Dijital Dolandırıcılıkta Bankaların Güvenlik Sağlama Yükümlülüğü
Gelişen teknolojiyle birlikte bankacılık işlemleri büyük oranda dijital kanallara kaymıştır. Bu durum işlem kolaylığı sağlasa da oltalama (phishing) adı verilen yöntemlerle nitelikli dolandırıcılık vakalarının artmasına zemin hazırlamıştır. Sahte SMS'ler, taklit web siteleri veya sosyal mühendislik yöntemleriyle müşterilerin şifre, tek kullanımlık kod ve kimlik bilgilerinin ele geçirilmesi durumunda zararın kimin üzerinde kalacağı hususu, bankacılık hukukunun en çok tartışılan konularından biridir.
Bankalar, objektif özen borcu gereği birer güven kurumu olarak kabul edilir. 5411 sayılı Bankacılık Kanunu ve Türk Ticaret Kanunu hükümleri uyarınca, bankaların müşterilerinin mevduatlarını güvenli bir şekilde saklama ve sistemsel altyapıyı her türlü dış müdahaleye karşı koruma yükümlülüğü bulunmaktadır. Hafif kusurlarından dahi sorumlu olan bu kuruluşlar, dijital bankacılık işlemlerinde sadece şifrenin girilmiş olmasını işlemin yetkili kişi tarafından yapıldığına karine gösteremezler.
Siber Saldırılarda Kusur Dağılımı ve Usul Hataları
Uygulamada en sık karşılaşılan usul hatası, bankaların oltalama saldırısına maruz kalan müşteriyi tamamen kusurlu addetmesi ve zararı tazmin etmekten kaçınmasıdır. Bankalar, müşterinin SMS ile gelen onay kodunu kendi rızasıyla sahte siteye girdiğini veya dolandırıcılara sözlü olarak beyan ettiğini ileri sürerek sorumluluktan kurtulmaya çalışmaktadır. Ancak bu yaklaşım, hukuki açıdan eksiktir.
Müşterinin ağır kusuru bulunsa dahi, bankanın sistemsel olarak şüpheli işlemleri tespit etme, bloke koyma veya olağan dışı para transferlerini engelleme mekanizmalarını devreye alıp almadığı incelenmelidir. Örneğin, gece yarısı daha önce hiç işlem yapılmamış bir hesaba ardı ardına yüksek tutarlı EFT veya havale yapılması, bankanın yapay zeka ve güvenlik yazılımları tarafından "şüpheli işlem" olarak algılanmalı ve işlem geçici olarak durdurulmalıdır. Bu önlemleri almayan banka, müterafik kusur (ortak kusur) çerçevesinde zarardan sorumlu tutulmaktadır.
Ayrıca, bu tür uyuşmazlıklarda Banka Kartı ve POS Usulsüzlüklerinde Hukuki Sorumluluk ilkelerine benzer şekilde, işlemin gerçekleştirildiği IP adreslerinin tespiti, cihaz eşleştirmelerinin kontrolü ve işlem öncesinde müşteriye gönderilen uyarı mesajlarının içeriği titizlikle incelenmektedir.
Yargıtay'ın Güncel Kriterleri ve Emsal Kararları
Yargıtay Hukuk Genel Kurulu ve ilgili daireleri, oltalama yöntemiyle yapılan usulsüz transferlerde bankanın sorumluluk sınırlarını netleştiren kararlar vermiştir. Yargıtay'ın istikrar kazanan içtihatlarında şu üç temel kriter öne çıkmaktadır:
- Objektif Özen Borcu Kriteri: Bankalar, siber dolandırıcıların kullandığı yöntemleri yakından takip etmek ve bunlara karşı proaktif önlemler almak zorundadır. Sadece şifre güvenliğini müşteriye yüklemek, bankayı sorumluluktan kurtarmaz.
- İspat Yükünün Bankada Olması: Paranın usulsüz olarak hesaptan çekildiğini iddia eden müşteriye karşı banka, işlemin müşterinin iradesiyle ve hukuka uygun şekilde yapıldığını somut delillerle ispat etmek zorundadır. Yargıtay 11. Hukuk Dairesi kararlarında, mevduatın niteliği gereği bankaya geçmesiyle mülkiyetin bankaya ait olduğunu, bu nedenle hesaptan yetkisiz çekilen paraların aslında bankanın kendi parası olduğunu ve zarara doğrudan bankanın katlanması gerektiğini vurgulamaktadır.
- Müterafik Kusur ve İlliyet Bağı: Eğer müşteri, kişisel bilgilerini dolandırıcılara kendi eliyle vermişse, somut olayın özelliklerine göre müşteriye %20 ila %50 arasında değişen oranlarda müterafik kusur yüklenebilmektedir. Ancak bankanın sistemsel bir açığı veya ihmali varsa, tüm zarar bankaya yüklenir.
Nitekim benzer bir durumda, Banka Mevduatının Usulsüz Çekilmesi Davalarında Sorumluluk esasları uygulanarak, bankanın güvenlik duvarlarının aşılması durumunda müşterinin hiçbir kusuru olmasa dahi bankanın kusursuz sorumluluk ilkesi gereği zararı tazmin etmesi gerektiği kabul edilmiştir.
Hak Kaybına Uğramamak İçin Pratik Rehber ve Adımlar
Oltalama saldırısına maruz kaldığını fark eden bir hesap sahibinin hızlı ve stratejik hareket etmesi, dava sürecinin başarısı için kritiktir. Aşağıdaki adımların sırasıyla uygulanması tavsiye edilir:
- Derhal Bankayla İletişime Geçin: Durumu fark ettiğiniz an bankanın müşteri hizmetlerini arayarak hesaplarınıza, internet bankacılığına ve kartlarınıza bloke konulmasını talep edin. Yapılan usulsüz transferlerin iptal edilmesi veya alıcı banka nezdinde bloke edilmesi için yazılı başvuruda bulunun.
- Delilleri Koruma Altına Alın: Size gelen sahte SMS'leri, e-postaları, arama geçmişini ve dolandırıcıların yönlendirdiği web sitelerinin ekran görüntülerini mutlaka kaydedin.
- Cumhuriyet Başsavcılığına Suç Duyurusu: Vakit kaybetmeden en yakın adliyeye giderek bilişim sistemlerinin kullanılması suretiyle nitelikli dolandırıcılık suçundan şikayetçi olun. İfade verirken paranın gönderildiği hesap numaralarını ve varsa telefon numaralarını savcılığa bildirin.
- İhtarname Gönderin: Bankaya noter kanalıyla bir ihtarname göndererek, rızanız dışında gerçekleşen transfer tutarının en geç 3 iş günü içerisinde hesabınıza iade edilmesini talep edin.
Siber Dolandırıcılık ve Banka Sorumluluğu Hakkında Sıkça Sorulan Sorular
Oltalama yoluyla hesabımdan çekilen para için doğrudan dava açabilir miyim?
Evet, bankaya yapılan başvurulardan sonuç alınamaması durumunda tüketici mahkemelerinde (veya ticari nitelikteki hesaplar için asliye ticaret mahkemelerinde) tazminat davası açılması mümkündür. Davadan önce arabuluculuk sürecinin işletilmesi yasal bir zorunluluktur.
Banka, "şifreyi siz paylaşmışsınız" diyerek ödeme yapmayı reddedebilir mi?
Banka bu iddiayı öne sürebilir ancak tek başına bu gerekçe mahkemeler tarafından yeterli kabul edilmemektedir. Bankanın, işlemin gerçekleştiği sırada ek güvenlik önlemleri (örneğin cihaz eşleşmesi, konum kontrolü, şüpheli işlem analizi) uygulayıp uygulamadığı bilirkişi marifetiyle incelenir.
Bu tür davalarda görevli mahkeme hangisidir?
Eğer hesap sahibi bireysel bir tüketici ise dava Tüketici Mahkemesinde açılmalıdır. Hesap ticari bir işletmeye ait ise görevli mahkeme Asliye Ticaret Mahkemesidir.
Dava açma süresi ne kadardır?
Mevduat sözleşmelerinden kaynaklanan alacak davalarında genel zamanaşımı süresi Türk Borçlar Kanunu uyarınca 10 yıldır. Ancak delillerin kaybolmaması ve sürecin hızlı ilerlemesi için olayın hemen ardından hukuki sürecin başlatılması önem arz eder.
Haklarınızı Korumak İçin Somut Tavsiyeler
Bilişim sistemleri üzerinden gerçekleştirilen hırsızlık ve dolandırıcılık eylemlerinde, bankaların "kusursuz sorumluluk" ve "güven kurumu" olma nitelikleri yargılama aşamasında davanın seyrini belirleyen en önemli unsurlardır. Dijital ortamda maruz kaldığınız oltalama saldırılarında, bankanın sunduğu ilk ret cevabıyla yetinmeyip, işlem saatindeki sistemsel açıkları ve bankanın ihmallerini ortaya koyacak uzman bir bilişim hukuku avukatından destek alarak dava yoluna gitmeniz, kaybettiğiniz birikimlerinizi geri kazanmanın en etkin yoludur.