DDoS Atmak Suç mu? TCK 244, Cezalar ve Yasal Öğrenme Yolu

DDoS atmak suç mu sorusunun kısa cevabı şu: başkasının sitesine, oyun sunucusuna ya da internet bağlantısına izinsiz DDoS yapmak, Türk Ceza Kanunu'nun 244. maddesi kapsamında suç olarak değerlendirilebilir. Kanun bu fiil için bir yıldan beş yıla kadar hapis öngörür. Hazır bir siteye para ödemen, şaka amacı gütmen ya da saldırının başarısız kalması bu tabloyu kendiliğinden değiştirmez.

Bu yazı genel bilgi verir, hukuki tavsiye değildir. Hakkında bir soruşturma varsa ya da bir olaya karıştıysan bir avukata danış. Saldırının teknik tarafını ve korunmayı DDoS saldırısı nedir yazısında anlattık. Burada yalnız hukuki sonuçlara bakıyoruz.

DDoS atmak suç mu, hangi madde uygulanır?

DDoS, bir hizmeti çok sayıda kaynaktan gelen trafikle erişilemez hâle getirme girişimidir. Kanun yöntemin adını saymaz, sonuca bakar. TCK 244/1, "bir bilişim sisteminin işleyişini engelleyen veya bozan" kişiyi cezalandırır. Bir siteyi, oyun sunucusunu ya da birinin ev bağlantısını kullanılamaz hâle getirmek bu tanıma girebilir.

DDoS ile ilgili olabilecek hükümler şunlar:

Okul sitesi ya da belediye hizmeti gibi bir kamu sistemine yönelen saldırıda 244/3 devreye girebilir. Fidye isteyerek saldırmak ise hem 244/4 hem de başka suçları gündeme getirebilir. Bütün bilişim maddelerini ve 7545 sayılı Siber Güvenlik Kanunu'nu hacking yasal mı yazısında tablolar hâlinde bulabilirsin.

DDoS programı kullanmak ya da indirmek suç mu?

TCK 245/A, bir programın "münhasıran", yani yalnızca bilişim suçlarını işlemek için yapılmış olmasını arar. Böyle bir programı satın almak, başkasına vermek ya da bulundurmak tek başına suç olabilir. Programı hiç çalıştırmamış olman bu ihtimali ortadan kaldırmaz.

Ağ yönetiminde kullanılan yük testi ve trafik araçları ise çift kullanımlıdır. Bunların durumu somut olaya göre değerlendirilir. Belirleyici olan aracın adı değil, kimin sistemine, hangi izinle ve ne amaçla kullanıldığıdır.

"DDoS programı" diye aranan dosyaların ikinci bir riski var. Bu tür dosyalar sık sık zararlı yazılım taşır. İndiren kişi saldırgan olmak isterken kendi bilgisayarını başkasının saldırı ağına katabilir. Bu ağların nasıl kurulduğunu botnet nedir yazısında görebilirsin.

Stresser ya da DDoS sitesi kullanmak suç mu?

"Stresser" ya da "booter" adıyla satılan siteler, para karşılığında başkası adına saldırı başlatır. Birçoğu kendini "yük testi hizmeti" diye tanıtır. Oysa hedef hanesine yazdığın adres senin değilse bu tanıtım hiçbir şeyi değiştirmez.

Saldırıyı sitenin sunucuları yapsa da siparişi veren sensin. Böyle bir durumda kanunun faillik, azmettirme ve yardım etme hükümleri (TCK 37, 38 ve 39) somut olaya göre değerlendirilebilir. Hangi hükmün uygulanacağına savcılık ve mahkeme karar verir.

Bu sitelerin kullanıcıları da kolluğun hedefinde. Europol'ün koordine ettiği PowerOFF operasyonu yıllardır ücretli DDoS hizmetlerini kapatıyor. Nisan 2026'daki eylem haftasında 21 ülke birlikte çalıştı, 53 alan adı kapatıldı ve bu hizmetleri kullandığı belirlenen kişilere 75.000'den fazla uyarı mesajı gönderildi. Üyelik kaydı, ödeme bilgisi ve IP adresi, anonim sandığın işlemi sana bağlar.

Sadece denemek de suç mu?

Hedef site düşmese bile sorumluluk doğabilir. TCK 35'e göre suçu işlemeye kastedip icraya başlayan ama elinde olmayan nedenlerle tamamlayamayan kişi teşebbüsten sorumlu tutulur. Ceza indirilir, ama suç ortadan kalkmaz. TCK 36 ise kişinin kendi isteğiyle vazgeçip sonucu önlemesini ayrıca düzenler.

Sık karşılaşılan üç durum:

1. "Arkadaşım izin verdi." İzni veren gerçekten o sistemin sahibi mi? Bir oyun sunucusu çoğu zaman bir barındırma şirketinin ortak altyapısında çalışır. Arkadaşının izni o şirketin ve aynı hattı kullanan diğer müşterilerin iznini kapsamaz.
2. "Kendi sitemi test ettim." Kendi sistemin üzerinde çalışmak başkasının sistemini engellemekle aynı şey değildir. Ama sağlayıcının test politikasını oku. Birçoğu yük testini önceden bildirmeni ister.
3. "Bir dakikalığına denedim." Kısa süre, suçun tanımını değiştirmez. Zararın büyüklüğü ceza ve tazminat hesabında önem kazanır.

18 yaşından küçüksem ne olur?

Yaş, ceza sorumluluğunu değiştirir ama 12 yaşından sonra tamamen kaldırmaz. TCK 31 üç aralık çizer:

Ceza indirimi tek sonuç değildir. Soruşturma süreci, aileyle birlikte ifade vermek ve okul hayatına etkisi kendi başına ağırdır. Bir mahkûmiyet ya da hükmün açıklanmasının geri bırakılması kararı, ileride kamuda iş başvurusunda yapılan arşiv araştırmasında karşına çıkabilir. Bu konunun ayrıntısı da hacking yasal mı yazısında var.

Ceza dışında hangi sonuçlar doğar?

Ceza davası tek risk değildir. Türk Borçlar Kanunu'nun 49. maddesine göre kusurlu ve hukuka aykırı bir fiille başkasına zarar veren, bu zararı gidermekle yükümlüdür. Satış kaybı yaşayan bir e-ticaret sitesi ya da turnuvası iptal olan bir organizatör tazminat isteyebilir. Fail küçükse aile bu taleple karşılaşabilir.

Diğer olası sonuçlar:

• Oyun platformu hesabını kalıcı olarak kapatabilir.
• İnternet sağlayıcın abonelik sözleşmesine aykırılık gerekçesiyle işlem yapabilir.
• Okul ya da üniversite disiplin süreci başlatabilir.
• Cihazların inceleme için el konulabilir.

DDoS'u yasal yoldan nasıl öğrenirsin?

Merakın yerinde. Ağların nasıl tıkandığını anlamak, savunma kariyerinin iyi bir başlangıcıdır. Bunu başkasının sistemine dokunmadan öğrenebilirsin:

1. Savunmayla başla. Hizmet reddinin günlüklerde nasıl göründüğünü ve nasıl azaltıldığını öğren. Rate limiting, içerik dağıtım ağı ve trafik izleme, işverenlerin aradığı beceriler.
2. Kapalı laboratuvarda çalış. Akademideki laboratuvar senaryoları gerçek bir hedefe dokunmadan kayıt okumayı ve olay incelemeyi öğretir. Kendi bilgisayarında sanal makinelerle bir ev laboratuvarı da kurabilirsin.
3. CTF'ye katıl. Yarışmalarda hedef, düzenleyicinin izin verdiği sistemdir. Kurallar neyin serbest olduğunu yazar. CTF nedir yazısıyla başlayabilir, Arena bölümünde pratik yapabilirsin.
4. Kapsamı yazılı programlarda test et. Bug bounty programlarının çoğu hizmet aksatan testleri açıkça yasaklar. Kuralı oku, kapsam dışına çıkma.

Adım adım bir yol arıyorsan hack öğrenmek için yasal yol rehberini izle.

DDoS saldırısına uğrarsan ya da tehdit alırsan ne yaparsın?

Bu kez mağdur tarafta olabilirsin. Bir oyuncu "bağlantını düşürürüm" diye tehdit edebilir ya da bir site "ödeme yapmazsan kapatırız" diyen bir mesaj alabilir. Sıra şöyle:

1. İnternet ya da barındırma sağlayıcını ara, durumu bildir ve korumayı devreye aldır.
2. Saldırının başladığı ve bittiği saatleri, sağlayıcının yazılarını ve tehdit mesajlarını sakla.
3. Tehdit edenin kullanıcı adını ve mesajlarını ekran görüntüsüyle kaydet.
4. En yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına şikâyette bulun.
5. Fidye isteniyorsa ödeme yapma, önce şikâyet et.

Ev bağlantını hedef alan saldırılarda sağlayıcından IP adresini değiştirmesini isteyebilirsin. Bazı oyunlar ve sohbet uygulamaları oyuncular arasında doğrudan bağlantı kurar. Bu seçeneği kapatmak gerçek IP adresinin rakibe görünmesini zorlaştırır.

Kaynaklar

• Mevzuat Bilgi Sistemi: 5237 sayılı Türk Ceza Kanunu (m.31, 35, 37-39, 244, 245/A)
• Mevzuat Bilgi Sistemi: 6098 sayılı Türk Borçlar Kanunu (m.49)
• Europol: PowerOFF operasyonunda 75.000'den fazla DDoS kullanıcısı hedef alındı