Ransomware Saldırısında Hukuki Yol Haritası

Ransomware (fidye yazılımı) saldırıları, modern siber tehditlerin en yaygın ve yıkıcı türüdür. Saldırgan, kurban kuruluşun verilerini şifreleyerek fidye talep eder. Bu rehberde ransomware saldırılarına karşı izlenecek hukuki yol ve KVKK yükümlülükleri ele alınmıştır.

İlk Müdahale

Saldırı tespit edildiğinde ilk yapılması gereken: Etkilenen sistemlerin izole edilmesi, dijital adli bilişim incelemesi için kanıtların korunması, üst yönetim ve hukuk müşavirliğinin haberdar edilmesi, BDDK/EPDK gibi sektör otoritelerine bildirim ve kolluk kuvvetlerine suç duyurusu.

Yasal Çerçeve

Ransomware saldırıları; 5237 sayılı Türk Ceza Kanunu’nun 243 (bilişim sistemine girme), 244 (sistemleri engelleme/bozma), 245 (banka veya kredi kartlarının kötüye kullanılması), 142 (hırsızlık) maddeleri kapsamında değerlendirilir. KVKK kapsamında kişisel verileri etkileyen saldırılar veri ihlali sayılır.

KVKK İhlal Bildirimi

Kişisel verileri etkileyen ransomware saldırıları, KVKK’ya 72 saat içinde bildirilir. Etkilenen veri sahiplerine de gecikmesizin bildirim yapılır. Bildirim eksikliği veya gecikmesi idari para cezasına yol açar.

Fidye Ödeme Sorunu

Türk hukukunda fidye ödemesi başlı başına suç olarak tanımlanmamıştır; ancak ödenen fidye terör örgütü veya yaptırım listesindeki bir grupla ilişkili çıkarsa, terörün finansmanı veya MASAK ihlali olarak değerlendirilebilir. Fidye ödemenin etik ve operasyonel açıdan da risklidir; saldırganlar her zaman şifre çözme sözünü tutmaz.

Adli Bilişim İnceleme

Saldırı sonrası dijital adli bilişim incelemesi; saldırı vektörünü, etkilenen sistemleri, verileri, etkilenen kullanıcıları ve saldırı zaman çizelgesini ortaya koyar. Rapor, hem KVKK bildirimi hem de cezai soruşturma için temel kanıt sağlar.

Tedarikçi ve Sigorta

Ransomware saldırısı sonrası bilgi teknolojileri tedarikçileriyle yapılan sözleşmelerin sorumluluk hükümleri devreye girer. Siber sigorta poliçesi varsa derhal sigorta şirketine bildirim yapılır.

Kurtarma ve İş Sürekliliği

Veri yedeklerinden kurtarma, sistem yeniden kurulumu, güvenlik açığının giderilmesi ve iş sürekliliği planının devreye sokulması, saldırı sonrası operasyonun temel adımlarıdır.

Sıkça Sorulan Sorular

Fidyeyi ödesem suç işlemiş olur muyum?

Tek başına suç değildir; ancak alıcının yaptırımlı bir grupla ilişkili olması halinde MASAK ve terörün finansmanı suçları gündeme gelebilir.

Saldırıyı kolluğa bildirmek zorunlu mu?Şikayet zorunlu değildir, ancak suç duyurusu yapılması, soruşturma başlatılması açısından önemlidir. KVKK bildirimi ise zorunludur.

Veriler kaybedildiyse müşteri tazminat isteyebilir mi?Evet. Veri sahipleri, KVKK ve genel hukuki sorumluluk hükümleri çerçevesinde tazminat talep edebilir.

Saldırgan tespit edilebilir mi?Adli bilişim incelemesi ve uluslararası iş birliği ile saldırgan tespit edilebilir; ancak süreç uzun sürebilir ve sınır ötesi yetki sorunları doğabilir.

Sonuç

Ransomware saldırılarına karşı en etkili korunma proaktif tedbirler ve hazırlıklı müdahale planıdır. KVKK bildirim sürelerinin titizlikle takip edilmesi, kanıtların korunması ve hukuk-teknik koordinasyonun erkenden sağlanması, hem hukuki risklerin hem operasyonel kayıpların azaltılması açısından belirleyicidir.