Aracı Kurum Hesabım Ele Geçirildi, Hisselerim Satıldı, Param Çekildi: Kurum Sorumlu mu? 2026 — SPK VII-128.10 Çok Faktörlü Doğrulama, SIM Kart Kontrolü ve İspat Yükü (m.15, 20, 26), TBK m.112-115, TCK m.243-244, 142, 158

Aracı kurumdaki yatırım hesabınıza sizin dışınızda biri girip hisselerinizi sattıysa veya parayı başka bir hesaba çektiyse, ilk saatlerde atacağınız adımlar ile kurumun sorumluluğu birlikte belirleyicidir. SPK’nın 13.03.2025 tarihli Resmî Gazete’de yayımlanan Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), aracı kurumlara bağlayıcı güvenlik yükümlülükleri getirir. Bu yükümlülükler arasında kritik sistem ve uygulamalarda birbirinden bağımsız çok faktörlü kimlik doğrulama (m.15/6) ve SMS ile parola göndermeden önce SIM kart veya numara taşıma kontrolü (m.26/17) vardır. Kritik işlemlerde ek kimlik doğrulama da zorunludur (m.26/18). Tebliğ ayrıca, iki faktörlü kimlik doğrulama kullanılmaksızın gerçekleştirilen her türlü işlemde, işlemin müşteri tarafından yapıldığını ispat yükümlülüğünü kuruma yükler (m.26/17; hüküm SIM kart kontrolü fıkrasında yer alır). Borçlar hukukunda kurum, kusursuzluğunu ispat etmedikçe sözleşmeye aykırılıktan doğan zararı karşılar (TBK m.112). SPK izniyle yürütülen bir faaliyette hafif kusurdan bile sorumsuzluk sözleşmeyle önceden kaldırılamaz (TBK m.115/3). Faile karşı bilişim sistemine girme ve bilişim yoluyla nitelikli hırsızlık veya dolandırıcılık hükümleri uygulanabilir (TCK m.243, 244, 142/2-e, 158/1-f). Bu yazıda ilk 24 saatte yapılacakları, kurumun hangi yükümlülükleri ihlal etmiş olabileceğini, ispat yükünü, satılan hisselerin geri alınıp alınamayacağını ve tazminat ile ceza yollarını madde dayanaklarıyla bulacaksınız.

Kısa Cevap

İlk 24 Saatte Yapılacaklar

Hesap ele geçirme olaylarında zaman, hem paranın izinin sürülmesi hem de delillerin korunması bakımından belirleyicidir. Aşağıdaki sıra, dosyaların büyük bölümünde izlenmesi gereken asgari adımları gösterir.

Hisselerinizin başka bir kuruma izinsiz virmanlanmasına karşı MKK nezdinde alınabilecek önlemler hisselerimi aracı kurumda nasıl korurum yazımızda anlatıldı.

Kuruma Yazılı Bildirim Örneği

Aşağıdaki metin, olay günü kuruma e-posta, KEP veya noter aracılığıyla gönderilecek bildirime örnek olarak hazırlanmıştır. Kendi olayınıza göre uyarlayınız; tarih, saat ve işlem bilgilerini eksiksiz yazınız.

Bildirimin bir örneğini ve gönderim kanıtını saklayın. Kurumun cevabı, ileride kurumun hangi güvenlik önlemlerini uyguladığını ve hangi savunmayı yaptığını gösterecektir.

Aracı Kurumun Güvenlik Yükümlülükleri: VII-128.10

Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), 13.03.2025 tarihli ve 32840 sayılı Resmî Gazete’de yayımlandı ve 2018 tarihli Bilgi Sistemleri Yönetimi Tebliğini (VII-128.9) yürürlükten kaldırdı. Geçiş hükümlerine göre kripto varlık hizmet sağlayıcılar dışındaki kurumlar, Tebliğin hükümlerine genel olarak 31.12.2025’e, değişiklik yönetimine ilişkin m.29/3’e ise 31.12.2026’ya kadar uyum sağlamak zorundaydı. Bu nedenle 2026’da yaşanan bir hesap ele geçirme olayında aracı kurumun yükümlülükleri, kural olarak bu Tebliğe göre değerlendirilir. Tebliğin kapsamında aracı kurumlar dâhil sermaye piyasası kurumları ile kripto varlık hizmet sağlayıcılar da vardır (m.2).

Bu yükümlülükler, aracı kurumun genel özen borcunu da somutlaştırır. Yatırım kuruluşlarından işin gerektirdiği mesleki dikkat ve özeni göstermeleri beklenir (III-39.1 m.24/1-(b)). Tebliğe aykırı bir güvenlik düzeni, olayda kurumun kusurunu gösteren güçlü bir delil olarak değerlendirilebilir; aykırılık ile zarar arasındaki bağ ayrıca kurulmalıdır. Aracı kurumun bilgi sistemlerinin çökmesi gibi başka arızalar için kurumun sorumluluğu aracı kurumun sistemi çöktü, emir veremedim yazımızda ele alındı.

İspat Yükü Kimde?

Hesap ele geçirme davalarında en kritik soru, işlemi kimin yaptığıdır. Kurum genellikle işlemin müşterinin şifresi ve doğrulama koduyla yapıldığını, dolayısıyla müşteriye ait sayılması gerektiğini savunur. Mevzuat bu tartışmada müşterinin elini güçlendiren iki kural içerir.

Birincisi, VII-128.10 m.26/17’dir. SMS ile parola gönderilmeden önce müşterinin SIM kartını değiştirip değiştirmediği veya numarasını taşıyıp taşımadığı mobil operatörlerle entegrasyon üzerinden kontrol edilir. Değişiklik tespit edilirse, müşteri teyit edene kadar SIM karta dayalı doğrulama faktörü kullanılmaz ve teyitte iki faktörlü doğrulama esastır. Tebliğ, iki faktörlü doğrulama yapılmadan gerçekleştirilen işlemlerin müşteri tarafından yapıldığını ispat etme yükümlülüğünü kuruma yükler.

İkincisi, borçlar hukukunun genel kuralıdır. Borç hiç veya gereği gibi ifa edilmezse borçlu, kendisine hiçbir kusurun yüklenemeyeceğini ispat etmedikçe alacaklının zararını gidermekle yükümlüdür (TBK m.112). Müşteri, kurumun kendi emri olmadan hesabındaki varlıkları sattığını veya para çıkışına izin verdiğini ortaya koyduğunda, kurum kusursuz olduğunu göstermek zorundadır. Kurum, işi yaptırdığı kişilerin, örneğin çalışanlarının veya hizmet aldığı yazılım ve altyapı firmalarının fiillerinden de kendi fiili gibi sorumludur (TBK m.116).

Kurumdan emir kayıtlarını, oturum ve giriş kayıtlarını, IP ve cihaz bilgilerini, SMS gönderim kayıtlarını ve telefon görüşmesi kayıtlarını yazılı olarak isteyin. Kayıtların nasıl isteneceği ve saklama süreleri aracı kurumdan emir, ses ve ekstre kayıtları yazımızda anlatıldı. Kurum kayıtları vermezse, dava açılmadan önce delil tespiti istenebilir.

Sözleşmedeki “Sorumluluk Kabul Edilmez” Maddesi Geçerli mi?

Aracı kurum sözleşmelerinde, şifrenin üçüncü kişilerce kullanılmasından doğan zararlardan kurumun sorumlu olmayacağına ilişkin maddeler sık görülür. TBK m.115 bu tür maddelerin geçerliliğini sınırlar. Borçlunun ağır kusurundan sorumlu olmayacağına ilişkin önceden yapılan anlaşma kesin olarak hükümsüzdür (m.115/1). Uzmanlık gerektiren bir hizmet, meslek veya sanat ancak kanun veya yetkili makamlarca verilen izinle yürütülebiliyorsa, borçlunun hafif kusurundan sorumlu olmayacağına ilişkin anlaşma da kesin olarak hükümsüzdür (m.115/3).

Aracı kurumlar yatırım hizmet ve faaliyetlerini SPK’nın verdiği yetki belgesiyle yürütür. Bu nedenle sözleşmedeki geniş sorumsuzluk maddeleri, kurumun hafif kusurunu bile kapsayacak şekilde uygulanamaz. Kurum kusursuzluğunu ispat ederse zaten sorumlu olmaz (TBK m.112); sorumsuzluk maddesi ise kurumun veya yardımcı kişilerinin kusuru hâlinde koruma sağlamaz (TBK m.115/3, 116/3). Sözleşme hükmünün genel işlem koşulu niteliğindeki bir madde olup olmadığı ve müşteriye ayrıca açıklanıp açıklanmadığı da ayrıca değerlendirilebilir.

Satılan Hisseler Geri Alınabilir mi?

Ele geçirilen hesaptan verilen satış emri borsada gerçekleşmişse, karşı tarafta çoğu zaman hisseleri iyi niyetle satın alan yatırımcılar bulunur. Takas talimat ve işlemlerinin geri alınamazlığı (SPKn m.79) nedeniyle işlemin karşı taraftan geri alınarak bozulması kural olarak mümkün değildir. Karşı hesabın faile veya bağlantılı kişilere ait olduğu anlaşılırsa, bu hesaba elkonulması ceza soruşturmasında ayrıca istenebilir. Borsa İstanbul’un hatalı işlem iptali kuralları ise teknik hata durumlarına ilişkindir ve hesap ele geçirme olaylarına genellikle uygulanmaz; ayrıntı borsada yanlış emir verdim, işlem iptal edilir mi yazımızda yer alıyor.

Bu nedenle talebiniz iki yöne gider: kuruma karşı sözleşmeye aykırılıktan doğan tazminat ve faile karşı ceza soruşturması ile haksız fiil tazminatı. Kuruma karşı istenebilecek zarar, satılan hisselerin değerini ve satış sonrası değer artışından yoksun kalmayı; ayrıca hesapta zaten bulunan nakit çekildiyse çekilen tutarı kapsayabilir. Satış bedeli hesaptan çekildiyse aynı zarar iki kez istenemez. Zararın hangi tarihteki değerle hesaplanacağı, somut olayın koşullarına göre belirlenir.

Sizin de Kusurunuz Varsa: Birlikte Kusur

Kurum çoğu dosyada, şifrenin dikkatsizce paylaşıldığını, sahte bir bağlantıya tıklandığını veya doğrulama kodunun telefonda üçüncü kişiye söylendiğini ileri sürer. Zarar gören, zararın doğmasında veya artmasında etkili olmuşsa hâkim tazminatı indirebilir veya tamamen kaldırabilir (TBK m.52). Ancak bu kural kendiliğinden kurumu sorumluluktan kurtarmaz. Mahkeme, müşterinin kusuru ile kurumun güvenlik yükümlülüklerine aykırılığını birlikte değerlendirir. Örneğin kritik işlem için ek doğrulama istenmemişse, güvenli alıcı listesi gibi önlemler sunulmamışsa veya olağan dışı bir işlem hiç sorgulanmamışsa, müşterinin kusuru olsa bile kurumun kusuru da zarara katkıda bulunmuş sayılabilir.

Kendini polis, savcı, banka veya kurum çalışanı olarak tanıtan kişilerin yönlendirmesiyle yapılan işlemlerde izlenecek yol telefonda kendini polis, savcı veya banka tanıtıp paramı aktarttılar yazımızda anlatıldı.

Kişisel Veri Boyutu: KVKK m.11 ve m.12

Hesap ele geçirme olayı çoğu zaman bir kişisel veri ihlalidir. Veri sorumlusu, kişisel verilerin hukuka aykırı olarak erişilmesini önlemek için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır (6698 s.K. m.12/1). İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu’na bildirir (m.12/5). Siz de m.11 uyarınca kurumdan, hakkınızda hangi verilerin işlendiğini ve kimlere aktarıldığını öğrenme hakkına sahipsiniz. Bu başvurular, hem ihlalin kapsamını öğrenmek hem de kurumun tedbir yükümlülüğünü yerine getirip getirmediğini belgelemek için kullanılabilir.

Ceza Soruşturması: Fail Hangi Suçlardan Sorumlu?

Hangi suç tipinin uygulanacağı, failin hesaba nasıl girdiğine ve sizi aldatıp aldatmadığına göre değişir. Suç duyurusunda alıcı hesap bilgilerini ve işlem saatlerini vermeniz, savcılığın alıcı hesaplara hızla elkoyma isteyebilmesi için önemlidir. Bilişim yoluyla dolandırıcılıkta yapılacaklar hesabın ele geçirilmesi: ilk 24 saat ve suç duyurusu yazımızda da anlatıldı. Hesaba giren kişi kurumun çalışanıysa izlenecek yol aracı kurum çalışanı param ve hisselerimi kullandı yazımızda anlatıldı. SPK’ya şikâyet ve ihbar yolu için SPK’ya ihbar nasıl yapılır rehberimize bakabilirsiniz.

Tazminat Talebinde Süreler

Uyuşmazlığın hangi mahkemede görüleceği ve dava açmadan önce arabulucuya başvurmanın zorunlu olup olmadığı, ilişkinin niteliğine ve tarafların durumuna göre belirlenir. Bu nedenle dava stratejisi, olayın ayrıntıları ve sözleşme hükümleri incelenerek kurulmalıdır.

Önlem: Hesabınızı Nasıl Korursunuz?

Sıkça Sorulan Sorular

Aracı kurum hesabıma biri girip hisselerimi sattı; ilk ne yapmalıyım?

Kurumu hemen arayıp hesabın internet ve mobil kanallarda işleme kapatılmasını isteyin, aynı gün yazılı bildirimde bulunun, temiz bir cihazdan şifrelerinizi değiştirin, operatörden SIM kart değişikliği bilgisini isteyin, MKK e-Yatırımcı ekranını kontrol edin ve suç duyurusunda bulunun.

Aracı kurum iki faktörlü doğrulama kullanmak zorunda mı?

VII-128.10 m.15/6’ya göre kritik sistem ve uygulamalarda birbirinden bağımsız çok faktörlü kimlik doğrulama mekanizması kullanılır. Kritik işlemlerde ek kimlik doğrulama adımları da uygulanır (m.26/18). Tebliğ “kritik işlem”i ayrıca tanımlamaz; para çıkışı, yeni alıcı tanımlama ve toplu satış gibi işlemlerin kritik sayılması gerektiği savunulabilir.

SIM kartım kopyalandı veya hattım taşındı; kurum sorumlu mu?

Kurum, SMS ile parola göndermeden önce SIM kart değişikliği ve numara taşıma kontrolü yapmak zorundadır; değişiklik varsa müşteri teyit edene kadar SIM karta dayalı faktör kullanılamaz. İki faktörlü doğrulama olmadan yapılan işlemlerin müşteri tarafından yapıldığını ispat yükü kuruma aittir (VII-128.10 m.26/17).

Kurum “işlem sizin şifrenizle yapıldı” diyor; ne yapabilirim?

Şifreyle yapılmış olması tek başına işlemi size ait kılmaz. Kurum, Tebliğdeki çok faktörlü doğrulama ve ek doğrulama yükümlülüklerine uyduğunu ve kusursuz olduğunu ispat etmelidir (TBK m.112). Oturum, IP, cihaz ve SMS kayıtlarını yazılı olarak isteyin.

Sözleşmemde kurumun sorumlu olmadığı yazıyor; geçerli mi?

İzinle yürütülen faaliyetlerde borçlunun hafif kusurundan bile sorumlu olmayacağına ilişkin önceden yapılan anlaşma kesin olarak hükümsüzdür (TBK m.115/3). Aracı kurumlar SPK izniyle faaliyet gösterdiğinden bu tür maddeler kurumu kusurundan doğan sorumluluktan kurtarmaz.

Satılan hisselerimi geri alabilir miyim?

Borsada gerçekleşmiş işlemler kural olarak takasın kesinliği nedeniyle karşı taraftan geri alınamaz (SPKn m.79). Zararınızı kuruma karşı tazminat talebiyle ve faile karşı ceza ve tazminat yollarıyla isteyebilirsiniz.

Doğrulama kodunu telefonda kurum çalışanı sandığım kişiye verdim; hakkım kalır mı?

Bu durumda birlikte kusur tartışılır ve tazminat indirilebilir (TBK m.52). Ancak kurumun ek doğrulama, güvenli alıcı listesi, limit ve olağan dışı işlem izleme gibi yükümlülüklerine aykırılığı varsa kurumun sorumluluğu devam edebilir. Faile karşı nitelikli dolandırıcılık hükümleri uygulanır (TCK m.158/1-f).

Para başka bir bankaya çekildi; geri alınabilir mi?

Hemen kendi bankanıza ve alıcı bankaya bildirimde bulunun ve suç duyurusu yapın. Savcılık alıcı hesaba elkoyma isteyebilir. Paranın hesaptan çıkmadan durdurulması için ilk saatler belirleyicidir.

Hangi suçlar söz konusu?

Olayın özelliğine göre bilişim sistemine girme (TCK m.243), verileri değiştirme (m.244), bilişim yoluyla nitelikli hırsızlık (m.142/2-e) veya nitelikli dolandırıcılık (m.158/1-f) gündeme gelir.

Kurum veri ihlalini bana bildirmek zorunda mı?

Evet. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu’na bildirir (KVKK m.12/5).

Ne kadar süre içinde dava açmalıyım?

Kuruma karşı sözleşmesel talepte kural olarak 10 yıl (TBK m.146), ilişki komisyon veya vekâlet niteliğinde sayılırsa 5 yıl (TBK m.147/5) ileri sürülebilir. Faile karşı haksız fiil talebinde öğrenmeden itibaren 2 yıl, her hâlde 10 yıl süre vardır (TBK m.72). Delillerin kaybolmaması için beklemeden harekete geçilmelidir.

Kripto hesabım ele geçirildi; aynı kurallar geçerli mi?

VII-128.10 kripto varlık hizmet sağlayıcıları da kapsar (m.2). Bunun yanında kripto platformları için Kanunda daha sıkı özel kurallar vardır. Platformlar; bilişim sistemlerinin işleyişinden, siber saldırı ve bilgi güvenliği ihlali gibi fiillerden ve personelinin eylemlerinden doğan kripto varlık kayıplarından 6098 sayılı Kanunun 71 inci maddesi kapsamında sorumludur (SPKn m.99/B/4). Sorumluluğu ortadan kaldıran veya sınırlandıran sözleşme şartları geçersizdir (SPKn m.35/C/1). Borsa işlemlerine ilişkin takas kesinliği kuralı (SPKn m.79) ise kripto platformu içindeki işlemlere uygulanmaz. Kripto platformlarına özgü kurallar ve dolandırıcılık türleri için kripto dolandırıcılığı mağdur rehberi yazımıza bakabilirsiniz. Kripto hesabı ele geçirildiğinde platformun SPKn m.99/B/4 kapsamındaki tehlike sorumluluğu: kripto hesabım ele geçirildi, platform sorumlu mu.