Oltalama saldırılarında kayıp genellikle dakikalar içinde gerçekleşir; buna karşılık hukuki sürecin kaderi, olaydan sonraki ilk saatlerde toplanan verilerle belirlenir. TCK'nın bilişim sistemlerine ilişkin hükümleri, 5651 sayılı Kanun kapsamındaki erişim ve içerik sağlayıcı yükümlülükleri ile KVKK kapsamındaki veri ihlali bildirimi, aynı olayın üç farklı yüzünü oluşturur. Bu rehber, delil zincirinin nasıl kurulacağına odaklanır.
Olay anının dondurulması
İlk yapılması gereken, saldırıya ilişkin dijital izlerin değiştirilmeden saklanmasıdır. Sahte sayfaya ait bağlantı adresi, gönderen adresi ve başlık bilgileriyle birlikte elektronik postanın ham hâli, mesaj ekran görüntüleri ve işlem saatleri kayıt altına alınır. Elektronik postanın yalnızca ekran görüntüsü yeterli değildir; başlık bilgileri gönderim yolunu gösterdiği için ayrıca dışa aktarılmalıdır. Cihaz üzerinde inceleme yapılacaksa, sistemin kapatılıp açılması bazı izleri sileceğinden acele edilmemelidir.
Para akışını takip etmek
- Havale veya kart işlemine ilişkin dekont, referans numarası ve saat bilgisi
- Alıcı hesabın banka, şube ve hesap sahibi bilgilerine dair kayıtlar
- Bankaya yapılan iade ve bloke talebinin yazılı olarak iletildiğine dair kayıt
- Ödeme kuruluşu veya platform üzerinden yapılan yönlendirmelerin kaydı
- Zincirdeki ikinci ve üçüncü hesaplara aktarım varsa bunlara ilişkin bilgi
Şikâyet dilekçesinde talep edilecek araştırmalar
Savcılığa yapılacak başvuruda yalnızca olayın anlatılması yeterli değildir; hangi kaydın hangi kurumdan isteneceği açıkça talep edilmelidir. Sahte sitenin alan adı kayıt bilgileri, barındırma sağlayıcısındaki erişim kayıtları, para transferinin ulaştığı hesabın hareketleri ve bu hesabın açılışında kullanılan belgeler bunların başında gelir. Trafik kayıtlarının saklama süreleri sınırlı olduğundan, bu taleplerin başvurunun ilk anında yapılması sonucu doğrudan etkiler. Gecikme hâlinde kayıtlar mevzuat gereği silinmiş olabilir ve failin tespiti fiilen imkânsızlaşır.
Kurumsal tarafta ihlal bildirimi
Saldırı bir şirketin sistemleri üzerinden gerçekleşmiş ve kişisel veriler ele geçirilmişse, veri sorumlusunun KVKK kapsamındaki bildirim yükümlülüğü doğar. Bildirimin gecikmesi, esas olayda kusursuz olan şirket bakımından ayrı bir idari yaptırım riski yaratır. Bu nedenle teknik müdahale ekibiyle hukuk tarafının aynı anda devreye girmesi gerekir.
Bankayla anlaşma ile dava arasındaki denge
Zararın bir kısmının kurum tarafından karşılanmasına yönelik teklifler, süreci hızlı kapatması bakımından çekici görünür. Ancak imzalanacak metin genel bir ibra içeriyorsa, sonradan ortaya çıkacak ek zarar ve kusur tespitleri bakımından talep hakkı kalmaz. Ceza soruşturmasının sürmesi, tazminat talebini kendiliğinden askıya almaz; iki süreç birbirini besleyecek biçimde paralel yürütülmelidir.
Bu içerik genel bilgilendirme amacı taşır. Olayın teknik ayrıntıları ve tarafların sıfatı stratejiyi değiştirebileceğinden, ilk aşamada hukuki ve teknik desteğin birlikte alınması önerilir.