Online Dolandırıcılıkta Bankaların Sorumluluğu Nedir?

I. GİRİŞ

Günümüzde bankacılık işlemlerinin büyük kısmı mobil uygulamalar ve internet bankacılığı üzerinden gerçekleşmektedir. Ancak bu kolaylık, beraberinde güvenlik risklerini de getirmektedir. Dolandırıcılar, phishing (oltalama), sim kart kopyalama, kötü amaçlı yazılımlar, deep link saldırıları gibi yöntemlerle milyonlarca liralık zarara yol açabilmektedir.

Bu durumda en kritik soru şudur:

“Müşteri mi kusurlu, banka mı yetersiz önlem aldı? SMS onayı gerçekten yeterli mi?”

II. BANKALARIN HUKUKİ SORUMLULUĞUNUN DAYANAĞI

1. Bankacılık Kanunu (5411 sayılı Kanun)

Madde 4 – Bankaların faaliyetleri; “güven esasına dayalı” hizmetlerdir.
Madde 36 ve devamı, bankaların bilgi güvenliği ve sistem güvenliğini eksiksiz şekilde sağlamakla yükümlü olduğunu belirtir.

2. Türk Borçlar Kanunu (TBK) m.112 – Sözleşmeye Aykırılık

Bankayla yapılan sözleşmeye (hesap, mobil bankacılık, kredi kartı vs.) aykırı olarak, güvenliği yeterli sağlamayan banka, zarardan sorumlu olur.

3. TBK m.49 – Haksız Fiil Sorumluluğu

Müşteri zarar gördüyse ve banka özen yükümlülüğünü ihlal ettiyse, banka haksız fiil sorumluluğu altında tazminat ödemek zorunda kalabilir.

III. SMS ONAYI GERÇEKTEN GÜVENLİ Mİ?

SMS onayı, genellikle 2 faktörlü kimlik doğrulamanın (2FA) bir parçası olarak görülse de günümüzde siber saldırılar karşısında yetersiz kabul edilmektedir.

 Tehditler:

• SIM Swap (hat kopyalama) yöntemiyle başka telefona SMS yönlendirme
• Kötü amaçlı uygulamalarla SMS’lerin ele geçirilmesi
• Tarayıcı üzerinde sahte ekranlarla kullanıcıyı yanıltma

IV. YARGITAY KARARLARI NE DİYOR?

 Yargıtay 11. HD, 2020/1646 E. – 2021/4414 K.

Bir müşterinin hesabından sahte talimatla para çekilmiş, SMS doğrulaması yapılmıştı. Banka kusursuz olduğunu savundu.

Karar:
“Banka, en yüksek teknolojik güvenlik sistemini kurmakla yükümlüdür. SMS onayı yeterli değildir. Daha güvenli sistemler (mobil onay, şifreli giriş) tercih edilmelidir.”
   Banka %100 sorumlu tutuldu.

 Yargıtay 13. HD, 2019/12650 E. – 2020/8312 K.

E-posta yoluyla gönderilen sahte link üzerinden kullanıcıdan şifre alınmış ve para başka hesaba aktarılmıştı.

“Müşteri dolandırılmış olsa bile, bankanın bu transferi engelleyecek algoritma veya şüpheli işlem analizini yapmamış olması ağır kusur teşkil eder.”

Tazminata karar verildi.

V. BANKALAR HANGİ ÖNLEMLERİ ALMAK ZORUNDA?

 Teknik Güvenlik Önlemleri:

• Sadece SMS değil, biometrik kimlik, şifreli cihaz doğrulama sistemleri
• Şüpheli işlem analizi ve algoritmalar
• Yurt dışı IP’den gelen erişimlerin otomatik kontrolü
• Kullanıcı davranışı analizine dayalı risk puanlaması

  İdari Sorumluluklar:

• Müşteriyi açık ve anlaşılır şekilde bilgilendirme
• Riskli işlem limitleri koyma
• Dolandırıcılığa dair hızlı şikâyet/geri ödeme prosedürü oluşturma

VI. MÜŞTERİNİN SORUMLULUĞU NE DÜZEYDE?

Duruma göre değişir:

• Kullanıcı açıkça şifresini paylaşmışsa (örneğin telefonla dolandırıcıya kod verdiyse), ortak kusur gündeme gelir.
• Ancak banka, bu kodla yapılan işlemin şüpheli olduğunu tespit edebilecek konumdaysa, sorumluluktan kurtulamaz.

Yargıtay kararlarında müşterinin “makul özen” göstermesi gerektiği belirtilmekle birlikte, banka her zaman daha ağır sorumluluk taşır.

VII. BANKANIN KUSURU HANGİ HALLERDE KESİNLEŞİR?

•  SMS onayı dışında ekstra güvenlik önlemi yoksa,
•  Kredi kartı limit aşımı bile uyarı vermediyse,
•  Aynı gün içinde olağandışı transferler yapılmasına müdahale edilmediyse,
•  Hesap başka cihazdan açıldığında sistem alarm üretmediyse,
•  Müşteri bildirimine rağmen işlem iptali yapılmadıysa,

Bu durumlarda banka tam sorumludur.

VIII. KİŞİSEL VERİLERİN KORUNMASI BAĞLAMI

• Eğer banka sisteminden kullanıcı verileri sızdıysa bu sadece dolandırıcılık değil, KVKK ihlali anlamına da gelir.
  KVK Kurulu tarafından idari para cezası uygulanabilir.

IX. NE YAPMALI? – MAĞDUR MÜŞTERİ İÇİN HUKUKİ YOLLAR

 1. Bankaya Dilekçe ile Başvuru

• Para transferi veya işlem iptali talebi
• Blokaj ve güvenlik önlemi talebi

 2. Tüketici Hakem Heyeti / Mahkemesi Başvurusu

• 2025 yılı itibariyle 104.000 TL altı için heyet, üzeri için tüketici mahkemesi
• Maddi tazminat talebi

 3. Ceza Şikâyeti

• Dolandırıcıya karşı Cumhuriyet Savcılığı’na suç duyurusu (TCK m.157)

X. SONUÇ: SMS ONAYI ARTIK TEK BAŞINA YETERLİ DEĞİL

Dijital çağda bankacılık işlemleri hızla gelişirken, dolandırıcılık yöntemleri de paralel şekilde karmaşıklaşmaktadır.

Yargıtay’ın içtihatları ve mevzuat, bankalara sadece temel güvenlik önlemleriyle yetinmemesi gerektiğini; kullanıcı davranışlarını analiz eden, işlem örüntülerini inceleyen, gelişmiş algoritmalarla desteklenen bir güvenlik politikası yürütmesi gerektiğini ortaya koymaktadır.

Özetle: “SMS geldi, sorumluluk biter” devri bitmiştir.
Bankaların hem teknik hem hukuki yükümlülükleri vardır ve yerine getirilmediğinde tazminatla karşılaşmaları kaçınılmazdır. Bu gibi teknik süreçlerde bi avukattan yardım alınması elzemdir.

Stj.Öğr. Esmanur AKTAŞ