İstanbul Cumhuriyet Başsavcılığı tarafından yürütülen “siyasal veya askerî casusluk” soruşturmasında, Mali Suçları Araştırma Kurulu’nun kullandığı Entegre Mali İstihbarat Sistemi’ne yönelik işlemler incelemeye alındı. Adalet Bakanlığı, soruşturmada sistem üzerindeki yetkisiz işlemler ve kayıtların güvenliğine ilişkin bulgular elde edildiğini açıkladı.
MASAK’ın mali istihbarat sistemi EMİS’e ilişkin soruşturma “siyasal veya askerî casusluk” suçlamasıyla yürütülüyor. Adalet Bakanlığı; yetkisiz işlemler, silinmiş olabilecek veriler, tutulmayan admin logları ve Cumhurbaşkanı Erdoğan ile bazı bakanlara yönelik sorgulamalardan söz ediyor. Ancak açıklamada hangi gizli bilginin casusluk amacıyla temin edildiği, bilgilerin kime aktarıldığı ve “casusluk maksadının” hangi delille belirlendiği açıklanmıyor. Bakanlığın açıkladığı teknik bulgular ile ağır casusluk suçlaması arasındaki bağlantı hâlâ yanıt bekliyor.
Adalet Bakanlığı’nın MASAK’ın Entegre Mali İstihbarat Sistemi’ne yönelik soruşturmayla ilgili yaptığı açıklama son derece ağır bir suçlamayla başlıyor: “Siyasal veya askerî casusluk.”
İstanbul Cumhuriyet Başsavcılığı tarafından yürütülen soruşturma kapsamında 22 şüpheli hakkında adli işlem başlatıldı. Beş kişi gözaltına alındı, yurt dışında olduğu belirtilen 16 kişi hakkında yakalama kararı çıkarıldı, bir kişinin yakalanması için çalışmalar sürüyor. AGMLAB A.Ş. ve MRD A.Ş.’ye el konuldu, şirketlere TMSF kayyım olarak atandı. Soruşturmanın kapsadığı dönemde görev yapan üç eski MASAK başkanının da ifadelerine başvurulacağı açıklandı.
Ancak Bakanlığın uzun açıklaması dikkatle okunduğunda, “casusluk” suçlamasının dayanağı açısından önemli sorular ortaya çıkıyor.
Casusluk suçunun temel unsuru yok!
Türk Ceza Kanunu’nun 328. maddesi “siyasal veya askerî casusluk” suçunu oldukça açık biçimde tanımlıyor. Suçun oluşması için devletin güvenliği veya iç ya da dış siyasal yararları bakımından gizli kalması gereken bir bilginin “siyasal veya askerî casusluk maksadıyla” temin edilmesi gerekiyor. Yani yalnızca gizli bilgiye erişmek veya bir sisteme yetkisiz biçimde girmek, TCK 328’deki casusluk suçunu kendiliğinden oluşturmuyor; “casusluk maksadı” da suçun temel unsurları arasında bulunuyor.
Bakanlığın açıklamasında ise şu soruların yanıtı bulunmuyor: Hangi gizli bilgi casusluk amacıyla temin edildi? Bu bilgiyi hangi şüpheli temin etti? Bilgi bir başka kişiye, örgüte veya ülkeye aktarıldı mı? Aktarıldıysa kime ve hangi yöntemle aktarıldı? Şüphelilerin “casusluk maksadıyla” hareket ettiğine ilişkin hangi somut delil bulundu? Açıklanan teknik bulguların hangisi doğrudan casusluk faaliyetini gösteriyor?
Bakanlığın açıklamasında bunların yerine sistem güvenliğine ilişkin bir dizi bulgu sıralanıyor.
Erdoğan ve bakanların sorgulanması
Açıklamadaki en fazla öne çıkarılan tespitlerden biri, EMİS’te “Siyasi Nüfuz Sahibi Kişiler Listesi”ne ilişkin koruma sisteminin devre dışı bırakıldığı ve ardından Cumhurbaşkanı Recep Tayyip Erdoğan, yakınları ve bazı bakanlar hakkında sorgulama yapıldığı iddiası.
Bu, yetkisiz gerçekleştirilmişse ciddi bir veri güvenliği ve görevin kötüye kullanılması meselesi olabilir. Ancak “sorgulama yapılmış olması” ile “siyasal veya askerî casusluk” aynı hukuki olgu değil.
Üstelik siyasi nüfuz sahibi kişiler, uluslararası kara para aklamayla mücadele sisteminin zaten özel olarak izlediği bir kategori. FATF’ın 12 numaralı tavsiyesi, siyasi nüfuz sahibi kişilerle ilgili daha sıkı müşteri tanıma ve izleme tedbirleri uygulanmasını öngörüyor. MASAK da “Siyasi Nüfuz Sahibi Kişiler” başlığını kara para aklama ve terörizmin finansmanıyla mücadelede önleyici tedbirler arasında sayıyor. FATF ayrıca PEP uygulamalarının cezai değil, önleyici nitelikte olduğunu özellikle belirtiyor.
Dolayısıyla burada asıl yanıtlanması gereken soru Erdoğan veya bir bakanın sistemde “sorgulanmış” olması değil; sorgulamayı kimin, hangi yetkiyle, hangi amaçla yaptığı ve elde edilen mali bilgilerin daha sonra ne olduğu. Bakanlığın açıklaması bu zincirin tamamını ortaya koymuyor.
“Silinmiş olabilir”, “erişim elde etmiş olabilir”
Açıklamanın dili de soruşturmanın hangi aşamada olduğunu gösteren önemli ifadeler içeriyor. Bakanlık, bazı veri alanlarının “sonradan silinmiş olabileceğine yönelik teknik bulgular” bulunduğunu belirtiyor. Daha da önemlisi, açıklamanın sonucunda Hizmet Hareketi’nin devletin mali istihbarat sistemleri üzerinden vatandaşların kritik mali verilerine “erişim imkânı elde etmiş olabileceği” ifade ediliyor.
Buradaki “olabileceği” ifadesi önemli. Çünkü açıklama “şu veriler alındı”, “şu kişiye aktarıldı”, “şurada kullanıldı” demiyor. Verilere erişme imkânının elde edilmiş olabileceğini söylüyor. İhtimal yani! Elde somut delil yok!
Bir bilişim sisteminde böyle bir imkânın bulunması ciddi bir güvenlik problemi oluşturabilir. Ancak erişim ihtimali ile casusluk suçunun gerçekleştiğinin tespiti arasında uçurum var!
Admin loglarının tutulmaması kimin sorumluluğunda?
Bakanlığın açıklamasındaki bir başka çarpıcı unsur da yönetici yetkisine sahip kullanıcıların işlemlerinin geriye dönük denetlenmesini sağlayacak admin loglarının tutulmadığı iddiası. Bu gerçekten böyleyse ciddi bir sistem güvenliği ve denetim problemi söz konusu. Ancak burada başka bir soru ortaya çıkıyor: 2012’den itibaren kullanılan ve devletin en hassas mali bilgilerinin işlendiği belirtilen bir sistemde admin loglarının tutulmadığı yıllarca neden tespit edilmedi?
Açıklamaya göre inceleme dönemi 2012-2018 arasını kapsıyor. EMİS, özel bir şirket tarafından geliştirilmiş olsa da sistem MASAK bünyesinde kullanıldı. Dolayısıyla soru yalnızca yazılımı geliştiren şirketlerin sorumluluğuyla sınırlı değil.
Sistemin kabulünü kim yaptı? Güvenlik denetimlerini kim gerçekleştirdi? Admin yetkilerini kim verdi? Log politikasını kim belirledi? Sistem yıllarca hangi denetimlerden geçti?
Şirket bağlantısından “örgütsel casusluğa” geçiş!
Bakanlığın açıklamasında EMİS’i geliştiren AGMLAB A.Ş. ile MRD A.Ş. ve daha önce KHK ile kapatılan Barış Ata A.Ş. arasında ortaklık ve yönetim ilişkileri bulunduğu belirtiliyor. Bazı şirket ortaklarının da Bakanlığın “FETÖ/PDY’nin askerî ve bilişim mahrem yapılanması” olarak nitelendirdiği yapılar içerisinde sorumlu olduklarına ilişkin bulgular bulunduğu ileri sürülüyor.
Ancak burada da şirket bağlantısı ile somut suç fiilinin birbirinden ayrılması gerekiyor. Bir şirket ortağı hakkında örgüt bağlantısı bulunduğuna ilişkin tespit olması, şirket tarafından yıllar önce geliştirilen yazılım üzerindeki her teknik sorunun otomatik olarak örgütsel faaliyet veya casusluk olduğu anlamına gelmiyor.
Bunun kurulabilmesi için en azından şüpheli kişi, gerçekleştirilen işlem, elde edilen veri ve amaç arasında somut bir bağlantının ortaya konulması gerekiyor. Bakanlığın açıklamasında bu zincirin nasıl kurulduğu henüz kamuoyuyla paylaşılmış değil.
Teknik güvenlik sorunu başka, casusluk başka
Yetkisiz sistem erişimi yapıldıysa, kayıtlar silindiyse, admin işlemleri denetlenemiyorsa veya vatandaşların mali bilgilerine yetkisiz biçimde erişildiyse bunların her biri ayrı ayrı araştırılması gereken iddialar. Fakat soruşturmanın başlığı bunlardan daha ileri bir iddia içeriyor: “Siyasal veya askerî casusluk.”
TCK 328 açısından belirleyici mesele yalnızca sisteme girilip girilmediği değil; gizli bilginin casusluk maksadıyla temin edilip edilmediği.
Adalet Bakanlığı’nın açıkladığı metinde ise şu aşamada sistemdeki güvenlik sorunları, bazı kişilerin Gülen yapılanmasıyla bağlantılı olduğuna ilişkin iddialar ve bazı mali sorgulamalar anlatılıyor; bu unsurlardan “casusluk” sonucuna nasıl ulaşıldığını gösterecek delil zinciri açıklanmıyor.
Bu nedenle dosyanın bundan sonraki aşamasındaki temel soru şu olacak: Ortada kötü yönetilmiş veya yetkisiz erişime açık bırakılmış bir mali istihbarat sistemi mi var, yoksa gerçekten casusluk amacıyla gizli bilgi temin edildiğini gösteren somut deliller mi?
Bu sorunun yanıtını Bakanlığın açıklamasından çıkarmak şu an için mümkün değil.