Silinen Dosyalar Nasıl Kurtarılır? Dijital Adli Bilişimde Veri Kurtarma Yöntemleri

Dijital adli bilişim dünyasında birçok kullanıcı, "Sil" tuşuna bastıktan ve geri dönüşüm kutusunu temizledikten sonra verilerin cihazdan sonsuza dek silindiğine inanır. Ancak gerçekte, bu yalnızca işletim sisteminin altında gerçekleşen karmaşık süreçleri gizleyen bir illüzyondur. Silinen dosyaları nasıl geri getireceğinizi bilmek, yalnızca yanlışlıkla önemli bir belgeyi kaybedenler için değil, aynı zamanda siber suçları araştıran uzmanlar için de kritik öneme sahiptir. Çünkü işletim sistemlerinde veriler fiziksel olarak hemen yok edilmez.

Dosya sistemleri ve depolama aygıtları nasıl çalışır?

Dosyaların neden geri getirilebildiğini ve silinen bilgilerin nasıl kurtarılabildiğini anlamak için dosya sistemlerinin ve depolama aygıtlarının çalışma prensiplerine göz atmak gerekir. Dijital adli bilişim uzmanları, kırılmış akıllı telefonlardan veya biçimlendirilmiş disklerden bile veri çıkarmak için gelişmiş teknolojiler kullanır.

Bilgisayar ve dijital adli bilişim nedir?

Dijital adli bilişim, elektronik kanıtların bulunması, çıkarılması ve belgelenmesiyle ilgilenen uygulamalı bir teknik disiplindir. Uzmanlar; sunuculardan, klasik PC'lere, akıllı saatlerden otomobil bilgisayarlarına kadar çeşitli medya üzerinde çalışır. Temel amaç, verilerin orijinalliğini bozmadan erişim sağlamak ve böylece elde edilen kanıtların mahkemede geçerliliğini korumaktır.

Bilgisayar adli bilişim kavramı daha eski olup, başlangıçta yalnızca masaüstü sistemlerin sabit disklerinin analizine odaklanıyordu. Günümüzde ise Digital Forensics kavramının bir parçası olarak; mobil cihazların incelenmesi, ağ trafiği takibi ve bulut mimarileriyle çalışma gibi alanlara kapsamı genişlemiştir.

Veri kurtarmanın temeli, bir dosya silindiğinde işletim sisteminin bilgileri fiziksel olarak silmemesine dayanır. Sadece dosya tablosundaki (örneğin NTFS'teki MFT) işaretçi kaldırılır ve o alan yeni veriler için "boş" olarak kaydedilir. Üzerine yeni bir veri yazılmadıkça, orijinal dosya fiziksel olarak diskte kalır. Uzmanlar, dosya tablosunu görmezden gelen ve disk üzerinde fiziksel düzeyde tarama yapan yazılımlar kullanarak; fotoğraf, belge veya yedek arşiv gibi dosya tiplerinin imzalarını tespit ederler.

Silinen Dosyalar Nasıl Kurtarılır? Bellek ve Depolama Fiziği

Veri kurtarmanın başarısı, doğrudan kullanılan depolama cihazının tipine bağlıdır. Manyetik diskler ile katı hal sürücüleri (SSD) tamamen farklı fiziksel prensiplerle çalışır ve uzmanların uygulayacağı taktiği belirler. Kullanıcı verileri sildiğinde, cihazın donanımı buna göre tepki verir.

Önemli belgeleri kaybetme ve karmaşık yazılımlara başvurma riskine girmemek için, düzenli yedekleme yapmak gerekir. Uygun araç seçimi için 2025'in En İyi Otomatik Yedekleme ve Veri Kurtarma Programları rehberine göz atabilirsiniz.

Sabit Diskten (HDD) Veri Kurtarma

Klasik sabit disklerde (HDD), bilgiler manyetik plakalar üzerine kaydedilir. Standart silme veya hızlı biçimlendirme işlemlerinde, manyetik alanlar değişmez; sadece dosyanın yolu silinir ve üzerine yeni veri yazılması serbest bırakılır.

Eğer disk üzerine sıfır yazılmadıysa veya fiziksel olarak yok edilmediyse, yıllar sonra bile veri kurtarmak mümkündür. Uzmanlar, RAW kurtarma yazılımları kullanarak manyetik izleri sektör bazında okur ve dosyaları benzersiz imzalarına göre yeniden oluştururlar.

Disk mekanik olarak hasar gördüğünde ise işler zorlaşır. Bu durumda, disk özel "temiz odalarda" açılır, okuma kafası ya da plakalar değiştirilir ve analiz için birebir kopya çıkarılır.

SSD'den Veri Kurtarmak Neden Daha Zordur?

SSD'lerde hareketli parça yoktur ve veriler flash bellek hücrelerinde saklanır. Dijital adli bilişimin en büyük sorunu burada TRIM fonksiyonudur. TRIM, bir dosya silindiğinde hücreleri hemen temizleyerek yeni veri yazımına hazırlar.

Eğer TRIM komutu çalıştıysa, standart yazılımlarla bilgi geri getirilemez; çünkü eski dosya yerine yalnızca sıfırlar kalır. SSD'ler neden bozulur, TBW ömrü, NAND yapısı ve wear leveling nasıl çalışır? başlıklı yazıda bu sürecin detaylarını inceleyebilirsiniz.

Yine de, uzmanların veri kurtarma şansı sıfır değildir. Çünkü TRIM, denetleyici tarafından arka planda ve her zaman anında gerçekleşmez. Ani güç kesintisi, denetleyici arızası veya çalışma sırasında diskin çıkarılması, temizleme işlemini yarıda bırakabilir ve bazı ham veriler programlayıcıyla doğrudan okunabilir durumda kalır.

Akıllı Telefonlarda Silinen Fotoğraf ve Mesajlar Kurtarılabilir mi?

Modern iOS ve Android cihazlar UFS veya NVMe tabanlı flash bellek kullanır, bu da SSD'lere benzer şekilde arka planda çöp toplama algoritmalarının çalıştığı anlamına gelir. Silinen hücreler kalıcı olarak yok edilir.

En büyük engel ise dosya bazlı şifreleme (FBE)'dir. Bir fotoğraf silindiğinde, sistem genellikle o dosyanın benzersiz kriptografik anahtarını yok eder. Anahtar olmadan, kalan ham veri anlamsız dijital gürültüye dönüşür ve matematiksel olarak çözülemez.

Yine de adli bilişim uzmanları genellikle ilk denemede pes etmez. Orijinal fotoğraf yok olsa bile, küçük önizlemeleri galeri önbelleğinde, mesajlaşma uygulamalarının loglarında veya gizli dosya sistemlerinde kalabilir. Cihaz değiştirirken bu tür sızıntılardan korunmak için 2025'te telefon, dizüstü bilgisayar veya iPhone satmadan önce kişisel verileri güvenle silme rehberini incelemeniz önerilir.

Mesajlaşmalarda (Telegram, WhatsApp) Sohbetler Nasıl Kurtarılır?

Bir mesajı "herkesten sil" seçeneği, tam güvenlik hissi verse de; popüler mesajlaşma uygulamaları sohbet geçmişini genellikle SQLite veri tabanlarında saklar.

SQLite'ın özelliği, bir kayıt silindiğinde metnin hemen yok olmamasıdır. Sadece bu satır serbest (freelist) olarak işaretlenir ve üzerine yeni bilgi yazılana kadar silinen içerik telefonda kalmaya devam eder. Veri tabanı sıkıştırılmadığı veya üzerine yazılmadığı sürece, silinen mesajlar fiziksel olarak hâlâ bellekte tutulur.

Uzmanlar, mobil adli bilişim yazılımları ile veri tabanlarının tamamını çıkarır ve SQLite'ın boş bloklarını tarayarak silinmiş mesaj kalıntılarını kurtarır. Ayrıca, sistem bildirim günlükleri ve bulut yedekleri, uygulamadan bağımsız olarak ek kanıt kaynağı olabilir.

Donanımsal Yöntemler: Hasarlı Cihazlardan Veri Kurtarma

Telefon kırıldığında, suya düştüğünde veya kasten zarar gördüğünde yazılımla veri kurtarmak mümkün olmayabilir. Bu durumda dijital adli bilişim, mikroelektronik alanına geçerek düşük seviyeli veri çıkarım tekniklerini uygular.

En bilinen radikal yöntem Chip-Off olarak adlandırılır. Mühendisler, cihazın anakartından bellek çipini dikkatlice söker, özel bir programlayıcıya yerleştirir ve verileri doğrudan okur.

Daha az yıkıcı yöntemler arasında JTAG ve ISP teknolojileri bulunur. Uzmanlar, test için fabrikada bırakılmış küçük pinlere mikro kablolarla bağlanarak cihazın çevre birimleri bozuk olsa bile çiplerden veri çekebilir.

Sonuç

Dijital adli bilişim, dijital dünyada hiçbir şeyin tek bir tıkla tamamen yok olmadığını açıkça göstermektedir. İşletim sistemleri hız ve kullanım kolaylığı için tasarlandığından, silinen verileri fiziksel olarak hemen yok etmez ve bu da adli uzmanlara geniş bir çalışma alanı bırakır.

Veri kurtarmadaki başarı, hem depolama aygıtının fiziksel yapısına hem de silme işleminden itibaren geçen süreye bağlıdır. Eski sabit diskler verileri yıllarca saklayabilirken, modern SSD'ler ve şifreli akıllı telefonlar işi zorlaştırmakta ve uzmanları yazılım tabanlı taramadan lehimleme ve mikroskop ile yapılan donanım müdahalelerine yönlendirmektedir. Kayıp veya satış durumunda kişisel verilerin kolayca ele geçirilmemesi için en güvenilir yol, güçlü parolalar ve tam donanım şifrelemesi kullanmaktır.

SSS

1. Bir dosyayı bilgisayardan tamamen silmek mümkün mü?
   Evet, ancak sadece geri dönüşüm kutusunu boşaltmak yeterli değildir. Bilgilerin tamamen yok edilmesi için diskin sektörlerini sıfırlarla veya rastgele verilerle birkaç kez üzerine yazan veri imha yazılımları kullanmalısınız. Modern SSD'lerde ise en güvenli yöntem, üreticinin sunduğu Secure Erase aracını kullanmaktır.
2. Disk formatlandıktan sonra veriler nasıl kurtarılır?
   Windows'un varsayılan olarak sunduğu hızlı formatlama, dosyaları silmez; sadece yeni, boş bir dosya tablosu oluşturur. Adli bilişim uzmanları ve veri kurtarma programları, boş tabloyu göz ardı ederek diski RAW modunda tarar ve dosyaları dijital imzaları (başlıkları) üzerinden bulur.
3. Gizli Telegram sohbetlerini yetkililer okuyabilir mi?
   Gizli sohbetlerde uçtan uca şifreleme kullanılır ve bu nedenle internet sağlayıcısı tarafından yakalanamaz. Ancak, bir uzman, kilidi açılmış bir telefona fiziksel erişim sağlarsa veya cihaz çalışırken RAM dump'ı alabilirse, şifreleme anahtarlarını çıkarıp uygulamanın yerel veri tabanını okuyabilir.
4. Telefonu fabrika ayarlarına döndürmek verileri gizler mi?
   Modern iOS ve Android cihazlarda (sürüm 10'dan itibaren) tam disk veya dosya bazlı şifreleme kullanılır. Fabrika ayarlarına döndürme, kriptografik anahtarları fiziksel olarak yok eder ve bellekteki tüm veriler okunamaz hale gelir. Günümüzde bu verileri donanım yöntemleriyle bile kurtarmak mümkün değildir.