DDoS Saldırısı ve Maddi Zarar Tazminatı: Ticari Kayıpların Telafisi

Bir e-ticaret sitesinin "Black Friday" (Efsane Cuma) günü saatlerce erişilemez olduğunu düşünün. Veya bir bankacılık uygulamasının, bir haber sitesinin en yoğun saatte hizmet veremediğini... DDoS (Distributed Denial of Service / Dağıtık Hizmet Engelleme) saldırıları, bir sistemi binlerce sahte istekle boğarak devre dışı bırakmayı hedefler. Amaç genellikle veri çalmak değil, ticari zarara uğratmak veya itibar zedelemektir.

İstanbul’un dijital ticaret üssü Kartal ve Anadolu Yakası'ndaki şirketler için DDoS saldırısı, sadece teknik bir aksaklık değil, dakikalar içinde yüz binlerce liralık ciro kaybı demektir. Hukuk sistemimizde bu eylem, hem ağır bir suç hem de tazminat gerektiren bir "Haksız Fiil"dir. Bir Kartal Bilişim Avukatı olarak, DDoS saldırısı sonucu uğranılan maddi zararların nasıl tazmin edileceğini ve hukuki süreci detaylandırıyoruz.

DDoS Saldırısının Hukuki Niteliği

DDoS saldırısı, Türk Ceza Kanunu'nun 244. maddesinde düzenlenen "Sistemi Engelleme ve Bozma" suçudur.

"Bir bilişim sisteminin işleyişini engelleyen veya bozan kişi, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır."

Ancak saldırganın hapse girmesi, şirketin o gün yapamadığı satışları geri getirmez. İşte bu noktada Hukuk Mahkemeleri (Tazminat Davaları) devreye girer. Borçlar Kanunu'na göre, hukuka aykırı bir eylemle başkasına zarar veren kişi, bu zararı gidermekle yükümlüdür.

Hangi Zararlar Talep Edilebilir? (Tazminat Kalemleri)

DDoS saldırısına uğrayan bir firma, saldırgandan (tespit edilirse) veya saldırıda ihmali olan hizmet sağlayıcıdan şunları talep edebilir:

1. Yoksun Kalınan Kâr (Ciro Kaybı)

En büyük tazminat kalemi budur. Saldırı olmasaydı şirketin elde edeceği muhtemel kazançtır.

Hesaplama: Şirketin geçmiş yıl aynı dönem cirosu veya saldırıdan önceki/sonraki günlerin ortalama cirosu baz alınır. Örneğin; günlük ortalama 50.000 TL ciro yapan bir site, 2 gün kapalı kaldıysa 100.000 TL yoksun kalınan kâr talep edebilir.

2. Fiili Zarar (Müspet Zarar)

Saldırıyı durdurmak veya sistemi onarmak için yapılan harcamalardır.

IT personeline ödenen fazla mesai ücretleri.
Dışarıdan alınan siber güvenlik danışmanlık faturaları.
Saldırıyı kesmek için satın alınan ekstra donanım veya yazılım lisansları.

3. Boşa Giden Reklam Harcamaları

Eğer saldırı anında Google Ads veya sosyal medya reklamlarınız aktifse, kullanıcılar reklama tıklar ancak site açılmaz. Bu durumda reklam bütçeniz boşa gitmiş olur. Bu bedel de tazminat olarak istenir.

4. Manevi Tazminat (İtibar Kaybı)

Sitenin açılmaması, müşteriler nezdinde "Güvenilmez", "Amatör" veya "Batmış" algısı yaratabilir. Şirketin ticari itibarının zedelenmesi nedeniyle manevi tazminat talep edilir.

Saldırganın Tespiti: "Botnet" Sorunu

DDoS saldırılarının hukuki sürecindeki en büyük zorluk, failin tespitidir. Saldırı genellikle ele geçirilmiş binlerce masum bilgisayar (Zombi Bilgisayarlar / Botnet) üzerinden yapılır.

Savcılık Soruşturması: Saldırıyı yöneten "Komuta Kontrol Merkezi"nin (C&C Server) tespiti için Siber Suçlarla Mücadele ekipleri teknik takip yapar.
Rakip Firma İzi: Ticari DDoS saldırılarının arkasında genellikle haksız rekabet yapan rakip firmalar çıkar. Para transferleri veya azmettirici izleri takip edilerek asıl faile ulaşılmaya çalışılır.

Hizmet Sağlayıcının (Hosting/ISP) Sorumluluğu

Saldırgan bulunamazsa veya yurt dışındaysa, gözler hizmet aldığınız Hosting veya İnternet Servis Sağlayıcısına (ISP) çevrilir.

Sözleşme ve SLA (Hizmet Seviyesi Anlaşması): Eğer hosting firmanızla yaptığınız sözleşmede "%99.9 Uptime (Erişilebilirlik) Garantisi" veya "DDoS Koruma Hizmeti" maddesi varsa ve buna rağmen basit bir saldırıda sistem çöktüyse; hosting firmasına karşı "Sözleşmeye Aykırılık" nedeniyle tazminat davası açabilirsiniz.
Ancak, "Mücbir Sebep" sayılabilecek boyutta devasa bir global saldırı varsa, servis sağlayıcı sorumlu tutulmayabilir.

Dava Süreci ve İspat

Tazminat davası açmadan önce zararın ve saldırının hukuken delillendirilmesi gerekir.

Adli Bilişim Raporu: Saldırının ne zaman başladığı, ne kadar sürdüğü, trafiğin boyutu ve türü (SYN Flood, UDP Flood vb.) teknik raporla sabitlenmelidir.
Mali Bilirkişi İncelemesi: Şirketin ticari defterleri incelenerek, saldırı günündeki ciro kaybı matematiksel olarak hesaplanmalıdır.
Tespit Davası: Dava uzun süreceği için, olay sıcakken Sulh Hukuk Mahkemesi aracılığıyla "Delil Tespiti" yaptırarak zararı kayıt altına aldırmak avantaj sağlar.

Somut Vaka Analizi: E-Ticaret Sitesine Rakip Saldırısı

Olay: Kartal'da çiçek ve hediye satışı yapan bir e-ticaret sitesi, "Sevgililer Günü"nde yoğun bir DDoS saldırısına uğrar ve 24 saat boyunca hizmet veremez.

Hukuki Süreç:

Teknik Takip: Savcılık soruşturmasında, saldırının "Dark Web" üzerinden kiralandığı ve ödemenin rakip bir firma sahibi tarafından kripto para ile yapıldığına dair dijital izler bulunur.
Ceza Davası: Rakip firma sahibi TCK 244 (Sistemi Engelleme) ve Haksız Rekabet suçlarından yargılanır.
Tazminat Davası: Mağdur firma, geçen yılın Sevgililer Günü cirosunu (200.000 TL) ve boşa giden reklam bütçesini (20.000 TL) kanıtlayarak Asliye Ticaret Mahkemesi'nde dava açar.
Sonuç: Mahkeme, bilirkişi raporu doğrultusunda yoksun kalınan kârın ve manevi tazminatın faiziyle birlikte davalıdan tahsiline karar verir.

Sıkça Sorulan Sorular

Saldırgan yurt dışındaysa dava açabilir miyim? Evet, Türk hukuku uygulanır ancak tazminatın tahsili (İnfazı) zor olabilir. Bu durumda genellikle saldırıda ihmali olan yerel iş ortakları veya hizmet sağlayıcılar hedeflenir.

Hosting firmam "DDoS korumamız var" demişti ama site çöktü. Ne yapabilirim? Bu, "Ayıplı Hizmet"tir. Ticaret Mahkemesi'nde dava açarak ödediğiniz hizmet bedelini geri isteyebilir ve uğradığınız zararı tazmin edebilirsiniz.

DDoS saldırısı fidye için yapılıyorsa (Ransom DDoS)? Bazı saldırganlar "Saldırıyı durdurmak için para öde" der. Bu durumda TCK 107 (Şantaj) suçu da oluşur. Asla ödeme yapılmamalı, derhal savcılığa gidilmelidir.

Sigorta DDoS zararını karşılar mı? Eğer şirketinizin "Siber Risk Sigortası" varsa ve poliçede "İş Durması (Business Interruption)" teminatı bulunuyorsa, sigorta şirketi ciro kaybınızı öder.

DDoS saldırısı, dijital çağın "iş yeri kundaklaması"dır. Şirketinizi teknik olarak korumak (Firewall, CDN vb.) kadar, hukuki olarak da hazırlıklı olmak (SLA sözleşmeleri, sigorta, delil tespiti) gerekir.

Ciro kaybınızın "kader" olmadığını, hukuken tazmin edilebilir bir zarar olduğunu bilmelisiniz.

Kartal Avukat olarak, Bilişim Hukuku ve Ticaret Hukuku alanındaki ; DDoS saldırısı sonrası zarar tespiti, failin bulunması için savcılık takibi ve maddi/manevi tazminat davalarında şirketinizin yanındayız. Dijital kayıplarınızı telafi etmek için bizimle iletişime geçebilirsiniz.

Kartal Bilişim Avukatı