Metadata Manipülasyonu ve Sahtecilik Tespiti: Dijital Delillerde Zaman ve Kimlik Aldatmacası

Metadata; bir dosyanın ne zaman, kim tarafından, hangi araçla ve hangi ortamda oluşturulduğunu anlatan görünmeyen ama son derece kritik bilgilerdir. Adli bilişimde metadata, çoğu zaman olayın omurgasını oluşturur. Ancak metadata kolayca değiştirilebilir. Bu da sahtecilik, zaman aldatmacası ve yanlış senaryo üretimi riskini beraberinde getirir. Bu makalede metadata manipülasyonunun yöntemlerini, tespit tekniklerini ve pratik analiz ipuçlarını ele alıyoruz.

Metadata Nedir?

Metadata, “verinin verisi”dir. Dosyaya dair teknik ve bağlamsal bilgileri içerir.

Yaygın Metadata Türleri

Zaman bilgileri: Created, Modified, Accessed
Yazar / cihaz bilgileri: Kullanıcı adı, bilgisayar adı
Yazılım bilgileri: Oluşturan uygulama ve sürüm
Konum bilgileri: GPS, timezone
Dosya sistemi metadata’sı: MFT, inode kayıtları

Metadata Manipülasyonu Neden Yapılır?
Yaygın Amaçlar

- Suç zamanını gizlemek
- Sahte delil üretmek
- Olayı başka zamana kaydırmak
- Başkasını suçlu göstermek
- Alibi (mazeret) oluşturmak

Yaygın Metadata Manipülasyon Yöntemleri
1. Zaman Damgası Değiştirme (Timestamp Tampering)

Dosya tarihleri bilinçli olarak ileri/geri alınır.

1touch -t 202401010101.01 report.txt

Bu komut, dosyayı 1 Ocak 2024’e aitmiş gibi gösterir.

2. Sistem Saatini Geri Alarak Dosya Oluşturma

- Sistem saati değiştirilir
- Dosya oluşturulur
- Saat tekrar düzeltilir

3. Metadata Editörleri ile Sahtecilik

Özellikle:

- Office belgeleri
- PDF dosyaları
- Görseller (EXIF)

Bu araçlar:

- Yazar adını
- Oluşturma yazılımını
- GPS verisini

manuel olarak değiştirir.

4. Dosya Kopyalama ile Zaman İzlerini Maskeleme

- Kopyalama işlemi Created zamanını değiştirir
- Modified sabit kalabilir
- Yanıltıcı zaman dizilimi oluşur

Metadata Sahteciliği Nasıl Tespit Edilir?
1. Zaman Tutarsızlıklarının Analizi

Şüpheli durumlar:

- Created > Modified
- Accessed < Created
- Dosya içeriği ile zaman uyumsuzluğu

2. Dosya Sistemi Metadata’sı ile İç Metadata Karşılaştırması

Örnek:

- PDF iç metadata: 2023
- MFT kaydı: 2025

Bu durum sonradan müdahale göstergesidir.

3. EXIF ve İçerik Korelasyonu

Fotoğraf:

- Gece çekilmiş gibi
- EXIF saati: 12:00
- GPS: farklı ülke

Bu tür uyumsuzluklar sahtecilik işaretidir.

Teknik Örnek: Metadata İnceleme
EXIF Bilgisi Görüntüleme

1exiftool image.jpg

Şu alanlara özellikle dikkat et:

- CreateDate
- ModifyDate
- Software
- TimeZoneOffset

Linux’ta Dosya Zamanları

1stat report.pdf

Bu çıktı, dosya sistemi seviyesindeki gerçek zaman izlerini verir.

Adli Senaryo Örneği

Olay:
Bir sözleşme belgesi mahkemeye sunuluyor.

İddia:
Belge, olaydan önce oluşturulmuş.

Analiz:

- Belge iç metadata: 2022
- Dosya sistemi kaydı: 2024

Kullanılan yazılım: O tarihte henüz çıkmamış sürüm

Sonuç:

- Metadata manipülasyonu tespit edildi
- Belge sahte delil olarak değerlendirildi

Adli Analistler İçin Pratik İpuçları
Tek Kaynağa Güvenme

- Sadece EXIF veya sadece MFT yeterli değildir
- Çapraz doğrulama yap

Yazılım Sürüm Tarihlerini Kontrol Et

- “O tarihte bu sürüm var mıydı?” sorusu çok kritiktir

Toplu Dosyalarda Desen Ara

- Bir klasörde tüm dosyalar aynı saniyede mi oluşturulmuş?
- Bu durum otomasyon veya sahte üretim göstergesidir

Timezone ve Locale İzlerini İncele

- Kullanıcının bulunduğu ülke ile uyumsuz saat dilimi şüphelidir
- Metadata Sahteciliği ve Hukuki Boyut

Mahkemelerde:

- Teknik tutarlılık
- Uzman raporu
- Tekrarlanabilir analiz
- kritik önemdedir.

#AdliBilişim #kaynak