DoS suç mu? Avukat bilgisayar hasarı gibi iş engelleme suçlamalarını açıklıyor

Elektronik Hesaplama Makinesi Hasarı ve İşleri Engelleme Suçu, Showa 62 yılında (1987) yeni bir suç olarak kurulmuştur. O zamanlar, toplumun hızlı ekonomik büyümesi ve teknolojik gelişmeler nedeniyle, ofislere daha fazla bilgisayar getirilmeye başlandı.

Tradiyonel olarak insanlar tarafından yapılan işler artık bilgisayarlar tarafından yapılmaya başlandı ve iş alanları genişledi. Bu nedenle, bilgisayarlara yönelik zarar verme eylemleri işleri engelleme suçu olarak kabul edilmeye başlandı ve bu duruma yanıt olarak bu yasa kuruldu.

Ancak, yasanın kurulduğu dönemde, bilgisayarlar hala gelişmekteydi ve internet yaygınlaşmamıştı, bu yüzden internet suçlarını öngörmek zordu. Ayrıca, bu yasa, bilgisayar mühendisliği ve bilgi bilimleri, genel toplumda kullanılan terimler yerine, daha çok ceza kanunu gibi terimler kullanarak düzenlendiği için, yorumları çeşitlidir ve genel halk için anlaşılması zor bir düzenleme olarak kabul edilebilir.

Ayrıca, bu suç genellikle siber suçların bir alt kategorisi olan bilgisayar suçlarına karşılık gelen bir suç olarak kabul edilir.

Bu makalede, Elektronik Hesaplama Makinesi Hasarı ve İşleri Engelleme Suçu hakkında detayları anlaşılır bir şekilde açıklıyoruz.

https://monolith.law/corporate/categories-of-cyber-crime[ja]

DoS Saldırısı Nedir

DoS saldırısı (Denial of Service attack), bir tür siber saldırıdır ve hedef web sitesi veya sunucuya aşırı miktarda veri veya hatalı veri göndererek, hedef sistemin normal şekilde çalışmasını engelleyen bir saldırıdır. Bu saldırı, yetkiyi kötüye kullanarak veya virüsler aracılığıyla sistem kontrolünü ele geçiren hatalı erişimler gibi değil, meşru kullanıcıların erişim haklarını engeller. Bu, eski bir siber saldırı yöntemidir, ancak DDoS saldırısı (Distributed Denial of Service attack) adı verilen dağıtık tip saldırı yöntemi olarak da kullanılır ve son yıllarda rahatsız edici zararlar az değildir.

DoS Saldırısı Türleri

DoS saldırıları, “Flood tipi” ve “Zafiyet tipi” olmak üzere ikiye ayrılır.

Flood, İngilizce ‘Flood’ (=sel) kelimesinden türetilmiştir ve protokolü aşarak büyük miktarda veri göndererek, hedefin işlemeyi tamamlayamayacağı bir duruma getirir.

Öte yandan, zafiyet tipi, sunucu veya uygulamanın zafiyetlerini kullanarak, hatalı işlemler yapar ve işlevi durdurur. Bu, hatalı erişim ile ayrımı belirsizleşir, ancak örneğin, tipik bir zafiyet tipi DoS saldırısı olan LAND saldırısı, gönderen ve alıcının IP adresleri ve port numaralarının eşleşen paketleri gönderir. Biraz daha anlaşılır ve basit bir şekilde açıklamak gerekirse, saldırgan A, hedef sunucu B’ye “Ben B’yim ve bir yanıt istiyorum” anlamına gelen bir paket gönderir, B kendi kendine “yanıt” verir ve bu yanıtı alan B yine kendine “yanıt” verir… ve bu durum tekrarlanır, sonsuz bir döngü oluşturur. Bu, “kendi kendine gönderen paketlere de yanıt verir” anlamındaki “zafiyeti” kullanır, ancak şifre doğrulaması gibi şeyleri aşmaz, bu yüzden “hatalı erişim” değil, “zafiyet tipi DoS saldırısı” olarak sınıflandırılır.

https://monolith.law/reputation/unauthorized-computer-access[ja]

Ayrıca, DDoS saldırısı, binlerce bilgisayarı bot virüsü ile enfekte ederek uzaktan kontrol eder ve her birinden Flood tipi DoS saldırısı yapar. Bu, dağıtık bir yöntemdir.

DoS Saldırısının Mekanizması

DoS saldırısının mekanizması, genellikle TCP/IP kapsamında kabul edilen şeyleri sık sık ve aynı anda tekrarlamaktır, teknik olarak basittir. Örneğin, popüler bir idolün konser biletlerini genel satışta satın almak için satış sayfasına erişmeye çalıştığınızda, aynı anda birçok kişi erişim sağladığı için site yavaşlar veya çöker ve bağlantı zorlaşır. DoS saldırısı, meşru yetkileri kötüye kullanarak, kasıtlı olarak bu tür bir durumu yaratır.

DoS Saldırıları Elektronik Bilgisayar Tahribatı ve İşleri Engelleme Suçu Kapsamında mıdır?

Peki, DoS saldırıları bir suç olarak kabul edilir mi? Öncelikle, bu saldırıların Japon Ceza Kanunu’nun 234/2 maddesi (Japon ~ Elektronik Bilgisayar Tahribatı ve İşleri Engelleme Suçu) kapsamında olup olmadığını inceleyeceğiz.

“Bir kişinin işlerinde kullanılan elektronik bilgisayarı veya bu bilgisayarın kullanımına yönelik manyetik kayıtları tahrip eden, yalan bilgi veya hileli talimatlar veren veya başka bir yöntemle, bilgisayarın kullanım amacına uygun hareket etmesini engelleyen veya kullanım amacına aykırı hareket etmesini sağlayan ve böylece bir kişinin işlerini engelleyen kişi, beş yıl veya daha az hapis cezası veya bir milyon yen veya daha az para cezası ile cezalandırılır.”

Ceza Kanunu Madde 234/2 Fıkra 1 (Elektronik Bilgisayar Tahribatı ve İşleri Engelleme Suçu)

Bu şekilde, Elektronik Bilgisayar Tahribatı ve İşleri Engelleme Suçu’nun oluşabilmesi için, objektif gereklilikler olarak;

1. Elektronik bilgisayara yönelik zarar verme eylemi
2. Elektronik bilgisayarın işleyişini engelleme
3. İşleri engelleme

olmak üzere 3 unsurun yerine getirilmesi ve subjektif gereklilik olarak da bu unsurların kasıtlı bir şekilde gerçekleştirilmiş olması gerekmektedir.

Objektif Unsurların Yerine Getirilmesi

Aşağıdakileri tek tek inceleyeceğiz.

Elektronik Bilgisayara Yönelik Zarar Verme Eylemi

Zarar verme eylemi (gerçekleştirme eylemi) olarak;

• “Elektronik bilgisayarın veya bu bilgisayarın kullanımına yönelik manyetik kayıtların tahrip edilmesi”
• “Elektronik bilgisayara yalan bilgi veya hileli talimatlar verilmesi”
• “Veya başka bir yöntem”

unsurlarından birinin yerine getirilmiş olması gerekmektedir.

Bu konuda, “elektronik bilgisayar”ın tanımı, bir yargı kararı (Fukuoka Yüksek Mahkemesi, Heisei 12 (2000) 21 Eylül) tarafından belirlenmiştir ve otomatik hesaplama ve veri işleme yapan elektronik cihazları ifade eder. Ofis bilgisayarları, kişisel bilgisayarlar, kontrol bilgisayarları vb. bu tanıma dahildir ve bu konuda bir anlaşmazlık yoktur. Manyetik kayıtların tanımı ise Ceza Kanunu’nun 7/2 maddesinde belirtilmiştir. DoS saldırılarının hedefi olan sunucular, bu tanımlamaya tabi olarak kabul edilir.

“Tahrip etme”, sadece fiziksel hasar değil, veri silme gibi, bir nesnenin işlevini bozan her türlü eylemi ifade eder. “Yalan bilgi”, içeriğin gerçeğe aykırı olması anlamına gelir. “Hileli talimat”, yetkisiz bir şekilde ilgili bilgisayar tarafından işlenebilecek bir komut verme anlamına gelir. Örneğin, bir DoS saldırısını yoğun ve büyük ölçekte gerçekleştirirseniz, hedef sunucu aşırı yüklenir ve işlemler düzgün bir şekilde gerçekleştirilemez hale gelir. Bu tür bir saldırı, verileri silme gibi “tahrip etme” durumuna yol açmasa bile, sunucu sahibinin isteğine aykırı bir erişimdir ve yetkisiz bir şekilde komut verdiği için “hileli talimat” olarak kabul edilir.

Elektronik Bilgisayarın İşleyişini Engelleme

“Kullanım amacına uygun hareket etmesini engelleme” veya “kullanım amacına aykırı hareket etmesini sağlama” durumunun olup olmadığı sorun oluşturur. Kullanım amacının kimin için olduğunu belirlemek konusunda anlaşmazlıklar vardır, ancak bu suçun koruma hukuku işlerin güvenli ve sorunsuz bir şekilde yürütülmesi olduğundan, kurulum yapan kişinin amacını esas almak gerektiğini düşünmeliyiz. Bir DoS saldırısı gerçekleştirildiğinde, sunucu aşırı yüklenir ve hizmet kullanılamaz hale gelir, yani sunucu kurucusunun hedeflediği düzgün işlem hareketi gerçekleştirilemez. Bu durumda, “kullanım amacına uygun hareket” gerçekleştirilmiyor demektir ve işleyişi engelleme durumuna girer.

İşleri Engelleme

Elektronik Bilgisayar Tahribatı ve İşleri Engelleme Suçu, İşleri Engelleme Suçu’nun (Ceza Kanunu’nun 233 ve 234. maddeleri) ağırlaştırılmış bir türüdür, bu nedenle işleri engelleme durumu, normal İşleri Engelleme Suçu’nda olduğu gibi düşünülür. Yani, “işler”, toplumsal yaşamda sürekli ve tekrarlanan işlemleri ifade eder ve “engelleme” için işlerin gerçekten zarar görmesi gereklidir.
Bir DoS saldırısı gerçekleştirildiğinde, kurucunun sunucuyu kullanarak internet üzerinde hizmet sunma “işleri” engellenmiş olur ve bu durum işleri engelleme suçunu oluşturur.

Subjektif Unsurların (Kastın) Yerine Getirilmesi

Bu unsurların yerine getirildiği durumlarda, kastın (Ceza Kanunu’nun 38. maddesinin 1. fıkrası) kabul edilmesi gerekmektedir. Kast, yukarıda belirtilen ①’den ③’e kadar olan unsurların (bu unsurlar “yapı unsurları” olarak adlandırılır) gerçekleştiğini bilme ve kabul etme anlamına gelir. Bu, bir kişiyi engelleme niyeti veya kötü niyet gerektirmez, böyle bir niyet olmasa bile, “belki sunucu çöker ve hizmet kullanılamaz hale gelir” şeklinde bir bilincin olması durumunda, kast kabul edilebilir.

Okazaki Şehir Merkez Kütüphanesi Web Sitesi Yoğun Erişim Olayı

Yukarıdaki ile ilgili olarak, “Okazaki Şehir Merkez Kütüphanesi Web Sitesi Yoğun Erişim Olayı (nam-ı diğer Librahack olayı)” hakkında bilgi vermek istiyorum.

Aichi ilinde yaşayan bir erkek (39), kendi yazdığı bir programla kütüphane web sitesinden yeni kitap bilgilerini topladı. Ancak, Asahi Shimbun’un isteği üzerine uzmanlar tarafından yapılan analiz, kütüphane yazılımında bir hata olduğunu ve yoğun erişim nedeniyle saldırıya uğradığı izlenimi verdiğini ortaya çıkardı. Aynı yazılımı kullanan altı farklı kütüphanede de benzer sorunlar yaşandığı belirlendi. Yazılım geliştirme şirketi, ülke genelindeki yaklaşık 30 kütüphanede düzeltmeler yapmaya başladı.
Bu sorun, Aichi ilindeki Okazaki Şehir Kütüphanesi’nde ortaya çıktı. Yazılımda, her kitap verisi çağrıldığında, sürekli bir işlem durumuna geçer ve telefon konuşması sonrasında ahizenin kaldırıldığı gibi bir durum oluşur. Belirli bir süre geçtikten sonra otomatik olarak kesilir, ancak bu kütüphanede, 10 dakika içinde erişim sayısı yaklaşık 1000’i aştığında, web sitesine erişim mümkün olmaz ve yoğun erişim alındığı izlenimi oluşur.
Erkek, bir yazılım mühendisi olup, Okazaki Şehir Kütüphanesi’nden yılda yaklaşık 100 kitap ödünç alıyordu. Kütüphane web sitesi kullanımı zor olduğu için, yeni kitap bilgilerini toplayan bir program oluşturdu ve Mart ayından itibaren kullanmaya başladı.
Kütüphaneye, aynı aydan itibaren, “Web sitesine erişemiyorum” şeklinde vatandaşlardan şikayetler geldi. Aichi İl Polisi, işlem kapasitesini aşan taleplerin kasıtlı olarak gönderildiğine karar vererek, erkeği işleri engelleme suçlamasıyla tutukladı. Nagoya Savcılığı Okazaki Şubesi, Haziran ayında, “İşleri engelleme niyetinin güçlü olduğu kabul edilemez” diyerek dava açmayı erteledi.

Asahi Shimbun Nagoya Sabah Baskısı (21 Ağustos 2010)

Tutuklanan bu erkek, Okazaki Şehir Merkez Kütüphanesi’nin bir kullanıcısıydı ve yaptığı şey, kütüphanenin web sitesinden yeni kitap bilgilerini toplamaktı, kütüphanenin işlerini engelleme niyeti yoktu. Erişim sıklığı da saniyede yaklaşık 1 kez gibi düşük bir seviyedeydi ve normalde bir DoS saldırısı olarak kabul edilmez, ancak kütüphanenin sunucusunda bir hata vardı ve bu seviyede bile sistem arızası oluştu.

Kötü niyet olmasa bile, DoS saldırısına benzer bir eylemle kütüphanenin sunucusunu çökertip işlerini engellediği kabul edilebilir, bu yüzden objektif gerekliliklere bakacağız. Ve niyet hakkında, daha önce belirttiğim gibi, kötü niyet olmasa bile niyet kabul edilebilir. İl Polisi, bu erkeğin bir bilgisayar uzmanı olduğu ve talepleri yoğun bir şekilde gönderirse, kütüphanenin sunucusunda bir etki olabileceğini anladığı halde, talepleri yoğun bir şekilde gönderdiği için, niyetin olduğuna karar verdi ve suçun oluşabileceğine karar verdi.

Olayın Sorunları ve Eleştirileri

Erkeğin yaptığı gibi, açık web sitelerinin verilerini mekanik olarak toplama yöntemi genel olarak yaygın bir şekilde kullanılır ve programlamanın kendisi yasadışı değildir. Bu erkek, olayın ayrıntılarını ve niyetini kendi sitesinde açıkladı, ancak içeriğe bakıldığında, “suç” olarak adlandırılabilecek veya ahlaki bir kınama gerektirecek bir nokta yoktur ve bu teknolojiyi kullanan birçok mühendisi sarsmış ve birçok eleştiri ve endişe tartışılmıştır.

Örneğin, başlangıçta, halka açık bir kütüphanenin açık web sitesi gibi belirsiz birçok kişinin kullandığı bir site olduğu halde, sunucusu saniyede 1 erişimle çökecek bir hata taşıyorsa, bu çok zayıf ve kırılgandır ve normalde sahip olması gereken güçlü bir sunucu olsaydı, erkek tutuklanmamış olacaktı, diye belirtildi.
Ayrıca erkeğin “öfke” veya “rahatsızlık” gibi saldırı veya işleri engelleme niyeti, açıkça normal kullanım yöntemlerinden farklı yoğun veri gönderme gibi, açıkça suç gibi görünen unsurlar olmadığı halde, suçun oluşabileceği bir düzenleme olduğu belirtildi. Ayrıca, yasa uygulaması ve internet kullanımı gerçekliği arasındaki ayrım da belirtildi. Örneğin, aynı 10.000 erişim, internet ve bilgi işlem teknolojilerine hakim olan bir kişinin ve polis veya savcılık da dahil olmak üzere genel halkın algıladığı izlenim farklıdır ve bu tür bir algı farkı düzeltilmeden uygulanırsa, bu bir sorun olacaktır. Ayrıca, bu erkek gibi herkesin tutuklanma olasılığı olduğunu söyleyebiliriz, bu da internetin özgür kullanımı ve gelişimi, endüstrinin daralmasına neden olabilir, diye endişe ve korku belirtildi.

Erkek, işleri engelleme niyetinin güçlü olduğu kabul edilemez olduğu için, sonuç olarak dava açmayı erteledi, ancak 20 gün boyunca tutuklandı ve sorgulandı ve fiziksel kısıtlamalar uygulandı. Ayrıca, tutuklandığında gerçek adıyla haber yapıldı. Ayrıca, dava açmayı ertelemek, “şüphe yetersiz” olmayan bir durumda, “suç işlendi ama kötü niyet düşük, ya da derin bir pişmanlık var, bu yüzden bu sefer dava açmayı erteledik” anlamına gelir, yani suç işlendiği kabul edilir. Bu şekilde, dava açılmamasına rağmen, toplumda büyük bir dezavantaj yaşadığı bir sorundur.

Özet

Bu şekilde, DoS saldırılarına karşı Japon Elektronik Hesaplama Makinesi Hasar ve İşleri Engelleme Suçu uygulanabilir. Ancak, bu yasanın uygulanmasında bazı sorunlar bulunmaktadır ve bahsettiğimiz olaylar gibi kötü niyetli olmayan durumlarda bile suç oluşabilir. Yasaların oluşturulduğu dönemden farklı olarak, günümüzde birçok kişi akıllı telefon veya bilgisayar gibi internet cihazlarına sahip ve internet toplumu hızla gelişmektedir. Bu sorunların üstesinden gelmek ve internet üzerindeki özgürlüğü korumak için, yasa uygulamalarının gözden geçirilmesi ve yeni yasal önlemlerin değerlendirilmesi gerekmektedir.

Şirketinizin sunucusu DoS saldırısı gibi siber saldırılardan zarar gördüğünde, polise soruşturma başlatması için başvurmanız gerekecektir. Ancak, teknik olarak çok karmaşık durumlar olabilir ve yukarıda bahsettiğimiz kütüphane olayı gibi, IT ve hukuk bilgisi olan kişiler olmadan uygun bir şekilde müdahale etmek zor olabilir.

Sivil çözüm olarak, suçluyu belirleyebilirseniz, ilgili suçluya karşı tazminat talebinde bulunabilirsiniz. Bu nedenle, internet ve iş hukuku konusunda deneyimli bir avukata danışmayı düşünmek de bir seçenektir.