Oltalama yoluyla hesap bilgilerinin ele geçirilmesi tek bir hukuki süreç doğurmaz. Ortada hem TCK 243-245 kapsamında değerlendirilebilecek bir bilişim suçu, hem de zararın giderilmesine yönelik bir tazminat talebi bulunur. 5651 sayılı Kanun ve KVKK ise verinin nasıl işlendiği ve kayıtların nereden temin edileceği yönünden devreye girer. Bu yazı, phishing mağduriyetinde delilin ilk saatlerde nasıl korunacağına ve talebin doğru mercie nasıl yöneltileceğine odaklanır.
İlk Saatler: Delil En Hızlı Burada Kaybolur
Oltalama dosyalarında en değerli kayıtlar, mağdurun kendi cihazında ve hesabında bulunur ve çoğu zaman panikle silinir. Sahte mesajın kendisi, gönderen numara veya adres, tıklanan bağlantının tam hâli, sahte sayfanın görüntüsü ve işlem bildirimleri olduğu gibi saklanmalıdır. Cihazın fabrika ayarlarına döndürülmesi veya uygulamanın kaldırılması, sonraki inceleme için gereken izleri de ortadan kaldırır.
Korunması Gereken Kayıtlar
- Sahte mesaj, e-posta veya çağrının tarih ve saat bilgisiyle birlikte tam görüntüsü
- Hesap hareket dökümü ve para çıkışının yapıldığı alıcı bilgileri
- Bankaya yapılan ilk bildirimin tarihi, kanalı ve varsa kayıt numarası
- Doğrulama kodu mesajlarının geliş saatleri ve içerikleri
- Cihazda yüklü olan uzaktan erişim veya yönlendirme uygulamalarının listesi
Şikâyet ile Tazminat Talebi Aynı Kanal Değildir
Ceza şikâyeti Cumhuriyet başsavcılığına yapılır ve failin cezalandırılmasına yöneliktir. Zararın giderilmesi ise ayrı bir taleptir; kusur iddiası bankaya, ödeme kuruluşuna veya hizmet sağlayıcıya yöneltiliyorsa bu talep hukuk mahkemesinde ileri sürülür. Uygulamada en çok karşılaşılan hata, soruşturma dosyasının tazminatı da kendiliğinden çözeceğinin sanılması ve zamanaşımı işlerken hiçbir hukuk yolunun başlatılmamasıdır. Erişimin engellenmesi veya içeriğin kaldırılması talebi ise 5651 sayılı Kanun kapsamında ayrı bir usule tabidir.
Kuruluşun Sorumluluğu Hangi Noktada Tartışılır?
Tazminat tartışması genellikle iki eksende yürür: işlemin olağan dışı niteliğine rağmen ek doğrulama yapılıp yapılmadığı ve güvenlik altyapısının beklenen düzeyde olup olmadığı. Mağdurun kendi kusuru da ayrıca değerlendirilir; doğrulama kodunun paylaşılıp paylaşılmadığı bu noktada belirleyici olabilir. Bu nedenle olay anlatımı, sonradan çelişki doğurmayacak biçimde tek ve tutarlı bir zaman çizelgesine oturtulmalıdır.
Veri İhlali Boyutunu Atlamamak
Oltalamanın arkasında bir kuruluştan sızan veri varsa, KVKK kapsamında veri sorumlusuna başvuru ve ardından Kurul'a şikâyet yolu ayrıca işletilebilir. Bu süreç tazminat talebinin yerine geçmez; ancak ihlalin varlığına ilişkin idari değerlendirme, hukuk davasında dayanak oluşturabilecek bir kayıt üretir.
Bilişim kaynaklı mağduriyetlerde sonucu belirleyen, olayın büyüklüğünden çok delilin ne kadar erken korunduğudur. Kendi olayınıza uygun başvuru sırası için vakit kaybetmeden hukuki değerlendirme almanız yerinde olur.