Unicode, Encoding ve Dil Bazlı Adli İzler: Dijital Metinlerde Kimlik ve Köken Tespiti

Dijital dünyada metinler yalnızca içerikten ibaret değildir; hangi karakter setiyle, hangi encoding ile ve hangi dil alışkanlıklarıyla yazıldıkları da güçlü adli izler bırakır. Unicode, encoding ve dil bazlı analizler; kullanıcı profili çıkarma, coğrafi köken tahmini, sahte belge tespiti ve olay korelasyonu için kritik öneme sahiptir. Bu makalede bu görünmeyen izlerin nasıl ortaya çıkarıldığını, pratik örneklerle ele alıyoruz.

Unicode ve Encoding Nedir?
Unicode

Unicode, dünya üzerindeki tüm yazı sistemlerini tek bir standartta temsil etmeyi amaçlayan evrensel karakter kümesidir.
Örnek:

1A → U+0041
2
3ğ → U+011F
4
5你 → U+4F60

Encoding

Encoding, Unicode karakterlerinin bayt düzeyinde nasıl saklanacağını belirler.

Yaygın encoding’ler:

1UTF-8
2
3UTF-16 (LE/BE)
4
5ISO-8859-9 (Türkçe)
6
7Windows-1254

Adli Bilişimde Neden Önemli?
1. Kullanıcı ve Bölge Tespiti

Bir metinde:

1ı, İ, ğ, ş karakterleri
2
3Windows-1254 veya ISO-8859-9 kullanımı

Türkçe sistem veya Türkiye kaynaklı kullanıcı göstergesi olabilir.

2. Sahte Belge ve İçerik Tespiti

- İddia edilen dil ile encoding uyuşmuyorsa
- Metin kopyala-yapıştır izleri taşıyorsa
- Karakterler tutarsızsa

→ Belge sonradan düzenlenmiş olabilir.

3. Olay Zaman Çizelgesinde Tutarsızlık Yakalama

- Eski tarihli olduğu iddia edilen belge
- Ancak UTF-8 emoji içeriyor 😏

Bu durum zaman sahteciliği göstergesidir.

Yaygın Encoding Tabanlı Adli İzler
UTF-8 BOM (Byte Order Mark)

Dosyanın başında:

1EF BB BF

varsa:

- Windows tabanlı editör
- Modern ofis yazılımı ihtimali artar.

UTF-16 LE / BE İzleri

- Windows registry export’ları
- PowerShell çıktıları
- Bazı log dosyaları

çoğunlukla UTF-16 kullanır.

Legacy Encoding İzleri

1ý, þ, Ð gibi bozuk karakterler
2
3Yanlış encoding ile açılmış dosyalar

→ Sistemler arası taşınma veya manuel müdahale göstergesi.

Teknik Örnekler
Dosya Encoding Tespiti (Linux)

1file report.txt

veya daha detaylı:

1enca report.txt

Encoding Dönüşümünü Görme

1iconv -f ISO-8859-9 -t UTF-8 report.txt

Bu işlem sonrası karakter değişimleri, orijinal encoding hakkında fikir verir.

Hex Seviyesinde İnceleme

1xxd report.txt | head

Burada:

- BOM var mı?
- Çok baytlı karakter dizileri mevcut mu?
kontrol edilir.

Dil Bazlı Adli İzler
1. Klavye ve Yazım Alışkanlıkları

1I yerine İ
2
3i yerine ı

Noktalama öncesi boşluk kullanımı

Bu alışkanlıklar:

1Klavye düzeni (Q / F)
2
3Dil eğitimi
4
5Bölgesel kullanım

hakkında ipucu verir.

2. Dil Karışımı (Language Mixing)

Metin içinde:

- Türkçe + İngilizce
- Teknik terimler İngilizce, bağlaçlar Türkçe

→ Teknik geçmişi olan kullanıcı profili çıkarılabilir.

3. Otomatik Çeviri İzleri

- Yapay cümle yapıları
- Tutarsız bağlaçlar
- Anlamsız ama gramer olarak “doğru” cümleler

→ Makine çevirisi veya LLM kullanımı göstergesi olabilir.

Adli Senaryo Örneği

Olay:
Bir tehdit e-postasının yurtdışından gönderildiği iddia ediliyor.

Analiz:

- Encoding: Windows-1254
- Karakterler: ş, ğ, İ
- Noktalama: Türkçe yazım kurallarına uygun

Sonuç:

- Metin Türkiye kaynaklı
- Yabancı IP → VPN kullanımı ihtimali

Adli Analistler İçin Pratik İpuçları
Metni Hep Ham Haliyle İncele

- Editörde açmadan önce hex dump al
- Otomatik encoding düzeltmelerinden kaçın

Aynı İçeriğin Farklı Kopyalarını Karşılaştır

- Encoding değişmiş mi?
- Karakterler normalize edilmiş mi?

Log ve Belge Encoding’lerini Ayır

- Log dosyaları genellikle sistem encoding’i taşır
- Belgeler kullanıcı alışkanlığını yansıtır

Normalize Edilmiş Metne Şüpheyle Yaklaş

- Aşırı “temiz” metinler bazen iz silme sonucudur
- Hukuki ve Adli Değer

Ancak:

- Profil çıkarma
- Senaryo doğrulama
- Çelişki tespiti
- için vazgeçilmezdir.

#AdliBilişim #kaynak