Deepfake ile Çekilen Kredinin İptali | Av. Sami IŞILAK

Gelişen teknolojiyle birlikte bankacılık işlemlerinin tamamen cep telefonlarına taşınması, saniyeler içinde yüz binlerce liralık kredi çekme imkânı sunarak hayatımızı kolaylaştırsa da; bu hız, siber dolandırıcılar için devasa bir fırsat kapısına dönüşmüştür. Son yıllarda vatandaşların en çok mağdur olduğu siber suçların başında, çalınan cep telefonları veya telefona bulaştırılan casus yazılımlar (virüs/Trojan) aracılığıyla bankacılık uygulamalarının ele geçirilmesi ve gecenin bir yarısı vatandaşın adına fahiş miktarlarda kredi çekilmesi gelmektedir.

Bu dolandırıcılık türünde en ürkütücü aşama; bankaların "üstün güvenlik önlemi" olarak sunduğu "Görüntülü Görüşme" veya "Yüz Tanıma (Biyometrik Doğrulama)" sistemlerinin, dolandırıcılar tarafından yapay zekâ (Deepfake) teknolojisiyle veya yüksek çözünürlüklü fotoğraflar kullanılarak rahatlıkla atlatılabilmesidir. Sabah uyandığında adına yüz binlerce lira kredi çekildiğini ve bu paranın anında kripto para borsalarına veya meçhul hesaplara aktarıldığını gören vatandaş, bankaya itiraz ettiğinde genellikle "İşlem sizin cihazınızdan, sizin şifrenizle ve yüz tanıma sistemimizden geçilerek yapılmış, sorumluluk size ait" şeklinde buz gibi bir yanıtla karşılaşmaktadır.

Ancak Yargıtay'ın istikrar kazanmış içtihatlarına göre bu durum kesinlikle böyle değildir. Bankalar birer "Güven Kurumu" olup, en ileri düzey güvenlik sistemlerini kurmakla ve müşterisini korumakla mükelleftir. Yüz tanıma sistemini sahte bir yapay zekâ yüzüyle geçebilen bir banka, kendi güvenlik zafiyetinin faturasını müşterisine kesemez. Bu makalede; Deepfake ve virüs yoluyla yüz tanıma aşılarak çekilen kredilerde bankanın kusursuz sorumluluğu, olağandışı işlemlerin (anomali) tespiti ve bu hayali borçtan kurtulmak için Tüketici Mahkemesinde açılacak Menfi Tespit (Borçlu Olunmadığının Tespiti) davası yasal dayanaklarıyla incelenmektedir.

Yeni nesil siber dolandırıcılık, genellikle iki farklı yöntemle mağdurun bankacılık uygulamasının ele geçirilmesiyle başlamaktadır:

• Zararlı Yazılım (Malware/Trojan) Bulaşması: Mağdura SMS, WhatsApp veya sahte bir e-posta üzerinden (örneğin "Kargonuz teslim edilemedi, tıklayın" veya "E-Devlet ceza sorgulama") bir link gönderilir. Bu linke tıklandığında telefona arka planda çalışan bir casus yazılım yüklenir. Bu yazılım, telefonun ekranını dolandırıcılara yansıtır ve gelen SMS onay kodlarını (OTP) dolandırıcılara yönlendirir.
• Deepfake ve Yüz Tanıma Zafiyeti: Banka, şifre değişikliği veya yüklü kredi onayı için kameranın açılmasını ve müşterinin yüzünü okutmasını ister. Telefona sızan dolandırıcılar, "Kamera Enjeksiyonu (Camera Injection)" denilen bir yöntemle bankanın uygulamasına doğrudan mağdurun sosyal medyadan alınmış bir fotoğrafını veya yapay zekâ ile hareketlendirilmiş (Deepfake) bir videosunu yansıtırlar. Bankanın güvenlik sistemi bu sahte yüzü "canlı insan" sanarak onay verir ve saniyeler içinde kredi çekilir.

Adına kredi çekilen vatandaş bankaya başvurduğunda, bankalar genellikle "Telefonunuza virüs girmesi sizin hatanızdır, şifrenizi siz çaldırdınız" diyerek topu müşteriye atmaktadır. Oysa Türk Hukuku, bankalara çok daha ağır bir sorumluluk yüklemiştir.

• Güven Kurumu İlkesi: Bankalar, faaliyet izinlerini devletten alan ve halkın parasını işleten "güven" kurumlarıdır. Bu nedenle, sıradan bir şirketten beklenenden çok daha yüksek bir özen (objektif özen) yükümlülüğüne sahiptirler.
• Biyometrik Zafiyet Bankanın Kusurudur: Bir banka, mobil uygulamasına "Yüz Tanıma" sistemi koyuyorsa, bu sistemin "Canlılık Testini (Liveness Detection)" kusursuz yapmasını sağlamak zorundadır. Eğer sistem, bir fotoğrafı veya Deepfake videosunu gerçek insan yüzünden ayırt edemiyorsa, burada bankanın yazılımında ve siber güvenlik altyapısında ağır bir hizmet kusuru (zafiyet) var demektir. Banka kendi sistemindeki bu açığın cezasını müşteriye çektiremez.
• Yargıtay İçtihatları: Yargıtay 11. Hukuk Dairesi'nin yerleşik içtihatlarına göre; internet bankacılığı yoluyla müşterinin hesabından iradesi dışında para çekilmesi veya kredi kullanılması durumunda, banka gerekli güvenlik altyapısını kurmadığı ve sistemi sürekli güncellemediği için "Kusursuz Sorumlu" kabul edilir. Banka, ancak müşterinin şifresini bilerek ve isteyerek dolandırıcılara verdiğini (ağır kusurunu) ispatlarsa sorumluluktan kurtulabilir. Virüs tıklamak genellikle tek başına ağır kusur sayılmaz.

Bankaların sorumluluğunu doğuran bir diğer devasa hukuki argüman ise bankaların "Fraud (Dolandırıcılık) Tespit Algoritmalarının" çalışmamasıdır.

• Risk Algoritması Şartı: Bankalar, müşterilerinin standart işlem alışkanlıklarını (harcama profillerini) yapay zekâ ile takip etmek zorundadır. Örneğin; hayatı boyunca hiç mobil kredi kullanmamış, kredi kartı limiti düşük bir emekli vatandaşın hesabından, gece saat 03:30'da aniden 500.000 TL kredi çekilmesi ve bu paranın 1 dakika içinde daha önce hiç para gönderilmeyen tanınmamış hesaplara veya kripto para borsalarına havale edilmesi şüphe götürmez bir "Olağandışı İşlemdir (Anomali)".
• Bankanın İhmali: Bankanın güvenlik yazılımlarının bu anomaliyi anında fark edip hesabı bloke etmesi ve müşteriyi şahsen (telefonla) arayarak işlemi sesli teyit etmesi gerekirdi. Gecenin bir yarısı gerçekleşen bu şüpheli ve seri para çıkışlarını dondurmayan banka, açıkça ihmalkâr davranmıştır ve oluşan zararın tamamından sorumludur.

Eğer böyle bir siber saldırıya maruz kalarak adınıza kredi çekilmişse, zaman kaybetmeden hukuki süreci başlatmanız hayati önem taşır.

• Acil Bloke ve Savcılık Şikayeti: Durumu fark ettiğiniz an başka bir telefondan bankanızı arayarak tüm hesaplara ve mobil bankacılığa bloke koydurun. Ardından derhal bulunduğunuz yerdeki Cumhuriyet Başsavcılığına giderek Bilişim Sistemleri Kullanılmak Suretiyle Nitelikli Dolandırıcılık (TCK m. 158/1-f) suçundan suç duyurusunda bulunun.
• Krediyi Ödemeli miyim?: Kredi taksitlerini ödemeniz, borcu kabul ettiğiniz anlamına gelebilir veya en azından maddi olarak sizi sarsar. Ancak ödemezseniz banka icra takibi başlatır ve kara listeye (KKB) girersiniz. Bu açmazdan kurtulmanın yolu İhtiyati Tedbir kararı almaktır.
• Tüketici Mahkemesinde Menfi Tespit Davası: Bankaya karşı Tüketici Mahkemesinde "Menfi Tespit (Borçlu Olunmadığının Tespiti)" davası açılmalıdır. Bu davada; kredinin sizin iradeniz dışında, bankanın yüz tanıma/güvenlik zafiyeti kullanılarak çekildiği belirtilir. Mahkemeden öncelikle ihtiyati tedbir talep edilerek, davanın sonuna kadar "Kredi taksitlerinin sizden kesilmesinin ve icra takibi başlatılmasının durdurulması" sağlanır. Bilirkişi incelemesinde IP adresleri, log kayıtları ve bankanın anomaliyi fark etmeme kusuru ortaya dökülecek ve borç mahkeme kararıyla tamamen iptal edilecektir.

Soru 1: Telefonuma gelen bir kargo mesajına tıkladım, gece ben uyurken adıma 300.000 TL kredi çekilmiş. Banka 'SMS şifreniz girilmiş, bizlik bir durum yok' diyor. Borcu ödemek zorunda mıyım?

Cevap: Hayır, değilsiniz. SMS onay kodu (OTP) girilmiş olması bankayı kurtarmaz. Telefona sızan virüsün SMS'leri gizlice okumasını veya ekranı kopyalamasını engelleyecek siber güvenlik altyapısını kurmak bankanın görevidir. Üstelik gece yarısı bir anda çekilip başka hesaba aktarılan kredi açık bir 'anomali'dir. Bankanın sizi arayıp teyit almaması ağır kusurdur. Tüketici Mahkemesinde Menfi Tespit davası açarak bu borcu iptal ettirebilirsiniz.

Soru 2: Hesabıma girip şifremi değiştirmişler. Bankanın yüz tanıma sistemini nasıl geçmiş olabilirler? Bu benim hatam mı?

Cevap: Bu kesinlikle sizin hatanız değildir. Dolandırıcılar, Deepfake (yapay zekâ destekli sahte video) teknolojisini veya yüksek çözünürlüklü fotoğraflarınızı kamera enjeksiyonu yöntemiyle kullanarak bankanın sistemini kandırmaktadır. Bankanın Biyometrik Doğrulama sisteminin 'canlı insan' ile 'sahte dijital yüzü' ayırt edememesi doğrudan doğruya bankanın teknolojik ve güvenlik zafiyetidir. Sorumluluk bankaya aittir.

Soru 3: Dava sonuçlanana kadar banka maaşıma haciz koyabilir mi veya benden bu parayı kesebilir mi?

Cevap: Bankanın icra takibi başlatmasını ve maaşınıza/hesaplarınıza el koymasını engellemek için, Menfi Tespit davası açarken mahkemeden acil olarak 'İhtiyati Tedbir' talep etmelisiniz. Mahkeme haklılığınızı gösteren savcılık şikayeti gibi ön delilleri değerlendirerek tedbir kararı verir ve dava bitene kadar bankanın sizden tek kuruş kesmesini hukuken yasaklar.

(Aşağıdaki belge, siber dolandırıcılar tarafından bankanın güvenlik zafiyeti aşılarak mağdur adına çekilen hayali kredinin iptali ve icra takiplerinin durdurulması amacıyla Tüketici Mahkemesine sunulacak dava dilekçesi taslağıdır.)

[KONYA] NÖBETÇİ TÜKETİCİ MAHKEMESİ HÂKİMLİĞİNE

"İhtiyati Tedbir Taleplidir"

DAVACI: [Adınız Soyadınız] - [TC Kimlik No] ADRES: [İkametgah Adresiniz]

VEKİLİ: Av. Sami IŞILAK

DAVALI: [İlgili Banka Unvanı A.Ş. Genel Müdürlüğü]

ARABULUCULUK DOSYA NO: 2026/... Arabuluculuk (Anlaşamama Son Tutanağı Ektedir)

KONU: Davalı bankanın siber güvenlik altyapısındaki ağır zafiyet ve olağandışı işlem (anomali) tespiti yükümlülüklerine aykırı davranması neticesinde, müvekkilin bilgisi ve iradesi dışında siber dolandırıcılar tarafından çekilen [Örn: 400.000 TL] bedelli kredi sözleşmesinin geçersizliğinin tespiti ile, müvekkilin davalı bankaya bu krediden dolayı BORÇLU OLMADIĞININ TESPİTİNE (MENFİ TESPİT) ve dava sonuna kadar müvekkil hakkında icra takibi yapılmasının/hesaplarından kesinti yapılmasının önlenmesi amacıyla teminatsız olarak İHTİYATİ TEDBİR kararı verilmesi talebidir.

DAVA DEĞERİ: [400.000 TL]

AÇIKLAMALAR:

1. Müvekkil, davalı bankanın uzun yıllardır maaş müşterisidir. .../.../2026 tarihinde, gece saat 03:45 sularında müvekkil derin uykudayken, müvekkilin bilgisi ve rızası dışında davalı bankanın mobil uygulamasına girilmiş, müvekkil adına [400.000 TL] tutarında tüketici kredisi çekilmiş ve bu meblağ saniyeler içinde müvekkilin daha önce hiç işlem yapmadığı 3. şahıslara ait hesaplara (veya kripto para borsalarına) EFT/Havale yapılmıştır. (Savcılık suç duyurusu evrakları Ek-1'dedir).
2. Müvekkil durumu sabah uyandığında fark etmiş ve derhal hesaplarına bloke koydurarak Cumhuriyet Başsavcılığına şikayette bulunmuştur. Söz konusu işlem, müvekkilin telefonuna bulaştırılan zararlı bir yazılım (virüs) ve davalı bankanın uygulamasındaki "Yüz Tanıma" güvenlik duvarının Deepfake (yapay zekâ) teknolojisi kullanılarak atlatılması suretiyle gerçekleştirilmiştir.
3. Yargıtay 11. Hukuk Dairesi'nin yerleşik içtihatları uyarınca bankalar, birer güven kurumu olmaları sıfatıyla gelişen siber dolandırıcılık yöntemlerine karşı en üst düzey güvenlik sistemlerini (canlılık testi, donanım kimliği tespiti) kurmakla mükelleftir. Davalı bankanın biyometrik güvenlik sisteminin sahte bir dijital görüntüyle aşılabilmesi, doğrudan bankanın ağır hizmet kusurudur.
4. Ayrıca, müvekkil gibi daha önce hiç mobil kredi kullanmamış bir tüketicinin hesabından, gece saat 03:45'te art arda limit artırımı yapılarak yüklü kredi çekilmesi ve tanınmayan hesaplara transfer edilmesi açık bir "Olağandışı İşlem (Anomali)" niteliğindedir. Davalı bankanın Fraud (Dolandırıcılık Tespit) sisteminin bu şüpheli işlemleri anında bloke etmemesi ve müvekkili telefonla arayarak sesli teyit almaması, illiyet bağını banka aleyhine kuran tartışmasız bir ihmaldir.
5. Müvekkilin hiçbir iradesinin bulunmadığı bu hayali kredi borcu nedeniyle icra takibi tehlikesi altında kalması ve maaşına haciz konulması riski mevcuttur. Bu telafisi imkansız zararın önlenmesi için HMK Madde 389 vd. uyarınca öncelikle ihtiyati tedbir kararı verilmesini ve yargılama neticesinde borcun iptalini talep ediyoruz.

SONUÇ VE İSTEM: Yukarıda açıklanan ve Mahkemenizce re'sen gözetilecek hukuki nedenlerle; 1- Öncelikle ve ivedilikle; dava konusu sahte kredi borcu nedeniyle müvekkilin maaşından ve hesaplarından kesinti yapılmasının engellenmesi ile müvekkil aleyhine icra takibi başlatılmasının durdurulması yönünde teminatsız (veya mahkemenizin takdir edeceği uygun teminatla) İHTİYATİ TEDBİR KARARI VERİLMESİNE, 2- Yargılama neticesinde davamızın KABULÜ ile; müvekkilin iradesi dışında davalı bankanın güvenlik zafiyeti sebebiyle çekilen [400.000 TL] kredi sözleşmesi ve fer'ilerinden dolayı müvekkilin davalı bankaya BORÇLU OLMADIĞININ TESPİTİNE (Kredinin ve borcun İptaline), 3- Yargılama giderleri ile avukatlık vekâlet ücretinin davalı bankaya yükletilmesine karar verilmesini vekaleten saygılarımla arz ve talep ederim.

TARİH: 23/10/2026

DAVACI VEKİLİ: Av. Sami IŞILAK (İmza)

Av. Sami IŞILAK Hukuk & Danışmanlık (Bu metin bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz. Detaylı bilgi için iletişime geçebilirsiniz.)