Siber suçların üç sınıflandırması nelerdir? Avukat her model için hasara karşı önlemleri açıklıyor

“Siber suç” terimi, günlük dilde belirli bir yaygınlığa sahip olmasına rağmen, uluslararası düzeyde “bilgisayar teknolojisi ve elektronik iletişim teknolojilerinin kötüye kullanılmasıyla işlenen suçlar” olarak tanımlanmaktadır. Sözde “hacking (cracking)” gibi bazı siber suçlar, şirketlerin de mağdur olabileceği suçlardır ve böyle bir zarara uğradığında, hangi önlemlerin alınması gerektiği konusunda bir değerlendirme yapılması gerekmektedir.

Bu makalede, siber suçları genel olarak, Japonya’da yaygın olarak kullanılan üç modelle sınıflandırıyoruz ve her model için, hangi suçlara karşılık geldiği ve bir zarara uğranıldığında hangi önlemlerin alınabileceği hakkında açıklamalar yapıyoruz. Bu sınıflandırmanın neden önemli olduğunu sorarsanız,

• Öncelikle, “mağdur” kelimesinin hukuki anlamında, bir suç işlendiğini “bildirebiliriz” ancak, bir zarar raporu veya suç duyurusu ile polisi soruşturmaya teşvik etmek zordur.
• Hukuki önlemlerin bulunduğu suçlarda, polis soruşturmasına bel bağlamadan, bir avukata başvurarak hukuki yollarla suçluyu belirleyebilir ve suçludan tazminat talep edebiliriz.
• Kendinizin mağdur olduğu ve hukuki bir çözümün olmadığı suçlarda, polis soruşturmasını teşvik etmek durumunda kalırsınız.

Yani, “önlemler” her model için farklıdır.

Siber Suçların 3 Sınıflandırması

Yukarıda belirtildiği gibi, ülkemizde siber suçların genellikle üçe ayrıldığı kabul edilir.

• Bilgisayar Suçları: Kesin tanımını daha sonra açıklayacağız ancak kısaca, şirketlerin işleyişini engelleyen suç eylemleri
• Ağ Kullanım Suçları: İnternetin kötüye kullanılması sonucu işlenen suçlar
• Japon Haksız Erişim Yasası İhlali: Yani haksız giriş eylemleri gibi

Aşağıda, her birini tek tek açıklıyoruz.

Bilgisayar Suçları Nedir

Elektronik Bilgisayar Tahribatı ve İşleri Engelleme Suçu Nedir?

Ceza Kanunu’nda belirlenen, elektronik bilgisayar tahribatı ve işleri engelleme suçu, bu tür suçların tipik bir örneğidir.

Bir kişinin işlerini yürütmek için kullandığı elektronik bilgisayarı veya bu amaçla kullanılan manyetik kayıtları tahrip eden, ya da işlerini yürütmek için kullandığı elektronik bilgisayara yanıltıcı bilgiler veya hatalı talimatlar veren, ya da başka bir yöntemle, elektronik bilgisayarın kullanım amacına uygun hareket etmesini engelleyen veya kullanım amacına aykırı hareket etmesini sağlayan ve böylece bir kişinin işlerini engelleyen kişi, 5 yıla kadar hapis veya 1 milyon yen (yaklaşık 9.000 dolar) altında para cezasına çarptırılır.

Ceza Kanunu Madde 224/2

Bu metin biraz karmaşık olabilir, ancak özetle,

• İş için kullanılan bir PC’yi veya içindeki verileri tahrip etmek
• İş için kullanılan bir PC’ye yanıltıcı bilgiler veya beklenmeyen bilgiler göndermek

gibi yöntemlerle, ilgili PC’nin beklenmeyen bir işlem yapmasını sağlayarak işleri engellediğinizde bu suç oluşur.

Bu suçun tipik örnekleri, güvenlik açıklarını kullanmak, başkalarının hesaplarına izinsiz giriş yapmak gibi eylemlerle, online banka hesap bakiyelerini artırmaktır. Aynı şekilde, güvenlik açıklarını kullanmak veya giriş bilgilerini izinsiz elde etmek suretiyle, bir şirketin web sitesini değiştirmek de bu suça girer. “İzinsiz giriş yapma” eylemi, aşağıda bahsedilecek olan “İzinsiz Erişim Yasası İhlali” suç tipine girer, ancak bu suç tipi, izinsiz işlemler, değişiklikler, silmeler, veri değişiklikleri gibi eylemleri kapsar.

Yasadışı Erişim ile Farkı Nedir?

Ve bu tür suçlar, mutlaka yasadışı giriş eylemlerinin yer almasına gerek olmadan da gerçekleşebilir. Örneğin, tipik bir durum, sözde DoS saldırısıdır. Büyük miktarda e-posta göndererek e-posta sunucusunda sorunlara neden olmak veya bir web sitesine büyük miktarda erişim yaparak web sunucusunda sorunlara neden olmak gibi durumlar söz konusudur. Bu eylemler, tek tek e-postalar veya erişimler bakıldığında yasaldır, ancak büyük miktarda gerçekleştirildiğinde sunucu (PC) beklenmeyen işlemler yapar ve ilgili şirkete e-posta kullanılamaz, web sitesi açılamaz gibi zararlar verir. Dolayısıyla, “Yasadışı Erişim Yasasını İhlal Etmiyor, ancak Bilgisayar Tahribatı ve İşleri Engelleme Suçu’na giriyor” anlamına gelir. Ayrıca, bu tür suçlarda, Dolandırıcılıkla İşleri Engelleme Suçu da sorun olabilir.

Polis Tarafından Soruşturmayı Teşvik Etmek İçin

Bu eylemler, yukarıda belirtildiği gibi suçtur ve ayrıca ilgili şirketin mağduru olduğu durumlardır, bu nedenle polis tarafından soruşturma talep etmek mümkündür. Ancak, gerçekten de, Japon polisinin bu tür suçlara karşı hareketi iyi değildir. Bu, teknik sorunlara da bağlıdır. Örneğin, yukarıda basit bir DoS saldırısından bahsettik, ancak gerçek saldırılar genellikle basit bir şekilde, tek bir IP adresinden bir milyon e-posta veya erişim değil, birçok IP adresinden, yani saldırı kaynağının dağıtıldığı durumlardır. Bu tür saldırılara “DDoS” denir.

Eğer aynı IP adresinden çok sayıda e-posta veya erişim gerçekleşmişse, bu aynı kişi tarafından yapılan çok sayıda erişimdir ve “beklenmeyen bilgi” olduğu açıktır. Ancak IP adresleri dağıtılmışsa, her bir e-posta veya erişim kendi başına yasaldır, bu nedenle bunların aynı kişi tarafından yapıldığına dair bir kanıt olmadıkça, yasadışı bilgi gönderimi olduğunu söyleyemeyiz. Peki, “aynı kişi tarafından çok sayıda e-posta veya erişim” olduğunu, sıkı bir ceza davası altında nasıl kanıtlayabiliriz? Bu, polis ve savcılık için gerçekten zor bir sorundur.

Ayrıca, ceza davalarında, “suç teşkil eden iletişim (örneğin yukarıdaki örnekte çok sayıda e-posta gönderme) şüphelinin sahip olduğu PC’den yapıldı” demek yeterli değildir. Ceza davalarında gereken, “hangi PC’den” değil, “kimin eliyle” olduğu seviyesindeki bir gerçek tespitidir. Gerçekten de, ceza davalarının kararlarında, bu bölüm, yani “suç eylemi kesinlikle şüphelinin PC’sinden yapıldı, ancak gerçekten şüphelinin kendisinin eliyle mi yapıldı” bölümünün incelemesini dikkatlice yapanlar az değildir. Bu tür kanıtlama engelleri, tabii ki “masumiyetin korunması” anlamında önemlidir, ancak polis ve savcılığı, siber suçların soruşturmasını tereddüt ettiren bir neden olabilir.

Ancak, olayın meydana gelmesinden hemen sonra, sunucu loglarını vb. ayrıntılı bir şekilde analiz ederek, “aynı kişi tarafından yapıldığı olasılığı son derece yüksek” ve “ve bu kesinlikle şüphelinin kendisi tarafından yapılan bir şey” gibi kanıtları ortaya çıkarabiliriz. IT teknolojisi ile yapılan araştırma ve bu araştırmanın hukuki olarak anlamlı belgelere dökülmesi. Bu iki şey bir araya geldiğinde, polis tarafından soruşturmayı teşvik edebilecek durumlar da olabilir.

Sivil Çözüm Zor

Polise başvurmadan sivil bir çözüm bulunabilseydi iyi olurdu, ancak bu tür suçlarla ilgili olarak, dürüst olmak gerekirse, sivil önlemler yetersizdir.

Örneğin, büyük miktarda e-posta gönderildiği durumlarda, e-postaların (içerisindeki e-posta başlıklarının) gönderenin IP adresini içerdiği için, bu IP adresini kullanan abonenin adresini ve adını sağlayıcıdan açıklamasını istersiniz. Ancak, Japon Sivil Hukuku’nda (Japon ~ Sivil Hukuku), bu bilgilerin yasal olarak talep edilme hakkı bulunmamaktadır. İnternet üzerindeki iftira ve hakaret mağduriyetleri gibi durumlarda, İnternet Servis Sağlayıcı Sorumluluk Sınırlama Yasası (Japon ~ İnternet Servis Sağlayıcı Sorumluluk Sınırlama Yasası) kapsamında gönderen bilgilerini talep etme hakkını kullanabilirsiniz, ancak kısaca, bu talep hakkı sadece,

Genel halkın görebileceği bir yayın yapmak için iletişim (tipik olarak, genel halka açık internet forumlarına hakaret ve iftira içeren mesajlar göndermek için kullanılan iletişim)

hakkında kabul edilmiştir.

Gerçekten de, karmaşık siber suç durumlarında, polisin soruşturma yapmasını teşvik etmek için genellikle bir dava açmaktan daha ayrıntılı raporlar gereklidir. Ayrıca, polise ilk başvurudan gerçek soruşturma veya tutuklamaya kadar geçen süre genellikle bir yıl gibi bir süre alabilir. Aslında, sivil çözümün daha az zaman alacağı ve daha az emek gerektireceği durumlar da olabilir… Ancak, bu tür suçlar genellikle sivil çözümün imkansız veya çok zor olduğu durumlardır. Suçluyu belirleyebilirseniz, örneğin web sunucusunda bir sorun oluşması nedeniyle oluşan zararlar için tazminat talep edebilirsiniz, ancak bunun için belirli bir yöntem bulunmamaktadır.

https://monolith.law/corporate/denial-of-service-attack-dos[ja]

Ağ Kullanım Suçları

İnternet Üzerindeki İftira ve Hakaret Zararları

Bilgisayar suçlarından farklı olarak, bu suçlar PC veya ağları bir araç olarak kullanır. Örneğin, internet üzerindeki iftira ve hakaretler, verileri bozmaz, beklenmeyen bilgiler göndermez veya PC’ye beklenmeyen işlemler yaptırmaz, ancak internet ağı kullanılarak gerçekleştirilir.

İftira ve hakaret içeren gönderiler şu şekilde sınıflandırılır:

• Hem cezai hem de hukuki olarak yasadışı olanlar (tipik örnek, itibar zedeleme)
• Cezai olarak yasadışı olmayan ancak hukuki olarak yasadışı olanlar (tipik olarak gizlilik ihlali veya portre hakları ihlali)

Eğer hem cezai hem de hukuki olarak yasadışıysa, hukuki yollarla, İnternet Servis Sağlayıcı Sorumluluk Sınırlama Yasası (Japon ~) üzerinden gönderici bilgilerini açığa çıkarmayı hedefleyebilir veya polisi araştırmayı teşvik ederek göndericiyi tutuklatma gibi eylemler gerçekleştirebilirsiniz.

Ancak, içeriğe bağlı olarak, polis genellikle bu tür gönderilere karşı “sivil müdahale” olarak adlandırılan bir tutum sergiler ve bu nedenle bu tür gönderilere karşı çok aktif bir araştırma yapmaz. Ayrıca, gizlilik ihlali veya portre hakları ihlali ceza hukuku kapsamında bir suç olmadığından, hukuki bir çözüm gereklidir.

https://monolith.law/practices/reputation[ja]

E-posta vb. Tekli İletişim Yoluyla Oluşan Zararlar

Zor olan, e-posta veya Twitter DM gibi tekli iletişim araçları kullanılarak yapılan uygunsuz mesaj gönderme eylemleridir. Örneğin, tehdit veya şantaj suçuna denk gelen bir e-posta. İnternet Servis Sağlayıcı Sorumluluk Sınırlama Yasası (Japon ~) üzerinden gönderici bilgilerini açığa çıkarma talebi, yukarıda belirtildiği gibi, sadece

Belirsiz birçok kişinin görmesi için yapılan gönderiler (tipik olarak, belirsiz birçok kişiye açık olan internet forumlarına hakaret içeren mesajlar göndermek için)

durumunda kullanılabilir. Bu nedenle, bu tür iletişimlerle ilgili olarak, baştan hukuki bir çözüm bulunmamaktadır ve polis soruşturmasını beklemekten başka çare yoktur. Ancak, internet forumlarına yazılan itibar zedeleyici içerikler bile, tekli iletişim araçları kullanıldığında, itibar zedeleme suçu oluşmaz. Kısacası, itibar zedeleme suçu, belirsiz veya çok sayıda kişiye yönelik eylemlerle ilgili olarak oluşur. Tekli iletişim araçlarıyla, itibar zedeleme genellikle oluşmaz. Bu tür sorunlar hakkında ayrıntılı bir açıklama başka bir makalede bulunmaktadır.

https://monolith.law/reputation/email-sender-identification[ja]

Müstehcen Görseller veya Yasadışı Sitelerden Kaynaklanan Zararlar

Dahası, mağduru olmayan veya gerçekte zarar gören şirketlerin mağdur olmadığı suçlar da bu türde dahildir. Örneğin,

• Yetişkin sitelerinde sansürsüz resimler veya videoların yayınlanması (müstehcen görsellerin açıkça sergilenmesi)
• Yasadışı kumar sitelerinin reklamı
• Marka ürünlerin satışını vaat edip aslında ürün göndermeyen dolandırıcılık siteleri

gibi durumlar söz konusudur.

Örneğin, bir şirketin kadınlar tuvaletinde gizli çekim yapıldı ve gizli çekim görüntüleri internete yüklendi. Bu görüntüler açıkça belirli bir kadının gizlilik ihlaline (veya portre hakları ihlaline) denk gelir, ancak gizlilik ihlali (veya portre hakları ihlali) bir suç olmadığı gibi, gizli çekim eylemi bir suç olsa bile, gizli çekimle çekilen fotoğrafların yayınlanması hemen bir suç olmaz. Bu nedenle, polisten nasıl bir soruşturma talep edileceği zor bir sorun haline gelir.

Dahası, yasadışı kumar sitelerinin veya dolandırıcılık sitelerinin varlığı nedeniyle, şirketin satışları düşer veya şirketin itibarı düşerse, yukarıda belirtilen eylemler, belirli bir mağdur olmamasına rağmen toplum için suç olarak kabul edilenler (tipik olarak hız ihlali veya uyuşturucu düzenlemeleri gibi) veya doğrudan mağdurları (örneğin, belirli dolandırıcılık sitesine para ödeyen tüketiciler) olanları içerir. Bu nedenle, bir şirket zararını dile getirse bile, bu sadece mağdur olmayan bir üçüncü tarafın bildirimi olur. Ayrıca, “mağdur” olmadığından, gönderici bilgilerini açığa çıkarma talebi gibi belirlemeler, baştan kabul edilemez.

Ancak, sahte marka ürünlerin satışı gibi, şirketin sahip olduğu fikri mülkiyet haklarını (ticari marka hakları, telif hakları vb.) ihlal eden eylemler söz konusu olduğunda, şirket “mağdur” olarak polis soruşturmasını teşvik edebilir veya hukuki yollarla satıcının belirlenmesini hedefleyebilir.

Yasadışı Erişim Yasasının İhlali

Yasadışı Erişim Yasasının Yasakladığı Eylemler

Son olarak, Yasadışı Erişim Yasası tarafından yasaklanan eylemlerden bahsedelim. Yasadışı Erişim Yasası,

1. Yasadışı erişim eylemleri
2. Yasadışı erişimi teşvik eden eylemler
3. Yasadışı elde etme ve benzeri eylemler

olmak üzere üç tür eylemi yasaklar.

Bunlardan ilki olan yasadışı erişim eylemleri genel olarak iki türdür:

• Taklit eylemleri: Başkasının ID’sini veya şifresini girerek izinsiz bir şekilde o kişi olarak giriş yapma eylemi
• Güvenlik açığı saldırıları: Güvenlik açıklarını kötüye kullanarak, ID veya şifre girişi gerektirmeden başkası olarak giriş yapma eylemi

İkinci tür, yasadışı erişimi teşvik eden eylemler, başkasının hesap bilgilerini (ID, şifre vb.) izinsiz bir şekilde başkalarına anlatma veya satma eylemidir.

Son olarak, üçüncü tür olan yasadışı elde etme ve benzeri eylemler, başkasının hesabını, örneğin bir phishing sitesi gibi araçlarla giriş yapmaya zorlama veya bu şekilde yasadışı elde edilen hesap bilgilerini saklama eylemidir.

Yasadışı Erişim Yasası hakkında ayrıntılı bir açıklama aşağıdaki makalede bulunabilir.

https://monolith.law/reputation/unauthorized-computer-access[ja]

Polis Tarafından Çözüm

Yasadışı erişim sonucu zarar görenlerin de polise başvurarak soruşturma başlatmaları gerekmektedir. Ancak, teknik olarak çok karmaşık durumlarla karşılaşıldığından, yukarıda bahsedilen bilgisayar suçları durumunda olduğu gibi, hem IT hem de hukuk bilgisine sahip kişilerin raporlar hazırlaması gerekmektedir. Aksi takdirde, polis soruşturması pratikte pek gerçekleşmez.

Ayrıca, suçluyu belirleyebilirsek, ilgili suçluya karşı tazminat talebinde bulunabiliriz. Ancak, suçluyu sivil yollarla belirlemek de, yukarıda bahsedilen bilgisayar suçları durumunda olduğu gibi, oldukça zordur.