Telefonuna el konulan birinin, ya da avukatının, ilk sorduğu üç şey hemen hemen hep aynı: ne zaman geri verilecek, içinden ne çıkacak, silinenler de çıkar mı? Üçünün de kesin cevabı dosyadaki karara ve telefonun modeline bağlı. Ama süreç her dosyada aynı sırayla işliyor ve o sıra bilinince hangi soruyu kime soracağınız da netleşiyor.
Telefon incelemesi hangi kararla yapılır?
Ceza soruşturmasında dayanak CMK m.134. Madde, şüphelinin kullandığı bilgisayar ve kayıtlarda arama, kopyalama ve el koymayı düzenliyor; telefon da bu kapsamda değerlendiriliyor. Madde arama ve kopyalama için somut delillere dayanan kuvvetli şüphe ve başka surette delil elde etme imkânının bulunmamasını şart koşuyor. Kararı hâkim verir; gecikmesinde sakınca bulunan hallerde Cumhuriyet savcısı verir ve kararını yirmi dört saat içinde hâkim onayına sunar. Maddenin teknik açıdan önemli üç hükmü var:
- El koyma sırasında sistemdeki bütün verilerin yedeği alınır.
- Bu yedekten bir kopya şüpheliye ya da vekiline verilir ve bu tutanağa geçirilir (m.134/4).
- Şifre çözülemediği, gizlenmiş bilgiye ulaşılamadığı ya da işlem uzun süreceği için el konulan cihaz, şifre çözülüp kopya alındıktan sonra gecikmeden iade edilir.
Anayasa Mahkemesi 12 Şubat 2026'da bu maddeyi iptal etti (E.2023/128, K.2026/36). Karar 25 Mayıs 2026'da Resmî Gazete'de yayımlandı ve iptal dokuz ay sonra, 25 Şubat 2027'de yürürlüğe girecek. O tarihe kadar madde uygulanıyor. Yerine gelecek düzenleme bu yazının tarihinde henüz kanunlaşmamıştı.
İnceleme adım adım nasıl yürür?
- El koyma ve tutanak. Telefonun markası, modeli, IMEI'si, açık mı kapalı mı olduğu, ekranda ne göründüğü yazılır. Sonradan en çok tartışılan bilgi, telefonun el konulduğu andaki durumu oluyor.
- Edinim, yani imaj alma. Telefon bir adli cihaza ya da bilgisayara bağlanır ve içeriği kopyalanır. Ne kadarının kopyalanabildiği cihaza bağlı; aşağıda ayrıca anlattık.
- Özet değeri. Alınan kopyanın hash değeri hesaplanıp kayda geçirilir. Bundan sonra yapılan her işlem bu kopya üzerinde yapılır ve kopyanın değişmediği bu değerle gösterilir.
- Ayrıştırma. Kopya bir analiz programında açılır; program veri tabanlarını okuyup mesajları, aramaları, fotoğrafları, konumları tablolara döker.
- Süzme. Karardaki tarih aralığı, kişiler ve anahtar kelimelerle ilgili kayıtlar seçilir.
- Rapor. Genellikle bir PDF ya da Excel rapor ve seçilen kayıtların bir okuyucu programla açılabilen dosyası hazırlanır.
Edinimde ve analizde en sık adı geçen programlar Cellebrite'ın ürünleri (UFED ve Physical Analyzer, yeni adıyla Inseyets), Magnet AXIOM, Oxygen Forensic Detective, MOBILedit Forensic ve MSAB XRY. Cellebrite tarafının nasıl işlediğini Cellebrite nedir yazısında, öteki programları adli bilişim programları yazısında topladık.
Telefon imajı nedir, neler çıkar?
İmaj, telefonun içeriğinin incelemeye esas alınan kopyası. Ama “telefonun tamamı” demek her zaman doğru değil; edinimin türü neyin kopyalandığını baştan belirler:
| Edinim | Genellikle neyi kapsar | Neyi kaçırabilir |
|---|---|---|
| Mantıksal | Rehber, arama kaydı, SMS, fotoğraf ve videolar, telefonun yedeğe aldığı uygulama verisi | Uygulamaların yedek dışı bıraktığı klasörler, sistem kayıtları, silinmiş kayıt izleri |
| Tam dosya sistemi | Uygulama veri tabanlarının tamamı, konum ve kullanım kayıtları, sistem veri tabanları | Her modelde ve sürümde mümkün değil |
| Fiziksel | Belleğin ham içeriği | Güncel telefonlarda veri şifreli olduğundan anahtarlar olmadan çoğu zaman anlamlı değil |
Raporun başında hangi edinimin yapıldığı yazar. “WhatsApp mesajı bulunamadı” diyen bir rapor ile mantıksal edinim yapılmış bir telefon yan yana geldiğinde, sorunun mesajın olmaması mı yoksa edinimin oraya ulaşamaması mı olduğu sorulmalı. Edinim türlerinin teknik ayrıntısı ve kilit durumunun etkisi telefon ve mobil uygulama incelemesi sayfasında.
WhatsApp ve silinen mesajlar
WhatsApp mesajları telefonda bir SQLite veri tabanında durur: Android'de msgstore.db, iPhone'da ChatStorage.sqlite. Edinim bu dosyaya ulaştıysa analiz programı sohbetleri, grupları, medya dosyalarını ve WhatsApp aramalarını çıkarır. Uçtan uca şifreleme burada bir engel değil, çünkü şifreleme mesajın yoldayken okunmasını engeller; telefonda mesaj açık halde saklanır.
Silinen mesajlar daha belirsiz. Veri tabanının yan dosyalarında (WAL), bildirim kayıtlarında ya da karşı tarafın telefonunda iz kalabilir; kalmayabilir de. “Herkesten sil” ile silinen bir mesajın yerinde, veri tabanında bir silinme kaydı bulunur, içeriği çoğu zaman bulunmaz. Ayrıntılı tablo WhatsApp yazışmaları delil olur mu yazısında. Silmenin kendisi de bir iz bırakır: hangi sohbetin ne zaman silindiği, mesajın kendisi bulunamasa bile raporda yer alabilir.
Neden bu kadar uzun sürüyor?
Edinimin kendisi çoğu telefonda birkaç saat. Bekleyişin büyük kısmı başka yerlerden geliyor. İnceleme birimlerinde sıra var. Kilitli ve şifresi bilinmeyen bir telefonda kilidin açılması denemelere bağlı; yeni model iPhone'larda ve güncel güvenlik yamaları yüklü Android'lerde bu, uzun sürebilir ya da hiç sonuç vermeyebilir. Sonra yüz binlerce kaydın karardaki soruya göre süzülmesi geliyor ve bu iş makineyle değil insanla yapılıyor.
Bilirkişiye verilen işlerde CMK m.66/1'deki sınır geçerli: üç ay, gerekçeli kararla en çok üç ay daha. Raporların genel olarak ne kadar sürede geldiğini bilirkişi raporu kaç günde gelir yazısında ayrıca anlattık.
Rapor geldikten sonra bakılacak beş şey
- Edinim türü ve kullanılan programın adı ve sürümü yazıyor mu?
- İmajın hash değeri var mı ve size verilen kopyanın değeriyle aynı mı? Değeri kendiniz hesaplamak için hash hesaplama aracını kullanabilirsiniz.
- Mesajların saati hangi saat diliminde gösterilmiş? Programlar ayara göre UTC ya da yerel saat yazar; bir mesajın üç saat kaymış görünmesinin çoğu zaman sebebi budur.
- Rapordaki her kayıt kaynak dosyasına bağlanabiliyor mu? İyi bir raporda her mesajın hangi veri tabanının hangi satırından geldiği bellidir.
- Süzmede kullanılan anahtar kelimeler ve tarih aralığı yazıyor mu? Raporda görünmeyen bir mesaj, yalnızca süzgeçten geçmediği için görünmüyor olabilir.
Rapordaki bir bulguya teknik olarak itiraz etmek gerekiyorsa çalışma, size verilen yedek kopyası üzerinden yapılır. Rapor genellikle bir Cellebrite okuyucu dosyasıyla birlikte geliyor; bu dosyanın nasıl açılacağı UFDR dosyası nasıl açılır yazısında.