Oltalamada Bankanın Sorumluluğu | Av.Sami IŞILAK

Günümüz finansal ekosisteminde, bankacılık işlemlerinin neredeyse tamamı dijital kanallara (mobil bankacılık, internet şubeleri) taşınmıştır. Bu teknolojik dönüşüm, beraberinde siber suçların ve özellikle "Oltalama (Phishing)" adı verilen sosyal mühendislik saldırılarının artmasına zemin hazırlamıştır. Kendisini banka personeli, polis veya savcı olarak tanıtan kişilerce veya bankanın resmi internet sitesinin birebir kopyası yapılarak (sahte Google reklamları aracılığıyla) vatandaşların hesaplarına erişilmekte; dakikalar içerisinde on binlerce liralık kredi çekilip farklı hesaplara veya kripto varlık borsalarına transfer edilmektedir.

Bu tür bir olay yaşandığında, mağdur müşterinin bankaya yaptığı ilk başvuruda aldığı yanıt neredeyse her zaman standarttır: "Gelen SMS onay şifresini (OTP) kendi rızanızla 3. kişilerle paylaşmışsınız veya sahte linke tıklamışsınız. İşlem 3D Secure veya mobil onay ile yapıldığından bankamızın hiçbir kusuru ve yasal sorumluluğu bulunmamaktadır."

Bankaların, kusuru tamamen müşterinin üzerine yıkarak zararı tazmin etmekten kaçındığı bu savunma mekanizması, toplumda "Hesap boşaltılırsa para geri alınamaz" şeklinde büyük bir hukuki yanılgıya neden olmaktadır. Oysa Türk Borçlar Kanunu (TBK), 5411 sayılı Bankacılık Kanunu ve yerleşik Yargıtay içtihatları, bankaları sıradan bir ticari işletme olarak değil, objektif özen yükümlülüğü en üst seviyede olan bir "Güven Kurumu" olarak tanımlar. Müşteri, gelen şifreyi dolandırıcıyla paylaşarak ağır kusurlu davransa bile; bankanın "Anomali Tespit Sistemleri" çalışmamışsa, şüpheli işlemleri durdurmamışsa bankanın da sorumluluğu doğmaktadır. Bu makalede; oltalama dolandırıcılığının hukuki yapısını, müterafik (birlikte) kusur kavramını, bankaların teknik güvenlik yükümlülüklerini ve bu zararların tazmini için Tüketici/Ticaret mahkemelerinde yürütülecek hukuki süreci profesyonel bir perspektifle detaylandırıyoruz.

Oltalama, teknik bir siber saldırıdan ziyade insan psikolojisini ve dikkatsizliğini hedef alan bir "Sosyal Mühendislik" yöntemidir. Fail, bankanın güvenlik duvarını kırmak yerine, müşteriyi kandırarak güvenlik anahtarlarını (şifreleri) bizzat ondan alır.

• Uygulamadaki Sık Görülen Yöntemler: Arama motorlarına bankanın adıyla sahte (klonlanmış) reklamlar verilmesi, aidat iadesi vaadiyle gönderilen sahte SMS linkleri veya bankanın çağrı merkezi numarasını maskeleyerek müşterinin doğrudan telefonla aranması.
• Ceza Hukukundaki Yeri: Bu eylemler, 5237 Sayılı Türk Ceza Kanunu'nun (TCK) 158/1-f maddesinde düzenlenen "Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle dolandırıcılık" suçunu oluşturur. Nitelikli dolandırıcılık vasfında olan bu suçun cezası ağır olup, Ağır Ceza Mahkemelerinde yargılaması yapılır.
• Ancak ceza davasında failin (veya paranın aktarıldığı aracı hesap sahibinin/kuryenin) bulunması ve ceza alması, mağdurun parasını geri almasını çoğu zaman sağlamaz. Zira paralar genellikle izi sürülemeyen kripto varlıklara çoktan çevrilmiştir. Asıl tahsilat kaynağı ve hukuki muhatap, güvenlik zafiyeti bulunan "Banka" tüzel kişiliğidir.

Bir banka hesabındaki paranın hukuki mülkiyeti tartışması, bu davaların temelini oluşturur. Yargıtay Hukuk Genel Kurulu (YHGK) içtihatlarına göre, bankaya yatırılan paranın mülkiyeti bankaya geçer. Banka, o parayı işletir, kredi olarak verir ve ticari kazanç sağlar. Müşterinin bankadaki hakkı bir "alacak hakkıdır".

Karşılıksız Çekilme (Tevdi Sözleşmesi): TBK Madde 388 (Tüketim Ödüncü / Usulsüz Tevdi) gereğince, banka kendisine yatırılan parayı iade etmekle yükümlüdür. Paranın 3. kişilerce hukuka aykırı şekilde (dolandırıcılıkla) çekilmesi, bankayı müşterisine karşı olan "parayı eksiksiz iade etme" borcundan kurtarmaz. Yargıtay'ın kemikleşmiş kuralı şudur: "Bankalar bir güven kurumudur. İnternet ve mobil bankacılık sistemlerini kuran, bu sistemi müşterilerine sunan banka, sistemin güvenliğini de en üst düzeyde (objektif özen yükümlülüğüyle) sağlamak zorundadır. Hafif kusurlarından dahi sorumludurlar."

Şüpheli İşlem (Fraud) Tespit Sistemlerinin İflası: Bankalar, BDDK yönetmelikleri uyarınca bir işlem risk skorlaması (Anomali Tespiti) yapmak zorundadır. Eğer bir hesapta olağandışı bir hareketlilik varsa, banka o işlemi durdurmak veya müşteriyi arayarak teyit almakla yükümlüdür.

• Örneğin; 10 yıldır hesabından sadece fatura ödeyen ve aylık ortalama 5.000 TL işlem yapan 65 yaşındaki bir emekli müşterinin hesabına; gece saat 03:00'te giriliyor, anında 250.000 TL ön onaylı ihtiyaç kredisi çekiliyor ve bu para saniyeler içinde daha önce hiç para gönderilmeyen bir kripto para borsasına veya şüpheli bir şahıs hesabına tek seferde EFT yapılıyorsa; Banka bu işlemi durdurmak zorundadır.
• Eğer bankanın yazılımı bu "açık anomaliyi" (olağandışılığı) tespit edip bloke koymamışsa, banka güven kurumu vasfına aykırı davranmış sayılır ve müşteriye "Siz şifreyi vermişsiniz" diyerek sorumluluktan kurtulamaz.

Oltalama davalarında Hâkimin en çok zorlandığı nokta kusur tespiti ve orantılamasıdır. Müşteri sahte bir linke tıklayarak veya telefondaki dolandırıcıya inanç göstererek SMS (OTP - Tek Kullanımlık Şifre) kodunu okuyarak kendi zararına sebebiyet vermiştir. Hukukta buna TBK Madde 52 kapsamında "Müterafik (Birlikte) Kusur" denir.

Yargıtay'ın Kusur Dağılımına Yaklaşımı: Bu davalarda mahkemeler dosyayı "Bankacı, Bilişim Uzmanı ve Hukukçu"dan oluşan üçlü bir bilirkişi heyetine tevdi eder. Bilirkişi heyeti log kayıtlarını, IP adreslerini, MAC adreslerini (cihaz kimliklerini) ve işlemin anomali boyutunu inceler.

1. Tam Sorumluluk (%100 Banka): Eğer müşteri hiçbir şifre vermemişse, işlem tamamen banka sisteminin hacklenmesi (SIM kart kopyalama, Truva atı virüsleri vb.) yoluyla gerçekleşmişse ve banka bunu engelleyememişse, Yargıtay kusurun %100'ünü bankaya yükler.
2. Yarı Yarıya Sorumluluk (%50 - %50): Oltalama vakalarında en sık çıkan sonuçtur. Müşteri kendi iradesiyle şifreyi dolandırıcıya vermiş (kusurlu), ancak banka da olağandışı saatte, farklı bir IP/Cihaz üzerinden yapılan bu fahiş limitli işlemleri, 3D Secure baypaslarını tespit edememiş veya şüpheli işlemi teyit etmemiştir (banka da kusurlu). Bu durumda mahkeme zararı taraflar arasında paylaştırır; çalınan bedelin yarısı (veya %60-%40 gibi oranlarla) bankadan tahsil edilerek mağdura ödenir.
3. Müşterinin Ağır Kusuru: Eğer banka müşteriye açıkça "Bu şifre X kişisine para gönderilmesi içindir, kimseyle paylaşmayın" şeklinde net uyarılar içeren SMS atmış, işlem rutin işlem saatlerinde ve normal limitlerde yapılmış ve anomali oluşturmamışsa, müşteri şifreyi vererek ağır kusurlu kabul edilebilir ve bankanın sorumluluğu doğmayabilir. Ancak bu durum istisnaidir; Yargıtay genellikle bankaların sistem güvenliklerini yetersiz bulmaktadır.

Hesabı boşaltılan bir vatandaşın izlemesi gereken usuli adımlar, davanın kaderini doğrudan etkiler.

• Görevli Mahkeme: Hesabı boşaltılan kişi gerçek kişi (vatandaş) ise, bankacılık işlemi bir "tüketici işlemi" sayıldığından dava Tüketici Mahkemesinde açılır. Eğer hesabı boşaltılan bir şirket (tüzel kişi) veya tacir ise, uyuşmazlık mutlak ticari dava niteliğinde olduğundan görevli mahkeme Asliye Ticaret Mahkemesidir.
• İspat Yükü Bankadadır: Tüketici Mahkemelerindeki genel prensip gereği, işlemin bizzat müşteri tarafından yapıldığını, sistemin kusursuz işlediğini ve hiçbir anomali bulunmadığını ispatlama yükümlülüğü Bankaya aittir. Banka, teknik log kayıtlarını ve güvenlik protokollerini mahkemeye sunmak zorundadır.
• Zamanaşımı: Bankaya karşı açılacak tazminat/alacak davalarında TBK genel zamanaşımı süresi olan 10 yıllık süre uygulanır (Haksız fiil değil, sözleşmeye aykırılık ve vekalet/tevdi hükümleri uygulandığından).

Bir dolandırıcılık vakası yaşandığında panik yapmadan hızlıca hukuki zeminin oluşturulması şarttır:

1. Bankaya Derhal Bildirim: Olay fark edildiği an, saniyeler dahi önemlidir. Banka çağrı merkezi aranarak (görüşme kayıt altına alınır) durum bildirilmeli, hesaplar, kredi kartları ve internet bankacılığı tamamen bloke edilmelidir. Bu bildirim anından sonra yapılacak hiçbir işlemden müşteri sorumlu tutulamaz.
2. Savcılık Suç Duyurusu: Derhal Cumhuriyet Başsavcılığına (veya Siber Suçlarla Mücadele Şubesine) gidilerek TCK 158/1-f kapsamında suç duyurusunda bulunulmalıdır. Bankadan alınan hesap ekstreleri ve var ise dolandırıcının aradığı telefon numaraları/SMS ekran görüntüleri dosyaya eklenmelidir.
3. Bankaya Resmi İhtarname: Savcılık şikayetinin hemen ardından, banka genel müdürlüğüne noter aracılığıyla bir ihtarname çekilerek (Bkz: Aşağıdaki Örnek Belge), güvenlik zafiyeti belirtilmeli ve çekilen bedelin iadesi talep edilmelidir. Banka bu ihtara olumsuz döndüğünde veya sessiz kaldığında dava süreci başlatılır.

Soru 1: Dolandırıcılar adıma 200.000 TL kredi çekip başka hesaba göndermişler. Kredi taksitlerini ödemek zorunda mıyım?

Cevap: Hukuki süreç sonuçlanana kadar banka sizden bu taksitleri yasal faiziyle talep edecek ve ödemezseniz icra takibi başlatabilecektir. Bu nedenle, Tüketici Mahkemesinde "Menfi Tespit (Borçlu Olmadığının Tespiti)" davası açarak, teminat karşılığında mahkemeden "İhtiyati Tedbir" kararı almanız gerekir. Tedbir kararı ile bankanın sizden bu krediyi icra yoluyla tahsil etmesi dava sonuna kadar durdurulur.

Soru 2: Telefondaki kişi polis olduğunu söyleyip beni korkuttu, tüm şifreleri kendim verdim. Banka mahkemede 'Kendi rızasıyla vermiş' derse davayı kaybeder miyim?

Cevap: Hayır, kaybetmeniz kesin değildir. Sizin polis/savcı yalanına inanarak şifreyi vermeniz müterafik (birlikte) kusurunuzdur. Ancak Yargıtay, bankanın sisteminin bu tür dolandırıcılıkları (anormal limit artışlarını, farklı cihaz girişlerini) tespit edip blokelemesi gerektiğini kabul eder. Kusur oranında (örneğin %50) paranızı bankadan tahsil etme ihtimaliniz oldukça yüksektir.

Soru 3: Banka, gönderdiğim SMS şifresinin içinde 'Bu şifreyi kimseyle paylaşmayın' yazdığını söylüyor. Bu onları sorumluluktan kurtarır mı?

Cevap: Tek başına kurtarmaz. Bilirkişi incelemesinde SMS'in içeriğine bakılır. SMS sadece "Şifreniz 123456, paylaşmayın" diyorsa yetersizdir. Yeni mevzuata göre SMS içeriğinde "X kişisine Y tutarında para transferi/kredi çekimi için şifreniz..." şeklinde işlemin tam mahiyetinin açıkça yazması ve dolandırıcılık uyarısının net olması gerekir. Ayrıca SMS içeriği ne olursa olsun, işlemde bariz bir anomali (gece yarısı yüksek tutar) varsa bankanın sorumluluğu devam eder.

(Aşağıdaki belge, hesabına yetkisiz erişilerek parası boşaltılan veya adına bilgisi dışında kredi çekilen bir mağdurun, mahkemede dava açmadan önce bankayı temerrüde düşürmek ve hukuki sorumluluğunu hatırlatmak amacıyla Noter aracılığıyla göndereceği resmi ihtarname taslağıdır.)

İHTAR EDEN: [Adınız Soyadınız] - [TC Kimlik No] ADRES: [Tebligat Adresiniz]

VEKİLİ: Av. Sami IŞILAK

MUHATAP BANKA: [İlgili Banka A.Ş. Genel Müdürlüğü] ADRES: [Bankanın Genel Merkez Adresi]

KONU: Oltalama (Phishing) dolandırıcılığı neticesinde güvenlik zafiyeti bulunan bankanız sistemleri üzerinden iradem dışında çekilen ve transfer edilen toplam [Örn: 150.000 TL] tutarındaki zararın, bankanızın objektif özen yükümlülüğü ve 'Güven Kurumu' vasfı gereğince tarafıma iadesi ve haksız kredi borcunun iptali talebidir.

AÇIKLAMALAR:

1. Müvekkilim, bankanızın [Şube Adı] şubesine kayıtlı [TR... IBAN Numaralı] vadesiz mevduat hesabı müşterisidir.
2. .../.../20.. tarihinde, saat ..:.. sularında; müvekkilimin iradesi ve onayı dışında, üçüncü şahıslar (dolandırıcılar) tarafından bankanızın internet/mobil şubesine yetkisiz erişim sağlanmış, müvekkilim adına hukuka aykırı şekilde [Örn: 100.000 TL ihtiyaç kredisi] kullandırılmış ve hesapta bulunan mevcut bakiyeyle birlikte toplam [150.000 TL], bankanız nezdindeki olağandışı işlem (anomali) tespit algoritmalarına takılmaksızın saniyeler içinde farklı kişilerin hesaplarına EFT/Havale yoluyla transfer edilmiştir.
3. Müvekkilimin rutin işlem alışkanlıklarının (limit, saat, lokasyon ve cihaz tanımlamaları) tamamen dışında gerçekleşen bu işlemler, açık bir şüpheli işlem (fraud) niteliğinde olmasına rağmen; bankanız güvenlik birimlerince işlem durdurulmamış, müvekkilim aranarak teyit alınmamış ve Yargıtay Hukuk Genel Kurulu kararlarıyla sabit olan "Güven Kurumu" objektif özen yükümlülüğü ağır şekilde ihlal edilmiştir.
4. Meydana gelen olayla ilgili olarak ... Cumhuriyet Başsavcılığının 20../... Soruşturma numaralı dosyası ile suç duyurusunda bulunulmuştur. Bankanızın, sistem altyapısındaki güvenlik açıklarından ve mudinin parasını koruma (tevdi) borcuna aykırılıktan doğan kusursuz sorumluluğu açıktır.

SONUÇ VE İSTEM: Yukarıda açıklanan yasal nedenler ve Yargıtay içtihatları doğrultusunda; Müvekkilimin hesabından yetkisiz olarak aktarılan [150.000 TL] zararın, işbu ihtarnamenin tebliğinden itibaren 3 (ÜÇ) GÜN İÇİNDE müvekkilime ait [TR... İBAN] numaralı hesaba iade edilmesini; müvekkilimin onayı dışında kullandırılan kredi ve faiz borçlarının iptal edilerek sicilinin temizlenmesini; Aksi takdirde, BDDK nezdinde şikâyet yollarına başvurulacağını, Tüketici/Ticaret Mahkemelerinde alacak ve menfi tespit davaları açılacağını, yargılama giderleri ile avukatlık vekalet ücretinin bankanıza yükletileceğini ihtaren bildiririz.

TARİH: .../.../2026

İHTAR EDEN VEKİLİ: Av. Sami IŞILAK (İmza)

Av. Sami IŞILAK Hukuk & Danışmanlık (Bu metin bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz. Detaylı bilgi için iletişime geçebilirsiniz.)