Ankara 5. Asliye Ticaret Mahkemesi E.2023/412 K.2023/844

Davacı tarafından hasımsız olarak açılan zayi belgesi verilmesi davasının mahkememizde yapılan yargılaması sonunda ;

GEREĞİ DÜŞÜNÜLDÜ

TALEP

Davacı vekili ... Mahkemesine sunduğu dava dilekçesinde özetle 07/06/2023 tarihinde davacının mali müşavirlik muhasebe bölümünde davacıya ait muhasebe programının olduğu ana bilgisayarın siber saldırıya uğradığını, bu saldırı sonucunda oluşan veri kaybı nedeni ile davacının Aralık 2022, Ocak 2023 ve Şubat 2023 dönemlerine ilişkin elektronik defterler kapsamındaki yevmiye defteri, defteri kebir, defter raporu ve ... onaylı defter beratlarının zayi olduğunu, bu durumun 07/06/2023 tarihinde bilgisayarlar açıldığında öğrenildiğini ileri sürerek davacının elektronik defterlerinin Aralık 2022, Ocak 2023 ve Şubat 2023 dönemlerinin elektronik verilerinin zayi belgesi verilmesini talep ve dava etmiştir.

DELİLLER

... Mahkemesinin 09/06/2023 tarih ve ... nolu kararı ile ... Mahkemesinin görevli olduğu gerekçesi ile görevsizlik kararı verilmiş, davacı vekili Hukuk Muhakemeleri Kanununun 20. maddesinin 1. fıkrasındaki süre içinde dosyanın mahkememize gönderilmesini talep etmiş, dosya mahkememize gönderilmiş ve mahkememiz esas kaydının ... sırasına kaydedilmiştir. ... 05/07/2023 tarihli cevabi yazı ile davacının 19/06/2023 tarihli dilekçesi ile dava konusu siber saldırıdan dolayı başvuru yaptığını bildirmiştir. ... 05/07/2023 tarihli cevabi yazı ile davacı hakkındaki 01/09/2022 tarihli denetim raporunu göndermiştir.

Elektronik yüksek mühendisi ... ve yeminli mali müşavir ...'dan oluşturulan bilirkişi kurulu raporunda 07/07/2023 tarihinde davacı şirketin ...’daki merkezindeki muhasebe birimindeki bilgisayar sunucusunun incelenmesinin yapıldığını, ... sistemde olduğunun anlaşıldığını ancak davacı şirket yetkililerinden olay tarihinde sözkonusu programın yüklü olmadığı ifade ettiklerini, davacı şirketin bilgisayar sisteminde muhasebe programı olarak ... şirketinin (... ) ... versiyonun ... nosunu kullanıldığını ve bağlı terminal sayısının 5 olduğunun görüldüğünü, söz konusu yazılımda davacı şirketin müşteri nosunun ... olduğunun anlaşıldığını,

bilgisayar programına girişin kullanıcı adı ve statik şifre ile girildiğinin görüldüğünü, modül olarak E-Defter, E-Fatura, E-Arşiv, ...

Drive ve E-İrsaliye’nin aktif olarak şirkete tanımlandığının görüldüğünü, eArşiv modülü’nün 10/04/2023, eFatura modülünün 31/12/2022 ve eİrsaliye modülünün 31/12/2022 abonelik başlangıçının 1 yıllık olarak yapıldığının anlaşıldığını, programa giriş yapıldıktan sonra Genel Muhasebe, E-Beyanname (Paket) vb modüllerden oluşan menü yapısının olduğunun görüldüğünü, yevmiye defteri bölününe girildiğinde Ocak-2023, Mart-2023 verisinin bulunduğunun, Şubat-2023 verisinin olmadığının tespit edildiğini, 01/01/2023-31/12/2023 tarihine ait dokumanların aynı adlı paketler klasöründe saklandığının görüldüğünü,

yapılan incelemelerde Ocak Şubat 2023 aylarına ait uzantısı içinde KB ve YB harfleri olan dosyaların eksik olduğunun görüldüğünü, ... gelen bengusu.... eposta adresinden ... eposta adresine 22/06/2023 tarih 07:44 eş zamanlı gelen eposta adresinde; ... vergi kimlik numaralı mükellefin ... dönemlerine ait beratların ekinde gönderildiğinin anlaşıldığını, posta ekinde gönderilen ....

Rar dosyasında raporda belirtilen dosyaların olduğunun görüldüğünü, dosya kapsamında sunulan ekran görüntülerinden ve yapılan incelemelerden dava konusu olayın 31/05/2023 tarihinde saat 16:18’de hack edilme durumunun yaşandığını, ... adıyla şirketin tüm dosyalarının kilitlendiğini ve tekrar yüklenmesi için ... adresine eposta gönderilmesi gerektiğinin yazıldığını, 2 günlük süre verildiğini ve sürenin uztılması için kontakt kurularak ödeme yapılması durumunda sürenin uzayacağının yazıldığını,

ödeme yapıldıktan sonra dosyaların kilidini açmak için bir programın gönderileceğinin yazıldığının ve dosyaları türünün ... olarak değiştirildiğinin anlaşıldığını, internetten yapılan araştırmada ... fidye yazılımı, hedef bilgisayarlarda bulunan her tür dosyayı (örneğin, resimler, sesler, videolar, metin belgeleri, elektronik tablolar, pdf vb.) şifreleyen ve ardından şifre çözme için fidye ödemesi talep eden bir hileli yazılım olduğunun,

hedeflenen bilgisayarlarda depolanan dosyaları şifreleyen ve sahiplerinden şifre çözme anahtarı karşılığında bir fidye ücreti (Bitcoin veya diğer kripto para birimleri) ödemelerini isteyen fidye yazılımı türü bir programı olduğunun anlaşıldığını, fidye yazılımı aile grubundaki diğer dosya şifreleyen virüsler gibi ... fidye yazılımı virüsü de her şifrelenmiş dosyanın adına kötü bir "...." uzantısı ekleyerek dosya adlarının değiştirildiğini, ...

Fidye yazılımı bilgisayarlara kötü amaçlı spam kampanyaları, kötü amaçlı reklamcılık, yazılım paketleme, eşler arası ağlar, resmi olmayan indirme kaynakları, sahte yazılım güncelleyicileri vb gibi araçlarla bilgisayarlara bulaştığının anlaşıldığını, olay konusu günlerde davacı şirketin Windows'un dışında Anti-virüs programı kullanmadığının belirtildiğini, davacı şirketin bilgisayarları formatlandığından ... fidye yazılımının nasıl bilgisayarlara bulaştığı hususunun saptanamadığını ancak yedeklemenin yapıldığının ancak dava konusu bazı dosyaların yedeklenmesinin yapılamadığının anlaşıldığını,

sonuç olarak davacı şirket bilgisayarının saldırıya uğrayarak fidye yazılım şirketi tarafından hacklendiğinin muhtemel olduğunu, yedekleme yapılmasına rağmen bazı dosyaların yüklenemediğinin anlaşıldığını bildirmiştir.

Davacı tanığı ... 22/09/2023 tarihli duruşmada.

Ben davacı şirkette 6 yıldır ön muhasebe elemanı olarak görev yapıyorum, yaklaşık 2 yıldır davacı şirketin ticari defter ve kayıtları elektronik defter olarak tutulmaktadır, bu elektronik defterler çoğunlukla yedekleme amacıyla ana bilgisayar olarak kullandığımız muhasebe bölümündeki ana bilgisayarda tutulmaktadır, 31 Mayıs 2023 tarihinde ben bu ana bilgisayarı açtığımda ekranda ingilizce yazılar çıktığını gördüm, bu yazılarda bizden bitcoin gönderilmesi isteniyordu, bu işten anlayan kişilere sorduğumuzda bitcoin göndermemiz halinde sonra tekrar isteneceği ve bilgisayarın hackleneceği söylendi,

bunun üzerine istenilen bitcoini göndermedik ve bunun üzerine tekrar bilgisayarı kurduk, bu kurduğumuz bilgisayarı açtığımızda bilgisayarda önceden kayıtlı olan bilgilerin ve bunlar içinde bulunan elektronik defterlerin yer almadığını gördük, yaklaşık 1 hafta bu şekilde uğraştıktan sonra eski defter ve kayıtların bu ana bilgisayarda bulunmadığını öğrenmiş olduk, ana bilgisayarımızda ... adlı bir program kullanıyorduk, bu program temsilcilerinden bu 1 haftalık süre içerisinde elektronik defterleri tekrar kurtarabilmek için yardım aldık,

... programının kendisinin de yedekleme programı vardı ancak orada dava konusu olan son 3 aya ait defterlerimiz bulunamadı. Bilgim görgüm bundan ibarettir şeklinde beyanda bulunmuştur.

... 06/10/2023 tarihli cevabi yazı ile davacı hakkında herhangi bir dava bilgisine rastlanılmadığını, davacının 01/01/2015 tarihi itibariyle e-defter uygulamasına dahil olduğunu, en son ... dönemine ait e-defter berat dosyalarının ... sistemine yüklendiğini, 01/01/2020 tarihinden itibaren uygulamaya geçen e-defter ve berat dosyalarının ikincil kopyalarının ... saklama sistemine aktarılması uygulamasına 01/01/2020 tarihinde dahil olduğunu ve en son ... dönemlerine ait e-defter ve berat dosyalarının ikincil kopyalarının ... saklama sistemine yüklendiğinin tespit edildiğini bildirmiştir. ... 12/10/2023 tarihli cevabi yazı ile davacı ile ilgili bir soruşturma bulunmadığını bildirmiştir.

Elektronik yüksek mühendisi bilirkişi ... 08/11/2023 tarihli ek raporunda yapılan incelemelerde davacı şirketin ana bilgisayarında ... ve koruma programının tespit edildiğini ancak olay tarihinde davacı şirketin bilgisayarlarına ana bilgisayarına antivirüs programlarının kurulmadığının ve güncellenmediğinin anlaşıldığını, Anti-virüs programı olmayan bilgisayarların kolayca siber saldırıya maruz kalabileceğini,

olay tarihinden sonra davacı şirketin ana bilgisayarları formatlandığından siber saldırı yapılan ... fidye yazılımının nasıl bilgisayarlara bulaştığı hususunun saptanamadığını ancak ana bilgisayara sistemine 31/05/2023 tarihinde ... dosyalarının şirket çalışanları tarafından tespit edilerek ana bilgisayara girilemediğinden siber saldırıya maruz kaldığının anlaşıldığını, davacı şirkete ait muhasebe kayıtlarının ... tarafından otomatik yedeklendiğini ve şirket tarafından da manuel yedeklemesinin yapıldığını ancak söz konusu döneme ait herhangi bir yedeklemenin yapılmadığının anlaşıldığını, davacı şirketin Aralık 2022,

Ocak 2023 ve Şubat 2023 dönemlerine ilişkin elektronik defterlerin yevmiye defteri bölümüne girildiğinde Ocak-2023, Mart-2023 verisinin bulunduğunun, Şubat-2023 verisinin olmadığının tespit edilmediğini, 01/01/2023-31/12/2023 tarihine ait dokumanların aynı adlı paketler klasöründe saklandığını, yapılan incelemelerde Ocak Şubat 2023 aylarına ait uzantısı içinde KB (Defter-i Kebir) ve YB (Yevmiye Defteri) harfleri olan dosyaların eksik olduğunun tespit edildiğini, davacı şirket ana bilgisayarında herhangi bir yedekleme dosyalarına rastlanılamadığını,

yapılan incelemelerden dava konusu olayın 31/05/2023 tarihinde saat 16:18’de hack edilme durumunun yaşandığını, ... adıyla şirketin tüm dosyalarının kilitlendiğini ve tekrar yüklenmesi için ... adresine eposta gönderilmesi gerektiğinin yazıldığını, 2 günlük süre verildiğini ve sürenin uzatılması için kontakt kurularak ödeme yapılması durumunda sürenin uzayacağının yazıldığını, ödeme yapıldıktan sonra dosyaların kilidini açmak için bir programın gönderileceğinin yazıldığını ve dosyalarını türünün ... olarak değiştirildiği anlaşıldığından 31/05/2023 tarihinde şirketin ana bilgisayarının siber saldırıya maruz kaldığının anlaşıldığını,

e-defterleri kurtarmak için server alınan şirketten yardım alındığı ancak söz konusu dosyalar kurtarılamadığı için ana bilgisayara format atılarak yedeklemenin yapıldığının anlaşıldığını ancak dava konusu dosyaların yedeklemelerde bulunmadığından yüklenemediğinin anlaşıldığını, olay tarihinde ve öncesinde dava konusu dosyaların muhasebe yazılım şirketi ve davacı şirket tarafından yedeklemesinin yapılmadığının anlaşıldığını, dava konusu e-defterlere şirket ana bilgisayarında rastlanılamadığını ancak ... ana bilgisayarlarında yedekleme yapıldığından oradan davacı şirkete ait Aralık 2022,

Ocak 2023 ve Şubat 2023 dönemlerine ait e-defterlerin temin edilebilineceğini, bu kapsamda ... gelen bengusu.... eposta adresinden ... eposta adresine 22/06/2023 tarih 07:44 eş zamanlı gelen eposta adresinde. ... vergi kimlik numaralı mükellefin 2022/12 ve 2023/01,02 dönemlerine ait beratları ekinde gönderildiğini ancak dava konusu dosyaların gönderilmediğini anlaşıldığını, sonuç olarak dosya kapsamında ve davacı şirket merkezinde yapılan veriler ışığında davacı şirketin ana bilgisayarının siber saldırıya uğradığını ve yedekleme dosyalarına rastlanılmadığını ancak sözkonusu bilgilerin ... temin edilebileceğini bildirmiştir.

... 20/11/2023 tarihli cevabi yazı ile davacının taraf olduğu bir soruşturma kaydının bulunmadığını bildirmiştir. ... Mahkemesinin getirtilen ... Esas nolu dosyasında davacı ... Şirketi tarafından 09/06/2023 tarihinde hasımsız olarak 07/06/2023 tarihinde davacının mali müşavirlik muhasebe bölümünde davacıya ait muhasebe programının olduğu ana bilgisayarın siber saldırıya uğradığı ileri sürülerek Aralık 2022, Ocak 2023 ve Şubat 2023 dönemlerinin elektronik verilerinin zayi belgesi verilmesi talebi ile davası açılmış olup derdest dosyanın duruşması 23/01/2024 tarihine bırakılmıştır.

DELİLLERİN DEĞERLENDİRİLMESİ VE GEREKÇE

Dava, Türk Ticaret Kanununun 82. maddesinin 7. fıkrası gereğince açılan zayi belgesi verilmesi davasıdır.

Davamızın davacısının ... Şirketi, ... Mahkemesinin getirtilen ... Esas nolu dosyasının davacının ise ... Şirketi olması nedeni ile davacıları farklı olan davalar birleştirilmemiştir.

Türk Ticaret Kanununun 82. maddesinin 7. fıkrası gereğince bir tacirin saklamakla yükümlü olduğu defterler ve belgeler; yangın, su baskını veya yer sarsıntısı gibi bir afet veya hırsızlık sebebiyle ve kanuni saklama süresi içinde zıyaa uğrarsa tacir zıyaı öğrendiği tarihten itibaren otuz gün içinde ticari işletmesinin bulunduğu yer yetkili mahkemesinden kendisine bir belge verilmesini isteyebilir. Maddeye göre zayi belgesi verilebilmesi için defterler ve belgelerin korunması için gerekli özenin gösterilmesine rağmen afet veya elde olmayan nedenler ile elden çıkmış olması gerekmektedir.

30923 Sayılı Elektronik Genel Defter Tebliğinde Değişiklik Yapılmasına Dair Tebliğin 7.1. maddesi şu şekildedir.

"E-defter tutanlar, Vergi Usul Kanununda belirtilen "mücbir sebep" halleri nedeniyle e-defter veya beratlarına ait kayıtlarının bozulması, silinmesi, zarar görmesi veya işlem görememesi ve e-defter ve berat dosyalarının muhafaza edildiği e-defter saklama hizmeti veren özel entegratör kuruluşlardan veya başkanlıktan ikincil örneklerinin temin edilemediği hallerde söz konusu durumların öğrenilmesinden itibaren tevsik edici bilgi ve belgeleri ile birlikte 15 gün içinde ticari işletmesinin bulunduğu yetkili mahkemesine başvurarak kendisine bir zayi belgesi verilmesini istemelidir.

Mahkemeden zayi belgesinin temin edilmesini müteakip, zayi belgesi ile birlikte durumun başkanlığa yazılı olarak bildirilmesi ve başkanlık tarafından istenilen bilgi ve belgelerin (talep edilecek bilgi ve belgeler e-defter uygulama kılavuzunda açıklanır) ibraz edilmesi halinde mükelleflerin zayi olan e-defter kayıtlarının yeniden oluşturulması ve bunlara ait yeni oluşturulan e-defter ve berat dosyalarının e-defter uygulaması aracılığıyla başkanlık sistemine yeniden yüklenmesi için başkanlık tarafından yazılı izin verilir.".

Aynı Tebliğin "e-Defter Dosyaları, Berat Dosyaları ve Muhasebe Fişlerinin Muhafaza ve İbrazı" başlıklı 4.4. maddesinin 1-e bendi ise şu şekildedir; "e-Defter dosyaları ile bunlara ilişkin berat dosyalarının ikincil kopyalarının,

gizliliği ve güvenliği sağlanacak şekilde e-Defter saklama hizmeti yönünden teknik yeterliliğe sahip ve Başkanlıktan bu hususta izin alan özel entegratörlerin bilgi işlem sistemlerinde ya da Başkanlığın bilgi işlem sistemlerinde 1/1/2020 tarihinden itibaren asgari 10 yıl süre ile muhafaza edilmesi zorunludur. e-Defter ve beratların teknik yeterliğe sahip ve Başkanlıktan bu hususta saklama izni verilen özel entegratörlerin bilgi işlem sistemlerinde muhafaza usulü ile muhafaza edilmesi sürecinde e-Defter uygulamasına dâhil olan mükellefler ve özel entegratörler tarafından uyulması gereken genel, gizlilik ve güvenliğe ilişkin usul ve esaslar,

Başkanlık tarafından hazırlanarak ... adresinde yayımlanan “e-Defter Saklama Kılavuzu”nda açıklanır. e-Defter ve berat dosyalarına ait ikincil kopyalarının bu fıkra uyarınca muhafazası için gerekli yükleme işlemlerinde bu Tebliğin (4.3.4) numaralı fıkrasında belirtilen süreler dikkate alınır.".

Dava dilekçesinde dava konusu siber saldırının 07/06/2023 tarihinde meydana geldiği ve davacının bu saldırıya aynı gün bilgisayarlar açıldığında öğrendiğini ileri sürülmüş ise de bilirkişi kurulu raporunda yapılan incelemelerden dava konusu olayın 31/05/2023 tarihinde saat 16:18’de yaşandığının bildirilmesi nedeni ile dava konusu siber saldırının 31/05/2023 tarihinde gerçekleştiği ve bu tarihe göre davanın Türk Ticaret Kanununun 82. maddesinin 7. fıkrasındaki süre içinde açıldığı kabul edilmiştir.

Elektronik yüksek mühendisi ... ve yeminli mali müşavir ...'dan oluşturulan bilirkişi kurulu tarafından davacı şirketin merkezindeki muhasebe biriminin bilgisayar sunucusunun yerinde incelenmesi sonrasında hazırlanan raporda davacı şirketin Windows'un dışında Anti-virüs programı kullanmadığının, bilgisayarları formatlandığından ... fidye yazılımının nasıl bilgisayarlara bulaştığı hususunun saptanamadığının ancak yedeklemenin yapıldığının ancak dava konusu bazı dosyaların yedeklenmesinin yapılamadığının anlaşıldığının,

sonuç olarak davacı şirketin bilgisayarının saldırıya uğrayarak fidye yazılım şirketi tarafından hacklendiğinin muhtemel olduğunun, yedekleme yapılmasına rağmen bazı dosyaların yüklenemediğinin bildirilmesi, elektronik yüksek mühendisi bilirkişi ...'nın 08/11/2023 tarihli ek raporunda yapılan incelemelerde davacı şirketin ana bilgisayarında ... ve koruma programının tespit edildiğinin ancak olay tarihinde davacı şirketin bilgisayarlarına ana bilgisayarına antivirüs programlarının kurulmadığının ve güncellenmediğinin anlaşıldığının,

sonuç olarak dosya kapsamında ve davacı şirket merkezinde yapılan veriler ışığında davacı şirketin ana bilgisayarının siber saldırıya uğradığının ve yedekleme dosyalarına rastlanılmadığının bildirilmesi nedenleri ile davacı, basiretli bir tacir gibi hareket ederek özenle korunması gereken ticari defter ve belgelerin korunması için gerekli özeni gösterdiğini ve yukarıda belirtilen Tebliğ'deki yükümlülükleri yerine getirdiğini ispatlayamadığından davanın reddine karar verilmesi gerektiği sonuç ve kanaatine varılmış, aşağıdaki hüküm kurulmuştur.

Katip ... · e-imza Hakim ... · e-imza