Gary McKinnon (Solo) Davası:
Boş Parolalar, On Yıllık İade Savaşı

Bir Ev Bilgisayarından 97 Askeri Bilgisayara

Şubat 2001 ile Mart 2002 arasında Londra'da işsiz bir sistem yöneticisi, evindeki bilgisayardan ABD Ordusu, Donanması, Hava Kuvvetleri, Savunma Bakanlığı ve NASA'ya ait 97 bilgisayara girdi. Adı Gary McKinnon'dı; sistemlerden birine bıraktığı notu "SOLO" diye imzalamıştı. Olay on yıl süren bir iade davasına dönüştü ve sonunda McKinnon hiçbir ülkede yargılanmadı.

Vaka bilişim hukuku derslerinde hâlâ okutuluyor, çünkü üç soruyu aynı dosyada topluyor: saldırı teknik olarak ne kadar basitti, bir siber suç hangi ülkede yargılanmalı ve iade sürecinde insan hakları nerede devreye girer? Aşağıda olayı Lordlar Kamarası kararı ve resmî kayıtlardan özetledim; sonra aynı fiillerin Türk hukukunda nasıl değerlendirileceğine baktım.

Ne Yaptı? Mahkemenin Tespit Ettiği Olgular

Lordlar Kamarası'nın 30 Temmuz 2008 tarihli kararına göre McKinnon, internet üzerinden açık Windows bağlantısı olan ABD kamu bilgisayarlarını buldu, bu makinelerden yönetici hesaplarının adlarını ve parolalarını çıkardı. Ele geçirdiği hesaplarla "RemotelyAnywhere" adlı ticari bir uzaktan yönetim programı kurdu. Program kendini Windows bileşeni gibi gösterdiği için fark edilmeden istediği an sisteme dönebiliyordu. Bu yolla 73.000'den fazla kamu bilgisayarını taradı ve ağdan ağa geçti.

Karara göre hedef alınan bilgisayarlar şunlardı:

• 53 Ordu bilgisayarı (Washington Askeri Bölgesi ağını yönetenler dahil),
• 26 Donanma bilgisayarı (Atlantik filosuna mühimmat sağlayan Earle Deniz Silah İstasyonu dahil),
• 16 NASA, 1 Savunma Bakanlığı ve 1 Hava Kuvvetleri bilgisayarı.

McKinnon kritik sistem dosyalarını sildiği için 2.000'den fazla bilgisayardan oluşan Washington Askeri Bölgesi ağı 24 saat çalışmadı. Bir sunucuda 2.455 kullanıcı hesabını sildi. Earle'deki kayıt dosyalarını silmesi, 300'den fazla bilgisayarlık ağı 11 Eylül saldırılarının hemen ardından kullanılamaz hale getirdi. Yaklaşık 950 parola dahil çok sayıda dosyayı kendi bilgisayarına kopyaladı. Onarım maliyeti 700.000 doları aştı.

McKinnon sorgusunda sistemlere girdiğini kabul etti, ama zarar verdiğini kabul etmedi. Kendi anlatımına göre UFO'lara ve gizlenen enerji teknolojilerine dair kanıt arıyordu. Bir ordu bilgisayarına bıraktığı notta ise ABD dış politikasını devlet destekli terörizme benzetmiş ve "I am SOLO. I will continue to disrupt at the highest levels" diye yazmıştı.

Teknik Açıdan: Neden Bu Kadar Kolay Oldu?

Ortada gelişmiş bir istismar ya da bilinmeyen bir güvenlik açığı yok. McKinnon'ın sonradan BBC'ye anlattığına göre, parolası boş bırakılmış yönetici hesaplarını arayan küçük bir Perl betiği yazmıştı ve 65.000 makineyi sekiz dakikada tarayabiliyordu. Saldırının önünü açan zaaflar şunlardı:

• Boş veya zayıf yönetici parolaları. Askeri ağlarda bile varsayılan ayarlar değiştirilmemişti.
• İnternete açık dosya paylaşımı. Windows ağ paylaşımına dışarıdan erişilebiliyordu.
• Meşru bir aracın kötüye kullanımı. Kurulan program zararlı yazılım değil, ticari bir yönetim aracıydı; antivirüs onu yakalamazdı. Bugün TeamViewer veya AnyDesk ile yapılan saldırıların erken bir örneği.
• Ağ bölütlemesinin eksikliği. Bir makineden diğerine, bir ağdan ötekine geçmek mümkündü.
• Korunmayan loglar. Kayıt dosyaları silinebiliyordu; bu hem hizmet kesintisine hem de inceleme güçlüğüne yol açtı.

Zarar rakamı da tek değil. ABD'nin Virginia'daki iddianamesi zararı yaklaşık 900.000 dolar olarak verirken, Lordlar Kamarası kararı onarım maliyetini 700.000 doların üzerinde gösteriyor. Karardan anlaşıldığına göre savcılığın hesabı yalnızca personelin tespit ve onarım için harcadığı saatlere dayanıyordu; sistemlerin kullanılamadığı süredeki kayıplar dahil değildi. Hangi kalemin hesaba katıldığı, sonucu yüz binlerce dolar oynatabiliyor.

On Yıllık İade Davası

ABD Kasım 2002'de iki ayrı eyalette iddianame düzenledi. Virginia'daki iddianame yedi suç içeriyordu ve her biri için azami 10 yıl hapis öngörülüyordu. 2002-2003'te ABD savcıları McKinnon'a bir anlaşma önerdi: ABD'ye gönüllü gelip iki suçu kabul ederse 37-46 ay ceza alacak, 6-12 ay sonra cezasının kalanını çekmek üzere İngiltere'ye nakledilecekti. İadeye direnirse 8-10 yıl veya daha fazla ceza ile karşılaşacak ve nakline destek verilmeyecekti. McKinnon teklifi reddetti.

ABD Ekim 2004'te resmen iade talep etti. Londra'daki mahkeme 2006'da dosyayı İçişleri Bakanı'na gönderdi, Bakan iadeyi onayladı. McKinnon'ın itirazı, savcıların pazarlık sırasında uyguladığı baskının iade sürecini kötüye kullanma olduğu yönündeydi. Lordlar Kamarası 30 Temmuz 2008'de bu itirazı oybirliğiyle reddetti. Gerekçeye göre suçu kabul edene ceza indirimi İngiliz hukukunda da vardır; savcının iki seçeneğin sonuçlarını anlatması tehdit sayılmaz. Ancak hukuka aykırı bir eylem tehdidi gibi "bütünüyle aşırı" durumlarda süreç kötüye kullanılmış sayılabilir.

Bu arada McKinnon'a Asperger sendromu tanısı kondu ve depresyon tedavisi gördü. Annesi Janis Sharp'ın yürüttüğü kampanya, davayı siyasi bir meseleye dönüştürdü. 16 Ekim 2012'de İçişleri Bakanı Theresa May Avam Kamarası'nda iade kararını geri aldığını açıkladı. May'e göre iade, McKinnon'ın hayatına son vermesi bakımından o kadar yüksek bir risk doğuruyordu ki insan haklarıyla bağdaşmazdı. Aralık 2012'de Kamu Savcıları Direktörü Keir Starmer, tanık ve delillerin büyük kısmı ABD'de olduğu için İngiltere'de de dava açılmayacağını duyurdu.

Davanın Bıraktığı Miras: "Forum Bar"

Theresa May aynı konuşmada iade sistemine yeni bir güvence getirileceğini açıkladı. 2013 tarihli Suç ve Mahkemeler Kanunu ile İngiliz İade Kanunu'na "forum bar" adı verilen bir engel eklendi. Buna göre suçun önemli bir kısmı İngiltere'de işlenmişse, hâkim zararın nerede doğduğunu, mağdurların menfaatini, delillerin nerede olduğunu ve benzeri etkenleri tartarak iadenin adaletin yararına olmadığına karar verebilir. Böylece siyasi takdirle çözülen bir sorun mahkemenin önüne taşındı.

Bu engelin ilk başarılı uygulaması da benzer bir dosyada oldu. ABD kamu kurumlarına siber saldırıyla suçlanan ve otizm spektrumunda olan Lauri Love'ın iadesi, Şubat 2018'de High Court tarafından reddedildi.

Aynı Olay Türkiye'de Olsaydı

Suçun nitelendirilmesi. Bilişim sistemine izinsiz girme TCK m.243/1, sistemin işleyişini engelleme TCK m.244/1, verileri silme veya başka yere gönderme TCK m.244/2 kapsamındadır. Sistem bir kamu kurumuna aitse ceza m.244/3 uyarınca yarı oranında artırılır. Yargıtay, sisteme girip verileri erişilmez kılma eylemlerinin bir bütün olarak m.244/2 suçunu oluşturacağını kabul etmektedir (Yargıtay 8. CD, 2015/14287 E., 2016/4903 K., 12.04.2016). Kamu kurumu sistemindeki artırımın m.244'ün birinci ve ikinci fıkralarına bağlanan nitelikli hal olduğunu da açıkça belirtmiştir (Yargıtay 8. CD, 2023/4143 E., 2024/7986 K., 23.10.2024). "UFO kanıtı aramak" gibi bir saik ise suçun oluşmasını etkilemez.

Hangi ülke yargılar? TCK m.8/1'e göre fiil kısmen veya tamamen Türkiye'de işlenmişse ya da netice Türkiye'de gerçekleşmişse suç Türkiye'de işlenmiş sayılır. Yurt dışından Türk kamu sistemlerine yapılan bir saldırıda netice Türkiye'de doğduğu için Türk kanunları uygulanır.

İade. Türkiye kendi vatandaşını suç sebebiyle yabancı bir ülkeye vermez; Anayasa m.38 ve 6706 sayılı Kanun m.11/1-a bunu açıkça yasaklar (Uluslararası Ceza Divanı yükümlülükleri hariç). Yabancı bir fail için ise suçun Türkiye'nin yargılama yetkisine girmesi, iade talebinin reddi sebebidir (m.11/1-c-4). Ayrıca kişisel durumu nedeniyle iadenin kişiyi fiilin ağırlığıyla orantısız biçimde mağdur edeceği hallerde talep kabul edilmeyebilir (m.11/4). McKinnon dosyasında Bakanın takdirine bırakılan sağlık meselesinin Türk hukukundaki karşılığı bu hükümdür.

Kurumlar İçin Çıkarılacak Dersler

1. Varsayılan ve boş yönetici parolalarını envanter çıkararak kapatın; parola politikası kâğıt üzerinde kalmasın.
2. Dosya paylaşımı ve uzaktan yönetim portlarını internete kapatın; uzaktan erişim yalnız VPN ve çok faktörlü doğrulama ile olsun.
3. Uzaktan yönetim araçlarının listesini tutun; listede olmayan bir aracın kurulması alarm üretsin.
4. Logları sistemin dışında, silinemeyecek biçimde saklayın. Hem olay müdahalesi hem de ceza dosyasında delil için buna ihtiyaç olacak.
5. Bir ihlal yaşandığında zararı kalemlere ayırarak belgeleyin: tespit ve onarım saatleri, hizmet kesintisi, veri kaybı. Kişisel veri etkilendiyse KVKK m.12/5 uyarınca Kurula bildirim süresini kaçırmayın.

Sonuç

McKinnon'ın saldırısı teknik olarak basitti, davası ise çetrefilli. Saldırının kendisi boş parolalardan yararlandı; dava ise iki ülkenin yargı yetkisi, savcılık pazarlığının sınırları ve iade edilecek kişinin sağlığı arasında on yıl sürdü. Türk hukukunda aynı fiiller TCK m.243-244 kapsamında açıkça suçtur ve kamu sistemine karşı işlendiğinde ceza artırılır. Kurumlar açısından ise 2002'deki zaaflar bugün de sık görülüyor: değiştirilmemiş varsayılan ayarlar, internete açık yönetim portları ve korunmayan loglar.

Kaynakça

• McKinnon v Government of the United States of America and another [2008] UKHL 59, House of Lords, 30.07.2008 (publications.parliament.uk)
• House of Commons Hansard, 16.10.2012, col. 164-166, İçişleri Bakanı Theresa May, "Extradition" açıklaması (publications.parliament.uk)
• U.S. Department of Justice, Eastern District of Virginia basın bülteni, 12.11.2002 (justice.gov)
• Crime and Courts Act 2013, Schedule 20 (Extradition Act 2003 s.19B, s.83A) (legislation.gov.uk)
• Love v Government of the United States of America [2018] EWHC 172 (Admin), 05.02.2018 (judiciary.uk)
• 5237 sayılı Türk Ceza Kanunu, m.8, 243, 244 (mevzuat.gov.tr)
• 6706 sayılı Cezai Konularda Uluslararası Adli İş Birliği Kanunu, m.11 (mevzuat.gov.tr)
• 2709 sayılı Türkiye Cumhuriyeti Anayasası, m.38 (mevzuat.gov.tr)
• 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.12 (mevzuat.gov.tr)
• Yargıtay 8. Ceza Dairesi, 2015/14287 E., 2016/4903 K., 12.04.2016
• Yargıtay 8. Ceza Dairesi, 2023/4143 E., 2024/7986 K., 23.10.2024
• DPP ve Metropolitan Polisinin 14.12.2012 açıklaması: ikincil kaynak (aljazeera.com); McKinnon'ın yöntem anlatımı: BBC Click röportajı, 2006 (ikincil aktarımlar)