Oltalama (phishing) saldırılarında mağdurun ilk saatlerde attığı adımlar, sonraki tüm hukuki sürecin sınırlarını belirler. Sorun şudur: tek bir olaydan aynı anda ceza soruşturması, içerik/erişim engelleme talebi, kişisel veri ihlali bildirimi ve bankaya karşı tazminat talebi doğabilir. Bunların her biri farklı mercie yöneltilir ve birinin yerine diğeri geçmez.
Dört Ayrı Kanal, Dört Ayrı Muhatap
- Ceza soruşturması: Bilişim sistemleri aracılığıyla işlenen fiiller Türk Ceza Kanunu kapsamındadır; şikâyet Cumhuriyet başsavcılığına yapılır.
- Sahte site/içerik: Erişimin engellenmesi ve içeriğin kaldırılması talepleri, 5651 sayılı Kanun çerçevesinde sulh ceza hâkimliği ve ilgili kurum üzerinden yürür.
- Veri ihlali: Kişisel verilerin hukuka aykırı ele geçirilmesi, KVKK kapsamında ayrıca değerlendirilir.
- Maddi zarar: Ödeme kuruluşunun veya bankanın sorumluluğuna dayalı talep, hukuk mahkemesinde ya da tutarına göre tüketici merciinde ileri sürülür.
Delil Zinciri: İlk 24 Saat
Dijital delilin en zayıf noktası, elde ediliş biçiminin sonradan tartışılmasıdır. Ekran görüntüsü tek başına kırılgan bir delildir; yanına kaynak bilgisi eklenmelidir.
- Sahte bağlantının tam adresi ve yönlendirme zinciri kopyalanır.
- Elektronik posta veya mesajın başlık (header) bilgileri ham hâliyle saklanır.
- İşlem saatleri, tutarlar ve alıcı hesap bilgileri bankadan yazılı olarak istenir.
- Cihaz üzerinde silme veya biçimlendirme yapılmaz; inceleme için bütünlüğü korunur.
- Her belgenin hangi tarihte, kim tarafından elde edildiği not düşülür.
Yanlış Kapıyı Çalmanın Maliyeti
Uygulamada en sık görülen hata, sahte siteye erişimin engellenmesi talebinin savcılığa, para iadesi talebinin ise ceza dosyasına eklenerek beklenmesidir. Ceza soruşturmasının sonucu, hukuk davasındaki alacak talebini kendiliğinden karşılamaz. Aynı şekilde bankaya yapılan itiraz, ceza şikâyeti yerine geçmez. Her kanal ayrı ayrı başlatılmadığında, zamanaşımı ve log kayıtlarının saklama süresi aleyhe işlemeye başlar.
Yetki: Fiil Nerede İşlendi Sayılır?
Bilişim yoluyla işlenen fiillerde failin bulunduğu yer çoğu zaman bilinmez. Bu durumda mağdurun bulunduğu yer başsavcılığına şikâyette bulunmak pratik bir başlangıçtır; dosya gerekirse yetkili yere gönderilir. Hukuk davasında ise zararın meydana geldiği yer ve zarar görenin yerleşim yeri seçimlik olarak kullanılabilir.
Burada anlatılanlar genel bilgilendirme amaçlıdır. Saldırının tekniği, ödemenin yapıldığı kanal ve verinin niteliği izlenecek yolu doğrudan etkilediğinden, kayıt süreleri dolmadan bir hukukçuyla birlikte hareket edilmesinde yarar vardır.