Hacking Yasal mı? TCK 243-245 ve Etik Hackerlık

Türkiye'de "hacker" kelimesi yasada geçmez. Kanun bir unvanı değil, bir fiili cezalandırır: izinsiz girmek, bozmak, veri almak. Aynı teknik işi yapan iki kişiden biri maaş alır, öteki ifade verir. Aradaki fark çoğu zaman tek bir belgedir: yazılı izin.

Bu yazıda Türk Ceza Kanunu'nun bilişim maddelerini güncel metinden, cezalarıyla birlikte veriyoruz. 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu'nun getirdiği yeni suçları da ekledik. Son bölümde bir açık bulduğunda ne yapacağını adım adım anlatıyoruz. Metin genel bilgilendirmedir, hukuki tavsiye değildir; somut bir durumda bir avukata danış.

Hacking hangi durumda suç olur?

İzinsiz yapılan hacking suçtur; sistemin sahibinden yazılı izin alınarak yapılan test ise etik hackerlıktır. Kanun "hukuka aykırı" girişi cezalandırır. TCK 26/2'ye göre hak sahibinin açıkça verdiği rıza çerçevesindeki fiile ceza verilmez. Etik hackerlığın bütün yasal zemini bu iki cümlenin arasındadır.

Pratikte üç soru sor:

1. Bu sistem kimin? Sahibi ya da sahibi adına yetkili kişi kim?
2. Bu kişi bana neyi, ne zaman, hangi yöntemle test etmem için izin verdi?
3. İzni kanıtlayabilir miyim? Yazılı belge, e-posta, program kuralları elimde mi?

Üçüne de net cevap veremiyorsan dur. Merak, iyi niyet ya da "zaten açık bırakmışlardı" düşüncesi bu boşluğu doldurmaz.

TCK 243, 244 ve 245 ne diyor, cezalar ne?

Bilişim suçları TCK'nın "Bilişim Alanında Suçlar" bölümündeki 243, 244, 245 ve 245/A maddelerinde düzenlenir. Aşağıdaki tablo mevzuat.gov.tr'deki güncel metne (Ağustos 2026 sürümü) dayanır. Cezalar kanundaki alt ve üst sınırlardır; hâkim somut olaya göre belirler.

İki ayrıntıya dikkat et. 243/4, "sisteme girmedim, sadece trafiği dinledim" savunmasını kapatır. Kafede ortak ağın trafiğini izlemek bu fıkraya girebilir. 245/A ise metinde "münhasıran", yani yalnızca suç için yapılmış araçlardan söz eder. Nmap ya da Burp Suite gibi çift kullanımlı araçların durumu somut olaya göre değerlendirilir. Seni koruyan şey aracın adı değil, izin ve kapsam belgesidir.

Kişisel veri ve dolandırıcılık maddeleri neden işin içine girer?

İzinsiz girişte çoğu zaman tek suç kalmaz. İçeride kişisel veri görürsen ve kopyalarsan başka maddeler devreye girebilir:

TCK 137'ye göre 135 ve 136, bir mesleğin verdiği kolaylık kullanılarak işlenirse ceza yarı oranında artar. Sistem yöneticisinin yetkisini kötüye kullanması buna örnektir. 158/1-f için ayrıca adli para cezası, suçtan elde edilen menfaatin iki katından az olamaz. Kişisel verinin şirket tarafındaki yükümlülükleri için KVKK 72 saat bildirim yazımıza bakabilirsin.

7545 sayılı Siber Güvenlik Kanunu neyi değiştirdi?

7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025'te Resmî Gazete'de (sayı 32846) yayımlandı ve aynı gün yürürlüğe girdi. Kanun, 8 Ocak 2025'te 177 sayılı Cumhurbaşkanlığı Kararnamesi ile kurulan Siber Güvenlik Başkanlığı'na geniş görev ve denetim yetkisi verir. TCK'yı kaldırmaz; onun yanına yeni suçlar ekler. 31 Temmuz 2026'da yürürlüğe giren 7590 sayılı Kanun da bazı maddeleri değiştirdi.

Güvenlik araştırmacısı için en önemli iki fıkra 4 ve 5'tir. Bir forumda gördüğün sızıntı dosyasını "kanıt" diye paylaşmak 4. fıkraya girebilir. Doğrulamadığın bir sızıntıyı sosyal medyada duyurmak da 5. fıkranın konusu olabilir.

Kanun ayrıca hizmet sunan kurumlara, tespit ettikleri zafiyet ve siber olayları gecikmeden Başkanlığa bildirme yükümlülüğü getirir (m.7/1-b). Siber güvenlik hizmeti veren şirketler, dernekler ve vakıflar da sertifikasyon ve yetkilendirme sürecine tabi olacak. Süre, uygulama düzenlemeleri yürürlüğe girdikten sonra bir yıldır (geçici m.1/4). Başkanlığın mevzuat sayfasında Ekim 2026 itibarıyla bu sertifikasyon düzenlemesi henüz listelenmiyor. Ayrıntılı bir giriş için GRC ve mevzuat yolundaki 7545 dersine bak.

"Merak ettim, sadece baktım" savunması neden işe yaramaz?

TCK 243/1'in metni girişin amacını ya da bir zarar doğmasını aramaz; hukuka aykırı girmek ya da içeride kalmak yeter. Veri silinirse ya da değişirse ceza artar (243/3). Veriye dokunmak ise ayrı bir suçtur (244/2). Yani "bir şey yapmadım" cümlesi, suçun temel hâlini ortadan kaldırmaz.

Siber Güvenlik Başkanlığı'nın Zafiyet Bildirim Politikası da aynı çizgide. Politikaya göre üretici, saldırgan davranış tespit ettiği kullanıcının "zafiyet araması" yaptığını mazeret olarak kabul etmek zorunda değil. Yetkisiz her davranış için hukuk yolu açık. Kanıt toplarken açığı sömürmek de saldırgan davranış sayılıyor; açığın var olduğunu göstermek yeterli.

Sık rastlanan senaryolar:

• Okul ya da şirket portalında adres çubuğundaki numarayı değiştirip başkasının kaydını açmak.
• Eski bir partnerin şifresini bildiğin için hesabına girmek. Şifreyi bilmek, girme yetkisi değildir.
• Shodan'da gördüğün açık bir panele "bir bakayım" diye giriş yapmak.
• Ortak Wi-Fi ağında başkalarının trafiğini dinlemek.
• Bulduğun bir hatayı göstermek için tablodan birkaç kayıt indirmek.

Bunların hiçbirinde teknik beceri suçu ortadan kaldırmaz. Sonucu belirleyecek olan savcılık ve mahkemedir. Ayrıca bir mahkûmiyet ya da hükmün açıklanmasının geri bırakılması kararı, ileride kamuda iş başvurularında karşına çıkar. 7315 sayılı Kanun'a göre arşiv araştırması bu kararları da kapsar.

Etik hackerlığın yasal zemini nedir?

Etik hackerlık, sistem sahibinin yazılı izniyle, belirlenen kapsamda ve kurallarda yapılan güvenlik testidir. İzin genellikle bir sözleşme ve onun ekindeki yetki mektubuyla verilir. Kırmızı takımda buna "rules of engagement" da denir. İyi bir yetki belgesinde şunlar olur:

1. Taraflar ve imza yetkisi: izni veren kişinin o sistem için gerçekten yetkili olduğu yazılır.
2. Kapsam: test edilecek alan adları, IP aralıkları, uygulamalar ve test hesapları tek tek sayılır.
3. Kapsam dışı: dokunulmayacak sistemler ve üçüncü taraf hizmetler açıkça yazılır.
4. Zaman penceresi: hangi gün ve saatlerde test yapılacağı belirtilir.
5. Yöntem sınırları: hizmet reddi, sosyal mühendislik, fiziksel test serbest mi, yasak mı yazılır.
6. Veri kuralları: bulunan kişisel verinin kopyalanmayacağı, raporun nasıl saklanıp imha edileceği yazılır.
7. Acil durum iletişimi: bir şey ters giderse kimi, hangi numaradan arayacağın yazılır.

Bulut ya da barındırma hizmetindeki bir sistemi test ediyorsan, sağlayıcının kendi test politikasına da bak. Müşterinin izni, sağlayıcının ortak altyapısını kapsamayabilir. Kırmızı takım yolundaki kapsam ve yetki belgesi dersi bu belgeyi örnekle anlatır. Bütün yolu Kırmızı Takım sayfasında görebilirsin.

Bug bounty programında seni ne korur?

Bug bounty programında seni koruyan şey, programın yayımladığı kapsam ve kurallardır; bunlar şirketin verdiği rızanın sınırını çizer. Kuralların içinde kaldığın sürece test yetkilidir. Kapsam dışına çıktığın anda bu güvence biter.

Birçok program "safe harbor" maddesi kullanır. HackerOne'ın "Gold Standard Safe Harbor" metni, iyi niyetli ve kurallara uyan araştırmacıya karşı hukuki işlem başlatılmayacağını taahhüt eder. Ama HackerOne'ın kendi açıklamasına göre bu güvence kapsam dışı varlıkları, üçüncü taraf sistemleri ve şantaj gibi kötü niyetli işleri kapsamaz.

İfşa kuralları da önemlidir. HackerOne'ın ifşa yönergesine göre çözülmüş bir rapor, taraflar itiraz etmezse 30 gün içinde yayımlanabilir. Şirket ifşa talebine 180 gün yanıt vermezse araştırmacı raporu açıklayabilir. Bunun şartı, en az 30 günde bir takip yapmış olmaktır. Programın kendi kuralı bundan farklıysa onu uygula.

Pratik kurallar:

• Kapsamı her test öncesi yeniden oku; programlar kapsamı günceller.
• Kendi test hesaplarını kullan, gerçek kullanıcı verisine dokunma.
• Hizmeti yavaşlatacak otomatik taramaları kurallar izin vermiyorsa çalıştırma.
• Açığı kanıtlayınca dur, daha derine inme.
• Rapor kapanmadan bulguyu sosyal medyada paylaşma.

Türkiye'den başlamak için bug bounty ile para kazanma rehberimize ve ilk raporunu yazma yazımıza bak.

Programı olmayan bir sistemde açık bulursan ne yaparsın?

Programı olmayan bir sistemde rastlantıyla açık fark edersen, istismar etmeden durup sorumlu ifşa yolunu izlemelisin. Sorumlu ifşa, açığı önce sahibine bildirmek ve düzeltme için makul süre tanımak demektir. Adımlar:

1. Dur. Daha fazla veri çekme, hesap açma ya da açığı yeniden deneme.
2. Ne gördüğünü, hangi tarih ve saatte gördüğünü kısa bir notla yaz. Kişisel veriyi not alma.
3. Kurumun security.txt dosyasına ya da güvenlik iletişim adresine bak ve oradan bildir.
4. Yerli bir yazılım ürününde açık bulduysan Siber Güvenlik Başkanlığı'nın CVE Başvuru Formu'nu kullan.
5. Oltalama sitesi, zararlı bağlantı ya da veri sızıntısı gibi durumlar için Başkanlığın İhbar Formu'nu kullan. E-posta adresi [email protected]'dir.
6. Yanıt gelene kadar bulguyu kimseyle paylaşma.

USOM'un hizmetleri artık Siber Güvenlik Başkanlığı'na bağlı ve siberguvenlik.gov.tr üzerinden yürüyor. Başkanlığın politikasına göre bildirim önce üreticiye yapılır. Açık üreticiye bildirildiği andan itibaren kapatma süresi kritik açıkta bir hafta, yüksekte iki, ortada üç, düşükte dört haftadır. Açık 90 gün içinde giderilmezse, zafiyetli nokta açık edilmeden ilan edilebilir.

Politika iki sınır da koyar. Yalnız Türkiye'de üretilen yazılımlar ve başka bir CNA'nın kapsamına girmeyen, Türkiye'de yaygın kullanılan ürünler değerlendirilir. Tek bir web sitesine özgü açıklar CVE sürecine alınmaz; bunları doğrudan site sahibine bildirirsin.

Yasal olarak nerede pratik yapabilirsin?

Yasal pratik için kendi kurduğun lab, CTF yarışmaları, eğitim platformlarının hedefleri ve kapsamı yazılı bug bounty programları güvenli alanlardır. AltaySec Akademi'deki lablar da tam bu iş için hazırlanmış kapalı senaryolardır.

Önerilen sıra:

1. Siber Güvenlik Temelleri yolundaki Etik ve yasal sınır dersiyle başla.
2. Kırmızı Takım yolunda keşiften rapora kadar ilerle; son modül kapsam belgesi ve yasal çerçeveyi işler.
3. Kurumsal tarafı merak ediyorsan GRC ve Mevzuat yolunda KVKK, 7545 ve bildirim yükümlülüklerini çalış.
4. Hazır hissettiğinde kapsamı net bir bug bounty programı seç.

Kaynaklar

• 5237 sayılı Türk Ceza Kanunu, mevzuat.gov.tr (güncel metin).
• 7545 sayılı Siber Güvenlik Kanunu, mevzuat.gov.tr.
• 177 sayılı Cumhurbaşkanlığı Kararnamesi, mevzuat.gov.tr.
• Siber Güvenlik Başkanlığı, Zafiyet Bildirim Politikası.
• Siber Güvenlik Başkanlığı, İhbar Formu.
• HackerOne, Safe Harbor Overview ve FAQ.
• HackerOne, Disclosure Guidelines.
• 7315 sayılı Güvenlik Soruşturması ve Arşiv Araştırması Kanunu.