynaklı ihlaller, tedarikçi kusuru, sigorta bildirimi, kamu otoriteleriyle yazışma, suç duyurusu ve itibar yönetimi süreçleri hukuki koordinasyon gerektirir.

Sonuç

Türkiye’de siber suçlarla mücadele, ceza hukuku, ceza muhakemesi, kişisel verilerin korunması, internet hukuku ve siber güvenlik mevzuatının birlikte uygulanmasını gerektiren kapsamlı bir alandır. Bilişim sistemine girme, sistemi bozma, verileri silme, banka kartı bilgilerinin kötüye kullanılması, internet dolandırıcılığı, sosyal medya hesabının ele geçirilmesi, kişisel verilerin yayılması ve fidye yazılımı saldırıları gibi olaylar hem bireyleri hem şirketleri ciddi şekilde etkileyebilir.

Bu tür olaylarda en önemli unsur hızlı ve doğru hareket etmektir. Deliller kaybolmadan korunmalı, banka ve platform başvuruları yapılmalı, savcılığa ayrıntılı suç duyurusunda bulunulmalı, dijital izlerin araştırılması talep edilmeli ve gerekiyorsa içerik kaldırma ile erişimin engellenmesi yollarına başvurulmalıdır.

Şirketler açısından ise siber suçlarla mücadele yalnızca saldırıdan sonra başlatılacak bir süreç değildir. Veri güvenliği politikaları, çalışan eğitimleri, erişim yetkilendirmeleri, log yönetimi, yedekleme, olay müdahale planı, KVKK uyumu ve sözleşmesel koruma mekanizmaları önceden kurulmalıdır.

Sonuç olarak siber suçlarla mücadele, teknik güvenlik önlemleri ile hukuki sürecin birlikte yürütülmesini gerektirir. Dijital dünyada hak kaybı yaşamamak, delilleri korumak, faillerin tespitini sağlamak ve zararın giderilmesini talep etmek için sürecin profesyonel şekilde takip edilmesi büyük önem taşır.