Giriş: Weberian Şiddet Tekelinin Dijital Çözülmesi
Sosyolog Max Weber, 1919 yılında Münih Üniversitesi'nde verdiği 'Politik Bir Meslek Olarak Siyaset' başlıklı tarihi konferansında modern devletin en temel ontolojik tanımını yapmıştı: Devlet, belirli bir coğrafi sınır içerisinde meşru fiziksel şiddet kullanma tekelini elinde bulunduran yegane insan topluluğudur. Dört yüz yıl boyunca polis teşkilatları, ordular ve yargı mekanizmaları bu mutlak prensip üzerine inşa edildi. Gücün özelleştirilmesi, kanunsuzluk ve feodal parçalanma ile eşanlamlı kabul edildi.
Ancak 21. yüzyılın ikinci çeyreğinde inşa ettiğimiz siber uzay, coğrafi sınırların, pasaportların ve fiziksel egemenliğin geçerliliğini yitirdiği deterministik olmayan bir savaş alanıdır. 12 Ağustos 2026 tarihinde Beyaz Saray tarafından yayımlanan 'Uluslararası Siber Suç Örgütleriyle Mücadelede Yeteneklerin Genişletilmesi' başlıklı Ulusal Güvenlik Başkanlık Memorandumu (NSPM), modern devlet yapısında tarihi bir kırılmaya işaret ediyor. Mart 2026 tarihli 14390 sayılı Başkanlık Kararnamesi'nin devamı niteliğindeki bu düzenleme, akredite edilmiş özel siber güvenlik şirketlerine federal denetim altında sınır ötesi operasyonlar — yani doğrudan 'Hack Back' ve 'Siber Etki Operasyonları' (Cyber Effects Operations) — yürütme yetkisi tanıyor.
Görünürde fidye yazılımı çetelerine ve organize suç kartellerine karşı devlet kapasitesini artırmayı hedefleyen bu adım, sistem mühendisliği ve stratejik güvenlik açısından çok daha tehlikeli bir dinamiği tetikliyor: Dijital Kaperizm.
Bölüm I: Korsanlık Beratlarından (Letters of Marque) Kodlanmış Karşı Saldırıya
Tarih, teknolojik dönüşümlerin yarattığı otorite boşluklarında devletlerin benzer refleksler verdiğini gösterir. 16. ve 17. yüzyıllarda İngiltere, Fransa ve İspanya, uçsuz bucaksız okyanuslardaki ticaret rotalarını koruyacak yeterli donanmaya sahip olmadıklarında 'Korsanlık Beratı' (Letter of Marque and Reprisal) sistemine başvurdular. Kraliçe I. Elizabeth, Francis Drake gibi özel korsanlara (kaper / privateer) resmi yetki vererek düşman gemilerini yağmalama ve alıkoyma hakkı tanıdı. Devlet, denizlerdeki asimetrik gücünü özel kâr hırsıyla birleştirdi. Bu düzen ancak 1856 Paris Deniz Hukuku Deklarasyonu ile resmen yasaklanabildi.
Bugün siber uzay, 17. yüzyılın Karayip Denizi ile birebir aynı jeopolitik asimetriyi barındırıyor. On yılı aşkın süredir ABD Kongresi'nde bekletilen ve Bilgisayar Dolandırıcılığı ve Kötüye Kullanımı Yasası'nı (CFAA - Computer Fraud and Abuse Act) delmeyi amaçlayan Aktif Siber Savunma Kesinliği Yasası (ACDC Act) tasarıları, nihayet yürütme erkinin tek taraflı memorandumuyla hayata geçti.
Yeni yasal çerçeve, özel şirketlerin bağımsız olarak kafalarına göre karşı saldırı yapmasını yasaklayıp her operasyon için Adalet Bakanlığı (DOJ) ve İç Güvenlik Bakanlığı'ndan (DHS) yazılı onay alma şartı getirse de, temel prensip değişmemiştir: Devlet, siber uzaydaki saldırı gücünü ve operasyonel yürütmeyi özel sermayeye ihale etmektedir. Şirketler artık yalnızca kalkan üreten savunma tedarikçileri değil; düşman ağlarına sızan, sunucuları çökerten ve veri tabanlarını imha eden dijital kaperler haline gelmektedir.
Bölüm II: Siber Operasyonların Mimarisi: CSO ve CEO Ayrımı
Sistem güvenliği açısından bir savunma operasyonunun anatomisi ile bir saldırı operasyonunun anatomisi taban tabana zıttır. Yeni başkanlık memorandumu operasyonları iki ana kategoriye ayırıyor:
- Siber Gözetleme Operasyonları (CSO - Cyber Surveillance Operations): Düşman suç örgütlerinin komuta kontrol (C2) altyapılarına sızarak pasif istihbarat toplama, şifrelenmiş haberleşme kanallarını dinleme ve saldırı hazırlıklarını haritalandırma.
- Siber Etki Operasyonları (CEO - Cyber Effects Operations): Suç şebekesinin sunucularına doğrudan müdahale ederek zararlı yazılım dağıtım kanallarını çökertme, bellek içi enjeksiyonlarla verileri silme ve dijital cüzdanları dondurma.
Kağıt üzerinde yapılan bu ayrım, sahada deterministik olarak sürdürülemez. Bir hedef sunucuya sızan siber güvenlik uzmanı, oraya 'yalnızca gözlemlemek' amacıyla girse dahi hedef sistemin belleğinde iz bırakır, kernel seviyesinde sürücüler yükler ve sistem bütünlüğünü bozar. Enformasyon toplama faaliyeti ile saldırı eylemi arasındaki sınır, ilk paket hedef ağa ulaştığı anda buharlaşır.
Daha da vahimi, şirketlerin bu operasyonları yürütürken 'yem ve dinamit' (canary & tripwire) tuzakları kurmasıdır. Suç şebekelerinin çaldığı verilerin içine gizlenmiş 'geri dönen zararlılar' (beaconing payloads), saldırganın kendi yerel ağına çekildiği anda tetiklenerek karşı tarafın sunucusunu içeriden patlatacak şekilde tasarlanmaktadır. Bu durum, siber savunmayı biyolojik bir virüs savaşına dönüştürmektedir.
Bölüm III: Atfedilebilirlik (Attribution) Çıkmazı ve Proxy Kurbanlar
Dijital Kaperizmin en ölümcül teknik açığı, siber uzayın doğasındaki Atfedilebilirlik Problemidir (Attribution Problem). Fiziksel bir savaşta sınırınızı geçen tankın hangi ülkeye ait olduğunu optik ve radar sistemleriyle doğrulamak mümkündür. Siber dünyada ise hiçbir profesyonel APT (Gelişmiş Sürekli Tehdit) grubu veya fidye yazılımı karteli kendi gerçek IP adreslerinden veya yerel sunucularından doğrudan saldırı yapmaz.
Saldırganlar, hedeflerine ulaşmak için dünya geneline yayılmış yüz binlerce savunmasız IoT cihazını, üniversite araştırma sunucularını, belediye altyapılarını ve hatta üçüncü taraf hastane ağlarını proxy (sıçrama tahtası) olarak kullanırlar. Özel bir siber güvenlik şirketine 'karşı saldırı' yetkisi verdiğinizde, şirketin mühendisleri hedef aldıkları C2 sunucusunun aslında Brezilya'daki bir çocuk hastanesinin hacklenmiş veri tabanı veya Almanya'daki bir enerji santralinin köprü sunucusu olduğu gerçeğiyle yüzleşir.
Saldırının kaynağını tespit etmek için kullanılan algoritmik olasılık modelleri asla yüzde yüz kesinlik üretmez. Yanlış hedefin vurulması, masum sivil altyapıların çökertilmesi veya 'False-Flag' (sahte bayrak) operasyonlarına kapılarak üçüncü bir egemen ülkenin ağlarına yetkisiz saldırı düzenlenmesi kaçınılmazdır. Özel şirketlerin bu tür bir tali hasarı (collateral damage) üstlenebilecek diplomatik veya askeri sorumluluk mekanizmaları yoktur.
Bölüm IV: Siber Paralı Askerler ve Piyasa Dinamiklerinin Çarpıklığı
Savunmanın ticarileşmesi ile saldırının ticarileşmesi aynı ekonomik teşvikleri üretmez. Bir siber güvenlik şirketi müşterilerine savunma yazılımı sattığında, ürünün kalitesi korunan sistemin çalışma süresi (uptime) ile ölçülür. Ancak bir şirketin değeri 'kaç adet yabancı sunucuyu çökerttiği' veya 'kaç adet fidye cüzdanını ele geçirdiği' ile ölçülmeye başlandığında, piyasa kaçınılmaz olarak kurumsal paralı askerlik mekanizmasını devreye sokar.
CrowdStrike, Mandiant veya Palantir gibi devlerin yanında, yalnızca yabancı ağlara sızıp operasyon düzenleyen 'butik saldırı firmaları' türeyecektir. Şirketler için tehdidin tamamen yok edilmesi ticari olarak rasyonel değildir; tehdidin sürekli ve yönetilebilir bir kriz halinde tutulması, yüksek bütçeli devlet sözleşmelerinin devamlılığını garanti eder.
Ayrıca bu şirketlerin çalışanları, devletlerin askeri personeli gibi anayasal yemine veya savaş hukukuna (Cenevre Sözleşmeleri) doğrudan bağlı değildir. Şirket değiştiren, hisse opsiyonu kovalayan veya en yüksek teklifi veren yabancı bir konsorsiyuma bilgi sızdıran saldırı uzmanlarının denetimi imkansızdır. Şiddet yetkisinin ticarileşmesi, modern istihbarat servislerinin kontrol edemeyeceği devasa bir gri pazar yaratır.
Sonuç: Dijital Feodalizmin Kaçınılmaz Yükselişi
12 Ağustos 2026 tarihli başkanlık memorandumu, modern devletlerin siber uzaydaki yapısal çaresizliğinin resmi bir itirafıdır. Devletler trilyonlarca dolarlık savunma bütçelerine rağmen, fiber kabloların anonim derinliklerinde vatandaşlarını koruyamadıklarını kabul etmekte ve egemenliğin en kutsal parçasını — saldırı hakkını — şirketlere devretmektedir.
Bu yönelim, şirketlerin kendi özel ordularıyla ağları denetlediği kontrolsüz bir tekno-feodalizme kapı aralamaktadır. Siber uzayda sürdürülebilir güvenlik, devlet onaylı korsanların yabancı sunucuları avlamasıyla inşa edilemez. Güvenliğin tek gerçek zemini; deterministik açık standartlar, sıfır güven mimarileri, kriptografik veri izolasyonu ve devletlerin kendi anayasal sorumluluklarına sahip çıkmasıdır. Korsanlık beratlarının denizleri kana buladığı gibi, dijital kaperizm de küresel internet altyapısını parçalanmanın eşiğine getirecektir.
