Fidye Yazılımı (Ransomware) Saldırısı: Hukuki Sonuçlar ve Ne Yapmalı?

Kısa cevap: Verileri şifreleyip açmak için para isteyen fidye yazılımı saldırısı çoğu olayda birden fazla suçu gündeme getirir: sisteme hukuka aykırı girme (TCK m.243), verileri erişilmez kılma (TCK m.244) ve para için zorlama (TCK m.107). Etkilenen sistemi ağdan ayırın, kayıtları saklayın, Cumhuriyet başsavcılığına veya kolluğa başvurun (CMK m.158/1).

Son güncelleme: 12 Kasım 2026

Fidye yazılımı dosyaları büroya genelde aynı sabahla gelir: bilgisayar açılır, dosyalar açılmaz, ekranda bir not ve bir ödeme talebi vardır. Bu yazıda saldırının hangi suçları oluşturduğunu, ilk saatlerde hukuken nelere dikkat edilebileceğini ve kişisel veriler etkilendiyse doğan bildirim yükümlülüğünü anlatıyorum. Teknik temizlik ve kurtarma bu yazının konusu değil. Mağdurun genel başvuru yolları için siber suç mağdurunun hakları sayfasına bakabilirsiniz.

Fidye yazılımı saldırısı hangi suçları oluşturur?

Fidye yazılımı saldırısında çoğu zaman birden fazla suç aşama aşama bir araya gelir. Fail önce sisteme girer, sonra verileri şifreleyerek erişilmez kılar, en sonunda da para ister. Aşağıdaki tablo her aşamanın karşılık geldiği maddeyi ve kanundaki cezayı gösteriyor. Hangi maddelerin uygulanacağına son olarak savcılık ve mahkeme karar verir.

Olayda ne oldu?	Madde	Kanundaki ceza	Başvuru yeri
Sisteme hukuka aykırı olarak girildi veya içeride kalınmaya devam edildi	TCK m.243/1	Bir yıla kadar hapis veya adli para cezası	Cumhuriyet başsavcılığı veya kolluk (CMK m.158/1)
Girme nedeniyle sistemdeki veriler yok oldu veya değişti	TCK m.243/3	Altı aydan iki yıla kadar hapis	Aynı
Sistemin işleyişi engellendi veya bozuldu	TCK m.244/1	Bir yıldan beş yıla kadar hapis	Aynı
Veriler şifrelenerek erişilmez kılındı, değiştirildi ya da başka yere gönderildi	TCK m.244/2	Altı aydan üç yıla kadar hapis	Aynı
Bu fiillerle haksız çıkar sağlandı ve bu başka bir suç oluşturmuyor	TCK m.244/4	İki yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezası	Aynı
Şifreyi açmak veya verileri yayımlamamak karşılığında para istendi	TCK m.107	Bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezası	Aynı
Ele geçirilen kişisel veriler başkasına verildi veya yayıldı	TCK m.136/1	İki yıldan dört yıla kadar hapis	Aynı

Sistem bir banka, kredi kurumu ya da kamu kurumuna aitse TCK m.244’teki ceza yarı oranında artırılır (m.244/3). Maddelerin ayrıntısı bilişim sistemine girme suçu (TCK 243) ve sistemi engelleme ve verileri yok etme (TCK 244) yazılarında.

Fidye talebi şantaj mı, tehdit mi, dolandırıcılık mı?

Fidye talebi, kural olarak şantaj kapsamında değerlendirilir; çünkü fail bir şeyi yapmamak (veriyi açmamak, yayımlamak) karşılığında mağduru para vermeye zorlar. TCK m.107/1, hakkı olan veya yükümlü olduğu bir şeyi yapacağından ya da yapmayacağından bahisle bir kimseyi haksız çıkar sağlamaya zorlamayı cezalandırır. Verilerin “ödemezsen yayımlarım” diye açıklanacağı tehdidi, kişinin şeref veya saygınlığına zarar verecek nitelikteyse m.107/2 de gündeme gelir.

Tehdit suçu (TCK m.106) ise hayata, vücut veya cinsel dokunulmazlığa yönelik saldırı ya da malvarlığı bakımından büyük zarar tehdidini konu alır. Malvarlığına yönelik tehdit hâli mağdurun şikâyetine bağlıdır (m.106/1). Hangi maddenin uygulanacağı mesajların içeriğine göre değişir; tehdit ve şantajın ayrıntısı internetten tehdit ve şantaj yazısında.

Dolandırıcılık ise hileli davranışla aldatmayı gerektirir (TCK m.157). Fidye talebinde mağdur genellikle aldatılmaz, zorlanır; bu yüzden bilişim yoluyla nitelikli dolandırıcılık (TCK m.158/1-f) her fidye olayında kendiliğinden uygulanmaz. Örneğin “verilerinizi kurtaracağız” diyerek kendini kurtarma hizmeti gibi gösteren biri hile ile para alıyorsa, bu ayrı bir aldatma fiili olarak değerlendirilebilir. Bu maddenin ayrıntısı TCK 158/1-f yazısında.

Fidye yazılımı saldırısında ne yapmalı?

Saldırının ilk saatlerinde yapılanlar hem verilerin hem de delillerin kaderini belirler. Hukuki açıdan şu sıra izlenebilir:

Etkilenen sistemi ayırın. Şifrelenen cihazları ağdan ayırın ki yayılma dursun; sistemi silip yeniden kurmadan önce teknik ekibinizle kayıtların korunmasını konuşun.
Delili saklayın. Fidye notunu, ekrandaki mesajı, saldırganın verdiği iletişim adreslerini ve ödeme bilgisini tarih görünecek şekilde kaydedin; sistem ve güvenlik kayıtlarını (log) silmeyin. Saldırganla yazışma olduysa silmeyin.
Savcılığa veya kolluğa başvurun. Şikâyet Cumhuriyet başsavcılığına veya kolluk makamlarına yazılı ya da tutanağa geçirilmek üzere sözlü yapılabilir (CMK m.158/1, 158/5). Olayın tarihi, etkilenen sistemler ve deliller somut yazılmalıdır.
Kişisel veriler etkilendiyse bildirim yapın. İşlenen kişisel veriler kanuni olmayan yollarla başkalarınca elde edildiyse veri sorumlusu bunu en kısa sürede ilgili kişilere ve Kişisel Verileri Koruma Kuruluna bildirir (KVKK m.12/5).
Sözleşme ve poliçeleri gözden geçirin. Müşteri, tedarikçi ve sigorta sözleşmelerinde olay bildirimine ilişkin süre veya şart olup olmadığına bakın.

Ekran görüntüsünün ve kayıtların delil değeri için dijital delil rehberine bakabilirsiniz.

Fidye ödenmeli mi?

Bu sayfada fidye ödeme ya da ödememe yönünde tavsiye vermiyorum; bu karar verilerin durumuna, yedeklere ve dosyanın hukuki yükümlülüklerine bakılarak somut olayda değerlendirilir. Saldırganla görüşme yürütmek için yol tarifi de vermiyorum. Bilinmesi gereken şudur: ödeme yapılması, suç duyurusunu ve kişisel veriler başkalarınca elde edildiyse KVKK m.12/5’teki bildirim yükümlülüğünü ortadan kaldırmaz. Fidye notu ve ödeme talebi, ödeme yapılsın ya da yapılmasın, dosyanın delilidir.

Kişisel veriler etkilendiyse şirketin yükümlülüğü

Fidye yazılımı saldırısına uğrayan şirket, aynı anda hem suçun mağduru hem de kişisel veriler bakımından veri sorumlusudur. KVKK m.12/1’e göre veri sorumlusu, kişisel verilere hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin eden teknik ve idari tedbirleri almak zorundadır. Veriler kendi adına başka bir kişi tarafından işleniyorsa bu tedbirlerden onunla birlikte müştereken sorumludur (m.12/2).

Verilerin yalnız şifrelenmesi ile başkalarınca elde edilmesi aynı şey değildir; m.12/5’teki bildirim, verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesine bağlanmıştır. Bu yüzden saldırıda veri dışarı çıkarılıp çıkarılmadığı teknik incelemeyle netleştirilmelidir. Bildirimin süresi, içeriği ve nasıl yapılacağı KVKK veri ihlali bildirimi sayfasında ayrıca anlatılıyor.

Sıkça Sorulan Sorular

Fidye yazılımı saldırısı suç mu?

Evet. Sisteme hukuka aykırı girme TCK m.243’te, sistemin işleyişini engelleme ve verileri erişilmez kılma TCK m.244’te suç olarak düzenlenmiştir. Şifreyi açmak karşılığında para istenmesi ayrıca şantaj (TCK m.107) kapsamında değerlendirilebilir.

Fidye yazılımı saldırısının cezası nedir?

Verileri erişilmez kılmanın cezası altı aydan üç yıla, sistemin işleyişini engellemenin cezası bir yıldan beş yıla kadar hapistir (TCK m.244/1-2). Fiille haksız çıkar sağlanmış ve başka suç oluşmuyorsa iki yıldan altı yıla kadar hapis ve adli para cezası öngörülür (m.244/4).

Fidye yazılımı saldırısı nereye şikâyet edilir?

Şikâyet Cumhuriyet başsavcılığına veya kolluk makamlarına yapılabilir (CMK m.158/1); yazılı ya da tutanağa geçirilmek üzere sözlü olabilir (m.158/5). Soyut ve genel şikâyette soruşturma yapılmasına yer olmadığına karar verilebileceği için olay ve deliller somut anlatılmalıdır (m.158/6).

Verilerin yayımlanacağı tehdidi hangi suçu oluşturur?

Para karşılığında verileri yayımlamamak, kişinin şeref veya saygınlığına zarar verecek hususların açıklanacağı tehdidi niteliğindeyse TCK m.107/2 kapsamında şantaj gündeme gelir. Kişisel veriler gerçekten başkasına verilir veya yayılırsa TCK m.136/1 de ayrıca değerlendirilir.

Fidye yazılımı saldırısında KVKK’ya bildirim gerekir mi?

İşlenen kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edildiyse veri sorumlusu bunu en kısa sürede ilgili kişilere ve Kurula bildirir (KVKK m.12/5). Verilerin dışarı çıkarılıp çıkarılmadığı teknik incelemeyle belirlenmelidir.

Fidye yazılımı saldırısında dolandırıcılık maddesi uygulanır mı?

Her olayda uygulanmaz. Dolandırıcılık hileli davranışla aldatmayı gerektirir (TCK m.157); fidye talebinde ise mağdur zorlanır. Kendini kurtarma hizmeti gibi gösterip hile ile para alma gibi ayrı bir aldatma varsa TCK m.158/1-f değerlendirilebilir.

Saldırının hangi maddelere girdiği, şikâyetin nasıl kurulacağı ve bildirim yükümlülüğünün doğup doğmadığı somut dosyanın incelenmesiyle belirlenir. Şirketinizin veya kişisel cihazınızın saldırıya uğradığı bir olayda dosyayı bir bilişim avukatı ile birlikte değerlendirebilirsiniz.

Resmî kaynaklar

İlgili rehberler

Yasal uyarı: Bu yazı genel bilgilendirme amacı taşır ve hukuki danışmanlık yerine geçmez. Somut olayınız için bir avukattan görüş alınız.