Siber Saldırı Zayi Belgesi Davası | Kripto Fidye Rehberi 2026

Siber Saldırı Sonucu Ticari Defterlerin Kaybı ve Zayi Belgesi İhtiyacı

6102 sayılı Türk Ticaret Kanunu’nun 82. maddesi, her tacirin ticari defterlerini ve ilgili belgeleri on yıl süreyle saklamasını zorunlu kılmaktadır. Bu yükümlülük yalnızca kâğıt defterleri değil; e-defter, e-fatura ve e-beyanname gibi dijital formatları da kapsamaktadır. Yükümlülüğün yerine getirilememesi halinde vergi idaresi re’sen vergi tarhiyatı yapabilir, ağır para cezaları uygulayabilir ve şirket yöneticileri hakkında hapis cezasını da içeren idari ve cezai yaptırımlar gündeme gelebilir.

Mücbir Sebep Olarak Siber Saldırı

Peki bir şirket, kendi kusuru olmaksızın bu yükümlülüğü yerine getiremezse ne olur? TTK md. 82/7 bu durumu düzenlemiştir: sakınması elinde olmayan bir sebep yüzünden defter veya belgeleri zayi olan tacir, zıyaı öğrendiği tarihten itibaren on beş gün (5 Temmuz 2022 sonrasında 7417 sayılı Kanun ile 30 güne çıkarılmıştır) içinde yetkili asliye ticaret mahkemesine başvurarak zayi belgesi alabilir. Bu belge, taciri defter ibraz edememenin yol açacağı tüm hukuki ve cezai sonuçlardan korur.

Siber saldırı, Vergi Usul Kanunu anlamında da mücbir sebep kapsamında değerlendirilebilecek bir olaydır. Bilgisayar sistemlerinin dışarıdan izinsiz erişimle ele geçirilmesi ve verilerin şifrelenmesi, tacirin kendi iradesi dışında gelişen ve makul önlemlerle engellenemeyen bir durumdur. Bu hukuki nitelendirme, zayi belgesi talebinin dayanağını oluşturur.

E-Defterlerde Özel Düzenleme: Elektronik Defter Genel Tebliği

Kâğıt defterlerin ötesinde, e-defter tutanlar için ek bir mevzuat katmanı mevcuttur. 19.10.2019 tarihli Resmi Gazete’de yayımlanan 3 Sıra No’lu Elektronik Defter Genel Tebliği’nin 4.4.1-e maddesi; elektronik ortamda tutulan defterlerin, virüs, siber saldırısı ve benzeri teknolojik ataklara karşı tedbir amacıyla ikincil kopyalarının Gelir İdaresi Başkanlığı (GIB) sistemlerinde ya da GİB tarafından yetkilendirilmiş güvenli saklamacı kuruluşlarda saklanmasını zorunlu hale getirmiştir. Bu zorunluluk, Ocak 2020’den itibaren geçerlidir.

Aynı tebliğin 7.1. maddesi ise e-defterlerin mücbir sebep halleriyle zayi olması durumunu ayrıca düzenlemektedir: söz konusu durumların öğrenilmesinden itibaren 30 gün içinde ticari işletmenin bulunduğu yetkili mahkemeye başvurarak zayi belgesi talep edilebilir. Zayi belgesi alınmasının ardından durum GİB’e yazılı olarak bildirilmeli, GİB’in talep ettiği bilgi ve belgeler sunulmalı ve GİB’in yazılı izniyle e-defter kayıtları yeniden oluşturularak sisteme yüklenmelidir.

Bu iki düzenlemenin birlikte okunması kritik bir sonuç doğurmaktadır: şirketi siber saldırıdan koruyacak hukuki süreç, hem TTK md. 82 hem de EDGT md. 7.1 kapsamında yürütülmek zorundadır. Bu süreçlerin herhangi birinde yapılan gecikme ya da usul hatası, tüm savunma zırhını devre dışı bırakabilir. Kripto para ve bilişim hukuku alanında uzman bir kripto hukuku avukatı desteği bu nedenle kritik önem taşır.

İstanbul 12. Hukuk Dairesi’nin Emsal İstinaf Kararı Analizi

Davanın Arka Planı: Bir Ransomware Vakası

Davaya konu olayda bir şirketin ticari faaliyetlerine ilişkin tüm kayıtları, defterleri ve belgeleri bilgisayar ortamında tutulmaktaydı. Bilinmeyen kişiler şirketin sistemini hackledi ve tüm dosyaları şifreledi. Saldırganlar not defteri programı üzerinden şirketle iletişime geçerek 200 dolar karşılığı 0,01018882 Bitcoin ödenmesi halinde şifre çözücü yazılımın (decrypter) verileceğini iletti. Şirket ödemeyi yaptı; ancak saldırganlar yalnızca 5 MB altındaki dosyaları açtı ve daha büyük boyutlu dosyalar için ek ödeme talep etti. Şirket, vergi dairesine sunulması gereken beyanname ve defterlere erişemediğinden ciddi bir hukuki açmazla karşı karşıya kaldı.

Şirket 13.06.2022 tarihinde saldırıya uğramış, 20.06.2022 tarihinde savcılığa suç duyurusunda bulunmuş ve 29.08.2022 tarihinde zayi belgesi davası açmıştır.

Hak Düşürücü Süre Ne Zaman Başlar?

İstanbul 19. Asliye Ticaret Mahkemesi, ilk incelemesinde davacının savcılığa şikayet tarihi olan 20.06.2022’yi “zıyaı öğrenme tarihi” olarak kabul etmiş ve bu tarihten itibaren 30 günlük hak düşürücü sürenin dolduğunu gerekçesiyle davayı usulden reddetmiştir.

Bu karar görünürde mantıklı görünse de hukuken son derece sorunludur. Siber saldırı vakalarında şirket, saldırının gerçekleştiğini genellikle anında öğrenir; ancak verilerin geri kazanılıp kazanılamayacağı günler hatta haftalar içinde netleşir. Pek çok şirket, adli bilişim uzmanları aracılığıyla veriyi kurtarmayı dener, GİB sistemlerinden ikincil kopya almaya çalışır ya da saldırganlarla müzakere sürecine girer. Tüm bu aşamalar tamamlanmadan “zıyaın kesinleştiği” anın tespit edilmesi mümkün değildir.

İstanbul BAM 12. Hukuk Dairesi bu temel hukuki hatayı saptayarak ilk derece kararını kaldırmıştır. Kararda mahkemeye şu soruların sorulması gerektiği vurgulanmıştır: hangi yıl/dönem e-defterleri için zayi belgesi talep edildiği, davacı şirketin GİB’e veya yetkili entegratöre e-defterlerin ikincil örneklerini temin etmek amacıyla başvurusu bulunup bulunmadığı ve eğer başvuru yapıldıysa bu başvuruya ne yanıt verildiği. Yalnızca bu soruların yanıtlanmasından sonra hak düşürücü sürenin işlemeye başladığı tarihin belirlenebileceği hükme bağlanmıştır.

Bu karar, bilişim hukuku açısından son derece önemli bir içtihat değeri taşımaktadır. “Zıyaı öğrenme” kavramı siber saldırı vakalarında artık çok boyutlu bir değerlendirmeyi gerektirmektedir.

GİB Başvurusu ve İkincil Örneklerin Önemi

BAM kararının ikinci kritik hukuki kırılımı, GİB başvurusunun yargı sürecindeki rolüne ilişkindir. Mahkeme, ilk derece yargılamasında şu araştırmanın yapılmadığını tespit etmiştir: davacı şirketin e-defter ve beratlarının tebliğe uygun biçimde GİB sistemlerinde ikincil olarak saklanıp saklanmadığı ve bu ikincil örneklerin temin edilip edilemeyeceği konusunda GİB’e bir başvuru yapılıp yapılmadığı.

Bu tespit, şirketler açısından hayati pratik sonuçlar doğurmaktadır. Eğer e-defterler GİB ya da yetkili entegratörde yedekli biçimde saklanıyorsa saldırı sonrası yapılacak ilk adım bu kopyaların temin edilmesidir. Kopyalar temin edilebiliyorsa zayi belgesi davası açılmasına gerek bile kalmayabilir. Kopyaların temin edilememesi durumunda ise bu olumsuz yanıt belgesi, mahkemede hem hak düşürücü sürenin başlangıcı hem de zıyaın tescili bakımından kritik bir delil işlevi görür.

Daha da önemlisi, EDGT’nin zorunlu ikincil saklama yükümlülüğüne (Ocak 2020 itibarıyla zorunlu) rağmen bazı şirketler bu yükümlülüğü yerine getirmemiş olabilir. Bu durumda şirketin hem zayi belgesi sürecinde hem de olası bir vergi incelemesinde ciddi savunma güçlüğü yaşayacağı öngörülmelidir. Siber güvenlik yükümlülükleri ile vergi uyumu arasındaki bu kritik bağ, kurumsal hukuk departmanlarının önleyici hukuk kapsamında değerlendirmesi gereken öncelikli bir risktir.

E-Defteri Hacklenen Şirketlerin Adım Adım Yapması Gerekenler (Kriz Yönetimi)

Siber Saldırı Sonrası Hukuki Süreçler: Yasal Süreler ve Görevli Kurumlar

Kripto Fidye (Ransomware) Ödemek Şirketi Hukuki Sorumluluktan Kurtarır mı?

Davaya konu olaydaki şirket 200 dolar karşılığı Bitcoin ödeme yapmıştı. Bu seçim pek çok şirketin saldırı anında içgüdüsel olarak başvurduğu bir yoldur. Ancak kripto fidye ödemesinin hukuki sonuçları, şirketlerin genellikle beklemediği karmaşıklıkta bir tablo ortaya koymaktadır.

Fidye Ödemesi Veriyi Kurtarır mı?

Teknik gerçeklik açıktır: fidye ödenmesi, verilerin geri kazanılacağını garanti etmez. Davaya konu olayda saldırganlar yalnızca 5 MB altındaki dosyaları açmış ve daha büyük dosyalar için ek ödeme talep etmiştir. Bu, fidye yazılımı operatörlerinin yaygın taktiklerinden biridir. Ödeme yapıldıktan sonra şirketi bir sonraki talebe zorlamak için kısmi çözüm sunulur. Fidye ödemek kötü aktörlere güvenilirlik kazandırmak olup tekrarlayan saldırıların da önünü açar.

Fidye Ödemesinin Muhasebeleştirilmesi: Hukuki Gri Alan

Kripto para cinsinden yapılan fidye ödemesinin ticari gider olarak kayıt altına alınması birçok açıdan sorunludur. Her şeyden önce fatura, makbuz veya vergi belgesi düzenlenmiş bir karşı taraf yoktur. Ödemelerin gerçekleştirildiği kripto cüzdan adresleri bilinmekte; ancak alıcı kimliği tespit edilememektedir. Belgesiz gider olarak beyan edilmesi Vergi Usul Kanunu kapsamında reddedilecek ve kanunen kabul edilmeyen gider olarak değerlendirilecektir.

Bir diğer sorun alanı kripto varlık raporlamasıdır. 7456 sayılı Kanun ile kripto varlık işlemleri vergi kapsamına alınmıştır. Bitcoin cinsinden yapılan fidye ödemesi bir kripto varlık transferi niteliği taşıdığından, işlem değerinin belirlenmesi ve beyan yükümlülüğünün yerine getirilmesi gerekebilir. Bu konuda uzman bir kripto para avukatı ve mali müşavirin birlikte çalışması zorunludur.

Siber Şantaj ve Ceza Hukuku Boyutu

Fidye ödemesi, saldırganları TCK md. 245/A kapsamında yasadışı çıkar sağlamak amacıyla şifreleme yapan kişiler olarak tanımlar. Şirkete yönelik bu eylem TCK md. 282 kapsamındaki suç gelirlerinin aklanması düzenlemeleriyle de kesişebilir; zira kripto para fidye, karapara aklanma şüpheli işlem bildirimi yükümlülükleri açısından MASAK’ın radarında yer almaktadır. Ciddi miktarda Bitcoin fidye ödemesi yapan şirketlerin bu ödemeyi MASAK’a bildirme yükümlülüğü bulunup bulunmadığı, kripto para miktarına ve şirkete özgü koşullara göre ayrıca değerlendirilmelidir.

Özetle: fidye ödemesi hem pratik hem hukuki hem de mali açıdan şirketin durumunu iyileştirmez; aksine birden fazla hukuki risk katmanı ekler. Önce delilleri güvence altına almak, ardından savcılığa başvurmak ve GİB sürecini başlatmak, fidye ödemesine göre her zaman daha savunulabilir bir stratejidir.

Siber Saldırı Nedeniyle Açılan Zayi Belgesi Davalarında İspat ve Deliller

Zayi belgesi davası görünürde basit bir tespit davası gibi algılansa da siber saldırı vakalarında ispat yükü teknik derinlik gerektirmektedir. Aşağıdaki delil setinin tamamlanmış olması, mahkemenin ikna edilmesi ve olası itirazların def edilmesi için zorunludur.

Adli Bilişim Uzmanı Raporu

Davanın teknik omurgasını oluşturan bu rapor; saldırının türünü (ransomware, hack, APT vb.), sisteme giriş yöntemini, hangi dosya ve sistemlerin etkilendiğini, şifreleme algoritmasını, saldırının tarih ve saat damgasını ve veri kurtarmanın teknik olarak mümkün olup olmadığını belgeler. Bu rapor olmadan mahkemenin siber saldırının varlığını teknik olarak teyit etmesi güçtür. Raporu düzenleyecek uzmanın adli bilişim alanında yetkinliği ve mahkemede bilirkişi olarak tanınırlığı önem taşır.

Log Kayıtları ve Sistem İmajları

Etkilenen sistemlerin olay anına ait log kayıtları, ağ trafiği kayıtları ve forensik disk imajları, saldırının tarih ve kapsamını teknik olarak kanıtlayan birincil dijital delillerdir. Bu kayıtların değiştirilemez biçimde kopyalanmış olması ve delil zincirinin (chain of custody) korunmuş olması, mahkemede delil olarak kabul edilebilirlik açısından belirleyicidir.

Fidye Yazılımı İletişim Kayıtları

Saldırganların not defteri programı, özel mesajlaşma uygulaması veya dark web üzerinden gönderdiği fidye talep mesajları, ödeme bilgileri ve kripto cüzdan adresleri; hem saldırının varlığını hem de şirketin maruz kaldığı baskıyı belgeler. Bu iletişimlerin ekran görüntüsü alınarak zaman damgasıyla muhafaza edilmesi gerekir.

Kripto Para İşlem Kayıtları

Fidye ödemesi yapıldıysa ödemenin gerçekleştirildiği blokzincir işlem kimliği (transaction hash), gönderilen cüzdan adresi ve alıcı adres bilgileri belgelenmelidir. Bu veriler hem savcılık soruşturmasında hem de olası bir MASAK incelemesinde şeffaflık sağlar. Blokzincir analiz araçları aracılığıyla işlem zinciri mahkemeye sunulabilir.

Savcılık Soruşturma Numarası ve İfade Tutanağı

Cumhuriyet Başsavcılığına yapılan suç duyurusunun alındı belgesi ve soruşturma dosya numarası, davanın hem zamansal hem kurumsal bağlamını resmi olarak tescil eder. Savcılığın soruşturma aşamasında aldığı şirket yöneticisi ifadesi de davanın takviyesi açısından kullanılabilir.

GİB Başvurusu ve Yanıtı

BAM kararında vurgulandığı üzere, GİB’e yapılan ikincil örnek talebi başvurusu ve bu başvuruya verilen yanıt, davanın hem hak düşürücü süre hem de zayi olgusunun ispatı bakımından en belirleyici belgedir. Bu yazışmanın noter onaylı ya da KEP (Kayıtlı Elektronik Posta) üzerinden yapılmış olması ispat kolaylığı sağlar.

Sıkça Sorulan Sorular (SSS)