İstanbul 18. Asliye Ticaret Mahkemesi E.2020/107 K.2021/116

Taraflar arasında görülen davanın mahkememizde yapılan açık yargılaması sonunda:

GEREĞİ DÜŞÜNÜLDÜ

İDDİA VE TALEP

Davacı vekili dava dilekçesinde özetle. Müvekkili şirketçe kullanılan ...

Dış ... adresinde bulunan muhasebe ve insan kaynakları programlarına 27.01.2020 tarihinde, kimliği bilinmeyen kişiler tarafından siber saldırı düzenlenerek programlara erişimin tamamen engellendiğini, Faili meçhul kişiler tarafından hukuka aykırı olarak erişimi engellenen ... ve ... isimli muhasebe programlarında müvekkil i şirkete ait tüm muhasebe kayıtlarının bulunduğunu, E-defter arşivlerinin de tutulduğu ... ve ... programının yanı sıra, şirket bilgisayarında tutulan tüm insan kaynakları verilerine de erişimin engellendiğini, Dolayısıyla, çalışanlara ait özlük bilgileri,

ücret ve diğer hesaplamalar ile muhasebe bölümünün ortak çalıştığı alanlardaki işletme ile ilgili tüm tablo, doküman ve resmi daire evraklarının da bloke edildiğini, bu nedenle, olay sonucunda ticari işletmeye ait, henüz dökümü yapılmamış olan ticari defter kayıtlarının da zayi olduğunu, Saldırı sonrasında kayıtların yedeklerine erişebilmek için yazılım şirketi ile irtibata geçildiğini, ancak şirket tarafından söz konusu verilen yedeklerine ulaşılamadığına dair bilginin verildiğini, Aniden programa erişemeyen ve kritik şirket belgelerini içeren dosyalara karşı siber saldırı düzenlendiğini anlayan şirket yetkililerinin,

kaybolan belgeleri kurtarmak için ellerinden geleni yaptığını, ancak bilgisayar korsanlarından (hacker) programlara tekrar erişim için gerekli şifreyi alamadığını, Söz konusu faili meçhul kişiler hakkında hiç vakit kaybetmeksizin 29.01.2020 tarihinde, Türk

Ceza Kanununun 243. Ve 244. Maddelerinde düzenlenen "bilişim sistemine girme" ve "sistemi engelleme, bozma, verileri yok etme veya değiştirme" suçlarını işledikleri gerekçesiyle ... Cumhuriyet Başsavcılığına da başvurulduğunu, Siber saldırı günü olan 27.01.2020 tarihine kadar müvekkili şirketçe tutulan tüm mali verilerin, e-fatura arşivlerinin ve ticari defter kayıtlarının zayi olduğunu beyan ederek; müvekkili şirketin bilişim sistemine girerek ve sistemi engelleyerek müvekkil şirkete ait ticari defterlerin yok edilmesi sebebiyle, 27.01.2020 tarihine kadar tutulan tüm ticari defter ve mali kayıtların zayi olduğuna dair karar verilmesini talep etmiştir.

DELİLLER VE GEREKÇE

Tüm dosya kapsamı birlikte değerlendirildiğinde, Dava; 6102 sayılı TTK'nun 82/7. Maddesi uyarınca zayi belgesi verilmesi talepli davadır. Deliller; Dosya Mevcudu, Bilirkişi İncelemesi. Mahkememiz dosyasından 20/11/2020 havale tarihli bilirkişi raporu alınmıştır. TTK'nun 82. Maddesine göre tacirin saklamakla yükümlü olduğu defter ve belgelerin zıyaa uğraması halinde tacirin zıyaı öğrendiği tarihten itibaren 15 gün içinde ticari işletmenin bulunduğu yerde dava açacağı belirtilmektedir.

Dosya üzerinde yapılan incelemede; davacının muhasebe ve insan kaynakları programlarının bulunduğu bilgisayara yapılan siber saldırı nedeniyle, içerisinde bulunan verilere erişim sağlanamaması dolayısıyla zayi belgesi talebi olduğu görülmüştür. Yaşanılan siber saldırı hususuna ilişkin olarak. Davacı tarafından ... Cumhuriyet Başsavcılığı' na şikayette bulunulduğu ve savcılık tarafından 17/06/2020 tarihinde, "...

Mücadele Şube Müdürlüğünce düzenlenen soruşturma evrakında yapılan çalışmalar sonucunda sisteme bulaşan zararlı yazılımın ... olarak adlandırılan bir yazılım olduğu, saldırıya uğrayan bilgisayar yada bilişim sistemlerinin dosyalarının uzantılarını değiştirerek açılmasının mümkün olmayacak şekilde şifrelediği, zararlı yazılımın incelemelerinde herhangi bir IP adresi bilgisine de ulaşılamayacağı, bu nedenle şüphelinin tespitinin yapılamadığı" gerekçesi ile "Kovuşturmaya Yer Olmadığına Dair Karar" verilmiş olduğu anlaşılmıştır.

Dava dilekçesi ekinde; siber saldırıya uğrayan bilgisayardan alındığı belirtilen ekran görüntüsü ile davacı firmanın hizmet aldığı yazılım firması personeli tarafından gönderilen ve "veritabanı ve yedeklerine ulaşılamadığı" ifade edilen e-postanın yer aldığı, bu ekran görüntüsüne ilişkin görsele aşağıda yer verilmiş olup; bilgisayar üzerinde sürücü isimlendirmesi bölümünde "2500USD ODEME YAPIN BILGILER ICIN ILETISIME GECIN ... " yazılı olduğu ve "Ağdaki konumları" bölümünde ".... " olarak isimlendirilmiş ve "...

Dosyası" şeklinde ifade edilmiş 1 adet dosyanın yer aldığı anlaşılmıştır. "... " olarak isimlendirilen bu dosyanın; normal şartlarda bilgisayarda yer almayan bir dosya türü olduğu anlaşıldığından, ... veya şifreleme virüsü olarak adlandırılan siber saldırı sonucu oluşturulmuş şifreli dosya formatı olduğu sonucuna ulaşılmıştır.

Gelir İdaresi Başkanlığı Uygulama ve Veri Yönetimi Daire Başkanlığı tarafından dosyaya sunulan 06/05/2020 tarihli yazıda. "Başkanlığımız e-Defter sisteminin kontrolünden ... vergi kimlik numaralı ... Tic. LTD.

ŞTİ.'nin 01.01.2019 tarihi itibariyle e-Defter uygulamasına dahil olduğu, yazımız tarihi itibariyle en son 2019/Kasım dönemi e-Defterine ilişkin beratları sisteme yüklediği anlaşılmıştır. e-Defter uygulamasında, mükellefler tarafından oluşturulan elektronik defterler (e-Defter olarak oluşturulmuş yevmiye ve kebir defteri) Başkanlığımıza gönderilmemekte; sadece söz konusu elektronik defterlere ilişkin e-Defter Beratları (e-Defterin imza ve mühür değeri) Başkanlığımıza gönderilmektedir.

Elektronik defterler ve beratları mükellefler tarafından kendi sistemlerinde muhafaza edilmektedir." şeklinde bilgilendirmeye yer verilmiştir.

Dava dosyasına konu zayi belgesi talebi kapsamında davacıya ait bilgisayara yapılan siber saldırı hususunun tespitine yönelik olarak, Mahkememiz tarafından verilen ara karar gereği; davacı iş yerinin "... Mah. ... Sok. No: ... Beyoğlu / İstanbul" adresinde, 09.11.2020 tarihinde şirket yetkilileri ve vekili nezaretinde bilirkişi tarafından yerinde inceleme yapılmıştır.

Yapılan inceleme davacı iş yerinde sunucu (server - ana bilgisayar) olarak kullanıldığı belirtilen ... marka model ... servis tag numaralı ve içerisinde ... ... Standart sürüm işletim sistemi yüklü bulunan bilgisayar üzerinde gerçekleştirilmiş olup, söz konusu bilgisayara 27/01/2020 tarihinde format atma işlemi gerçekleştirilmiş olduğu tespit edilmiştir.

Format işlemi nedeniyle bilgisayarda bulunan tüm veriler silinmiş olduğundan, sunucu bilgisayar üzerinde dava konusu siber saldırı hususunda herhangi bir tespit yapılamamıştır. Bu noktada davacıya ait sunucu bilgisayarda yüklü bulunan yazılımların, şirkete ait otelde kullanılan yazılımlar olması dolayısıyla işlemlerin devam edebilmesi için bilgisayara format atılarak gerekli programların tekrar yüklenmiş olduğu bilgisi verilmiştir.

Aynı zamanda davacı vekili tarafından dosyaya sunulan 12/11/2020 tarihli dilekçe ekinde, sunucu bilgisayarın formatlanması işlemi ile ilgili olarak, hizmet alınan "... Ltd. Şti." isimli firma tarafından hazırlanan "durum raporu" nun yer aldığı ve söz konusu durum raporu içerisinde. "Teknoloji ve teknik bakım hizmeti verdiğimiz ... San Tic Ltd Şti ne ait ... Sokak No ...

Mahallesi Beyoğlu İstanbul adresinde bulunan muhasebe ofisindeki ana bilgisayar ve sistemler 27 Ocak 2020 tarihinde hacklenmiş ve tüm dosyalar kim oldukları bilinmeyen kişi ya da kişiler tarafından kullanılmayacak hale getirilerek şifrelendiğinden muhasebe ve diğer kayıtlarda hiçbir vereye ulaşmak mümkün olamamıştır.

Teknik ekibimizin tüm veri kurtarma çalışmalarına rağmen veriler kurtarılamamış olup iş yerinin faaliyetini sürdürebilmesi için bilgisayarlara 27 Ocak 2020 tarihinde format atılmıştır." beyanının bulunduğu görülmüştür.

... veya şifreleme virüsü; siber saldırı olarak ifade edilen yöntem ile uzaktaki hedef bilgisayarın dosyalarının şifrelenmesi ve bu şekilde bilgisayar kullanıcısının, verilere erişiminin engellenmesine yönelik oluşturulmuş zararlı yazılımlar olarak tanımlanabilecektir.

Mail, internet, uzak masaüstü bağlantısı gibi birçok farklı yolla bulaşan bu zararlıların yüzlerce farklı çeşidi ve yüzlerce farklı isimle adlandırılan türü bulunmaktadır. ... virüsü genellikle bilgisayarın işletim sistemine ve genel çalışma prensibine zarar vermemektedir. Virüs (zararlı yazılım); aslında bir şifreleme uygulayarak, bu şekilde dosya formatlarını tamamen değiştirmektedir.

Çeşitli açık kaynak şifreleme kütüphaneleriyle ve çok güçlü olan bu şifreleme, çeşitli yol ve yöntemlerle kırılmaya çalışılsa dahi, yıllar alacak kadar karışık ve uzun bir şifrelemedir. Dolayısıyla bu şifreleme yazılımının geliştiren dışında şifrelenmiş dosyaların tekrar eski haline getirilmesi pek mümkün görülmemektedir.

Uygulamada bu virüsler bilgisayarlara bulaştırılarak dosyalar şifrelendikten sonra, şifrenin çözülebilmesi için belirli bir ücret talep edildiği bilinmektedir. Dava dilekçesi ekinde yer alan ekran görüntüsüne göre davacının bilgisayarı için de benzer talebin olduğu anlaşılmıştır. Buna karşın bu ücret ödense bile, sonrasında bilgisayar içerisindeki veriye ulaşım hususunda herhangi bir garanti bulunmamaktadır.

E-Defter uygulaması kapsamında kullanıcıların, elektronik defter ve beratlarını oluşturmada kullanılacak olan yazılımın 1 Sıra No’lu Elektronik Defter Genel Tebliği kapsamında, Gelir İdaresi Başkanlığından onay almış “uyumlu yazılım” olması gerekmektedir. Davacı tarafından dava dilekçesinde kullanılan e-defter uygulamasının "... E-Defter" uygulaması olduğu ifade edilmiştir.

Bu uygulama üzerinden oluşturulan e-defterlerin (Defteri Kebir, Yevmiye Defteri ve bu defterlere ait berat dosyaları) uygulama üzerinden oluşturularak GİB'e gönderildikten sonra kendilerine ait bilgi işlem sistemlerinde muhafaza edilmesi mecburidir. Bu kapsamda davacının bilgi işlem sisteminde yer alan server (sunucu) bilgisayarına bulaşan şifreleme virüsü nedeniyle, muhafaza etmiş olduğu ilgili dosyalara erişim imkanı mümkün olamayacağı tespit edilmiştir.

Mahkememiz dosyası arasına alınan tüm delillerin değerlendirilmesi ve bilirkişi raporu içerisinde açıklanan nedenlere binaen; dava konusu taleple ilgili olarak davacı iş yerinde yapılan yerinde bilirkişi incelemesinde; davacının server bilgisayarına 27/01/2020 tarihinde format atma işlemi gerçekleştirilmiş olduğundan dolayı bilgisayarda bulunan tüm veriler silinmiş olduğundan, sunucu bilgisayar üzerinde dava konusu siber saldırı hususunda herhangi bir tespit yapılamadığı, Dava dilekçesi ekinde;

siber saldırıya uğrayan bilgisayardan alındığı belirtilen ekran görüntüsünde "Ağdaki konumları" bölümünde bulunan " ... " olarak isimlendirilmiş ve "...

Dosyası" şeklinde ifade edilmiş dosyanın normal şartlarda bilgisayarda yer almayan bir dosya türü olduğu ve ... veya şifreleme virüsü olarak adlandırılan siber saldırı sonucu oluşturulmuş şifreli dosya formatı olduğunun anlaşıldığı, ... veya şifreleme virüsünün; siber saldırı olarak ifade edilen yöntem ile uzaktaki hedef bilgisayarın dosyalarının şifrelenmesi ve bu şekilde bilgisayar kullanıcısının, verilere erişiminin engellenmesine yönelik oluşturulmuş zararlı yazılımlar olarak tanımlanabileceği, bu virüsün (zararlı yazılım); aslında bir şifreleme uygulayarak, bu şekilde dosya formatlarını tamamen değiştirdiği,

Davacının e-defter beratlarının da sunucu bilgisayarı üzerinde yer aldığı beyan edildiğinden ve siber saldırı nedeniyle bu dosyalar da şifrelenmiş durumda olacağından; sunucu bilgisayarı içerisinde bulunan e-defter kayıtlarına erişim imkanının mümkün olamayacağı hususları tespit edildiğinden, davanın kabulü ile davacının 27.01.2020 tarihine kadar tutulan tüm ticari defter ve mali kayıtlarının zayi olduğunun tespitine karar verilerek aşağıdaki şekilde hüküm kurulması gerekmiştir.

Katip ... · ¸e-imzalıdır Hakim ... · ¸e-imzalıdır