Siber Saldırılar Karşısında Mevduatın Korunması ve Bankacılık Hukuku
Gelişen teknolojiyle birlikte bankacılık işlemlerinin neredeyse tamamı dijital kanallara kaymıştır. Bu dönüşüm kolaylık sağlasa da siber korsanların iştahını kabartmakta ve internet bankacılığı hesaplarının hacklenmesi vakalarını artırmaktadır. Bankacılık hukukunda mevduat, usulüne uygun olarak bankaya yatırılan ve bankanın mülkiyetine geçen, karşılığında ise bankanın iade taahhüdünde bulunduğu bir değerdir. Bu nedenle siber saldırı, oltalama veya doğrudan hackleme yoluyla müşteri hesaplarından para çekilmesi durumunda hukuki sorumluluğun sınırlarını doğru çizmek gerekir.
Türk Borçlar Kanunu ve Bankacılık Kanunu uyarınca, bankalar birer güven kurumudur. Güven kurumu olmanın doğal bir sonucu olarak bankalar, hafif kusurlarından dahi sorumlu tutuldukları gibi, objektif özen yükümlülüğü altında faaliyet gösterirler. Müşterinin hesabı üzerinde gerçekleştirilen yetkisiz işlemler, sistemsel açıklar veya güvenlik zafiyetleri doğrudan bankanın sorumluluk alanına girmektedir.
Dijital Bankacılıkta Usulsüz İşlemler ve Güvenlik Zafiyetleri
İnternet bankacılığı şifrelerinin ele geçirilmesi, tek kullanımlık SMS şifrelerinin siber yöntemlerle yönlendirilmesi veya mobil cihazlara sızan zararlı yazılımlar aracılığıyla hesapların boşaltılması uygulamada en sık karşılaşılan hackleme yöntemleridir. Bu tür durumlarda bankalar genellikle suçu müşterinin kişisel şifre güvenliğini sağlayamamasına atarak sorumluluktan kaçınmaya çalışırlar. Ancak hukuk sistemimiz siber güvenliği sadece karmaşık şifreler belirlemeye indirgememektedir.
Bankanın sorumluluğunun doğması için sistemin siber saldırılara karşı güncel koruma kalkanlarına sahip olup olmadığı, şüpheli ve olağan dışı para transferlerinin banka tarafından bloke edilip edilmediği analiz edilir. Örneğin, hayatı boyunca hesabından sadece fatura ödeyen bir müşterinin hesabından, gece yarısı tek seferde ve yurt dışındaki üçüncü bir kişiye yüklü miktarda EFT yapılması durumunda bankanın yapay zeka ve güvenlik algoritmalarının bu işlemi şüpheli olarak algılayıp askıya alması gerekir. Bu tür önlemleri almayan bankanın sorumluluğu kaçınılmazdır.
Yargıtay Kararlarında Bankanın Objektif Özen Borcu Kriterleri
Yargıtay 11. Hukuk Dairesi ve Hukuk Genel Kurulu, banka hesaplarının siber saldırılarla boşaltılması davalarında sarsılmaz ilkeler geliştirmiştir. Yargıtay yerleşik içtihatlarında bankaların sorumluluğunu tayin ederken şu 3 temel kritere dayanmaktadır:
- Mevduatın Mülkiyeti İlkesi: Bankaya yatırılan para bankanın mülkiyetine geçer. Bu nedenle, hesaptan siber saldırıyla çekilen para müşterinin parası değil, doğrudan bankanın parasıdır. Banka, kendisine güvenle emanet edilen bu parayı yetkisiz kişilere ödediği için doğrudan zararı tazmetmekle yükümlüdür.
- İlliyet Bağının Kesilmemesi: Banka, müşterinin ağır kusurunu (örneğin şifresini bilerek üçüncü kişilerle paylaşması veya dolandırıcılara kendi rızasıyla teslim etmesi gibi) somut delillerle kanıtlayamadığı sürece sorumluluktan kurtulamaz. Sadece şifrenin girilmiş olması, bankayı sorumluluktan azat etmez.
- Çift Faktörlü Doğrulama ve SMS Yönlendirme Güvenliği: Yargıtay kararlarında, siber saldırganların sim kart kopyalama veya virüs yoluyla SMS şifrelerini ele geçirmesini önleyecek ek güvenlik tedbirlerini (biyometrik doğrulama, cihaz eşleştirme vb.) uygulamayan bankaların ağır kusurlu olduğu kabul edilmektedir.
Benzer şekilde, siber suçların bir diğer ayağı olan pos cihazı manipülasyonları ve kart kopyalama işlemleri hakkında da yargının yaklaşımı son derece nettir. Bu konuda daha detaylı bilgi edinmek için Banka Kartı ve POS Usulsüzlüklerinde Hukuki Sorumluluk başlıklı çalışmamız incelenebilir.
Hesabı Hacklenen Mevduat Sahibinin Atması Gereken Adımlar
Banka hesabınızın siber saldırıya uğradığını ve rızanız dışında para transferi yapıldığını fark ettiğiniz an, zaman kaybetmeden hukuki süreci başlatmalısınız. Atılacak doğru adımlar, açılacak tazminat davasının seyrini doğrudan etkiler:
- Derhal Bankayı Arayın: Bankanın müşteri hizmetlerini arayarak hesabın, internet bankacılığının ve tüm kartların bloke edilmesini talep edin. Yapılan yetkisiz işleme karşı sözlü ve yazılı itiraz kaydı oluşturun.
- Cumhuriyet Başsavcılığına Suç Duyurusunda Bulunun: Paranın gönderildiği IBAN numaralarını, transfer saatlerini ve varsa şüpheli mesaj/e-postaları ekleyerek siber suçlar bürosuna iletilmek üzere suç duyurusu dilekçesi verin.
- Delilleri Koruma Altına Alın: Telefonunuza gelen SMS'leri, siber saldırı günü aldığınız e-postaları ve bilgisayarınızdaki ekran görüntülerini kesinlikle silmeyin. Bu veriler mahkemede bilirkişi incelemesine sunulacaktır.
- İhtarname Gönderin: Bankaya noter kanalıyla ihtarname göndererek çalınan tutarın faiziyle birlikte hesabınıza iade edilmesini talep edin. Olumsuz yanıt alınması halinde tazminat davası açılması gerekecektir.
Sıkça Sorulan Sorular
Hesabımdaki para phishing (oltalama) yöntemiyle çalınırsa banka ödeme yapar mı?
Evet, oltalama yönteminde müşteri kendi eliyle şifreyi girmiş gibi görünse de bankanın bu tür sahte siteleri tespit etme, müşteriyi uyarma ve olağan dışı transferleri engelleme yükümlülüğü vardır. Müşterinin ağır ihmali kanıtlanmadıkça banka zarardan sorumludur.
Hacklenme durumunda açılacak davada zamanaşımı süresi nedir?
Banka hesaplarının hacklenmesi nedeniyle açılacak tazminat davalarında zamanaşımı süresi, usulsüz işlemin ve zararın öğrenildiği tarihten itibaren 2 yıl ve her halükarda işlemin gerçekleştiği tarihten itibaren 10 yıldır.
Banka, şifremi koruyamadığımı iddia ederek ödeme yapmayı reddedebilir mi?
Banka bu iddiayı ileri sürebilir ancak bunu somut delillerle ispatlamak zorundadır. Yargıtay kararlarına göre, sadece "sisteme doğru şifreyle girildi" savunması bankayı sorumluluktan kurtarmaya yetmemektedir.
Çalınan tutarla birlikte faiz talep edebilir miyim?
Evet, siber saldırı sonucu hesabınızdan hukuka aykırı olarak çekilen tutarın, işlemin gerçekleştiği (temerrüt) tarihten itibaren işleyecek avans faizi ile birlikte iadesini talep etme hakkınız mevcuttur.
Siber Güvenlik Risklerine Karşı Pratik Hukuki Tavsiyeler
Banka hesaplarınızın güvenliğini sağlamak ve olası bir hackleme vakasında mahkeme önünde elinizi güçlendirmek için bankanızdan çift faktörlü biyometrik doğrulama (yüz tanıma/parmak izi) tanımlamasını talep edin. Günlük EFT ve havale limitlerinizi ihtiyacınız kadar düşük tutarak olası bir sızmada oluşacak maksimum zarar limitini sınırlandırın. Unutmayın ki, dijital bankacılık dünyasında aldığınız her basit önlem, siber saldırı sonrası açılacak bir tazminat davasında "müterafık kusur" (ortak kusur) iddialarını çürütmek için en büyük güvenceniz olacaktır.