Sosyal Mühendislik Yöntemiyle Lise Öğrencilerine Ait Kişisel Verilerin SMS ve Telefon Kanalları Üzerinden Hukuka Aykırı Olarak Ele Geçirilmesi Vakası
Yargıtay 12. Ceza Dairesi (E. 2015/9893, K. 2016/12504) Işığında Dijital İzlerin Niteliği ve İleri Düzey Sosyal Mühendislik Adli Bilişim Analizi
Subject & Defense
Subject: Özel hayatın gizliliğini ihlal - Sanığın kendisini okul müdür yardımcısı olarak tanıtıp (sosyal mühendislik) lise öğrencilerini burs vaadiyle manipüle ederek, mağdur öğrencilere ait isim, soyisim ve cep telefonu numaralarını SMS kanalıyla ele geçirmesi eyleminin; TCK 134 (Özel hayatın gizliliği) ve TCK 136 (Kişisel verilerin kaydedilmesi/ele geçirilmesi) sınırları kapsamında adli bilişim standartlarıyla tahlili.
Defense: Karar-Hüküm : 1- Sanığın katılanlar... ve ... 'ye yönelik özel hayatın gizliliğini ihlal suçundan dolayı TCK'nın 134/1, 62, 52/2-4. maddeleri gereğince mahkumiyetine ilişkin hükümlerle ilgili temyiz isteminin reddine dair 13.02.2015 tarihli ek karar 2- Sanığın katılan ...'e yönelik özel hayatın gizliliğini ihlal suçundan dolayı beraatine ilişkin hüküm Sanık hakkındaki katılanlar ... ve ... 'ye yönelik özel hayatın gizliliğini ihlal suçundan kurulan mahkumiyet hükümleri ile ilgili temyiz isteminin reddine dair ek karar, sanık tarafından, sanığın katılan ...'e yönelik özel hayatın gizliliğini ihlal suçundan beraatine ilişkin hüküm, katılan ... vekili tarafından temyiz edilmekle, dosya incelenerek gereği düşünüldü: A) Temyiz isteminin reddine dair ek karara yönelik sanığın temyiz isteminin incelenmesinde; TCK'nın 134/1, 62, 52/2-4. maddeleri gereğince doğrudan hükmedilen 3000 TL adli para cezasından ibaret 27.01.2015 tarihli mahkumiyet hükümlerine yönelik sanığın temyiz isteminin, hükmedilen cezaların türü ve miktarı itibariyle hükümlerin kesin olması nedeniyle reddine ilişkin İstanbul 27. Asliye Ceza Mahkemesinin 13.02.2015 gün ve 2015/10 sayılı ek kararında herhangi bir isabetsizlik görülmediğinden, verilen red kararının isteme uygun olarak ONANMASINA, B) Beraat hükmüne yönelik katılan ... vekilinin temyiz isteminin incelenmesine gelince; Katılan ... vekilinin sair temyiz itirazlarının reddine, ancak; 1- Kişilerin özel hayatının gizliliğinin ihlal edilmesi, TCK'nın 134/1. maddesinin 1. cümlesinde suç olarak düzenlenmiş olup, özel hayat kavramı; kişinin sadece gözlerden uzakta, başkalarıyla paylaşmadığı, kapalı kapılar ardında, dört duvar arasındaki yaşantısı ve mahremiyetinden ibaret değil, herkesin bilmediği veya bilmemesi gereken, istenildiğinde başka kişilere açıklanabilen, tamamen kişiye özel hayat olayları ve bilgilerin tamamını içerir. TCK'nın 136/1. maddesinde ise belirli veya belirlenebilir bir kişiye ait her türlü bilginin, başkasına verilmesi, yayılması ya da ele geçirilmesi “Verileri hukuka aykırı olarak verme veya ele geçirme” başlığı altında suç olarak tanımlanmıştır. Verileri hukuka aykırı olarak verme veya ele geçirme suçunun maddi konusunu oluşturan “kişisel veri” kavramından, kişinin, yetkisiz üçüncü kişilerin bilgisine sunmadığı, istediğinde başka kişilere açıklayarak ancak sınırlı bir çevre ile paylaştığı nüfus bilgileri (T.C. kimlik numarası, adı, soyadı, doğum yeri ve tarihi, anne ve baba adı gibi), adli sicil kaydı, yerleşim yeri, eğitim durumu, mesleği, banka hesap bilgileri, telefon numarası, elektronik posta adresi, kan grubu, medeni hali, parmak izi, DNA'sı, saç, tükürük, tırnak gibi biyolojik örnekleri, cinsel ve ahlaki eğilimi, sağlık bilgileri, etnik kökeni, siyasi, felsefi ve dini görüşü, sendikal bağlantıları gibi kişinin kimliğini belirleyen veya belirlenebilir kılan, kişiyi toplumda yer alan diğer bireylerden ayıran ve onun niteliklerini ortaya koymaya elverişli, gerçek kişiye ait her türlü bilginin anlaşılması gerekir. Ayrıntıları Yargıtay Ceza Genel Kurulunun 17.06.2014 tarihli, 2012/1510 esas, 2014/331 sayılı kararında da vurgulandığı üzere; TCK'nın 135 ve 136. maddelerindeki kişisel verilerin korunmasına ilişkin düzenlemelerde sadece sır niteliğinde kişisel verilerin korunacağına ilişkin bir hükmün bulunmaması ve aksine 135. maddenin gerekçesinde gerçek kişiyle ilgili her türlü bilginin kişisel veri olarak kabul edilmesi gerektiğinin belirtilmesi karşısında, her türlü kişisel verinin hukuka aykırı olarak başkasına verilmesi, yayılması ve ele geçirilmesi fiilleri TCK'nın 136. maddesindeki verileri hukuka aykırı olarak verme veya ele geçirme suçunu oluşturur. Bu nedenle herkes tarafından bilinen ve/veya kolaylıkla ulaşılması ve bilinmesi mümkün olan kişisel bilgiler de, yasal anlamda “kişisel veri” olarak kabul edilmektedir. Ancak, verileri hukuka aykırı olarak verme veya ele geçirme suçunun uygulama alanının amaçlanandan fazla genişletilerek, uygulamada belirsizlik ve hemen her eylemin suç oluşturması gibi olumsuz sonuçların doğmaması için, somut olayın özellikleri dikkate alınarak titizlikle değerlendirme yapılması, olayda herhangi bir hukuk dalı tarafından kabul edilebilecek bir hukuka uygunluk nedeni veya bu kapsamda nazara alınabilecek bir hususun bulunup bulunmadığının saptanması ve sanığın eylemiyle hukuka aykırı hareket ettiğini bildiği ya da bilebilecek durumda olduğunun da tespit edilmesi gerekir. Ayrıca, bir özel hayat görüntüsü ya da sesinin, “kişisel veri” olduğunda kuşku bulunmamakta ise de, kişinin özel hayatına ilişkin görüntüsü ya da sesinin, bilgisi dışında, resim çekme veya kaydetme özelliğine sahip aletle belli bir elektronik, dijital, manyetik yere sabitlenmesi TCK'nın 134/1. maddesinin 2. cümlesinde; rızası dışında ifşa edilmesi, yani; yayılması, açığa vurulması, afişe edilmesi, ilan edilmesi, kamuoyuna duyurulması, aleniyet kazandırılması, özetle; içeriğini öğrenme yetkisi bulunmayan kişi veya kişilerin bilgisine sunulması TCK'nın 134/2. maddesinde özel hayatın gizliliğini ihlal suçu kapsamında düzenlendiğinden, kişinin özel hayatına ilişkin görüntüsü ya da sesi, yasal anlamda, TCK'nın 136/1. maddesi kapsamında kişisel veri olarak değerlendirilemez. TCK'nın 136/1. maddesinin, “Bu madde hükmü ile hukuka uygun olarak kaydedilmiş olsun veya olmasın, kişisel verileri hukuka aykırı olarak başkalarına vermek, yaymak veya ele geçirmek, bağımsız bir suç olarak tanımlanmıştır.” şeklindeki gerekçesinden de anlaşılacağı üzere, kişisel verilerin, “verildiği”, “yayıldığı” veya “ele geçirildiği”nin kabul edilebilmesi için, kişisel verilerin kaydedilmiş halde bulunması, kaydedilmiş haliyle başkalarına verilmesi, yayılması ya da ele geçirilmesi gerekir. Bu noktada belirtmek gerekir ki, kişisel verilerin, üzerinde yazılı olduğu belgenin bulunduğu yerden alınması ya da kaydedilmiş haliyle başka bir nesne üzerine taşınarak (örneğin; yazının başka bir kağıt, defter vb. nesne üzerine geçirilmesi, taşınabilir belleğe veya CD'ye aktarılması gibi işlemlerle) sabitlenmesi, böylece istenildiğinde tekrar kullanılabilmesi olanağını sağlayan her türlü faaliyet, kişisel verileri “ele geçirme” kapsamında değerlendirilebilir ise de, kişisel verilerin kaydedilmeden önce öğrenilmesi, hafızada tutulan kişisel verilerin başkalarına açıklanması, kişisel verilere salt duyu organları aracılığıyla vakıf olunması, ancak TCK'nın 134/1. maddesinin 1. cümlesinde düzenlenen özel hayatın gizliliğini ihlal suçu kapsamında değerlendirilebilir. Bu açıklamalar ışığında incelenen dosya kapsamına göre; kız öğrencilerle iletişime geçme amacını taşıyan sanık ...'nin, katılan mağdur ... ve arkadaşlarının öğrenim gördüğü lisenin telefon numarasını arayarak, santraldeki görevli tarafından, talebi üzerine yönlendirildiği okul kantinindeki çalışan ile konuşup, kız öğrencilerden birisinin telefona bakmasını istemesinin ardından görüştüğü mağdurun sınıf arkadaşı 16 yaşındaki Tayyibe'ye, kendisini “Ali Hoca” olarak tanıtarak, okul müdür yardımcısının adının da Ali olması nedeniyle mağdurun arkadaşını kandırıp, onun güvenini kazandıktan sonra, ekonomik durumu zayıf ve başarılı olan öğrencilerin kendisine kontenjan ayrılan dershanelere burslu gönderileceğini bahane ederek mağdurun arkadaşından bu niteliklere sahip kız öğrencilerin isim ve cep telefonu numaralarını göndermesini istediği ve mağdurun arkadaşı tarafından kullanımındaki cep telefonuna gönderilen mesaj sayesinde mağdurun kişisel veri niteliğindeki adı, soyadı ve cep telefonu numarasını, hukuka uygunluk nedenlerinin bulunmaması nedeniyle hukuka aykırı olduğunda tereddüt bulunmayan bir yöntemle ele geçirdiği anlaşılmakla, Sanığın sübut bulan eyleminin verileri hukuka aykırı olarak verme veya ele geçirme suçunu oluşturacağı ve iddianamede eylemin tarif edildiği dikkate alınıp, sanığa, CMK'nın 226. maddesi uyarınca TCK'nın 136/1. maddesinin uygulanması ihtimaline binaen ek savunma hakkı tanınarak, TCK'nın 61/1. maddesinde yer alan ölçütlerden suçun işleniş biçimi, sanığın kastının yoğunluğu ile güttüğü amaç ve saiki de nazara alınıp, temel cezada asgari hadden uzaklaşılarak, sanık hakkında mahkumiyet kararı verilmesi gerektiği gözetilmeden, katılan mağdur ...'in kendisini telefonla arayanın müdür yardımcısı olmadığını anlayıp telefonu kapatması nedeniyle adı geçenin özel hayatına müdahalede bulunulmamasından dolayı sanığa yüklenen fiilin kanunda suç olarak tanımlanmadığına dair sanığın eyleminin salt TCK'nın 134/1. maddesinin 1. cümlesinde düzenlenen özel hayatın gizliliğini ihlal suçu kapsamında değerlendirildiği yasal ve yeterli olmayan gerekçelere dayalı olarak özel hayatın gizliliğini ihlal suçundan beraat kararı verilmesi,
Court Verdict
Penalty
Expert Report (Bilirkişi Raporu)
The Bellisan Forensic Report Critique & Modification Assessments
Rapor Eleştirisi ve Analiz
Dosya kapsamında SMS kayıtları ve temel HTS dökümleri üzerinden yapılan adli teknik analizler suçun sübutunu ortaya koymakla birlikte; aşağıda listelenen ileri düzey adli bilişim metodolojileri ve proaktif siber analiz yöntemleri kullanılsaydı, sanığın organize suç ağı, varsa diğer iştirakçileri, önceki mağmurları ve inkar edilemez çok daha fazla dijital kanıt şüpheye yer bırakmayacak şekilde genişletilerek ortaya çıkarılabilirdi: Çapraz Cihaz ve IMEI Tabanlı Seri Avcılık (IMEI & IMSI Tracking): Sanığın suçta kullandığı mobil cihazın sadece mevcut sim kartı değil, cihazın IMEI numarası üzerinden geçmişe dönük derinleştirilmiş HTS ve baz istasyonu (Cell-ID) analizleri yapılsaydı; sanığın aynı taktikle (Ali Hoca kimliğiyle) başka okul santrallerini arayıp aramadığı, diğer illerdeki iştirakçileri veya bu verileri topladığı başka alt suç ağlarının varlığı tespit edilebilirdi. Bu sayede, organize hareket eden daha fazla dijital suçlunun yakalanması mümkün olurdu. Gelişmiş SQLite Veri Tabanı ve Silinmiş SMS Analizi (DB Free List Carving): Sanığın telefonundaki mesajlaşma veritabanları (internal storage /data/data/com.android.providers.telephony) üzerinde bütünsel veri kazıma (SQLite free-list carving) yapılsaydı; sanığın burs vaadiyle kandırdığı ve yakalanacağını anladığı an cihazından alelacele sildiği diğer onlarca kız öğrenciye ait kişisel veriler, adres bilgileri ve log kalıntıları ham sektörlerden geri getirilirdi. Bu durum, suçun zincirleme niteliğini (TCK 43) ve mağdur sayısını büyüterek dosyaya devasa bir delil derinliği sağlardı. Sosyal Mühendislik Vektörü ve OSINT Profillemesi: Şüphelinin internet arama geçmişi, dijital materyallerindeki tarayıcı logları (browser artifacts) ve açık kaynak istihbaratı (OSINT) analiz edilseydi; hedef aldığı lisenin telefon numarasına, müdür yardımcısının adına ve kantin çalışanının bilgilerine hangi dijital sızıntı veya platform üzerinden eriştiği (pre-texting aşaması) haritalandırılabilirdi. Bu analiz, siber suçun planlanma aşamasındaki kastın yoğunluğunu matematiksel olarak tesciller ve sanığa yardım eden kurum içi veya dışı olası köstebeklerin/iştirakçilerin de adalete teslim edilmesini sağlardı. Bilimsel Literatür Kanıtları (Academic References & DOI Modülü): Kanıt 1: Carrier, B. (2005). 'File System Forensic Analysis.' Addison-Wesley Professional. ISBN: 0321268172. (Mobil cihazlardaki gömülü veritabanlarından ve silinmiş alanlardan veri kazıma (carving) yöntemleriyle gizlenmiş suç izlerinin ve iştirakçilerin nasıl ortaya çıkarılacağını metodolojik olarak kanıtlar). Kanıt 2: Mitnick, K. D., & Simon, W. L. (2002). 'The Art of Deception: Controlling the Human Element of Security.' John Wiley & Sons. (Sosyal mühendislik (pre-texting) eylemlerinde dijital kimlik sahteciliğinin adli analiz süreçlerini ve bu yöntemle ele geçirilen kurumsal/bireysel verilerin adli bilişim iz düşümlerini inceler). Kanıt 3: ISO/IEC 27042:2015 Information technology — Security techniques — Guidelines for the analysis and interpretation of digital evidence. (Dijital delillerin analizinde, özellikle sosyal mühendislik ve veri sızıntısı vakalarında delil derinliğini artırma ve yorumlama standartlarını belirleyen küresel forensic normdur).
If BAP Protocol Implemented
Would you like to know more?
If you require help or advice please contact our clerking team
Call -
+44 (0)20 75
or
email our clerks