Fidye Yazılımı Saldırılarında
Hukuki Süreç Yönetimi

Fidye Yazılımı Saldırısı: Teknik Olay, Hukuki Sonuç

Bir kurumun sunucularındaki dosyalar bir sabah şifrelenmiş bulunur; ekranda beliren notta, şifre çözme anahtarı karşılığında ödeme talep edilmektedir. Fidye yazılımı (ransomware) saldırısı olarak bilinen bu senaryo, artık yalnızca bir bilgi işlem krizi değil; aynı anda birden fazla mevzuatı tetikleyen bir hukuki süreçtir. Saldırı genellikle kişisel veri barındıran sistemleri hedef aldığından, olayın ilk saatlerinde atılan (veya atılmayan) adımlar; idari para cezasının miktarını, olası ceza soruşturmasının seyrini ve kurumun üçüncü kişilere karşı sorumluluğunu doğrudan etkiler.

Bu yazıda, bir fidye yazılımı saldırısı sonrasında devreye giren üç ayrı mevzuatı — Türk Ceza Kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve yeni yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu — ve Kişisel Verileri Koruma Kurulu'nun (Kurul) somut kararlarından çıkan dersleri ele alıyoruz.

Hukuki Çerçeve: Üç Mevzuatın Kesiştiği Nokta

Fidye yazılımı saldırısı, tek bir fiille birden fazla hukuki yükümlülüğü aynı anda doğurur:

• TCK m.244 — Sistemi engelleme, bozma, verileri yok etme veya değiştirme: Saldırganın bilişim sistemini şifreleyerek işleyişini engellemesi fıkra 1 kapsamında (1-5 yıl hapis), verileri şifreleyerek erişilmez kılması ise fıkra 2 kapsamında (6 ay-3 yıl hapis) suçtur. Fidye talep edilerek haksız çıkar sağlanması hâlinde ceza, m.244/4 uyarınca 2 yıldan 6 yıla kadar hapis ve 5.000 güne kadar adli para cezasına yükselir.
• TCK m.245/A — Yasak cihaz veya programlar: Fidye yazılımının kendisinin (bir "bilgisayar programı" olarak) imali, temini, elde tutulması dahi ayrı bir suç oluşturur (1-3 yıl hapis ve 5.000 güne kadar adli para cezası).
• KVKK m.12 — Veri güvenliği yükümlülüğü: Veri sorumlusu, kişisel verilerin hukuka aykırı erişime karşı korunması için gerekli teknik/idari tedbirleri almakla (m.12/1) ve verilerin kanuni olmayan yollarla ele geçirilmesi hâlinde durumu en kısa sürede ilgilisine ve Kurula bildirmekle (m.12/5) yükümlüdür. Kurul, 24/01/2019 tarihli ve 2019/10 sayılı kararıyla "en kısa süre"yi 72 saat olarak somutlaştırmıştır; aynı kararla veri işleyenin ihlali öğrenir öğrenmez derhal veri sorumlusuna bildirmesi ve önceden bir ihlal müdahale planı hazırlanması da aranmaktadır. Kurul'un 18/09/2019 tarihli ve 2019/271 sayılı kararı ise ilgili kişiye yapılacak bildirimde bulunması gereken asgari unsurları (ihlal tarihi, etkilenen veri kategorileri, olası sonuçlar, alınan tedbirler, irtibat bilgileri) belirlemiştir.
• 7545 sayılı Siber Güvenlik Kanunu m.7/1-b: Bilişim sistemi kullanarak hizmet sunan veya veri işleyen kurumlar, tespit ettikleri siber olayı (fidye yazılımı saldırısı dâhil) gecikmeksizin Siber Güvenlik Başkanlığına bildirmekle yükümlüdür. Bu yükümlülüğe aykırılık, Kanunun 16 ncı maddesinin 10 uncu fıkrası uyarınca 1.000.000 TL ile 10.000.000 TL arasında idari para cezasını gerektirir — KVKK bildirimiyle karıştırılmaması gereken, tamamen ayrı ve ağır bir yükümlülüktür.

Kurul Pratiğinden İki Karşıt Örnek

Kurul'un yayımladığı karar özetleri, hazırlıklı olmanın idari para cezası üzerindeki etkisini somut biçimde göstermektedir:

• Fidye istenen vaka — ceza var (2020/905): Bir sigorta şirketinin test sunucusu zayıf parola nedeniyle saldırıya uğramış, veritabanı silinmiş ve fidye istenmiştir; 311 kişinin T.C. kimlik no, isim, e-posta ve plaka bilgisi ifşa olmuştur. Kurul, test sunucusunun pentest kapsamı dışında bırakılmasını, iki faktörlü kimlik doğrulamanın bulunmamasını, verinin şifrelenmemiş olmasını ve 72 saatlik bildirim süresinin aşılmasını (5 günde bildirim) gerekçe göstererek toplam 330.000 TL (300.000 TL güvenlik + 30.000 TL geç bildirim) idari para cezasına hükmetmiştir.
• Malware vakası — ceza yok (2020/787): Bir sağlık sektörü şirketinde zararlı yazılım kaynaklı ihlalde 200 kişi etkilenmiş; ancak Kurul, makul teknik/idari tedbirlerin önceden alınmış olması, ihlalin kısa sürede tespit edilmesi, riskin düşük olması ve bildirimin zamanında yapılması nedeniyle ihlale rağmen ceza uygulamamıştır.

İki karar arasındaki fark, saldırının kendisinde değil; önceden alınan tedbirde ve bildirim hızında yatmaktadır. Aynı sonucu (veri ihlali) üreten iki olay, hazırlık düzeyine göre 330.000 TL ceza ile sıfır ceza arasında farklılaşabilmektedir.

Saldırı Anında ve Sonrasında Kontrol Listesi

1. Önceden hazırlan: KVKK m.12/5 ve 2019/10 sayılı karar uyarınca yazılı bir ihlal müdahale planı bulundur (raporlama zinciri, sorumluluk dağılımı, iletişim şablonları). 2020/787 örneği, bu hazırlığın idari para cezasını doğrudan etkilediğini göstermektedir.
2. Delili koru: Sistemleri kapatmadan önce adli bilişim uzmanıyla kanıtı (log kayıtları, fidye notu, şifreli dosya örnekleri) muhafaza altına al; TCK m.244 ve 245/A kapsamındaki ceza soruşturması buna dayanacaktır.
3. 72 saat içinde KVKK'ya bildir: "Kişisel Veri İhlali Bildirim Formu" ile, bilgiler eksikse aşamalı tamamlama yaparak (2019/10).
4. Gecikmeksizin Siber Güvenlik Başkanlığına bildir: 7545 m.7/1-b; aksi hâlde m.16/10 uyarınca 1-10 milyon TL idari para cezası riski doğar.
5. Etkilenen kişilere bildir: 2019/271'deki asgari unsurları (tarih, veri kategorisi, olası sonuç, alınan tedbir, irtibat bilgisi) eksiksiz içeren, açık ve sade bir metinle.
6. Suç duyurusunda bulun: TCK m.244 ve 245/A kapsamındaki fiiller resen kovuşturmaya tabidir; kurumun ayrıca şikâyetçi/müşteki sıfatıyla sürece dâhil olması, hem ceza hem tazminat hukuku bakımından yararlıdır.
7. Fidye ödemesi kararını hukuki risklerle birlikte değerlendir: Ödeme yapılması şifrenin çözüleceğini garanti etmediği gibi, KVKK'ya bildirim ve güvenlik açığını giderme yükümlülüğünü de ortadan kaldırmaz; ödeme kararı somut olayın koşullarına göre ayrıca değerlendirilmelidir.
8. Tedarikçi sözleşmelerini gözden geçir: Veri işleyenlerle yapılan sözleşmelerde, bir ihlalin veri sorumlusuna KVKK m.12/5'teki 72 saatlik süreyi aşındırmayacak şekilde derhâl bildirilmesi yükümlülüğü açıkça düzenlenmelidir.

Sonuç

Fidye yazılımı saldırısı karşısında hukuki risk yönetimi, saldırı başlamadan önce kurgulanan bir disiplindir. KVKK'nın 72 saatlik bildirim kuralı, 7545 sayılı Kanunun Siber Güvenlik Başkanlığına bildirim yükümlülüğü ve TCK'nın bilişim suçlarına ilişkin hükümleri, saldırı anında aynı anda yönetilmesi gereken üç ayrı hattır. Kurul'un 2020/905 ve 2020/787 sayılı kararlarının karşılaştırması gösteriyor ki, aynı büyüklükteki bir ihlalde idari para cezasını belirleyen asıl unsur, saldırının kendisi değil, kurumun önceden ne kadar hazırlıklı olduğu ve ne kadar hızlı hareket ettiğidir.

Kaynakça

• 5237 sayılı Türk Ceza Kanunu, m.244, m.245/A (mevzuat.gov.tr)
• 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.12 (mevzuat.gov.tr)
• 7545 sayılı Siber Güvenlik Kanunu, m.7, m.16 (mevzuat.gov.tr)
• KVKK Kurulu, 24/01/2019 t. 2019/10 s. Karar (Veri İhlali Bildirimi) — kvkk.gov.tr
• KVKK Kurulu, 18/09/2019 t. 2019/271 s. Karar (Bildirimde asgari unsurlar) — kvkk.gov.tr
• KVKK Kurulu, 24/11/2020 t. 2020/905 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 09/10/2020 t. 2020/787 s. Karar Özeti — kvkk.gov.tr
• KVKK, Kamuoyu Duyuruları (veri ihlali bildirimleri) — kvkk.gov.tr