IP Adresi ve İnternet Trafik Verisinin Teknik ve Hukuki Niteliği
Ceza soruşturmalarında IP adresi, internet üzerinden gerçekleştirilen bir bağlantının teknik izlerinden birini oluşturur. Bir paylaşımın yapıldığı, hesaba erişildiği, sunucuya bağlanıldığı veya çevrimiçi hizmetten yararlanıldığı iddiası çoğu kez IP kayıtları üzerinden araştırılır. Ancak teknik bağlantı verisi ile gerçek kişinin kimliği aynı kavram değildir. IP adresi belirli bir bağlantıyı gösterebilir, fakat o bağlantıyı fiilen kullanan kişiyi tek başına belirlemez.
IP Adresinin Gösterdiği Bağlantı ve Göstermediği Kullanıcı Kimliği
IP adresi, internet protokolü üzerinden veri alışverişine katılan ağ bağlantısının adreslenmesini sağlar. Bir internet sitesinin veya uygulama sunucusunun kayıtlarında görülen kaynak IP adresi, belirli tarih ve saatte sunucuya yönelen bağlantının hangi genel IP üzerinden geldiğini gösterebilir. Erişim sağlayıcının tahsis kayıtları üzerinden aynı IP adresinin ilgili anda hangi aboneliğe verildiği araştırılabilir.
Bu eşleştirme, kural olarak internet aboneliğine ulaşılmasını sağlar. Aboneliğin belirlenmesi, bilgisayarı veya telefonu kullanan kişinin de tespit edildiği anlamına gelmez. Aynı bağlantı aile bireyleri, çalışanlar, müşteriler veya kablosuz ağ parolasını bilen kişiler tarafından kullanılabilir. IP kaydının ceza sorumluluğuna dayanak oluşturabilmesi için bağlantının sanıkla ilişkilendirilmesi ve isnat edilen eylemin aynı kişi tarafından gerçekleştirildiğini gösteren ek delillerin bulunması gerekir.
Statik ve Dinamik IP ile Genel ve Özel IP Ayrımı
Statik IP adresi, belirli bir bağlantıya sürekli veya uzun süre değişmeden tahsis edilen adrestir. Dinamik IP adresi ise erişim sağlayıcının adres havuzundan bağlantı oturumu sırasında atanır ve sonraki oturumlarda değişebilir. Dinamik IP sorgusunda tarih ve saat bilgisi eksikse aynı adres farklı zamanlarda farklı abonelere tahsis edilmiş olabileceğinden sağlıklı eşleştirme yapılamaz. Saat bilgisinin saniye düzeyinde doğruluğu, yoğun adres havuzlarında daha fazla önem taşır.
Genel IP adresi internet üzerindeki sunucuların gördüğü, dış ağa yönlendirilebilir adrestir. Özel IP adresleri ise ev, işyeri veya kurum ağı içindeki cihazlara yerel olarak atanır. Birden fazla cihaz, modem veya yönlendirici aracılığıyla aynı genel IP adresi üzerinden internete çıkabilir. Bu nedenle dış sunucuda kaydedilen genel IP adresi çoğu kez hangi bilgisayarın ya da telefonun kullanıldığını göstermez. Cihazın belirlenmesi için yerel ağ kayıtları, kullanıcı oturumları, cihaz incelemesi ve diğer teknik bulguların değerlendirilmesi gerekir.
Trafik Verisi ile İletişim İçeriği Arasındaki Fark
5651 sayılı Kanun’da trafik bilgisi, taraflara ilişkin IP adresi ile verilen hizmetin başlama ve bitiş zamanı, hizmetin türü, aktarılan veri miktarı ve bağlantı noktaları gibi değerler üzerinden tanımlanmıştır. Trafik verisi, internet bağlantısının hangi teknik koşullarda gerçekleştiğine ilişkin üst verileri ifade eder. Mesaj metni, gönderilen görüntü, görüşme kaydı veya aktarılan dosyanın içeriği ise iletişimin içeriğine ilişkindir.
Bir sunucuya bağlantı kurulmuş olması, o sunucuda hangi işlemin yapıldığını kendiliğinden açıklamaz. Hedef IP adresi yalnızca belirli bir altyapıya yönelen bağlantıyı gösterebilir. Aynı IP adresinde çok sayıda alan adı, uygulama veya hizmet çalışabilir. Suç teşkil eden içeriğin görüntülendiği, indirildiği, gönderildiği veya üretildiği iddiası, trafik kaydının yanında sunucu logları, hesap hareketleri, dosya kayıtları ve cihaz bulgularıyla desteklenmelidir.
IP Adresinin Abone ve Fiili Kullanıcıyla Eşleştirilmesi
IP adresinden hareketle ceza sorumluluğu kurulabilmesi, farklı kaynaklarda tutulan kayıtların aynı bağlantı olayını doğrulamasına bağlıdır. Sunucuda görülen IP adresi ile erişim sağlayıcının abonelik kaydı arasında yalnızca rakamsal benzerlik bulunması yeterli değildir. Tarih, saat, zaman dilimi, port ve bağlantının yöneldiği hedef bilgilerinin birbiriyle uyumlu olması gerekir.
IP, Tarih, Saat ve Port Bilgilerinin Birlikte Değerlendirilmesi
Dinamik IP adresleri zaman içinde farklı abonelere tahsis edildiği için sorgunun belirli bir tarih ve saatle yapılması zorunludur. İncelenen sunucu kaydının yerel saat mi yoksa koordineli evrensel zaman mı kullandığı belirlenmeden yapılan sorgu, yanlış aboneliğin tespit edilmesine neden olabilir. Yaz saati, sunucu konumu, saat dilimi dönüşümü ve cihaz saatindeki sapmalar teknik incelemede ayrı ayrı kontrol edilmelidir.
Bir genel IP adresinin birden fazla abone tarafından eş zamanlı kullanılabildiği CGNAT altyapısında kaynak port bilgisi kimliklendirme bakımından zorunlu hale gelir. CGNAT kaydında yalnızca IP adresi ve zaman bilgisinin bulunması, çoğu kez belirli bir aboneyi diğer kullanıcılardan ayırmaya yetmez. Kaynak IP, kaynak port, bağlantı zamanı ve gerektiğinde hedef IP ile hedef port değerleri birlikte incelenmelidir.
Erişim Sağlayıcı Kayıtları ile Platform ve Sunucu Loglarının Karşılaştırılması
Platform veya uygulama sunucusu genellikle bağlantının geldiği IP adresini, zaman bilgisini, kullanıcı hesabını ve gerçekleştirilen işlem türünü kaydeder. Erişim sağlayıcı ise ilgili genel IP adresinin belirtilen anda hangi aboneliğe tahsis edildiğini gösterebilir. İki kayıt kümesinin alanları, zaman standardı ve kayıt hassasiyeti eşleştirilmeden yalnızca abonelik cevabına dayanılması teknik tespitin denetlenmesini engeller.
Platform kaydının güvenilirliği de ayrıca araştırılmalıdır. Logun hangi sistem tarafından üretildiği, sonradan değiştirilip değiştirilmediği, hesabın hangi oturumla ilişkilendirildiği ve kayıtların tüm bağlantıları kapsayıp kapsamadığı belirlenmelidir. Yabancı hizmet sağlayıcılardan gelen elektronik tablolar veya ekran çıktıları, ham kayıtların içerdiği teknik alanları taşımayabilir. Verinin özetlenmiş olması, bağlantı olayının yeniden doğrulanmasını güçleştirir.
Abonelik Bilgisinin Fail Tespitindeki Sınırları
İnternet aboneliği, erişim hizmetine ilişkin sözleşmenin tarafını gösterir. Abone, bağlantıyı fiilen kullanan kişi olabileceği gibi kullanım aile bireyine, çalışana, misafire veya üçüncü kişiye de ait olabilir. İşyerlerinde tek internet aboneliği üzerinden çok sayıda bilgisayarın bağlantı kurması mümkündür. Otel, kafe, yurt ve ortak çalışma alanlarında aynı genel IP adresi farklı kişilerce kullanılabilir.
Abonelik sahibinin cezai sorumluluğu, internet bağlantısının kendi adına kayıtlı olması gerekçesiyle kurulamaz. Ceza sorumluluğunun şahsiliği, fiili gerçekleştiren kişinin ve manevi unsurun ayrıca belirlenmesini gerektirir. Cihazda bulunan hesap verileri, tarayıcı geçmişi, uygulama oturumları, mesajlar, dosyalar ve zaman çizelgesi IP eşleşmesiyle birlikte değerlendirilmelidir. Abonelik bilgisi başlangıç niteliğinde bir kimliklendirme verisi olsa da fail tespitinin tamamı değildir.
NAT, CGNAT ve Ortak Bağlantılarda Kimliklendirme Sorunu
IPv4 adreslerinin sınırlı olması, aynı genel IP adresinin birden fazla cihaz veya abone tarafından paylaşılmasını sağlayan NAT ve CGNAT teknolojilerinin yaygınlaşmasına yol açmıştır. Bu altyapılar bağlantının izlenmesini imkansız hale getirmez. Buna karşılık doğru kişiye ulaşılabilmesi için IP adresinin yanında port ve zaman bilgilerinin eksiksiz biçimde tutulmasını gerekli kılar.
CGNAT Kayıtlarında Kaynak Port ve Hedef Verilerinin İşlevi
NAT işlemi ev veya işyeri ağındaki özel IP adreslerini modem üzerindeki genel IP adresine dönüştürür. CGNAT ise benzer dönüşümü erişim sağlayıcı düzeyinde yaparak aynı genel IP adresini çok sayıda aboneye paylaştırır. Her bağlantıya belirli bir kaynak port atanması, aynı IP adresini kullanan abonelerin birbirinden ayrılmasını sağlar.
Kaynak portun bulunmadığı veya zaman bilgisinin yeterli hassasiyette kaydedilmediği bir CGNAT sorgusunda, aynı genel IP adresini kullanan aboneler arasında kesin eşleştirme yapılamayabilir. Hedef IP ve hedef port verileri de kaydın hangi sunucuya ve hangi hizmete yöneldiğinin sınanmasını sağlar. Bu alanların eksikliği, sunucu kaydı ile erişim sağlayıcı kaydının aynı bağlantıya ait olup olmadığının denetlenmesini zorlaştırır.
Aile, İşyeri ve Halka Açık Ağlarda Birden Fazla Kullanıcı İhtimali
Ev bağlantısının yalnızca abonelik sahibi tarafından kullanıldığı varsayımı teknik gerçeklikle bağdaşmaz. Kablosuz ağa bağlı telefonlar, bilgisayarlar, tabletler ve akıllı cihazlar dış dünyaya aynı genel IP adresi üzerinden çıkabilir. İşyeri ağlarında çalışanlar, misafirler ve kurumsal cihazlar da ortak bir internet geçidini paylaşabilir.
Ortak bağlantı ihtimali mevcutsa olay zamanında ağa bağlı cihazların ve kullanıcıların belirlenmesi gerekir. Modem kayıtları, DHCP tahsisleri, kablosuz ağ kimlik doğrulama kayıtları, işyeri kullanıcı oturumları ve kamera görüntüleri bağlantıyı kullanan kişinin tespitine katkı sağlayabilir. Bu veriler bulunmadan yalnızca abonelik kaydından hareket edilmesi, teknik ihtimaller arasından birinin delilsiz biçimde seçilmesine neden olur.
VPN, Proxy, Tor ve Uzak Bağlantıların IP Tespitine Etkisi
VPN ve proxy hizmetlerinde internet trafiği aracı sunucu üzerinden yönlendirilir. Hedef platformun kayıtlarında kullanıcının erişim sağlayıcısından aldığı IP yerine aracı sunucunun IP adresi görülebilir. Tor ağı da bağlantıyı birden fazla düğüm üzerinden geçirir ve hedef hizmete son çıkış düğümünün IP adresini yansıtır. Bu kayıtlar bağlantının ilk kaynağını doğrudan göstermeyebilir.
Uzak masaüstü ve benzeri erişimlerde işlem, başka bir yerde bulunan bilgisayar üzerinden gerçekleştirilebilir. Hedef sunucu, uzaktan yönetilen bilgisayarın IP adresini kaydeder. VPN, proxy veya uzak bağlantı kullanılması tek başına suçluluk göstergesi değildir. Bu tekniklerin isnat edilen eylemle ilişkisi, hesap kayıtları, ödeme bilgileri, cihaz verileri ve oturum zamanları üzerinden ortaya konulmalıdır.
Ele Geçirilmiş Modem, Cihaz ve Hesapların Doğurduğu Yanılgılar
Zayıf kablosuz ağ parolası, modem güvenlik açığı veya yetkisiz uzaktan erişim, internet bağlantısının üçüncü kişilerce kullanılmasına imkan verebilir. Zararlı yazılım bulaşmış bir bilgisayar da cihaz sahibinin iradesi dışında veri aktarabilir veya başka sistemlere bağlantı kurabilir. Hesap parolasının ele geçirilmesi halinde fail, mağdurun hesabını farklı bir cihazdan kullanabilir.
Bu ihtimaller soyut savunma anlatımıyla kabul veya reddedilemez. Modem yapılandırması, bağlantı geçmişi, oturum açma bildirimleri, IP değişimleri, zararlı yazılım bulguları ve cihaz üzerindeki kullanıcı hareketleri araştırılmalıdır. Teknik inceleme, isnat edilen bağlantının cihaz sahibinin iradi işlemi mi yoksa üçüncü kişinin müdahalesi mi olduğunu gösterebilecek verileri kapsamalıdır.
İnternet Trafik Verilerinin Elde Edilmesi ve Teknik Güvenilirliği
İnternet trafik verisinin ispat değeri, yalnızca kaydın içeriğine değil, hangi makam veya hizmet sağlayıcı tarafından nasıl üretildiğine ve soruşturma dosyasına hangi yöntemle aktarıldığına da bağlıdır. Kayıtların yasal saklama süresi içinde temin edilmesi, özgün biçiminin korunması ve teknik alanlarının açıklanması gerekir.
5651 Sayılı Kanun Kapsamındaki Kayıt ve Saklama Rejimi
5651 sayılı Kanun, içerik sağlayıcı, yer sağlayıcı ve erişim sağlayıcıların sorumluluklarını birbirinden ayırır. Trafik kaydının kapsamı ve kaydı tutan kuruluş, sunulan hizmetin niteliğine göre değişir. Erişim sağlayıcının tuttuğu abonelik ve tahsis kayıtları ile platformun veya yer sağlayıcının tuttuğu hesap ve sunucu logları aynı verileri içermez.
Kanunda ve ilgili ikincil düzenlemelerde sağlayıcılara trafik bilgilerini belirlenen süreler boyunca saklama, kayıtların doğruluğunu ve bütünlüğünü koruma, gizliliği sağlama yükümlülükleri verilmiştir. Saklama yükümlülüğü, her kaydın fail tespitine yeterli olduğu anlamına gelmez. Hizmet sağlayıcının teknik altyapısı, tuttuğu alanlar ve kayıt süresi ayrı ayrı belirlenmelidir. Sürenin dolması nedeniyle silinen kayıtların sonradan oluşturulan özetlerle ikame edilmesi teknik doğrulanma imkanını azaltabilir.
Ceza Soruşturmasında Trafik Verisinin Temin Edilmesi
Soruşturma makamının talebi, aranan verinin türünü, zaman aralığını ve bağlantı olayını belirlemeye elverişli olmalıdır. Belirli bir IP adresinin belirli anda hangi aboneliğe tahsis edildiğinin sorulması ile kişinin iletişim hareketlerinin kapsamlı biçimde ortaya çıkarılması aynı müdahale değildir. Talep edilen verinin niteliği, uygulanacak ceza muhakemesi hükmünü ve karar vermeye yetkili makamı etkiler.
İletişimin denetlenmesi kapsamına giren tedbirlerde CMK m. 135’teki şartlar gözetilmelidir. Bilgisayar, telefon veya diğer dijital materyaller üzerinde arama, kopyalama ve elkoyma işlemleri ise CMK m. 134 kapsamında değerlendirilir. Soruşturma dosyasındaki müzekkerenin yasal dayanağı, kapsamı ve cevaben gönderilen verinin talebi aşıp aşmadığı denetlenmelidir. Geniş ve belirsiz veri talepleri, özel hayatın ve haberleşmenin gizliliği üzerindeki müdahaleyi ağırlaştırır.
Zaman Senkronizasyonu, Kayıt Bütünlüğü ve Verinin Kaynağı
Farklı sistemlerden alınan logların karşılaştırılabilmesi için saatlerin aynı zaman standardına göre düzenlenmiş olması gerekir. Sunucunun saat dilimi, erişim sağlayıcının kayıt standardı, yaz saati dönüşümü ve olası sistem sapması açıklanmamışsa birkaç dakikalık fark dahi yanlış eşleştirmeye yol açabilir. Saniye veya milisaniye düzeyindeki kayıtlar özellikle CGNAT ortamında belirleyici olabilir.
Kayıtların hangi sistemden, hangi tarihte ve hangi yöntemle çıkarıldığı raporda gösterilmelidir. Elektronik imza, zaman damgası veya doğrulama özeti verinin sonradan değiştirilip değiştirilmediğinin denetlenmesine katkı sağlar. Sonradan hesaplanan doğrulama özeti, kaydın ilk üretildiği anda gerçeğe uygun tutulduğunu tek başına kanıtlamaz. Ham logların korunması, alan açıklamalarının sunulması ve incelemenin tekrar edilebilir olması teknik güvenilirlik için gereklidir.
Hukuka Aykırı Elde Edilen Trafik Verilerinin Delil Niteliği
IP adresi ve trafik bilgileri, belirlenebilir bir kişiyle ilişkilendirildiğinde kişisel veri niteliği taşıyabilir. Bu verilerin ceza soruşturmasında kullanılması, sınırsız biçimde toplanabilecekleri anlamına gelmez. Anayasa’nın özel hayatın korunması ve haberleşmenin gizliliğine ilişkin güvenceleri ile ceza muhakemesindeki kanunilik ve ölçülülük şartları birlikte değerlendirilmelidir.
Anayasa m. 38/6 uyarınca kanuna aykırı elde edilmiş bulgular delil olarak kabul edilemez. CMK m. 206/2-a ve m. 217/2 de hükmün hukuka uygun biçimde elde edilmiş delillere dayanmasını gerektirir. Trafik verisinin yetkisiz makamdan alınması, karar kapsamının aşılması, ilgisiz dönemlerin topluca incelenmesi veya verinin kaynağının doğrulanamaması delilin hukuka uygunluğunu ve ispat değerini etkileyebilir. Kişisel veri niteliği tek başına delili hukuka aykırı hale getirmez. Belirleyici olan verinin kanuni yetkiye, amaca ve usule uygun biçimde elde edilip edilmediğidir.
Ayrıntılı bilgi: Dijital Delillerin Hukuka Uygun Elde Edilmesi ve Muhafazası
IP Adresinin Fiilin ve Failin İspatındaki Değeri
IP eşleşmesi, belirli bir internet bağlantısını soruşturmanın kapsamına dahil edebilir. Ceza sorumluluğu ise bağlantının sanık tarafından kullanıldığının, isnat edilen eylemin gerçekleştiğinin ve suçun manevi unsurunun kanıtlanmasını gerektirir. Abonelik tespiti ile fail tespiti arasındaki boşluk, varsayımla değil tamamlayıcı delillerle giderilmelidir.
Bağlantı Kaydı ile Suç Teşkil Eden Eylem Arasındaki İspat Mesafesi
Bir IP adresinin hedef sunucuya bağlanması, bağlantı sırasında hangi işlemin gerçekleştirildiğini tek başına göstermez. Aynı sunucuda hukuka uygun ve hukuka aykırı çok sayıda hizmet bulunabilir. Bağlantının kurulması ile içeriğin görüntülenmesi, dosyanın indirilmesi, hesaptan mesaj gönderilmesi veya sisteme müdahale edilmesi farklı teknik olaylardır.
İsnat edilen fiilin belirlenebilmesi için bağlantının yöneldiği hizmet, kullanıcı hesabı, işlem türü ve zaman bilgisi ortaya konulmalıdır. Sunucu logunda yalnızca kaynak IP bulunması, suçun maddi unsurunun oluştuğunu kanıtlamaya yetmez. Bağlantının içeriği ve amacı başka delillerle açıklanmadan IP kaydına bağımsız bir anlam yüklenemez.
IP Eşleşmesini Destekleyen Dijital ve Fiziksel Deliller
IP adresinin ispat gücü, farklı delillerle kurduğu uyum ölçüsünde artar. Şüpheliye ait cihazda ilgili hesap oturumunun, uygulama verilerinin, dosyanın, tarayıcı kaydının veya bağlantı zamanıyla uyumlu kullanıcı hareketinin bulunması IP tespitini destekleyebilir. Telefon numarası, e-posta hesabı, iki aşamalı doğrulama kaydı ve cihaz kimliği de hesabın kullanıcıyla ilişkilendirilmesine katkı sağlar.
Nitelikli dolandırıcılık ve mali suçlarda banka hareketleri, ödeme araçları, elektronik para hesapları, kripto varlık transferleri ve iletişim kayıtları bağlantının ekonomik boyutunu gösterebilir. Kamera görüntüsü, konum verisi ve cihazın fiili hakimiyeti gibi fiziksel deliller de olay zamanındaki kullanıcıyı belirlemek için değerlendirilebilir.
Ceza Sorumluluğunun Şahsiliği ve Manevi Unsurun Belirlenmesi
TCK m. 20’de düzenlenen ceza sorumluluğunun şahsiliği ilkesi, abonelik sahibinin üçüncü kişinin eyleminden otomatik biçimde sorumlu tutulmasını engeller. İnternet bağlantısını başkasına kullandırmak veya kablosuz ağın güvenliğini yeterince sağlamamak, kastla işlenebilen bir suçun doğrudan faili olunduğunu göstermez.
Failin bağlantıyı bilinçli biçimde kullandığı kanıtlansa dahi suçun gerektirdiği kast ayrıca belirlenmelidir. Bir sunucuya yönelen otomatik bağlantı, arka planda çalışan uygulama veya bilgisi dışında senkronize edilen dosya ile iradi kullanıcı işlemi aynı hukuki sonucu doğurmaz. Teknik kayıt, kişinin bilme ve isteme unsurunu destekleyen davranışsal verilerle birlikte ele alınmalıdır.
Teknik Belirsizliğin Şüpheden Sanık Yararlanır İlkesine Etkisi
Eksik port bilgisi, hatalı zaman dönüşümü, ortak ağ kullanımı veya kaynağı doğrulanamayan log nedeniyle birden fazla teknik ihtimal ortaya çıkabilir. Mahkumiyet, tercih edilen ihtimalin sanık aleyhine olmasıyla kurulamaz. Alternatif açıklamalar araştırılmalı ve neden reddedildikleri denetlenebilir gerekçelerle gösterilmelidir.
Sanığın bağlantıyı kullandığı her türlü makul şüphenin ötesinde kanıtlanamıyorsa eksiklik onun aleyhine yorumlanamaz. Aynı ilke, bağlantı tespit edilmiş olsa bile suç teşkil eden işlemin kim tarafından yapıldığı veya manevi unsurun oluşup oluşmadığı belirlenemediğinde de geçerlidir.
Farklı Suç Tiplerinde IP ve Trafik Verilerinin İşlevi
IP adresinin delil değeri suç tipine göre değişir. İnternet bağlantısı ile suçun maddi unsuru arasındaki ilişki her isnat bakımından ayrı kurulmalıdır. Aynı teknik kayıt bir suçta doğrudan bağlantı göstergesi olabilirken başka bir suçta yalnızca araştırılması gereken başlangıç verisi niteliği taşıyabilir.
Bilişim Sistemine Girme ve Sisteme veya Veriye Müdahale Suçları
TCK m. 243 ve TCK m. 244 kapsamındaki suçlamalarda IP kaydı, hedef sisteme yönelen bağlantının kaynağını araştırmaya yarar. Yetkisiz girişin, veri değişikliğinin veya sistem işleyişine müdahalenin kanıtlanması için sunucu loglarının işlem türünü göstermesi gerekir. Başarısız oturum denemesi ile sisteme girilmesi, sayfa talebi ile yönetim komutu çalıştırılması aynı nitelikte değildir.
Şüphelinin cihazında bulunan araçlar, komut geçmişi, hedefe ait veriler ve bağlantı zamanıyla uyumlu kayıtlar incelenmelidir. Sistemdeki güvenlik açığı veya başka kullanıcıların aynı IP üzerinden işlem yapma ihtimali dışlanmadan fail tespiti tamamlanmış sayılmaz.
Ayrıntılı bilgi:
Sosyal Medya Hesapları Üzerinden İşlenen Suçlar
Hakaret, tehdit, kişisel verilerin hukuka aykırı paylaşılması ve özel hayatın gizliliğinin ihlali gibi suçlarda platform kayıtları hesabın oturum hareketlerini gösterebilir. Paylaşımın bağlantılı olduğu IP adresi, hesabı kullanan kişinin araştırılmasına yardımcı olur. Ancak hesaba giriş yapılması ile suç oluşturan içeriğin aynı kişi tarafından üretilmesi arasında ayrıca bağ kurulmalıdır.
İçeriğin bağlantısı, paylaşım zamanı, hesap geçmişi, oturum açılan cihazlar ve kurtarma bilgileri korunmalıdır. Hesabın ele geçirildiği iddiası varsa parola değişiklikleri, güvenlik bildirimleri ve farklı konumlardan gerçekleşen oturumlar araştırılmalıdır.
Nitelikli Dolandırıcılık ve Elektronik Mali Hareketlerle Kurulan Bağ
İnternet veya bilişim sistemlerinin araç olarak kullanıldığı dolandırıcılık suçlarında IP adresi, sahte ilan, mesajlaşma hesabı, ödeme paneli veya internet bankacılığı oturumları arasında bağlantı kurabilir. Buna karşılık farklı işlemlerin aynı IP adresinden yapılması, kişilerin birlikte hareket ettiğini kendiliğinden kanıtlamaz.
Hesap sahipliği, para transferleri, cihaz eşleşmeleri, GSM hatları ve yazışmalar birlikte değerlendirilmelidir. Üçüncü kişiye ait banka hesabı ile IP kaydının yan yana bulunması, hesap sahibinin hileli davranışa katıldığını veya suç kastıyla hareket ettiğini göstermeye yetmez.
Çevrimiçi İçerik ve Dosya Paylaşımına İlişkin Suçlamalar
Dosya paylaşımına dayanan suçlamalarda IP kaydının hangi dosyaya ve hangi işleme ait olduğu belirlenmelidir. Dosya özeti, bağlantı zamanı, paylaşım protokolü ve cihazdaki içerik eşleşmesi incelenmeden yalnızca bir paylaşım ağına bağlantı kurulması yeterli kabul edilemez.
Dosyanın indirilmesi, geçici bellekte oluşması, otomatik senkronizasyonla cihaza gelmesi ve bilinçli biçimde paylaşılması farklı teknik süreçlerdir. Failin dosyanın niteliğini bildiği ve aktarımı iradi olarak gerçekleştirdiği, cihaz verileri ile kullanıcı davranışları üzerinden kanıtlanmalıdır.
CGNAT Kayıtlarında Kaynak Port ve Hedef Verilerinin İşlevi
NAT işlemi ev veya işyeri ağındaki özel IP adreslerini modem üzerindeki genel IP adresine dönüştürür. CGNAT ise benzer dönüşümü erişim sağlayıcı düzeyinde yaparak aynı genel IPv4 adresini çok sayıda aboneye eş zamanlı olarak tahsis eder. Her bağlantıya ayrılan kaynak port, aynı genel IP adresi üzerinden internete çıkan abonelerin birbirinden ayrılmasını sağlar.
NCMEC CyberTipline raporları, elektronik hizmet sağlayıcının bildirdiği veriler üzerinden oluşturulur. Raporlarda kullanıcının hesaba giriş yaptığı, içeriği yüklediği veya başka bir işlem gerçekleştirdiği IP adresi ile olayın tarih ve saat bilgisi bulunabilir. NCMEC’in güncel teknik raporlama şemasında kaynak port için ayrı alan yer almakla birlikte bu alan zorunlu değildir. Bu nedenle raporlayan platforma ve rapor tarihine göre port bilgisi mevcut olabileceği gibi yalnızca IP adresi ve zaman bilgisi de aktarılmış olabilir.
Türkiye’de mobil erişimde ve sabit internet hizmetlerinin bir bölümünde genel IPv4 adresleri CGNAT altyapısıyla birden fazla aboneye paylaştırılmaktadır. NCMEC raporunda yalnızca genel IP adresi ile tarih ve saat bulunması, port bilgisinin yer almaması halinde belirli bir abonenin diğer kullanıcılardan ayrılmasını engelleyebilir. Aynı IP adresinin aynı saniyede farklı portlar üzerinden çok sayıda abone tarafından kullanılması mümkündür. Erişim sağlayıcı, kaynak port olmadan hangi abonenin rapora konu bağlantıyı gerçekleştirdiğini belirleyemeyebilir.
NCMEC raporundaki IP adresinin Türkiye’deki bir erişim sağlayıcıya ait olduğunun anlaşılması, rapora konu kişinin veya abonenin tespit edildiği anlamına gelmez. Önce IP adresi, zaman ve kaynak port üzerinden abonelik eşleştirmesi yapılmalı, ardından bağlantıyı fiilen kullanan kişi ayrıca belirlenmelidir. Port içermeyen bir raporda ilk aşamanın dahi tamamlanamaması mümkündür.
NCMEC Raporlarına Dayanan Çevrimiçi İçerik Suçlamaları
NCMEC CyberTipline raporları, elektronik hizmet sağlayıcıların çocukların çevrimiçi cinsel istismarı ve cinsel istismar materyalleriyle ilgili bildirimlerini soruşturma makamlarına ulaştıran önemli bir bilgi kaynağıdır. Raporun içeriğine göre kullanıcı hesabı, e-posta adresi, ekran adı, dosya bilgileri, içerik özeti, yükleme olayı, IP adresi ve zaman bilgisi bulunabilir. Rapordaki veri kapsamı, bildirimi yapan platformun NCMEC’e hangi alanları aktardığına bağlıdır.
Raporlarda sıklıkla karşılaşılan IP adresi ve tarih bilgisi, olayın belirli bir internet bağlantısıyla ilişkilendirilmesini sağlayabilir. Ancak kaynak portun bildirilmediği bir NCMEC raporunda, rapora konu genel IPv4 adresi CGNAT kapsamında paylaştırılıyorsa fail tespiti ciddi bir teknik engelle karşılaşır. IP adresi ve saniye bilgisi aynı olmasına rağmen farklı portları kullanan birden fazla abonenin bulunması mümkündür. Bu kayıt üzerinden abonelerden yalnızca birinin seçilmesi teknik veriye değil varsayıma dayanır.
Soruşturma makamı, port bilgisi bulunmayan raporlarda bildirimi yapan elektronik hizmet sağlayıcıdan kaynak portu, bağlantı türünü, zaman standardını ve ilgili hesap oturumlarına ait diğer kayıtları istemelidir. Kaynak port sağlayıcı tarafından tutulmamış veya saklama süresi nedeniyle silinmişse erişim sağlayıcının CGNAT kayıtlarından kesin abone tespiti yapılamayabilir. Eksik teknik alanın sanık aleyhine yorumla tamamlanması ceza muhakemesinin ispat kurallarıyla bağdaşmaz.
Abonenin tespit edilmesi de NCMEC raporuna konu eylemin aynı kişi tarafından gerçekleştirildiğini tek başına kanıtlamaz. Hesabın kim tarafından kullanıldığı, içeriğin hangi cihazdan yüklendiği, dosyanın cihazda bulunup bulunmadığı, dosya özeti eşleşmesi, oturum kayıtları ve kullanıcının içeriğin niteliğini bilip bilmediği ayrıca araştırılmalıdır. NCMEC raporu soruşturmayı başlatan güçlü bir teknik bildirim olabilir, fakat failin ve suç kastının doğrudan kanıtı olarak kabul edilemez.
Eksik Port, Zaman ve Hedef IP Verilerine Yönelik İtirazlar
CGNAT ortamında kaynak portun bulunmaması, aynı genel IP adresini kullanan abonelerin ayrılmasını engelleyebilir. Zaman bilgisindeki saat dilimi ve hassasiyet eksikliği de sorgunun güvenilirliğini azaltır. Hedef IP ve hedef portun bulunmaması halinde bağlantının gerçekten isnat edilen hizmete yönelip yönelmediği denetlenemeyebilir.
NCMEC raporunda IP adresi ve olay zamanı bulunmasına rağmen kaynak port yer almıyorsa öncelikle bildirimi yapan elektronik hizmet sağlayıcının ek kayıtları araştırılmalıdır. Raporlama şemasında port alanının mevcut olması, bu verinin raporlayan platform tarafından tutulduğu veya NCMEC’e aktarıldığı anlamına gelmez. Platformdan kaynak port, oturum kayıtları, cihaz kimlikleri ve hesap hareketleri istenmeden yalnızca IP adresine dayalı abonelik sorgusuyla yetinilmemelidir.
Savunma, eksik alanların sağlayıcılardan yeniden istenmesini, ham kayıtların teminini ve zaman dönüşümünün açıklanmasını talep edebilir. Kaynak portun hiç tutulmadığı veya saklama süresinin sona erdiği anlaşılırsa CGNAT kullanan genel IP adresinden belirli bir aboneye ulaşmanın teknik olarak mümkün olup olmadığı bilirkişi tarafından açıklanmalıdır. Kayıt eksikliği sanık aleyhine varsayımla giderilemez.
Ayrıntılı bilgi: NCMEC Davaları Hakkında Merak Edilenler
Yargıtay ve Anayasa Mahkemesi Kararlarında IP ve CGNAT Verileri
Yüksek yargı kararlarında IP ve CGNAT verileri kategorik biçimde değersiz sayılmamakta, verinin hukuka uygun elde edilmesi, teknik olarak doğrulanması ve diğer delillerle ilişkilendirilmesi aranmaktadır. Kararın dayandığı teknik tespitin denetlenebilir olması, adil yargılanma hakkı bakımından da önem taşır.
Teknik Kaydın Somut Olayla İlişkilendirilmesi
Anayasa Mahkemesinin Ferhat Kara kararında IP adreslerinin statik ve dinamik yapısı ile CGNAT kayıtlarının teknik işlevi açıklanmıştır. Karar ByLock deliline özgü koşulları ele alsa da IP kaydının bir kişiye bağlanabilmesi için kayıt alanlarının doğru eşleştirilmesi gerektiğini göstermektedir.
Kapatılan Yargıtay 16. Ceza Dairesinin 30.06.2021 tarihli, E. 2020/2018 ve K. 2021/4527 sayılı kararında yalnızca CGNAT kayıtlarının ByLock kullanıcılığının kesin tespiti için yeterli olmadığı kabul edilmiştir. Bu yaklaşım bütün IP delillerine mekanik biçimde aktarılamaz. Kararın önemi, CGNAT bağlantısının kullanıcı ve işlem tespitiyle tamamlanması gerektiğini ortaya koymasından kaynaklanır.
Abonelik Kaydının Ötesine Geçen Gerekçe Zorunluluğu
Mahkemenin yalnızca suç tarihindeki IP adresinin sanık adına kayıtlı aboneliğe tahsis edildiğini belirtmesi, fiili kullanıcının nasıl belirlendiğini açıklamaz. Ortak ağ ihtimali, cihazın kimde bulunduğu, hesabın kimin tarafından kullanıldığı ve eylemin hangi teknik kayıtla sanığa bağlandığı gerekçede gösterilmelidir.
Mahkumiyet hükmü, IP kaydının ispat ettiği olguyla ona yüklenen hukuki anlamı birbirinden ayırmalıdır. Bağlantının sanığa ait kabul edilmesi ile suçun maddi ve manevi unsurlarının oluştuğunun kabulü ayrı gerekçe gerektirir.
Sanığın Teknik İtirazlarının Kararda Karşılanması
Port eksikliği, zaman uyuşmazlığı, ortak bağlantı, hesap ele geçirilmesi veya cihaz incelemesindeki çelişki yargılamanın sonucunu değiştirebilecek nitelikteyse mahkeme bu iddiaları değerlendirmelidir. Her savunma ayrıntısına ayrı cevap verilmesi gerekmese de belirleyici teknik itirazların cevapsız bırakılması hükmün denetlenmesini engeller.
Bilirkişi raporuna yöneltilen somut itirazlar uzmanlık gerektiriyorsa ek rapor veya yeni bilirkişi incelemesi yoluna gidilebilir. Mahkemenin teknik sorunu kendi varsayımıyla çözmesi, delilin kapsamının hatalı belirlenmesine neden olabilir.
IP Verisine Dayanan Suçlamalarda Bilirkişi İncelemesi ve Savunma Argümanları
IP ve trafik verilerine ilişkin savunma, kaydın tümden reddedilmesine değil, ispat ettiği olgunun doğru sınırlandırılmasına dayanmalıdır. Teknik verinin kaynağı, bütünlüğü, eşleştirme yöntemi ve sanıkla ilişkisi ayrı ayrı denetlenmelidir.
Ham Log Kayıtları ile Bilirkişi Raporunun Denetlenmesi
Bilirkişi raporunda yalnızca nihai abonelik sonucunun yazılması yeterli değildir. İncelenen ham loglar, alan açıklamaları, zaman standardı, sorgu yöntemi ve yapılan dönüşümler gösterilmelidir. Platform kaydı ile erişim sağlayıcı cevabının hangi ortak değerler üzerinden eşleştirildiği anlaşılabilmelidir.
Raporun tekrarlanabilir bir yöntem içermemesi, teknik sonucun doğrulanmasını engeller. Bilirkişinin hukuki sorumluluk konusunda değerlendirme yapması da görev sınırını aşar. Teknik bulgunun hukuki anlamını belirleme yetkisi mahkemeye aittir.
Eksik Port, Zaman ve Hedef IP Verilerine Yönelik İtirazlar
CGNAT ortamında kaynak portun bulunmaması, aynı genel IP adresini kullanan abonelerin ayrılmasını engelleyebilir. Zaman bilgisindeki saat dilimi ve hassasiyet eksikliği de sorgunun güvenilirliğini azaltır. Hedef IP ve hedef portun bulunmaması halinde bağlantının gerçekten isnat edilen hizmete yönelip yönelmediği denetlenemeyebilir.
Savunma, eksik alanların sağlayıcıdan yeniden istenmesini, ham kayıtların teminini ve zaman dönüşümünün açıklanmasını talep edebilir. Kayıtların saklama süresi dolmuşsa bu eksikliğin sanık aleyhine varsayımla tamamlanması mümkün değildir.
Cihaz İncelemesi ve Diğer Dijital Verilerle Çelişen Tespitler
IP eşleşmesine rağmen cihazda ilgili hesap, dosya, uygulama veya kullanıcı hareketinin bulunmaması tek başına beraat sebebi sayılmaz. Silme, cihaz değişikliği veya uzaktan erişim ihtimalleri araştırılmalıdır. Buna karşılık cihaz incelemesindeki yokluk da hiçbir gerekçe gösterilmeden etkisiz kabul edilemez.
Log kaydı ile cihaz zaman çizelgesi, konum verisi, hesap oturumları ve iletişim kayıtları çelişiyorsa çelişkinin nedeni teknik olarak açıklanmalıdır. Delillerden yalnızca suçlamayı destekleyenlerin seçilmesi, bütüncül değerlendirme yapılmasını engeller.
Alternatif Teknik Senaryonun Somut Verilerle Ortaya Konulması
Ortak ağ, VPN, hesap ele geçirilmesi veya zararlı yazılım ihtimali yalnızca teorik düzeyde ileri sürülmemelidir. Modem kayıtları, güvenlik bildirimleri, farklı cihaz oturumları, zararlı yazılım kalıntıları veya olay zamanındaki fiziksel konum gibi veriler alternatif açıklamayı destekleyebilir.
Etkili savunma argümanı, IP kaydını yok saymak yerine kaydın hangi olguyu kanıtlayabildiğini ve hangi sonuca ulaşmaya yetmediğini teknik verilerle gösterir. Ceza sorumluluğu, bağlantı sahibine değil suç teşkil eden fiili kastla gerçekleştirdiği kanıtlanan kişiye yüklenebilir.
Kaynaklar: Türkiye Cumhuriyeti Anayasası, 5237 sayılı Türk Ceza Kanunu, 5271 sayılı Ceza Muhakemesi Kanunu, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun, 6698 sayılı Kişisel Verilerin Korunması Kanunu, 5809 sayılı Elektronik Haberleşme Kanunu, İnternet Ortamında Yapılan Yayınların Düzenlenmesine Dair Usul ve Esaslar Hakkında Yönetmelik, Anayasa Mahkemesi Ferhat Kara Kararı, B. No. 2018/15231, 04.06.2020, Kapatılan Yargıtay 16. Ceza Dairesinin 30.06.2021 tarihli E. 2020/2018 ve K. 2021/4527 sayılı kararı
