Dijital Delil ve Adli Bilişim: İmaj Alma, Hash Değeri ve Delil Zinciri

Bir ceza dosyasında telefondan, bilgisayardan ya da buluttan çıkan veri, kâğıda dökülüp klasöre konduğu anda “delil” sanılır. Oysa dijital delilin hukuki değeri iki soruya bağlıdır: hukuka uygun elde edildi mi ve elde edildiği andan itibaren değişmediği ispatlanabiliyor mu? Bu iki sorunun teknik cevabı imaj, hash ve delil zinciri kavramlarında saklıdır.

Dijital Delilde Denetim Noktaları

Dijital deliller kolayca değiştirilebildiğinden, güvenilirlikleri süreçteki her adımın belgelenmiş olmasına bağlıdır. Savunma bu adımları tek tek denetlemelidir.

Dördüncü ve beşinci satırlar dijital delilin omurgasıdır: hash değeri, verinin alındığı andaki hâliyle inceleme anındaki hâlinin aynı olduğunu gösteren tek teknik güvencedir. Alınma anında hesaplanmamış veya inceleme sonrası doğrulanmamış bir hash değeri, verinin sonradan değiştirilmediği iddiasını ispatsız bırakır.

Sekizinci satır ise hukuki karşılığı olan teknik bir kavramdır: delil zinciri, verinin ele geçirildiği andan mahkemeye sunulduğu ana kadar kimin elinden geçtiğini ve hangi işlemlerin yapıldığını kesintisiz olarak gösterir. Zincirdeki bir boşluk, delilin güvenilirliğini doğrudan zayıflatır.

Savunmada İleri Sürülebilecek İtirazlar

Dijital delillere yönelik itirazlar teknik ve hukuki olarak ikiye ayrılır.

Yedinci satır uygulamada en çok sonuç veren savunmalardan biridir: bir cihazda bulunan verinin kimin tarafından oluşturulduğu her zaman kendiliğinden anlaşılmaz; ortak kullanılan bilgisayarlar, paylaşılan hesaplar veya birden fazla kişinin eriştiği sistemlerde verinin aidiyeti ayrıca ortaya konmalıdır. Dokuzuncu satır ise teknik bir savunmadır; sisteme uzaktan erişim veya zararlı yazılım ihtimali ileri sürüldüğünde bu husus bilirkişi incelemesiyle araştırılmalıdır.

Yargılama usulü rehberlerimiz: delil ve delil serbestisi · tanıklık · görevli mahkeme · iddianamenin iadesi · dijital delil · haksız tahrik

Özetle: Hash Yoksa Değişmezlik Yok

Dijital deliller kolayca değiştirilebildiğinden güvenilirlikleri, süreçteki her adımın belgelenmiş olmasına bağlıdır. Denetim beş noktada yapılır: hâkim kararının varlığı ve kapsamı, imaj alınıp alınmadığı, hash değerinin hesaplanıp doğrulanıp doğrulanmadığı, delil zincirinin kesintisizliği ve bilirkişi raporunun yöntemi.

Teknik omurgayı hash değeri oluşturur: verinin alındığı andaki hâli ile inceleme anındaki hâlinin aynı olduğunu gösteren tek güvencedir. Alınma anında hesaplanmamış veya inceleme sonrası doğrulanmamış bir hash değeri, verinin sonradan değiştirilmediği iddiasını ispatsız bırakır.

Hukuki omurga ise CMK m.134’tür: hâkim kararı, kuvvetli şüphe ve başka surette delil elde etme imkânının bulunmaması. Ayrıca yedeklemeden şüpheliye kopya verilmesi de kanuni bir haktır.

Uygulamada en çok sonuç veren savunma ise aidiyettir: bir cihazda bulunan verinin kim tarafından oluşturulduğu kendiliğinden anlaşılmaz; ortak kullanılan cihazlar, paylaşılan hesaplar veya uzaktan erişim ihtimali bulunan sistemlerde verinin kime ait olduğu ayrıca ortaya konmalıdır.

Dijital Delilin İki Zayıf Noktası: Elde Etme ve Bütünlük

Bir bıçağın üzerindeki parmak izi zamanla değişmez; bir dijital dosya ise açıldığı anda dahi değişebilir. Bu nedenle dijital delilin denetimi iki ayrı eksende yürür.

Birinci eksen hukuka uygunluktur. Bilgisayarlarda, bilgisayar programlarında ve kütüklerinde arama yapılması, kopya çıkarılması ve bu kayıtların çözülerek metin hâline getirilmesi, Ceza Muhakemesi Kanunu’nun 134. maddesi uyarınca hâkim kararına bağlıdır. Kararsız veya karar kapsamı dışında yapılan bir inceleme, teknik olarak ne kadar kusursuz olursa olsun hukuka aykırıdır.

İkinci eksen bütünlüktür. Delilin, el konulduğu andan mahkemeye sunulduğu ana kadar değişmediğinin gösterilmesi gerekir. Bu, adli bilişimin teknik diliyle imaj alma ve hash doğrulamasıyla; hukukun diliyle delil zinciriyle sağlanır.

İmaj Almak Ne Demek? Kopyalamadan Farkı Nedir?

Dosyaları bir klasöre kopyalamak ile adli imaj almak aynı şey değildir. İmaj (adli kopya), diskin veya hafızanın bit düzeyinde, boş alanlar ve silinmiş veri izleri dâhil olmak üzere birebir kopyasıdır. Basit kopyalamada yalnızca görünen dosyalar alınır; silinmiş verilerin izleri, dosya sistemi kayıtları ve zaman damgaları kaybolur.

Adli bilişimde doğru yöntem, orijinal cihaza mümkün olduğunca hiç dokunmadan yazma korumalı bir ortamda imaj almak ve incelemeyi imaj üzerinde yapmaktır. Orijinal cihaz üzerinde doğrudan inceleme yapılması, cihaza açılma-erişim kayıtları yazılmasına ve zaman damgalarının değişmesine yol açar. Raporda “cihaz üzerinde inceleme yapılmıştır” ifadesi görüyorsanız, bu ayrıca sorgulanması gereken bir noktadır.

Hash (Özet) Değeri: Delilin Parmak İzi

Hash, bir veri kümesinden matematiksel olarak üretilen sabit uzunlukta bir özet değerdir. Verinin tek bir bitinin bile değişmesi, özet değerini tamamen farklı hâle getirir. Bu özelliği sayesinde hash, dijital delilin “parmak izi” işlevini görür.

Uygulamada beklenen akış şudur: imaj alınırken bir özet değer hesaplanır ve tutanağa yazılır; inceleme sırasında ve gerektiğinde duruşma aşamasında aynı hesaplama tekrarlanır. Değerler aynıysa verinin değişmediği gösterilmiş olur. Farklıysa ya da hiç hesaplanmamışsa, delilin bütünlüğü ispatlanamıyor demektir.

Savunma açısından üretken sorular şunlardır: Özet değer hesaplandı mı? Hangi algoritma kullanıldı? Tutanağa yazıldı mı? Şüpheliye veya müdafiine bildirildi mi? İnceleme raporundaki değerle elkoyma tutanağındaki değer aynı mı?

Yedekleme ve Kopya Alma Hakkınız

Kanun, dijital delilde şüpheliyi korumak için somut bir güvence öngörmüştür: sistemdeki verilerin yedeklemesi yapılır; istemesi hâlinde bu yedekten bir kopya çıkarılarak şüpheliye veya vekiline verilir ve bu husus tutanağa geçirilerek imza altına alınır. Ayrıca cihazlara elkonulmaksızın da sistemdeki verilerin tamamının veya bir kısmının kopyası alınabilir; alınan kopya kâğıda yazdırılarak tutanağa kaydedilir ve ilgililerce imzalanır.

Bu hükmün pratik değeri büyüktür. Kopya verilmemişse, savunma karşı inceleme yapamaz; bu durumda silahların eşitliği ilkesi bakımından ileri sürülebilecek somut bir itiraz doğar. Talebin yazılı olarak yapılması ve tutanağa geçirilmesi bu yüzden önemlidir.

Delil Zinciri: Cihaz Kimin Elinden Geçti?

Delil zinciri (chain of custody), delilin ele geçirildiği andan mahkemeye sunulduğu ana kadar kimin elinde bulunduğunu, nerede saklandığını ve hangi işlemlerden geçtiğini gösteren kesintisiz kayıttır. Ceza muhakemesinde delil zinciri şu halkalardan oluşur:

• Elkoyma tutanağı: cihazın markası, modeli, IMEI/seri numarası, tarih ve saat.
• Mühürleme: cihazın huzurda mühürlenmesi ve mühür numarasının tutanağa yazılması.
• Adli emanete alınması ve emanet numarası.
• İncelemeye gönderilme ve teslim-tesellüm kayıtları.
• İnceleme tarihi, mührün açılması ve yeniden mühürlenmesi.
• Rapor tarihi ve dosyaya sunulma tarihi.

Bu halkalardan birinin eksikliği — özellikle mühürsüz teslim, tarih boşlukları veya seri numarası uyuşmazlıkları — delilin bütünlüğünü tartışmaya açar. Savunmanın işi, bu tarihleri yan yana dizip zincirin nerede koptuğunu göstermektir.

Ekran Görüntüsü, WhatsApp Yazışması ve Ses Kaydı Delil Olur mu?

Bu, en sık sorulan sorudur ve cevabı tek kelimeyle verilemez. Genel çerçeve şudur:

• Ekran görüntüsü tek başına zayıf bir delildir; kolayca üretilebilir ve değiştirilebilir. Değerini artıran şey, kaynağıyla doğrulanabilmesidir: cihazın kendisinin incelenmesi, mesajın karşı taraftaki kaydı, operatör kayıtları veya noter tespiti.
• Mesajlaşma kayıtları bakımından belirleyici olan, verinin nasıl elde edildiğidir. Kişinin kendi telefonundaki kendi yazışmasını sunması ile başkasının telefonuna izinsiz erişerek elde edilen kayıt hukuken tamamen farklıdır; ikincisi hem delil olarak kullanılamaz hem de başlı başına suç oluşturabilir.
• Kendi konuşmasının kaydı konusunda yerleşik yaklaşım, kişinin bir daha elde edilme imkânı bulunmayan, kaybolma ihtimali olan bir delili kaybolmaması amacıyla ani gelişen olayda kaydetmesi ile planlı ve sistematik kayıt arasında ayrım yapmaktır. Bu ayrım her somut olayda ayrıca değerlendirilir.

Kısacası: bir kaydın “var olması” ile “hükme esas alınabilmesi” arasında hukuk vardır.

Silinmiş Veri, Bulut Verisi ve Konum Kayıtları

Silinen bir dosya çoğu zaman fiziksel olarak yok olmaz; yalnızca dosya sistemindeki işareti kaldırılır ve alan yeniden yazılana kadar kurtarılabilir. Adli bilişim incelemelerinde “silinmiş veri kurtarıldı” ifadesi bu anlama gelir. Ancak kurtarılan verinin kime ait olduğu, ne zaman oluştuğu ve kim tarafından oluşturulduğu ayrı bir ispat konusudur; cihazda bulunması tek başına aidiyeti göstermez. Ortak kullanılan bir bilgisayar, paylaşılan hesap veya zararlı yazılım ihtimali her zaman tartışılabilir.

Bulut hesaplarındaki veriler ve konum kayıtları bakımından ayrıca kapsam sorunu doğar: cihaz için verilen bir karar, otomatik olarak buluttaki tüm hesapları kapsamaz. Karar metninin sınırlarını aşan bir inceleme, kapsam aşımı itirazının konusudur.

Adli Bilişim Raporuna İtiraz: Nelere Bakılır?

Bilirkişi raporu bir hüküm değil, tartışılabilir bir teknik görüştür. Rapora karşı ileri sürülecek başlıklar şunlardır:

• Yetki ve karar: inceleme hangi karara dayanıyor, kapsamı ne?
• Yöntem: imaj alındı mı, cihaz üzerinde mi çalışıldı, hangi yazılım kullanıldı?
• Bütünlük: özet değer hesaplandı mı, tutanaklardaki değerlerle uyumlu mu?
• Aidiyet: veri kime ait, cihaza kim erişebiliyordu?
• Kapsam aşımı: karar dışı hesap, dönem veya cihaz incelenmiş mi?
• Eksik inceleme: lehe olabilecek veriler (silinen mesajın devamı, bağlamı gösteren yazışma) rapora alınmış mı?

Bu itirazların dilekçeyle ve süresinde ileri sürülmesi, gerektiğinde uzman mütalaası veya ek bilirkişi incelemesi talep edilmesi gerekir. Duruşmada sözlü olarak dile getirilip tutanağa geçirilmeyen bir teknik itiraz, kanun yolu aşamasında dayanaksız kalır.

Dijital Delile İtiraz: Adım Adım Yol Haritası

1. Tedbir kararını dosyaya getirtin — Cihaza hangi tarihte, hangi mercice, hangi suç bakımından el konulduğunu gösteren kararı ve arama-elkoyma tutanağını dosyaya isteyin. Karar yoksa denetim de yapılamaz.
2. Yedek ve kopya hakkınızı kullanın — Sistemdeki verilerin yedeklemesinin yapılıp yapılmadığını, talebiniz hâlinde bu yedekten bir kopyanın size veya müdafiinize verilip verilmediğini ve bunun tutanağa geçirilip imzalandığını kontrol edin.
3. Hash (özet) değerlerini karşılaştırın — İmaj alınırken hesaplanan özet değer ile inceleme sırasında hesaplanan değerin aynı olup olmadığını sorgulayın. Farklılık, veri bütünlüğünün bozulduğuna işaret eder.
4. Delil zincirini tarih-saat üzerinden çıkarın — Elkoyma, mühürleme, emanete alma, incelemeye gönderme ve rapor tarihlerini sıraya dizin. Zincirdeki boşluklar ve mühür bütünlüğüne ilişkin eksiklikler ayrıca ileri sürülmelidir.
5. Bilirkişi raporuna karşı rapor sunun — Rapordaki teknik tespitlerin dayanağını, kullanılan yazılımı ve inceleme yöntemini sorgulayın; gerekiyorsa uzman mütalaası alarak ek bilirkişi incelemesi talep edin.

Sıkça Sorulan Sorular

Telefonuma el konulması için hâkim kararı şart mı?

Bilgisayarlarda, bilgisayar programlarında ve kütüklerinde arama yapılması, kopya çıkarılması ve kayıtların çözülerek metin hâline getirilmesi hâkim kararına bağlıdır. Kararsız veya karar kapsamı dışında yapılan inceleme hukuka aykırıdır.

İmaj almak ile dosyaları kopyalamak aynı şey mi?

Hayır. İmaj, boş alanlar ve silinmiş veri izleri dâhil bit düzeyinde birebir kopyadır. Basit kopyalamada yalnızca görünen dosyalar alınır; silinmiş veri izleri ve zaman damgaları kaybolur.

Hash değeri neden önemlidir?

Hash, verinin özet değeridir ve tek bir bit değişse tamamen farklılaşır. İmaj alınırken ve inceleme sırasında hesaplanan değerlerin aynı olması, delilin değişmediğini gösterir; hesaplanmamışsa bütünlük ispatlanamaz.

Telefonumdaki verilerin bir kopyasını alabilir miyim?

Evet. Sistemdeki verilerin yedeklemesi yapılır ve istemeniz hâlinde bu yedekten bir kopya size veya müdafiinize verilir; bu husus tutanağa geçirilerek imza altına alınır. Talebin yazılı yapılması önemlidir.

WhatsApp yazışması delil olarak kullanılabilir mi?

Nasıl elde edildiğine bağlıdır. Kişinin kendi cihazındaki kendi yazışmasını sunması ile başkasının telefonuna izinsiz erişerek elde edilen kayıt farklıdır; ikincisi delil olarak kullanılamayacağı gibi ayrıca suç oluşturabilir.

Cihazımda bulunan veri otomatik olarak bana mı aittir?

Hayır. Verinin cihazda bulunması aidiyeti tek başına ispatlamaz. Ortak kullanım, paylaşılan hesap veya zararlı yazılım ihtimalleri ile verinin oluşma zamanı ve kim tarafından oluşturulduğu ayrıca tartışılır.