Oltalama saldırılarında zararın büyüklüğünü belirleyen şey çoğu zaman ilk yirmi dört saatte atılan adımlardır. Para transferi gerçekleşmiş bir phishing olayında delil, banka ve platform kayıtlarında tutulur ve bu kayıtların saklama süreleri sınırlıdır. Suç duyurusunun geç yapılması ya da eksik yönlendirilmesi, iz sürme ihtimalini teknik olarak ortadan kaldırabilir.
Fiilin Hukuki Nitelendirmesi Neden Önemli
Oltalama tek bir suç tipine değil, olayın akışına göre birden çok hükme temas eder. Bilişim sistemine hukuka aykırı erişim ve sistemin işleyişinin engellenmesi TCK'nın 243 ve devamı maddelerinde; banka veya kredi kartlarının kötüye kullanılması 245. maddede düzenlenmiştir. Sahte site veya sahte kurum kimliğiyle iradenin yanıltılması hâlinde ise dolandırıcılık hükümleri gündeme gelir ve bilişim sistemlerinin araç olarak kullanılması bu suçun nitelikli hâlini oluşturur. Nitelendirme, hem görevli mahkemeyi hem de şikâyete tabi olup olmama sonucunu değiştirir.
İlk Yirmi Dört Saatte Yapılacaklar
- Bankaya derhal bildirim yapılarak işlemin iadesi ve alıcı hesabın bloke edilmesi talep edilir.
- Sahte sayfanın adresi, gönderilen e-posta veya mesajın tüm başlık bilgileriyle birlikte kaydı alınır.
- Ekran görüntüleri tarih ve saat görünecek şekilde alınır, mümkünse noter veya elektronik tespit yoluyla belgelendirilir.
- Cihazda kötücül yazılım şüphesi varsa cihaz kapatılmadan uzman incelemesine hazır tutulur.
- Cumhuriyet başsavcılığına yazılı şikâyet verilir; dilekçede iletişim ve işlem kayıtlarının temini açıkça talep edilir.
Dilekçede Bulunması Gereken Talepler
- Alıcı hesap sahibinin kimlik ve hesap hareketlerinin bankadan celbi
- Sahte alan adına ilişkin kayıt ve barındırma bilgilerinin sorulması
- İşlem anına ait bağlantı kayıtlarının erişim sağlayıcılardan istenmesi
- Para transferinin izlendiği hesap zincirinde el koyma talebi
- 5651 sayılı Kanun kapsamında sahte içeriğe erişimin engellenmesi istemi
Kovuşturmaya Yer Olmadığı Kararına İtiraz
Fail tespit edilemediği gerekçesiyle kovuşturmaya yer olmadığına karar verilmesi, dosyanın kapandığı anlamına gelmez. İtiraz, kararın tebliğinden itibaren kanunda öngörülen kısa süre içinde sulh ceza hâkimliğine yapılır. Etkili bir itiraz, soyut şikâyet tekrarı yerine hangi araştırmanın yapılmadığını somut olarak gösterir: istenmemiş bir kayıt, sorulmamış bir kurum, incelenmemiş bir cihaz. Bu boşluklar tek tek numaralandırıldığında eksik soruşturma iddiası ölçülebilir hâle gelir.
Veri İhlali ve Tazminat Boyutu
Oltalama bir kurumun veri güvenliği zafiyetinden kaynaklanıyorsa, KVKK kapsamındaki veri sorumlusu yükümlülükleri ayrıca değerlendirilir. Ceza soruşturması ile veri koruma başvurusu farklı mercilerde ve farklı sürelerde yürüdüğünden, ikisinin tek takvimde izlenmesi hak kaybını önler.
Yukarıdaki bilgiler genel niteliktedir. Her oltalama olayının teknik izleri ve para akışı farklı olduğundan, başvuru metninin somut olaya göre bir hukukçu tarafından şekillendirilmesi önerilir.