Finansal Siber Suçlar, Biyometrik Veri İstismarı, Bankacılık Dolandırıcılığı
Ulusralarası finans ve bilişim hukuku standartlarında; uzaktan müşteri edinimi süreçlerinde biyometrik canlılık doğrulamasının güvenliği finansal sistemin temel omurgasını oluşturur. Canlı doğrulama mekanizmalarının gerçek zamanlı yapay zeka yüz değiştirme 3D enjeksiyon saldırıları veya sentetik kimlikler ile by-pass edilmesi; uluslararası alanda finansal sistemin güvenliğine ve mülkiyet hakkına yönelik ağır bir kitle siber suç eylemi kabul edilir.
Türk Ceza Mevzuatı
Uzaktan kimlik doğrulama sistemlerinin Deepfake teknolojileri kullanılarak aldatılması ve yetkisiz finansal hesaplar açılması eylemleri, Türk Ceza Kanunu (TCK) bünyesinde bilişim suçları, dolandırıcılık ve kişisel verilerin korunması ihlallerinin birleşimi (fikri içtimai) olarak değerlendirilir:
TCK m. 158/1-f (Bilişim Sistemlerinin Araç Olara Kullanılması Suretiyle Nitelikli Dolandırıcılık): Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması siluetiyle dolandırıcılık suçunun işlenmesi halinde 4 yıldan 10 yıla kadar hapis ve beş bin güne kadar adli para cezasına hükmolunur. Deepfake ile banka KYC sistemini aşıp kredi çekmek veya hesap açmak bu kapsamdadır.
TCK m. 244/2 (Sistemdeki Verileri Değiştirme veya Yanıltıcı Veri Ekleme): Bir bilişim sistemindeki verileri yok eden, değiştiren, erişilmez kılan, sisteme veri ekleyen veya var olan verileri başka bir yere gönderen kişi 1 yıldan 6 yıla kadar hapis cezası ile cezalandırılır.
TCK m. 136 Kapsamında (Kişisel Verileri Hukuka Aykırı Olarak Ele Geçirme veya Yayma): Başkasına ait biyometrik verilerin veya kimlik bilgilerinin Deepfake modellemesinde izinsiz kullanılması durumunda 2 yıldan 4 yıla kadar hapis cezası tatbik edilir.
TCK m. 204 & m. 207 Kapsamında: Dijital ortamda sahte kimlik kartı görselleri ve biyometrik veriler üretilmesi evrakta sahtecilik suçlarını oluşturur.
Soruşturma ve Yargılama Sürecinde Savunma
Kolluk veya banka siber güvenlik birimleri tarafından tutulan kayıtlar CMK m. 134 uyarınca adli bilişim uzmanlarınca taranmalıdır. Saldırının cihaz içi sanal kamera aracılığıyla mı yapıldığı, yoksa donanımsal optik sensörlerden gelen gerçek veri mi olduğu piksel akış analizleriyle belirlenmelidir. 5411 sayılı Bankacılık Kanunu ve BDDK Uzaktan Kimlik Tespiti Yönetmeliği uyarınca bankalar, canlılık doğrulama sistemlerinin güvenliğini en üst düzeyde sağlamakla yükümlüdür. Zayıf güvenlik doğrulama altyapısı nedeniyle adına sahte hesap açılan üçüncü kişilerin idari ve cezai sorumluluğu bulunmamaktadır. Kendi bilgileri kullanılarak Deepfake ile adına hesap açılan ancak durumdan haberi olmayan mağdurlar bakımından, kastın bulunmadığı somut HTS kayıtları, IP adresleri ve cihaz parmak izleriile kanıtlanarak takipsizlik veya beraat kararı alınmalıdır.
Sıkça Sorulan Sorular
Bir bankadan arandım ve adıma uzaktan kimlik doğrulaması yapılarak kredi çekildiğini öğrendim. Ne yapmalıyım?
Cevap: Zaman kaybetmeden bankaya yazılı itirazda bulunulmalı, Cumhuriyet Başsavcılığına TCK m. 158/1-f ve TCK m. 136 uyarınca suç duyurusunda bulunulmalı ve adli bilişim incelemesi istenmelidir. Cihazınızda biyometrik verilerinizi çalan bir zararlı yazılım olup olmadığı tespit edilmelidir.
İnternette gördüğüm bir yapay zeka aracıyla arkadaşımın yüzünü kullanarak ödeme uygulamasına kaydolmayı denedim, sistem kabul etti. Bu bir suç mudur?
Cevap: Evet. Herhangi bir maddi çıkar elde edilmemiş olsa dahi, TCK m. 244 (Bilişim sistemine yetkisiz veri ekleme) ve TCK m. 136 (Kişisel verileri hukuka aykırı kullanma) suçları tamamlanmış sayılır ve hakkınızda hapis cezası istemiyle adli soruşturma açılır.
Uluslararası finans ve bilişim hukuku standartlarında uzaktan müşteri ediniminde biyometrik canlılık doğrulaması neden kritiktir?
Cevap: Uzaktan müşteri edinimi süreçlerinde biyometrik canlılık doğrulamasının güvenliği finansal sistemin temel omurgasını oluşturur.
Deepfake ve yapay zeka yüz değiştirme teknolojileriyle yapılan enjeksiyon saldırıları uluslararası hukukta nasıl nitelendirilir?
Cevap: Canlı doğrulama mekanizmalarının gerçek zamanlı yapay zeka yüz değiştirme 3D enjeksiyon saldırıları veya sentetik kimlikler ile by-pass edilmesi; uluslararası alanda finansal sistemin güvenliğine ve mülkiyet hakkına yönelik ağır bir kitle siber suç eylemi kabul edilir.
TCK m. 158/1-f kapsamında bilişim sistemleri araç olarak kullanılarak işlenen nitelikli dolandırıcılığın cezası nedir?
Cevap: Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle dolandırıcılık suçunun işlenmesi halinde 4 yıldan 10 yıla kadar hapis ve beş bin güne kadar adli para cezasına hükmolunur.
TCK m. 244/2 maddesi bilişim sistemindeki verilerin değiştirilmesi veya yanıltıcı veri eklenmesi suçunu nasıl cezalandırır?
Cevap: Bir bilişim sistemindeki verileri yok eden, değiştiren, erişilmez kılan, sisteme veri ekleyen veya var olan verileri başka bir yere gönderen kişi 1 yıldan 6 yıla kadar hapis cezası ile cezalandırılır.
Başkasına ait biyometrik verilerin izinsiz kullanılması TCK m. 136 kapsamında hangi cezai yaptırıma tabidir?
Cevap: Başkasına ait biyometrik verilerin veya kimlik bilgilerinin Deepfake modellemesinde izinsiz kullanılması durumunda 2 yıldan 4 yıla kadar hapis cezası tatbik edilir.
Dijital ortamda sahte kimlik kartı görselleri ve biyometrik veriler üretilmesi hangi suçları oluşturur?
Cevap: TCK m. 204 ve m. 207 kapsamında; dijital ortamda sahte kimlik kartı görselleri ve biyometrik veriler üretilmesi evrakta sahtecilik suçlarını oluşturur.
Bankaların uzaktan kimlik tespiti yönetmeliği gereğince güvenlik açığı bulunması üçüncü kişilerin sorumluluğunu nasıl etkiler?
Cevap: 5411 sayılı Bankacılık Kanunu ve BDDK Uzaktan Kimlik Tespiti Yönetmeliği uyarınca bankalar, canlılık doğrulama sistemlerinin güvenliğini en üst düzeyde sağlamakla yükümlüdür ve zayıf güvenlik altyapısı nedeniyle adına sahte hesap açılan üçüncü kişilerin idari ve cezai sorumluluğu bulunmamaktadır.
Deepfake ile adına hesap açılan mağdurların yargılama sürecinde beraat edebilmesi için hangi deliller sunulmalıdır?
Cevap: Kendi bilgileri kullanılarak Deepfake ile adına hesap açılan ancak durumdan haberi olmayan mağdurlar bakımından, kastın bulunmadığı somut HTS kayıtları, IP adresleri ve cihaz parmak izleri ile kanıtlanarak takipsizlik veya beraat kararı alınmalıdır.