TCK m.243 bilişim sistemine girme; "yetkisizlik" en kritik unsur. Pen-test izni, bug bounty, açık sistem savunmaları geçerli.
Suçun unsurları
- Bilişim sistemi: hukuken yorumlanmış geniş tanım (PC, sunucu, ağ, cihaz, IoT).
- Girme: erişim sağlama; sadece dış katmanı bile.
- Yetkisizlik: sistem sahibi izni yokluğu.
- Bilinç ve irade: kasten + bilerek.
Ceza ve nitelikli haller
- Temel: 1-3 yıl hapis + adli para.
- Veri elde etme: nitelikli (3-7 yıl).
- Veri silme/değiştirme: ağırlaştırıcı.
- Banka/kredi sistemi: TCK 244-245 yönü.
Savunma stratejileri
- İzinli pen-test: Sözleşme + scope + tarih.
- Bug bounty: Şirket public programı (HackerOne).
- Açık sistem: Public web kontrolü, robots.txt izni.
- Kasıt yokluğu: Yanlışlıkla erişim, otomatik script.
- Hukuka uygunluk sebebi: Adli bilişim (CMK 134), yargı kararı.
Tipik senaryolar
- Sosyal medya hesabı şifresini tahmin → girme: TCK 243 + 244.
- Eski çalışan hala şifre biliyor: yetki bittikçe TCK 243.
- Pen-test scope dışı sistem: TCK 243 (sözleşme detayı kritik).
- Public S3 bucket'ta dosya görme: yorumlu (Yargıtay henüz net değil).
Sıkça sorulan sorular
Eşimin Instagram'ına şifresini tahmin edip girdim; suç mu?
Evet, TCK m.243. Boşanmada eşine karşı suç işleme nedeni; ek olarak TCK m.134 (özel hayat ihlali). Hem cezai hem boşanmada karşı koz.
Pen-test izinli yaptım, müvekkil yine şikâyet etti?
Yazılı sözleşme + scope belgesi şart. Sözleşme yoksa "izinli savunma" zayıflar. Ön anlaşma + sertifikalı pen-tester (OSCP, CEH) önerilir.
Şirket sunucumun açık olduğunu fark ettim ve uyardım; suç mu?
"Etik hacker" tutumu; TCK 243 unsurları (bilinç + yetkisiz) hala oluşur. Ancak ceza tayininde indirim ve takipsizlik yaygın. "Disclosure policy" ile çalışmak güvenli.
Forgot password ile başkasının e-postası açıldı; ne sorumluluğum?
Yanlışlıkla yorumu net değil. Hesabı kullanırsanız (içerik okuma, mesaj atma) TCK 243 + 244. Hemen çıkmak ve şifreyi geri vermek gerek.
Bug bounty programı dışındaki sistemde zaafiyet buldum; ne yapmalı?
Müdahale etmeyin; e-posta ile şirkete bildirin. Şirket cevap vermezse CERT.tr (TR-CERT) bildirim. Bireysel ifşa (full disclosure) cezai risk taşır.
İlgili mevzuat
- TCK m.243-245 — Bilişim suçları temel maddeleri.
- TCK m.158/1-f — Nitelikli dolandırıcılık (bilişim aracı).
- CMK m.134 — Dijital delil arama.
- 5651 SK — Erişim engeli ve içerik kaldırma.
- Budapeşte Siber Suç Sözleşmesi — Türkiye taraf; uluslararası işbirliği.