''Balyoz Planı'' davası

-

"Balyoz Planı" davası

- Bilirkişi raporundan: (2)

- "Heyetimizin görüşü, 5 numaralı harddiske 28 Temmuz 2009 tarihinden sonra başka bir kaynaktan dosya ve klasörler kopyalandığı, bu dosya ve klasörlerin tarihlerinin güncel olmadığıdır"

- "Cd'lerdeki bazı işlemlerin, sistem kullanıcı davranışları dahilinde oluşabileceği ve sahtecilik bulgusu olmadığı sonucuna varıldığı, bir kısım çelişki ve farklı tespitlerin ise bilirkişilerin farklı uzmanlık alanlarından kaynaklandığı vurgulanmıştır. Heyetimiz sahtecilik bulgusu olmadığı sonucuna katılmamaktadır"

İSTANBUL - Anayasa Mahkemesi'nin "hak ihlali" kararının ardından yeniden görülen "Balyoz Planı" davasında, dijital delillerle ilişkin mahkemeye sunulan bilirkişi raporunda, "Heyetimizin görüşü, 5 numaralı harddiske 28 Temmuz 2009 tarihinden sonra başka bir kaynaktan dosya ve klasörler kopyalandığı, bu dosya ve klasörlerin tarihlerinin güncel olmadığıdır" ifadelerine yer verildi.

İstanbul Teknik Üniversitesi'nden (İTÜ) Prof. Dr. Uluğ Bayazıt, Doç. Dr. Feza Buzlıca ve Yrd. Doç. Dr. Ayşe Tosun Mısırlı tarafından hazırlanan ve mahkemeye sunulan bilirkişi raporunun giriş bölümünde, "Türkiye Cumhuriyeti Hükümeti'ni Cebren Iskat veya Vazife Görmekten Cebren Men Etmeye Teşebbüs" suçundan Anadolu 4. Ağır Ceza Mahkemesi'nde görülmekte olan kamu davasıyla ilgili olarak rapor hazırlandığı belirtildi.

Raporda, teknik incelemelerin 2 başlık altında raporlandığı, ilk başlıkta ara kararda yer alan sorulara, ikinci başlıkta ise sanık avukatlarının harddisk, cd ya da flaş bellek ile ilgili detaylı sorularına cavap verildiği aktarıldı.

Bilgisayar Mühendisliği bölümü öğretim üyelerinden oluşan bilirkişi heyetinin teknik verileri bilimsel yöntemlerle değerlendirerek uzman görüşü oluşturulduğu belirtilen raporda, "Teknik değerlendirme kapsamını sınırları dışına çıkarak oluşturulacak sonuçlar kişisel, öznel ve subjektif görüşler ve kanaatler olurlar. Bu tür öznel kanaatlerin doğruluğunu veya tersini sadece eldeki teknik verilerden (imajlardan) yola çıkarak kanıtlamak mümkün değildir. Bu tür kişisel kanaatlerin geçerli olduğu durumları yaratan senaryolar oluşturulabileceği gibi, tersini yani görüşün geçerli olmadığı senaryoları da yaratmak mümkündür. Bu raporlarda heyetimiz sadece kendisine tevdi edilen imajlardan çıkartılan teknik bilgilerin bilgisayar mühendisliğinin yöntemleri ile değerlendirilmesi ile oluşturulan somut sonuçları ve yargıları ortaya koymuştur" değerlendirmesinde bulunuldu.

Bilirkişi raporunda, mahkemenin önceki raporlar arasındaki çelişkilerin tartışılarak, çelişkiler giderilecek şekilde değerlendirme yapılmasını istediği belirtilerek, yapılan incelemede bilgisayar mühendisliği kapsamında 5 numaralı harddiskin imajından elde edilen teknik veriler konusunda önceki raporlar arasında belirgin farklılık olmadığının görüldüğü ifade edildi.

Elde edilen bu verilerin değerlendirilip yorumlanmasında farklılıklar ve çelişkilerin göze çarptığına işaret edilen raporda, şunlar kaydedildi:

"Heyetimizin görüşü 5 numaralı harddiske 28 Temmuz 2009 tarihinden sonra başka bir kaynaktan dosya ve klasörler kopyalandığı ve bu dosya ve klasörlerin tarihlerinin güncel olmadığıdır. Heyetimiz de bu bulguları desteklemektedir. Ancak bu kopyalamanın "normalliği" konusunda raporlar arasında yorum farkları vardır. Kanımızca gerçekleşen olayların normal (olağan) olup olmadığını değerlendirirken olayları tek tek ele almanın yanı sıra bu olayların birlikte gerçekleşebilme olasılığını da dikkate almak gerekir."

Raporda, bir bilgisayarda oluşabilecek olayların tek başına ele alındıklarında normal görülebileceğine dikkat çekilerek "5 numaralı harddiskte tutarsızlık gösteren tarihler altı tanedir. Tarihler arasında bir ilişki bulunmamaktadır (Birbirini izleme veya benzerlik gibi). Tarihler arasında aylar, hatta yıllar mertebesinde zaman boşlukları (dosya klasör hareketi, olmayan zamanlar) vardır" ifadelerine yer verildi.

Son işlemlerde tarihin bir kez daha geçmişe döndüğü bildirilen raporda, bütün bu koşulların bir araya gelmesinin, dosyaların oluşturulma tarihlerini sistem pili arızasıyla açıklamayı güçleştirdiği anlatıldı.

Raporda, heyetin 5 numaralı harddiskin her 2 bölümünde de virüslü dosyalar tespit ettiği vurgulanarak, bu virüslerin bazılarının bulaştıkları bilgisayarı uzaktan erişime açabilecek özellikte olduğu kaydedildi. Ancak yapılan incelemede, dosyaların virüsler vasıtasıyla kopyalandığına dair bir kanıt bulunamadığının altı çizilerek, "Kopyalama işlemlerinin diskteki Windows işletim sistemi devre dışı kaldıktan sonra yapıldığı için virüs vasıtasıyla kopyalama yapılmış olması düşük bir olasılıktır. 5 Nolu harddiskin başka bir bilgisayara ikinci bir disk olarak takılarak kopyalama yapılmış olması olasılığı yüksektir" denildi.

- TÜBİTAK raporlarına ilişkin inceleme

Daha önceden dijital verilerle ilgili dosyaya sunulan TÜBİTAK raporuna ilişkin yapılan incelemeye de yer verilen raporda, bilirkişinin, TÜBİTAK çalışanlarının hazırladığı 20 Ocak 2014 tarihli raporda yer alan "Bu durumların normal kullanıcı davranışları ile oluşabileceği görülmüştür. İncelenen sabit diskteki Microsoft Office dokümanlarında olan bu gibi üst dosya verilerinin normal kullanıcı davranışları çerçevesinde oluştuğu değerlendirilmektedir" yorumuna katılmadığı aktarıldı.

Raporda, bilirkişi heyetinin "Çünkü zaman koşulları tek başlarına normal karşılanabilecek durumlar olsa da hepsinin bir arada oluşması nedeniyle normal olmayan durumların da olabileceği, örneğin sistem zamanının özellikle kullanıcı tarafından değiştirilmesi gibi dikkate alınması gerektiği düşüncesindeyiz" değerlendirmesine yer verildi.

TÜBİTAK görevlilerinin 19 Şubat 2010 tarihinde hazırladığı raporda yer alan "CD'lerin içlerindeki dosyaların oluşturulmasında kullanılan programların versiyonlarının dosyaların üretilme tarihleri ile uyumlu oldukları", "Dosyaların oluşturulma ve son kaydetme tarihlerinin 2013 yılı ve öncesine ait olduğu", "Dosyaların oluşturma ve son kaydetme tarihlerinin 2003 yılı ve öncesine ait olduğu" ve "Dosyalarda tespit edilen kayıt ve diğer bilgilerle dosyalar üzerinde işlem yapan kişilerin tespit edildiği" şeklindeki ibarelere ilişkin yapılan incelemeye de yer verilen raporda, "Cd'ler üzerinde yapılan inceleme neticesinde, bazı dosyaların içlerinde bulunan Office 2007 yazılımına ait Microsoft referanslarından dolayı, gerçek ile çelişkili olabileceği görülmektedir" denildi.

Raporda, sistem ve uygulama üst verilerinde dosyaların oluşturma ve son kaydetme tarihlerinin 2003 yılı ve öncesi olarak görüldüğünün doğru olduğu belirtilerek, "Ancak bu üst veriler, bazı dosyaların içlerinde bulunan Office 2007 yazılımına ait Microsoft referanslarından dolayı gerçek zamanı yansıtmamaktadır" değerlendirmesinde bulunuldu.

- "Heyetimiz sahtecilik bulgusu olmadığı sonucuna katılmamaktadır"

11, 16 ve 17 nolu cd'lere ilişkin TÜBİTAK görevlilerince hazırlanan rapora da değinilen bilirkişi raporunda, şu görüşler yer aldı:

"Cd'lerdeki bazı işlemlerin, sistem kullanıcı davranışları dahilinde oluşabileceği ve sahtecilik bulgusu olmadığı sonucuna varıldığı, bir kısım çelişki ve farklı tespitlerin ise bilirkişilerin farklı uzmanlık alanlarından kaynaklandığı vurgulanmıştır. Heyetimiz sahtecilik bulgusu olmadığı sonucuna katılmamaktadır. CD'lerin ve içlerindeki dosyaların üst veri bilgilerinin dosyaların içlerinde gizli Microsoft özellikleri (calibri, cambria yazı tipleri referansları ve Office Open XML şemaları) ile olan zaman çelişkileri saptanmıştır."

Bilirkişi raporunda, Gölcük Donanma Komutanlığı'nda ele geçirilen '5 nolu sabit harddisk üzerinde değişiklik yapılıp yapılmadığı' hususunda yapılan incelemeye ilişkin de harddiske ait sistem dosyaları üzerinde yapılan incelemeler sonucunda bazı dosya ve klasör işlemlerinin yapıldıkları sıra ile üst verilerinde gözüken zamanları arasında çelişkiler olduğunun belirlendiği aktarıldı.

Raporda, Eskişehir'de el konulan ve Hakan Büyük'e ait olduğu belirtilen flaş disk üzerinde yapılan incelemede, flaş diskin içeriklerinde ve üst verilerindeki tarihlerin uyumsuz olduğu dosyaların belirlendiği, ayrıca flaş bellekte silinmiş belge tespit edilemediği belirtildi.

- "Melissa virüsüne rastlanmamıştır"

Melissa virüsünün ilk olarak hangi tarihte görüldüğüne dair yapılan incelemede ise David Smith tarafından yaratılan virüsün 26 Mart 1999'da ilk kez ortaya çıktığı anlatıldı.

Bahsi geçen virüsün TÜBİTAK görevlilerinin 20 Ocak 2014 tarihli raporunda 5 nolu harddiskte bulunduğunun belirtildiği anımsatılan raporda, "Tarafımızdan 5 nolu harddiskin her iki bölümünde, gerek Kaspersky Endpoint 10 ve Avast Antivirüs 2015 yazılımları ile yapılan virüs taramalarında gerekse de ikil dosya görüntüleyicisi Hex Editor Neo ile 'Melissa' karakter dizisi içinde yapılan aramada Melissa virüsüne rastlanmamıştır" görüşleri bildirildi.

- "Eski tarihli cd elde edilebilir"

Bilirkişi raporunda, cd'ye kayıt yapılırken bilgisayarın tarih ayarları ile oynanarak eski tarihli cd elde etmenin mümkün olup olmadığı yönünde yapılan incelemede, cd yazıcı programların, yazma esnasında cd üzerine kayıt edilen tarih ve saati bağlı bulundukları bilgisayarın işletim sisteminin kullandığı tarih ve saati referans alarak belirlediğine dikkat çekildi.

Bir bilgisayarın işletim sisteminin kullandığı tarih ve saatin, işletim sisteminin kurulumu aşamasında veya sonradan kullanıcı arayüzü üzerinden kolaylıkla istenilen tarih ve saate ayarlanabileceği vurgulanan raporda, cd yazıcının bulunduğu bilgisayarın tarih ve saat ayarlarının kullanıcı arayüzü üzerinden istenildiği gibi belirlenerek veya değiştirilerek eski tarihli cd elde edilebileceği bilgisi verildi.

(Bitti)

Muhabir: Filiz Kınık
Yayınlayan: Nurettin Coşkun