IP adresi tek başına delil mi? Aboneden kişiye giden yolun sınırları

IP adresi, internete bağlı bir ağın ya da cihazın o anda kullandığı ağ adresidir. Bir kayıtta görünen IP, bağlantının hangi ağdan geldiğini söyler. Dosyalarda sorulan soru ise genellikle başkadır: bu adresi kullanan kişi sanık mı, davalı mı, eski çalışan mı? Bu yazı IP adresinden kişiye giden yolun teknik halkalarını ve her halkada neyin kayıtla desteklendiğini, neyin varsayıldığını anlatıyor.

Bir IP kaydının dosyadaki ağırlığı ise hukuki bir değerlendirmedir; bu değerlendirme avukata ve mahkemeye aittir. Ceza yargılamasında hâkim delilleri vicdani kanaatiyle serbestçe takdir eder (CMK m.217).

IP adresi neyi gösterir, neyi göstermez?

IP adresi, operatör kaydıyla doğru eşleştirildiğinde olay anındaki internet aboneliğini gösterir. Kişiyi, cihazı ve kastı göstermez.

Mevzuat da abone ile kullanıcıyı ayırır. 5651 sayılı Kanun trafik bilgisini IP adresi, kaynak ve hedef port, hizmetin başlama ve bitiş zamanı ve "varsa abone kimlik bilgileri" olarak sayar (m.2/1-j); iletişimin tespiti talebine ise hattın sahibini "ve biliniyorsa kullanıcısını" gösteren belge eklenir (CMK m.135/2). Yargıtay 8. Ceza Dairesi, IP numarasının kullanılan bilgisayarı değil internetle olan bağlantıyı gösterdiğini beraati onadığı kararın gerekçeleri arasında saymıştır (E.2012/21817, K.2013/25428).

Aynı IP adresi neden farklı kişilere çıkabilir?

Aboneden kişiye geçişi zayıflatan tipik durumlar aşağıda. Aynı dosyada birden fazlası bir arada bulunabilir.

Ortak Wi-Fi ve parolası bilinen ağlar

Modemin arkasındaki bütün cihazlar internete aynı genel IP ile çıkar: aile bireyleri, misafirler, parolayı bilen komşu, ağ parolasızsa menzildeki herkes. Hangi cihazın bağlandığı ancak modemin kayıtlarından (bağlı cihaz listesi, DHCP kira tablosu, varsa bağlantı günlüğü) ve cihazların üzerindeki izlerden anlaşılır. Ev modemleri bu kayıtları çoğu zaman kısa tutar, bir kısmı yeniden başlatmada siler; modemi sıfırlamadan önce arayüzü tarih ve saatiyle belgelemek ilk adımdır.

MAC adresi de cihazı her zaman göstermez. Apple cihazları her Wi-Fi ağı için ayrı bir özel adres kullanır; iOS 18 ve sonrasında seçilebilen "dönen" ayarda bu adres iki haftada bir değişir.

İş yeri, okul ve kamuya açık ağlar

Kurumsal ağlarda çok sayıda kullanıcı aynı genel adresi ya da küçük bir adres havuzunu paylaşır; içerideki kişiye ulaşmak için firewall NAT kaydı, VPN ya da kimlik doğrulama kayıtları gerekir. Kafe, otel ve AVM gibi internet toplu kullanım sağlayıcıları ise erişim kayıtlarını iki yıl saklamakla yükümlüdür: iç ağda dağıtılan IP, kullanım başlangıç ve bitiş zamanı, cihazın MAC adresi, hedef IP ve NAT'ta tahsis edilen gerçek IP ile port (Toplu Kullanım Yönetmeliği m.3/1-e, m.4/1-b). Kamuya açık alanlarda kullanıcı SMS gibi bir yöntemle tanımlanır (m.4/1-c). Bu kayıt bulunursa bağlantı bir telefon numarasına bağlanabilir; numarayı o gün kimin kullandığı yine ayrı bir sorudur.

Dinamik IP

Kalıcı (statik) adres ayrıca tahsis edilmedikçe ev ve mobil bağlantıların adresi değişebilir ve operatör aynı adresi farklı zamanlarda farklı abonelere verir. Doğru abone, olay anının operatörün oturum kaydıyla saniye düzeyinde eşleştirilmesiyle bulunur. UTC bir değer Türkiye saati sanılırsa sorgu üç saat önceki başka bir aboneyi gösterebilir; bu hatanın biçimlerini zaman damgaları ve saat dilimi yazısında anlattık.

VPN, proxy ve Tor

Logdaki IP bir VPN sunucusuna, vekil sunucuya (proxy) ya da Tor çıkış rölesine aitse abonelik sorgusu kullanıcıyı değil o hizmetin işletmecisini gösterir. VPN sağlayıcısı bağlantı kaydı tutmuyor ya da yurt dışında olabilir. Tor, geliştiricileri dahil kimsenin kullanıcıyı izleyemeyeceği biçimde tasarlanmıştır; bir adresin belirli bir tarihte Tor rölesi olarak çalışıp çalışmadığı Tor Project'in ExoneraTor servisiyle kontrol edilebilir. Böyle bir adreste atıf ancak cihaz tarafındaki izlerle kurulabilir: VPN uygulaması, bağlantı zamanları, tarayıcı verisi.

CGNAT

Operatör bir genel IPv4 adresini port aralıklarına bölerek aynı anda birden fazla aboneye kullandırıyorsa IP ve zaman aboneyi bile belirlemez, kaynak port gerekir. Mekanizmayı CGNAT nedir yazısında ayrıntılı anlattık.

Ele geçirilmiş cihaz ya da modem

Zararlı yazılım bulaşmış bir bilgisayar, uzaktan erişime açık bırakılmış bir cihaz ya da varsayılan yönetici parolasıyla çalışan bir modem, abonenin haberi olmadan başkasının trafiğini taşıyabilir. Bu ihtimal soyut olarak ileri sürülmekle kalmamalı, cihaz ve modem incelemesiyle sınanmalıdır.

Yargıtay IP adresi delilini nasıl değerlendiriyor?

Aşağıdaki kararlar karararama.yargitay.gov.tr üzerinden daire ve esas/karar numarasıyla bulunabilir. Her biri kendi dosyasının koşullarına bağlıdır, genel bir kural gibi okunmamalıdır. Tabloda yalnızca kararlarda teknik açıdan tartışılan unsurlar yer alıyor.

Son satır dengeyi gösterir: IP kaydı işe yaramaz bir veri değildir. Doğru kurulduğunda ve başka delillerle desteklendiğinde dosyadaki yerini alır; sorun, eşleştirmenin eksik kurulduğu ya da abonenin kullanıcıyla özdeş sayıldığı durumlardadır.

IP ile kişi arasındaki bağı hangi teknik veriler güçlendirir?

Atıf, birbirinden bağımsız kaynakların aynı yöne işaret etmesiyle güçlenir. Aynı kaynağın aynı bilgiyi tekrarlaması güçlendirmez: bir platformun on satırlık giriş listesi on ayrı delil değildir.

1. Port ve doğru zaman. Sunucu logunda kaynak port ve saat dilimi belli, saniye hassasiyetinde zaman; operatör kaydında o portu içeren blok ve zaman aralığı. RFC 6302 sunuculara tam da bunu önerir. Bu ikisi olmadan CGNAT'lı ya da dinamik adreste abone düzeyi bile sağlam değildir.
2. Hesap giriş geçmişi. Aynı hesabın bütün girişleri: hangi adreslerden, hangi cihaz ve tarayıcı bilgisiyle, hangi saatlerde. Olay saatindeki adres hesabın her gün kullandığı ev bağlantısıyla örtüşüyorsa bu, tek bir satırdan daha anlamlıdır. Adres yalnızca olay anında görünüp kaybolduysa başka bir açıklaması olabilir.
3. Yerel ağ kayıtları. Modemin DHCP tablosu, şirket firewall'unun NAT logu, toplu kullanım sağlayıcının erişim kaydı. Aboneden cihaza inen halka budur.
4. Cihaz incelemesi. Şüpheli cihazda olayla örtüşen izler: tarayıcı geçmişi, uygulama veri tabanı, oturum bilgileri, VPN uygulamasının bağlantı kayıtları. Bir yazılımın cihazda bulunması kullanıldığını göstermez; incelemenin imaj ve hash değeriyle belgelenmiş olması da ayrıca aranır.
5. Mobil hatta çapraz kontrol. Bağlantı mobil hattan kurulduysa operatörün internet oturum kayıtları aynı hattın HTS'sindeki veri oturumu satırlarıyla karşılaştırılabilir: zamanlar ve cihaz kimliği tutuyor mu?
6. Korelasyon. Bütün kaynaklar aynı saat referansıyla tek zaman ekseninde dizilir. Kaynaklar arasındaki çelişkiler de raporda yer alır; yalnızca uyumlu satırları seçmek atfı olduğundan güçlü gösterir.

Teknik kontrol listesi: IP'ye dayanan bir tespit nasıl sınanır?

Aşağıdaki sorular hukuki strateji değildir; bir IP tespitinin teknik olarak sağlam olup olmadığını anlamaya yarar. Cevabı "bilinmiyor" olan her soru raporda sınırlılık olarak yazılmalıdır.

Olay kaydını sunan taraf için (şikâyetçi, şirket, hesap sahibi)

• Log ham hâliyle, dışa aktarma yöntemi ve alındığı anda hesaplanan SHA-256 değeriyle saklandı mı? Değeri hash hesaplama aracıyla tarayıcıda da üretebilirsiniz. Ekran görüntüsü tek başına zayıf bir kayıttır.
• Kayıtta kaynak port var mı? Yoksa bundan sonrası için log biçimine eklendi mi (Apache %{remote}p, Nginx $remote_port)?
• Zamanın saat dilimi yazılı mı, sunucu saati NTP ile eşitleniyor mu?
• Logdaki adres gerçekten istemcinin mi, önde duran CDN'in ya da ters vekil sunucunun mu? X-Forwarded-For başlığının en soldaki değeri istemci tarafından uydurulabilir.
• Adres hangi türde: genel, özel, CGNAT ya da dokümantasyon aralığı? IP adresi kontrol aracı bunu dışarıya sorgu göndermeden gösterir.
• Talep zamanında yapıldı mı? Operatör ve platform kayıtları sınırlı süre saklanır.

IP tespitini değerlendiren taraf için (savunma, davalı, işveren)

• Operatör yazısında port ve zaman aralığı var mı? Sorgu hangi saat dilimiyle yapılmış, platformun bildirdiği zamanla aynı mı?
• Cevapta tek abone mi, birden fazla abone mi var? Tek abone seçildiyse hangi ölçütle?
• Adres statik mi, dinamik mi, CGNAT'lı mı? Bir VPN hizmetine, bulut sunucusuna ya da Tor çıkış rölesine ait olabilir mi?
• Abonelik kime ait ve o ağı olay tarihinde kimler kullanabiliyordu? Modem ve Wi-Fi parolası, misafir ağı, ağın parolasız olup olmadığı.
• Modem kayıtları sıfırlama ya da cihaz değişikliğinden önce belgelendi mi?
• Tek bir satır mı var, yoksa hesabın giriş geçmişinde tekrarlayan bir örüntü mü?
• Cihaz incelemesi yapıldıysa imaj alındı mı, hash değerleri kaydedildi mi, bulgular olay zamanıyla örtüşüyor mu?
• Dosyadaki bilirkişi raporu IP'den doğrudan kişiye mi ulaşmış; ortak ağ, port ve saat dilimi ihtimallerini tartışmış mı? Bu tür raporların teknik değerlendirmesini bilirkişi raporu değerlendirmesi kapsamında yapıyoruz.

Teknik incelemenin raporu neleri içerir?

Bir IP tespitini incelediğimizde raporda her adres için adres türü, zincirin hangi halkalarının kayıtla desteklendiği ve hangilerinin varsayıma dayandığı, yapılan saat dönüşümleri, alternatif açıklamalar ve incelemenin sınırları yer alır. Rapor taraflar için uzman görüşü (HMK m.293) ya da bilimsel mütalaa (CMK m.67/6) olarak hazırlanabilir; mahkemeyi bağlamaz ve hukuki nitelendirme içermez. Çalışma adımlarını IP ve CGNAT analizi sayfasında anlattık.