Ransomware Hukuk Rehberi 2026 | TCK 244, KVKK 72 Saat ve Müdahale Süreci
Ransomware Saldırısı ve Hukuki Nitelendirme
Ransomware (fidye yazılımı) bir bilişim sisteminin verilerini şifreleyerek erişilmez kılan ve fidye karşılığı çözüm sunan zararlı yazılım türüdür. Türk hukukunda fiil 5237 sayılı TCK m.244/2 (verileri ulaşılamaz kılma – 6 ay-3 yıl hapis), m.243 (sistem girme), m.158/1-f nitelikli dolandırıcılık (bilişim aracılığıyla) hükümleri kapsamına girer. Banka veya kredi sistemine karşı işlenirse ceza yarı oranında artırılır (TCK m.244/3). Yargıtay 8. CD içtihatları ransomware fiilini m.244 kapsamında değerlendirmektedir.
Fidye Ödeme Tartışması ve Hukuki Risk
Fidye ödeme kararı hukuki ve etik tartışmalı bir alandır. ABD OFAC SDN listesi kapsamındaki tehdit aktörlerine ödeme yapmak yaptırımları ihlal edebilir. Türkiye’de doğrudan yasak yoktur ancak 5549 sayılı MASAK Kanunu ve 6415 sayılı Terörün Finansmanının Önlenmesi Hakkında Kanun çerçevesinde fidye işleminin terör finansmanı olabileceği değerlendirilir. Kurumlar fidye öderse kovuşturmaya açık hale gelebilir. Yetkili makamlarla koordinasyon (USOM, BTK) önemlidir.
Müdahale Süreci ve Adli Bilişim
Ransomware tespit edildiğinde: 1) Etkilenen sistemleri ağdan izole etme, 2) Yedeklerin kontrolü, 3) Adli bilişim ekibinin devreye girmesi (zincirleme delil korunması), 4) Şifreleme algoritması ve fidye notu analizi (No More Ransom projesi), 5) Cumhuriyet Başsavcılığına şikayet, 6) USOM bildirimi, 7) KVKK m.12 veri ihlal bildirimi (72 saat), 8) Etkilenen kişilere bildirim. Hash değerleri (IOC – Indicator of Compromise) tehdit istihbarat platformlarına bildirilebilir.
KVKK Sorumluluğu ve Yaptırım
Ransomware mağduru kurum, veri güvenliği önlemlerinin yetersiz olduğu tespit edilirse KVKK m.12 ve m.18 kapsamında 1.117.717 TL’ye kadar idari para cezası ile karşı karşıya kalır. KVK Kurulu kararlarında segmentation, EDR, MFA, yedek sistemleri eksikliği yetersiz tedbir olarak değerlendirilmiştir. Kurum etkilenen kişilere TBK m.49 kapsamında tazminat ödemekle de yükümlü olabilir. Siber sigorta poliçesi (cyber insurance) bu zararları kısmen karşılayabilir.
Önleme ve İş Sürekliliği
Ransomware’e karşı çok katmanlı savunma: 3-2-1 yedekleme stratejisi (3 kopya, 2 farklı medya, 1 offline/immutable), EDR + XDR çözümleri, MFA tüm kritik sistemlerde, principle of least privilege, segmentation, e-posta filtreleme (DMARC/SPF/DKIM), kullanıcı farkındalık eğitimleri, düzenli pentest, BCP/DRP planları, tabletop tatbikatları. Hukuki açıdan KVKK uyum belgeleri, ISO 27001, KVKK m.7/A DPIA güçlü savunmadır.