Hacker işe almanın ne zaman yasal olduğunu anlamak

Yasallık sorusu çoğu zaman olay olduktan sonra sorulur: bir hesap ele geçirilir, bir ortaklık ilişkisi gerginleşir ya da şüpheli para hareketleri fark edilir ve insan hemen harekete geçmek ister. Oysa bir etik hacker ile çalışmanın yasal olup olmadığı, ilk mesajdan önce kurduğunuz temele göre belirlenir. Bu yazı yasallığı bir zaman çizelgesi gibi anlatır: hangi adım hangi koşulda hukuka uygundur, hangi talep ise daha ilk cümlede reddedilmelidir.

Bugün geçerli olan kural şudur: hedef varlığın üzerinde gerçek ve yazılabilir bir yetkiniz varsa çalışma yasal zeminde kurulabilir; yetkiniz yoksa hiçbir teknik beceri işi hukuka uygun hâle getirmez. Bu sayfa genel çerçeve verir ve tek başına hukuki tavsiye değildir; yüksek riskli bir dosyada imza atmadan önce bağımsız bir hukuk danışmanına doğrulatın.

Cyberlord yalnızca yazılı izne dayanan inceleme, kurtarma ve savunma çalışması yürütür. İzinsiz hesap erişimi, rıza dışı gizli takip ve kimlik taklidi temelli talepler teklif aşamasında geri çevrilir.

Yasallık tek bir andan değil, adımlardan oluşur

Sık yapılan hata, "hacker tutmak yasal mı?" sorusunu tek bir evet ya da hayır gibi ele almaktır. Oysa yasallık, işin adına değil her adımda taşıdığınız belgeye bakar. Genel bir zaman çizelgesi dört duraklıdır:

Talep aşaması: üzerinde yetkili olduğunuz varlık için neyin incelenmesini istediğinize dair yazılı özet çıkarırsınız. Bu adımda hiçbir parola, cihaz erişimi veya üçüncü kişi bilgisi paylaşılmaz; amaç yalnızca ihtiyacın tanımlanmasıdır.
Yetkilendirme aşaması: imzalı bir yetki belgesi hedefleri, tarih aralığını, izin verilen yöntemleri, kapsam dışı bırakılan kalemleri ve acil durdurma kanalını tanımlar. İmzayı, hedef varlık üzerinde meşru hakkı olan taraf atar.
Uygulama aşaması: çalışma yalnızca belgedeki pencere içinde ilerler. Paylaşılan bir ev cihazında kapsam dışına taşan bir içerik görünse bile inceleme orada durdurulur ve kapsam yazılı olarak güncellenmeden devam edilmez.
Belgelendirme aşaması: bulgular yönetici özeti, teknik ayrıntı ve kanıtla teslim edilir; incelenen kişisel verilerin ne zaman ve nasıl silineceği ya da iade edileceği de yazıya bağlanır.

Bu dört durak tamamlandığında yasallık, sonradan "niyetimiz iyiydi" demeye değil, her adımın arkasındaki belgeye dayanır. Yetki belgesine girmesi gereken başlıkları sözleşme ve hukuki kayıt kılavuzunda ayrıntılı bulursunuz.

Türkiye'de bağlam: TCK bilişim suçları ve KVKK

Türk Ceza Kanunu'nun 243 ile 245 arasındaki maddeleri bilişim alanındaki en bilinen suç kümesini oluşturur: bilgi sistemlerine hukuka aykırı erişim, sistemi engelleme veya verileri bozma, bankacılık sistemine yönelik suçlar ve banka kartının usulsüz kullanımı bu aralıkta düzenlenir. Kişisel verilerin hukuka aykırı olarak verilmesi veya yayılması ise ayrı bir suç başlığıdır. Buradan çıkan sonuç basittir: hedefi üzerinde yetkiniz olmayan bir erişim girişimi, hangi araçla yapılırsa yapılsın bu çerçeveye girebilir; olay teknik olarak sizin lehinize gelişse bile soruşturma tarafı hâline gelebilirsiniz.

KVKK tarafında üç yükümlülük özellikle önemlidir: açık rıza, aydınlatma yükümlülüğü ve veri minimizasyonu. Ortak bir hesabı ya da eve giren bir cihazı incelerken banka kayıtları, sağlık verileri veya biyometrik ayrıntılar gibi hassas kategorilere düşebilecek içerikle karşılaşma ihtimalini önceden düşünmelisiniz. Sürece bir hizmet sağlayıcı, bir alt yüklenici veya başka bir ülkenin sunucusu karışıyorsa, aktarım zincirini KVKK ve GDPR gerekliliklerine göre birlikte değerlendirdiğinizi belgelemeniz gerekir. Verilerin hangi ülkede tutulacağı yazılmadan dışarıdan sağlayıcıyla çalışmak, sınır ötesi projelerde en sık karşılaşılan belirsizliktir.

Hangi talepler yasal zeminde ilerler

Kendi sistemlerinize yapılan sızma testi: şirketinizin sitesi, uygulaması veya altyapısı için imzalı yetki belgesiyle yürütülen değerlendirme hukuka uygundur. Bulgular kapatıldıktan sonra yapılan kısa doğrulama turunun kapsamı ve ücreti de aynı belgede yer almalıdır.
Mağdurun kendi hesabının ya da cihazının kurtarılması: hesabı ele geçirilmiş veya parolasını bizzat kaybetmiş kullanıcı, kimlik doğrulaması ve imzalı rıza formuyla kendi hesabına dönüş isteyebilir. Bu, "başkasının hesabını geri getirme" değildir; yetkiyi kullanıcının kendisi verir ve hedef hesap onun adına kayıtlıdır.
Kanuni yollarla delil toplama: hukuk uyuşmazlığında elinize fiilen geçmiş belge, işlem kaydı veya iletişim çıktısının doğrulanabilir kopyalarını hazırlamak ve bunları uygun kanallardan sunmak size kalan güvenli alandır. Buradaki temel ölçüt, veriye hiçbir aşamada izinsiz müdahale edilmemiş olmasıdır.
Kurum içi denetim: kendi şirketinizin cihaz envanteri, erişim kayıtları veya hesap yönetimi üzerine kurulan bir inceleme, çalışan aydınlatma metninde belirtilen sınırlar içinde kaldığında meşrudur.

Hangi talepler açık kırmızı çizgidir

Rıza dışı partner ya da ortak takibi: birlikte yaşadığınız kişinin telefonunu, sohbetlerini veya sosyal medya hesabını onun bilgisi ve rızası dışında inceleme isteği. Ortak fatura ya da ortak ev cihazı, bir mesajlaşma hesabının içine girmek için yetki üretmez; bu talep hem bilişim suçları hem kişisel veri mevzuatı yönünden risklidir.
Hesap ele geçirme planları: sizde olmayan bir hesabın şifresini "kurtarırız" biçiminde isteyen ya da doğrulama adımlarını atlatmayı öneren teklifler. Böyle bir hizmet hangi hesaba uygulanırsa uygulansın kabul edilmez; geri dönmesi güç bir hukuki risk ilk mesajda başlar.
Kimlik taklidi temelli işler: başkası adına kayıt açmak, bir hesabı rozet ya da logo ile taklit etmek, resmî kaynaklar gibi görünen bir kanal kurup veri çekmek. Bu, ayrı bir suç alanıdır ve mağdurun diğer haklarında zincirleme zarar üretir.
Kapsam dışına taşınan üçüncü kişi erişimi: yasal bir iş başlığının ardına saklanmış, bir dosya paylaşımı ya da teknik erişimin sonradan başka hesaplara yönlendirilmesi. Yetki belgesi, kapsam dışı kalan her adım için durdurma gerekçenizdir.

İşi vermeden önce elinizde bulunması gereken belgeler

Yasal zemin, iş başladıktan sonra tamamlanamaz. Aşağıdaki listedeki her madde, çalışmayı vermeye karar verdiğiniz anda elinizde olmalıdır:

Varlık sahipliği kanıtı: incelenecek site, alan adı, telefon veya hesabın tapu, ticari kayıt, fatura ya da resmî hesap dökümüyle size bağlandığı belge. Şirket adına kayıtlıysa imza yetkisi de aynı belgede açık olmalıdır.
İmzalı yetki belgesi: hedefler, tarih aralığı, izinli yöntemler, kapsam dışı kalemler ve acil durdurma kanalının tamamlandığı belge. Üçüncü taraf barındırma sağlayıcısı veya mobil operatör devredeyse onayları eklenmelidir.
Rızası gereken tarafların kayıtları: hedef varlıkta payı olan başka kullanıcılar varsa, rızalarının ne zaman ve hangi kanaldan alındığının yazılı kaydı. Sözlü rıza, sonradan reddedilebilir bir kayıttır.
Kanıt yönetimi planı: verinin nereden alınacağı, hangi araçla kopyalanacağı, ara transferlerin nasıl kaydedileceği ve orijinal verinin ne zaman imha edileceği.
Veri işleme planı: ortaya çıkabilecek veri kategorilerinin (özellikle finans, sağlık, biyometrik) nasıl işleneceği, kimlerin erişeceği ve ne zaman silineceği; KVKK ve GDPR yönünden sorumlu kişinin adı.
Uyuşmazlık ve durdurma kanalı: iş sırasında olay çıkarsa irtibat kurulacak kişinin adı, telefonu ve yazılı iletişim hattı; anlaşmazlık hâlinde hangi adımda hangi sürecin başlayacağı.

Bu maddelerden biri eksikse iş yasal kabul edilmez; önce o madde tamamlanır, sonra çalışma başlar.

Kanıt hangi durumlarda geçersiz hâle gelir

Kanıtın değeri üç şeye bağlıdır: verinin kaynağı, elde etme yöntemi ve bire bir doğrulama. Genel çerçevede bir kanıtı savunulamaz kılan desenler şunlardır:

İzin zincirinin kopması: hedef veriye erişim hakkı olmayan kişinin veriyi vermesi ya da iki taraf arasındaki devrin belgesiz kalması. Ortak bir bulut klasöründen kopyalanan dosyanın başka kanala taşınması, zinciri doğrudan kırar.
Kimlik doğrulama eksikliği: imzasız ya da doğrulanmamış bir yetki belgesi, tüm çalışmayı sonradan reddedilebilir kılar. Birden fazla kişinin imzası bu eksikliği kapatmaz; imza yetkisi tek belgede açık olmalıdır.
Kanıt bütünlüğünün bozulması: orijinal verinin üzerine yazılması, cihazda sonradan değişiklik yapılması ya da kopyanın hash değeri hesaplanmadan doğrulanmasının atlanması. Savunulabilir bir kopyada önce hash hesaplanır, sonra kopya doğrulanır; ters sıra bütünlük savını zayıflatır.
Kapsam dışına sızan veri: yetki belgesinde olmayan bir veri kategorisinin çalışma içine karışması. Böyle bir durumda kapsamı yazılı olarak güncellemek ve kapsam dışı kalan verilerin nasıl temizleneceğini karara bağlamak gerekir.

Yasallığa dair sık sorular

Ortak bir hesabı, yalnızca benim adıma kayıtlı olsa bile iki kişi kullanıyorsa inceleyebilir miyim? Hayır. Diğer kullanıcının açık rızası alınmadan ortak hesabın içindeki içerik kapsam dışıdır; ortak kullanım, diğer tarafın tüm bilgilerini inceleme yetkisine dönüştürmez.

Yetki belgesi şart mı? Evet. İmzalı ve doğrulanabilir yetki belgesi, yasallık hattının en önemli tekil belgesidir; belgesiz işler sonraki bir itirazda savunulamaz hâle gelir.

Garantili sonuç isteyebilir miyim? Hayır. Meşru bir çalışma, hangi yöntemin uygulanacağını, süresini ve hangi koşullarda sonlanacağını anlatır; tek cümlelik kesin sonuç vaadi vermez.

Cyberlord nasıl yaklaşır

İşe başlamadan önce Cyberlord iki soru sorar: hedef varlık üzerinde gerçek ve yazılabilir bir yetkiniz var mı, istediğiniz sonuç hangi belgeyle desteklenebilir? İki cevap yazılı olarak oturursa çalışma yukarıdaki dört duraklı zaman çizelgesinde ilerler. Bir durak eksikse o durak kapatılmadan işe başlanmaz; bu yaklaşım projenin hukuki riskini azaltır ve raporun savunulabilirliğini artırır. Savunma tarafındaki yönleri genişletmek için etik hackerı güvenli şekilde işe alma kılavuzuna, sağlayıcıyı seçmeden önceki yetkinlik kanıtları için kimlik doğrulama yazısına göz atabilirsiniz.

İlk temas sırasında neleri ne zaman paylaşırsınız

**İlk mesajda neleri paylaşmalıyım?**İlk mesajda neleri paylaşmalıyım? Üç bilgiyle başlayın: hedef üzerindeki yetkinizin dayanağı, istediğiniz sonucun tek paragraflık özeti ve kanıtın bugünkü durumu. Parola, erişim kodu veya cihaz bilgisi ilk mesajda paylaşılmaz; bunlar ancak kapsam onayından sonra güvenli kanaldan aktarılır.

Yasal olmayan bir talebi nasıl ayırt ederim? Basit bir test uygulayın: "Bu inceleme için kim yazılı izin verebilir?" sorusuna tek bir isimle cevap veremiyorsanız, talep daha yazıya dökülmeden kırmızı çizgidir.