3D Secure Olmadan Çekilen Paranın İadesi | Av. Sami IŞILAK

Kredi kartı veya sanal kart özetinizi kontrol ettiğinizde, genellikle gece yarısı veya sabaha karşı yurtdışı kaynaklı (Apple, Facebook Ads, yabancı bahis siteleri vb.) bilmediğiniz binlerce liralık harcamalar yapıldığını görmek, günümüzde pek çok tüketicinin yaşadığı büyük bir dijital kâbustur. Cüzdanınızdaki kart yerinde durmaktadır, kartınızı kimseye vermemişsinizdir ve en önemlisi telefonunuza hiçbir SMS şifresi (3D Secure) gelmemiştir.

Büyük bir panikle bankanızın müşteri hizmetlerini arayıp "Bu harcamalar bana ait değil, kartımı iptal edin ve paramı iade edin" dediğinizde, bankalar genellikle standart bir savunma duvarı örerler: "Kart bilgilerini bir yere girmiş veya çaldırmışsınız, güvenliğinizi sağlamak sizin sorumluluğunuzda, harcama itirazı (chargeback) formu doldurun ama iade garantisi veremeyiz." Birçok vatandaş, bankanın bu katı tutumu karşısında hatanın kendisinde olduğunu (örneğin virüslü bir siteye tıkladığını) düşünerek durumu kabullenmekte ve çekilen on binlerce lirayı kendi cebinden, faiziyle birlikte ödemektedir.

Oysa Türk Hukuku, Yargıtay içtihatları ve uluslararası bankacılık kuralları (Visa/Mastercard) bu konuda son derece nettir: Bankalar birer güven kurumudur ve sistemlerinin siber güvenliğini en üst düzeyde sağlamak zorundadırlar. Tüketicinin cep telefonuna tek kullanımlık onay şifresi (3D Secure SMS) gönderilmeden kredi kartından para çekilmesine izin veren bir banka, sistemindeki bu güvenlik açığından Yüzde Yüz ve Kusursuz Olarak Sorumludur. Bu makalede; 3D Secure olmadan yapılan dolandırıcılıklarda bankanın ağır kusuru, Chargeback (Harcama İtirazı) süreci ve paranızı yasal faiziyle geri almak için Tüketici Mahkemelerinde (veya Hakem Heyetlerinde) izlenecek yasal yollar yasal dayanaklarıyla incelenmektedir.

5464 sayılı Banka Kartları ve Kredi Kartları Kanunu ile Türk Ticaret Kanunu hükümleri, bankaları sıradan bir ticari işletme olarak görmez; onları "Güven Kurumu" olarak tanımlar.

• Sistemin Güvenliği Bankaya Aittir: Bir banka, müşterisine tahsis ettiği kredi kartının siber dolandırıcılar tarafından kopyalanmasını veya internet ortamında kullanılmasını engelleyecek her türlü şifreleme ve onay altyapısını kurmakla mükelleftir.
• 3D Secure Neden Hayatidir?: 3D Secure (3 Boyutlu Güvenlik), internet alışverişlerinde kart sahibinin telefonuna gelen anlık SMS şifresi ile işlemi teyit eden bir sistemdir. Banka, altyapısını bu şifre olmadan işlem yapılamayacak şekilde kurgulamak zorundadır. Şayet banka, yabancı bir sitenin 3D Secure olmadan doğrudan para çekmesine müsaade ediyorsa (Non-3D işlem), bu riski bilerek alıyor demektir ve doğacak zarara kendisi katlanmalıdır.

Yargıtay Hukuk Genel Kurulu'nun ve Yargıtay 11. Hukuk Dairesi'nin dolandırıcılık vakalarına ilişkin emsal kararları, tüketicinin elini son derece güçlendirmektedir.

• Kusursuz Sorumluluk İlkesi: Yargıtay'a göre, müşterinin cep telefonuna 3D Secure (SMS onay şifresi) gelmeden hesaptan veya kredi kartından para çekilmişse, müşteri kart bilgilerini (kart numarası, son kullanma tarihi ve CVV) çaldırmış olsa dahi zarardan tamamen banka sorumludur. Çünkü banka, işlemin gerçek kart sahibi tarafından yapılıp yapılmadığını teyit etmemiş, güvenlik zafiyeti yaratmıştır.
• İspat Yükü Bankadadır: Banka, "Tüketici kendi kart bilgilerini virüslü sitede paylaştı, ağır kusurlu" diyerek sorumluluktan kaçamaz. İşlemin 3D Secure ile yapıldığını, SMS şifresinin tüketicinin telefonuna gittiğini ve o şifrenin bizzat tüketici tarafından sisteme girildiğini (log kayıtlarıyla) ispatlamak zorundadır. Şifre gelmemişse veya şifre gelmesine rağmen sisteme girilmeden para çekilmişse, banka parayı iade etmeye mecburdur.

(Not: Eğer dolandırıcılar sizi arayıp "Bankadan arıyoruz" diyerek telefonunuza gelen 3D SMS şifresini sizden sözlü olarak almışsa veya siz sahte bir siteye o şifreyi kendi ellerinizle girmişseniz, bu durum "tüketicinin ağır kusuru" sayılabilir ve bankanın sorumluluğu daralır. Anahtar kural, şifrenin gelmemesi veya girilmemesidir.)

Habersiz harcamayı fark ettiğiniz an yapmanız gereken ilk ve en acil işlem, bankaya "Harcama İtirazı (Chargeback)" yapmaktır.

• 120 Günlük Süre: Uluslararası Visa ve Mastercard kurallarına göre, kart sahiplerinin şüpheli veya izinsiz işlemlere karşı işlemin hesaba yansıdığı tarihten itibaren kural olarak 120 gün içinde harcama itirazında bulunma hakkı vardır.
• İtirazın Nedeni: Bankanın Harcama İtiraz Formunu doldururken, itiraz nedeni olarak mutlaka "İşlem bilgim ve onayım dışındadır, şahsıma herhangi bir 3D Secure SMS şifresi gelmemiştir" seçeneği işaretlenmelidir.
• Sürecin İşleyişi: Banka bu formu aldığında, paranın çekildiği karşı firmanın (işyerinin/sitenin) bankasına (Acquiring Bank) bir itiraz gönderir. Karşı taraf, işlemin 3D Secure ile yapıldığını log kayıtlarıyla ispatlayamazsa, para uluslararası kurallar gereği zorunlu olarak sizin bankanıza iade edilir ve bankanız da bu tutarı kartınıza geri yatırır.

Bazen bankalar, Chargeback sürecini işletmeyerek veya "İşlem internet alışverişine açık kartla yapılmış, iade edemiyoruz" şeklinde matbu bir cevapla itirazınızı reddederek sizi oyalayabilir.

• Tüketici Hakem Heyeti (Sınır İçindeki Tutarlar İçin): Eğer dolandırılan (habersiz çekilen) tutar, o yıl için belirlenen parasal sınırın altındaysa (Örn: 2026 yılı için belirlenen limitler dâhilindeyse), E-Devlet üzerinden (TÜBİS) doğrudan Tüketici Hakem Heyetine başvurulur. Hakem heyeti kararları mahkeme ilamı hükmündedir ve banka parayı ödemek zorundadır.
• Tüketici Mahkemesi (Sınırı Aşan Tutarlar İçin): Tutar hakem heyeti sınırını aşıyorsa, önce zorunlu arabulucuya gidilir, anlaşılamaması halinde Nöbetçi Tüketici Mahkemesinde "Alacak ve Tazminat Davası" açılır. Dava dilekçesinde Yargıtay'ın 3D Secure içtihatları vurgulanarak, çekilen bedelin haksız işlem tarihinden itibaren işleyecek ticari (avans) faiziyle birlikte iadesi talep edilir.

Soru 1: Gece uyurken kredi kartımdan yurt dışı kaynaklı bir bahis sitesine 50.000 TL çekilmiş. Telefonuma hiçbir SMS (3D şifresi) gelmedi. Banka parayı bana iade eder mi?

Cevap: Evet, etmek zorundadır. Sizin onayınız (3D Secure SMS şifresi) olmadan internetten çekilen paralarda Yargıtay kararlarına göre banka kusursuz (tam) sorumludur. Derhal bankanıza 'Harcama İtirazı (Chargeback)' formu gönderin. Reddedilirse Tüketici Hakem Heyeti/Mahkemesi yoluyla faiziyle geri alırsınız.

Soru 2: Bankam itirazımı 'Kartınız internet alışverişlerine açıktı, bu yüzden sorumluluk size ait' diyerek reddetti. Bu doğru mu?

Cevap: Hayır, kesinlikle doğru ve yasal değildir. Kartınızın internet alışverişine açık olması, bankaya sizin güvenliğinizi (SMS onayı alma zorunluluğunu) ihlal etme hakkı vermez. Bankanın bu ret gerekçesi hukuken geçersizdir, mahkeme veya hakem heyeti nezdinde banka haksız bulunacaktır.

Soru 3: Dolandırıcılar beni 'Polisim' diye aradı, korkutarak telefonuma bankadan gelen 3D Secure SMS şifresini sordu, ben de okudum. Param gitti, bankaya dava açsam kazanır mıyım?

Cevap: Bu durumda kazanma ihtimaliniz oldukça düşüktür. Eğer 3D Secure SMS'i telefonunuza geldiyse ve siz bu şifreyi kendi iradenizle üçüncü şahıslara (dolandırıcılara) söylediyseniz veya sahte bir siteye girdiyseniz, Yargıtay bunu 'tüketicinin ağır kusuru' olarak değerlendirir ve bankayı sorumlu tutmaz. Bu durumda sadece dolandırıcılara karşı ceza davası açabilirsiniz.

(Aşağıdaki belge, kredi kartından habersiz ve şifresiz harcama yapıldığını fark eden tüketicinin, bankasına sunacağı (veya Tüketici Hakem Heyetine vereceği) resmi itiraz ve alacak talebi dilekçesi taslağıdır.)

[BANKA ADI] A.Ş. GENEL MÜDÜRLÜĞÜNE / KREDİ KARTLARI İTİRAZ BİRİMİNE

(Veya Uyuşmazlık Halinde Tüketici Hakem Heyeti Başkanlığına)

İTİRAZ EDEN (KART SAHİBİ): [Adınız Soyadınız] - [TC Kimlik No] ADRES: [İkametgah Adresiniz]

KREDİ KARTI NUMARASI: [Kartın İlk 4 ve Son 4 Hanesi - Örn: 4543 **** **** 1234]

İTİRAZA KONU İŞLEM TARİHİ VE TUTARI: .../.../2026 - [Örn: Toplam 45.000 TL]

İTİRAZA KONU İŞYERLERİ: [Ekstrenizde Yazan İsimler, Örn: Facebook Ads / Apple İreland vb.]

KONU: Müvekkilin/Şahsımın bilgisi, rızası ve 3D Secure (SMS Onayı) olmadan kredi kartımdan usulsüz olarak çekilen [45.000 TL] tutarındaki işlemler için HARCAMA İTİRAZININ (CHARGEBACK) yapılması ve söz konusu haksız tutarın Yargıtay içtihatları (Bankanın Kusursuz Sorumluluğu) gereğince derhal kredi kartıma/hesabıma iade edilmesi ihtarıdır.

AÇIKLAMALAR:

1. Bankanız nezdinde bulunan [Son 4 Hanesi 1234] ile biten kredi kartımdan, .../.../2026 tarihinde, bilgim ve onayım dışında, [Yukarıda belirtilen işyerleri] tarafından arka arkaya [45.000 TL] tutarında haksız çekimler/harcamalar yapılmıştır.
2. Söz konusu işlemler gerçekleşirken bankanız sistemleri tarafından kayıtlı cep telefonuma hiçbir 3D Secure (Tek Kullanımlık SMS) doğrulama şifresi gönderilmemiş, işlemler tamamen güvenlik zafiyeti içinde "Non-3D" olarak provizyondan geçirilmiştir.
3. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu ve Yargıtay Hukuk Genel Kurulunun yerleşik içtihatları uyarınca, güven kurumu olan bankanız, kredi kartı işlemlerinde sistem güvenliğini en üst seviyede sağlamakla yükümlüdür. Müşterinin cep telefonuna SMS onayı gönderilmeden yapılan harcamalarda tüketicinin hiçbir sorumluluğu bulunmamakta olup, oluşan zarardan (kart bilgileri çalınmış olsa dahi) %100 oranında sistem onayına müsaade eden bankanız (İhraççı Banka) sorumludur.
4. Kartım halen fiziken benim elimdedir ve şifrem 3. kişilerle paylaşılmamıştır. Visa/Mastercard uluslararası ters ibraz (chargeback) kuralları gereğince; onayım olmadan çekilen bu tutarlara ilişkin üye işyeri bankalarına (Acquiring Bank) itiraz sürecinin derhal başlatılmasını talep ediyorum.

SONUÇ VE İSTEM: Yukarıda arz ve izah edilen nedenlerle; Bilgim ve 3D Secure onayım dışında gerçekleşen toplam [45.000 TL] tutarındaki işlemlere ilişkin harcama itirazımın kabul edilerek, söz konusu tutarın yasal bekleme süreleri içinde kredi kartıma/hesabıma İADE EDİLMESİNİ, aksi takdirde Bankanızın ağır kusuru nedeniyle doğan zararımın tahsili için Tüketici Hakem Heyetine / Tüketici Mahkemesine başvurarak alacağımı avukatlık ücreti, yargılama giderleri ve ticari faiziyle birlikte tahsil yoluna gideceğimi ve BDDK'ya şikayette bulunacağımı ihtaren bildiririm.

TARİH: 30/10/2026

İTİRAZ EDEN KART SAHİBİ: [Adınız Soyadınız] (İmza)

Av. Sami IŞILAK Hukuk & Danışmanlık (Bu metin bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz. Detaylı bilgi için iletişime geçebilirsiniz.)