Bilişim Suçları: Banka veya Kredi Kartının Kötüye Kullanılması

Banka veya kredi kartının sahibinin izni olmadan kullanılması, başkasının kartıyla işlem yapılması ya da sahte kart üretilmesi ayrı suçlar oluşturur. Dijitalleşmeyle birlikte sık görülür.

Başkasının Kartını Kullanmak

Bir kimsenin kartını rızası dışında kullanıp menfaat sağlamak suçtur ve hapis cezası gerektirir. Kartın nasıl ele geçirildiği de önem taşır.

Sahte Kart Üretmek

Sahte banka veya kredi kartı üretmek, satmak ya da bunları kullanmak daha ağır biçimde cezalandırılır.

Mağdurun Yapması Gerekenler

Mağdur, durumu derhâl bankaya bildirmeli, kartı bloke ettirmeli ve kolluğa şikâyette bulunmalıdır. İşlem kayıtları önemli delildir.

Etkin Pişmanlık ve İade

Failin zararı gidermesi, bazı hâllerde ceza indirimine etki edebilir. Mağdur ayrıca uğradığı zararın tazminini de isteyebilir.

Bilişim Suçlarının Genel Çerçevesi (TCK m.243-245)

Bilişim suçları, 5237 sayılı Türk Ceza Kanunu’nun “Bilişim Alanında Suçlar” başlıklı Onuncu Bölümü’nde, 243 ilâ 245/A maddeleri arasında düzenlenmiştir. Kanun koyucu, teknolojinin gelişmesiyle birlikte ortaya çıkan bilgisayar, ağ, veri, elektronik ödeme aracı ve benzeri sistemler üzerinden işlenen fiilleri müstakil bir başlık altında suç olarak tanımlamış; klasik mal varlığına karşı suçlardan (dolandırıcılık, hırsızlık, güveni kötüye kullanma) ayırarak korumaya almıştır. Bu bölümde korunan hukuki yarar, tek bir menfaat değil; bilişim sistemlerinin işleyiş bütünlüğü, verilerin gizliliği ve doğruluğu, elektronik ödeme sisteminin güvenilirliği ve dolaylı olarak mağdurun malvarlığıdır.

TCK m.243 bilişim sistemine hukuka aykırı erişim ve orada kalmaya devam etme fiillerini; TCK m.244 sistemi engelleme, bozma, verileri yok etme veya değiştirme fiillerini; TCK m.245 ise banka veya kredi kartlarının kötüye kullanılmasını cezalandırmaktadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu ile paralel korunan verilere yönelik başka fiiller için TCK m.135-138 de birlikte değerlendirilir. Nitekim kişisel verilerin ele geçirilmesi kart bilgisi elde etme aşamasında sıklıkla m.245 ile içtima ilişkisi doğurur.

Uygulamada özellikle “banka veya kredi kartının kötüye kullanılması” başlığı, hem sıklık hem hukuki yoğunluk bakımından en dikkat çekici bilişim suçudur. Kart bilgilerinin phishing (oltalama), skimming (kopyalama), veri sızıntısı veya sosyal mühendislik yoluyla ele geçirilerek ATM, POS veya çevrimiçi mecrada kullanılması; bir yandan bilişim sistemine erişimi, diğer yandan haksız çıkar sağlama fiilini içerdiği için m.243, m.244, m.245 ve m.245A hükümleri arasında geçişkenli bir uygulama alanı oluşturmaktadır.

Banka/Kredi Kartı Kötüye Kullanılması (m.245)

TCK m.245/1’e göre “başkasına ait bir banka veya kredi kartını, her ne suretle olursa olsun ele geçiren veya elinde bulunduran kimse, kart sahibinin veya kartın kendisine verilmesi gereken kişinin rızası olmaksızın bunu kullanan veya kullandıran kişi, üç yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezası” ile cezalandırılır. Hüküm; kartın somut olarak ele geçirilmesini de, kart bilgilerinin (numara, son kullanma tarihi, CVV, tek kullanımlık şifre) kullanılmasını da kapsayacak biçimde geniş yorumlanmaktadır. Failin kartı bulmuş, çalmış veya sosyal mühendislikle elde etmiş olması sonucu değiştirmez; kartın rıza dışı kullanılması yeter.

Suçun oluşumu için kartın gerçekten fiziksel olarak kullanılması gerekmez. Kart bilgisi ile internet üzerinden alışveriş yapılması, kontör yükleme, para transferi ya da abonelik satın alınması da tipiklik kapsamındadır. Rıza unsurunun bulunmaması esaslı unsurdur; rıza ile verilmiş bir kartın, verilen izin sınırının aşılarak kullanılması da suç oluşturur. Örneğin ailesine ait kredi kartını sadece belli bir alışveriş için kullanma iznine sahip bir kişinin, izin dışında ve başka amaçla kartı kullanması, klasik güveni kötüye kullanma tartışmasını akla getirse de yerleşik içtihat bu tür fiilleri m.245 kapsamında değerlendirmektedir.

Uygulamada m.245/1 fiilinin, TCK m.157 vd. genel dolandırıcılık hükümleriyle çakışması sıkça gündeme gelir. Yargıtay içtihadı, bilişim sistemi araç kılınarak ve kart kullanılarak sağlanan menfaatte özel norm niteliği gereği m.245’in uygulanacağını istikrarlı biçimde vurgular. Kartın kullanılmasıyla birlikte klasik hile bulunmadığı, sistemin otomatik olarak devreye girdiği durumlarda ayrıca dolandırıcılık suçu teşekkül etmez; norm birliği ile m.245’e gidilir.

Nitelikli Hâller: Sahte Bilgi ve Sahte Kart Üretimi

TCK m.245/2, “başkalarına ait banka hesaplarıyla ilişkilendirilerek sahte banka veya kredi kartı üreten, satan, devreden, satın alan veya kabul eden kişi” için üç yıldan yedi yıla kadar hapis ve on bin güne kadar adli para cezası öngörmektedir. Burada suç konusu edilen fiil kartın fiilen kullanılması değil; başka bir bankaya, hesaba veya kişiye ait bilgilerin işlenmesi suretiyle sahte kartın piyasaya sürülmeye elverişli hâle getirilmesidir. Skimming cihazlarıyla toplanan manyetik şerit verileriyle boş kartların “yazılması” (encoding) bu fıkra kapsamında değerlendirilmektedir.

TCK m.245/3 ise sahte olarak üretilen banka veya kredi kartını kullanmak suretiyle kendisine veya başkasına yarar sağlayan kişi hakkında dört yıldan sekiz yıla kadar hapis ve beş bin güne kadar adli para cezası öngörür; ancak bu fıkrada fail açısından fiilin başka bir suç oluşturmaması hâlinin de gözetildiği dikkate alınmalıdır. Böylece sahte kart üretmek (m.245/2) ve o kartla menfaat sağlamak (m.245/3) ayrı ayrı cezalandırılmaktadır. Fıkralar arasındaki ilişkide iştirak, teselsül ve içtima kurallarının doğru uygulanması ceza miktarını belirleyici olmaktadır.

Nitelikli hâllerde failin taşıdığı vasıf, örgüt üyeliği veya kartın elde edilmesinde başka suçların (m.135, m.136, m.243) işlenmiş olması, cezanın alt sınırdan uzaklaşmasında etken olur. Kartın üretiminde kullanılan sahte bilgilerin nereden temin edildiği (veri sızıntısı, sosyal mühendislik, iç kaynak), zaman zaman m.136 kişisel verileri hukuka aykırı verme suçunun m.245/2 ile birlikte uygulanmasını gündeme getirir; bu içtima değerlendirmesi savunma açısından kritik önemdedir.

Etkin Pişmanlık ve Ceza İndirimi

TCK m.245/4, hem uygulamada hem savunma stratejisinde büyük önem taşıyan bir düzenleme olup, birinci fıkrada tanımlanan fiili işlemiş olan failin, mağdurun uğradığı zararı, kovuşturma başlamadan önce tamamen tazmin etmesi hâlinde etkin pişmanlık hükümlerinin uygulanmasını öngörür. Bu kapsamda, birinci fıkrada tanımlanan suç bakımından, TCK m.168 dolandırıcılık suçları için kabul edilen etkin pişmanlığa ilişkin genel hüküm ölçüsüyle paralel biçimde, zararın giderilmesine bağlı ceza indirimleri uygulanabilmektedir. Fıkra hükmü, kartı kullananın veya kullandıranın fail olduğu m.245/1 hâline özgüdür; sahte kart üretimi ve kullanımına ilişkin ağırlaştırıcı hâllerde etkin pişmanlıktan söz edilmez.

Zararın hangi kapsamda olduğu, tartışmalı bir noktadır. Yerleşik içtihada göre “zarar” kavramı, sadece mağdurun banka nezdinde uğradığı doğrudan parasal kaybı değil; bankanın kartın sigortalı olmasından dolayı üstlendiği ve mağdurdan karşılamadığı zararı da kapsayacak biçimde geniş yorumlanır. Uygulamada müşteki bankanın kart sigortası yoluyla mağdurun zararını karşıladığı hâllerde, tazminatın bankaya ödenmesi de etkin pişmanlığı sağlamaktadır.

Tazminin “kovuşturma başlamadan önce” yapılması aranır; bu, iddianamenin kabul kararına kadar olan süreyi ifade eder. Bu tarihten önce zararın giderilmesi cezada üçte ikiye kadar indirim; kovuşturma başladıktan sonra hüküm verilmeden önce yapılan tazminatta ise cezanın yarısına kadar indirim uygulanabilir. Bu nedenle sanık müdafiinin, dosyanın hangi aşamada olduğunu doğru saptayarak uzlaşma ve tazminat girişimlerini zamanında yürütmesi büyük önem taşır.

ATM ve Online Kart Kullanımında Suç

Kartın ATM üzerinden kullanılması, m.245 fiilinin klasik gerçekleşme biçimidir. Fail; başkasına ait kartı ele geçirdikten sonra ATM’ye takarak nakit çekim, para transferi, fatura ödeme, kontör yükleme gibi işlemler gerçekleştirdiğinde, işlem sayısı ve zamansal yakınlığa göre zincirleme suç veya tek suç değerlendirmesi yapılır. Yargıtay 8. Ceza Dairesi kararlarında, aynı gün ve aynı kart üzerinden ard arda yapılan çekimlerin, hukuki anlamda tek suç oluşturduğu; farklı günlere yayılan ya da farklı kartlara ilişkin fiillerin ise TCK m.43 uyarınca zincirleme suç olarak nitelendirileceği belirtilmiştir.

Online kullanımda ise fail, kart bilgilerini genellikle phishing veya veri ihlali yoluyla elde eder; e-ticaret sitelerinde alışveriş yaparak veya sanal cüzdanlara yükleme gerçekleştirerek menfaat sağlar. Bu tür fiillerin çoğunda mağdur bilgisi olmadan işlem gerçekleşir, bu durum ihmalin veya rızanın söz konusu olmadığını ortaya koyar. Online işlemlerde IP kayıtları, teslimat adresi, kargo takip numarası ve ödeme sağlayıcı logları, failin belirlenmesinde belirleyici delillerdir. Savunma açısından, kartın kullanıldığı zaman diliminde failin başka yerde bulunduğuna dair objektif deliller (HTS, konum kayıtları, güvenlik kamerası) hayati öneme sahiptir.

Kart bilgisinin elde edilmesi aşamasında bir bilişim sistemine hukuka aykırı erişim de gerçekleşmişse (m.243) ya da verilerin bozulması, değiştirilmesi söz konusuysa (m.244), suçlar arasında gerçek içtima uygulanır. Faile hem m.243 hem m.245 birlikte tatbik edilebilir; ancak norm birliği ilkesi gözetilerek özel norm olan m.245’in uygulanacağı hâller de vardır. Bu ayrım, iddianamede vasıflandırmanın doğru yapılmasını zorunlu kılar.

Bilişim Sistemine Erişim (m.243) ile İlişkisi

TCK m.243, bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye bir yıla kadar hapis veya adli para cezası verileceğini düzenler. Fıkraya göre, fiilin bedeli karşılığı yararlanılabilen sistemler hakkında işlenmesi hâlinde ceza yarı oranında indirilir; sistemdeki verilerin yok olması veya değişmesi hâlinde ise altı aydan iki yıla kadar hapis cezasına hükmolunur. 6698 sayılı Kanun kapsamında korunan verilerin sisteme sızarak elde edilmesi hâlinde m.135-136 hükümleri de gündeme gelir. Nitekim online bankacılık şifresi ile hesaba erişim, m.243 kapsamında değerlendirilebilir.

Bir kişinin başkasının kimlik bilgilerini kullanarak internet bankacılığına giriş yapması, orada gördüğü hesap hareketlerini alması veya para transferi gerçekleştirmesi; m.243’ten m.244’e, oradan m.245 ve dolayısıyla haksız çıkar sağlama hükümlerine kadar zincirleme uygulanan hükümlerin devreye girmesine neden olur. Kanun koyucu, kart bilgilerini elde etme, sisteme sızma ve para hareketini yaratma aşamalarını farklı düzenlemelerle koruma altına aldığı için, dosyada her aşamanın delil düzeyinde ayrı ayrı ortaya konması gerekir.

TCK m.244/1 uyarınca “bir bilişim sisteminin işleyişini engelleyen veya bozan kişi, bir yıldan beş yıla kadar hapis cezası” ile; ikinci fıkrası uyarınca “bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen kişi altı aydan üç yıla kadar hapis” cezasıyla cezalandırılır. Fiilin banka, kredi kurumu ya da bir kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlenmesi hâlinde ceza yarı oranında artırılır. Bu ağırlaştırıcı sebep, banka sistemine sızarak kart bilgisi çalınması senaryolarında sıklıkla uygulanmaktadır.

Yargıtay İçtihadında Kart Suçları

Yargıtay 8. Ceza Dairesi ve 11. Ceza Dairesi, banka veya kredi kartının kötüye kullanılması suçunda uygulama birliğini sağlayan kararları ile bilinmektedir. 8. CD’nin çeşitli kararlarında; aynı kart üzerinden aynı gün içinde birden fazla ATM çekimi yapılmasının hukuki bir eylem sayılacağı ve tek bir suç oluşturacağı; buna karşın farklı zaman dilimlerinde farklı kartlarla gerçekleştirilen fiillerin TCK m.43 uyarınca zincirleme suç oluşturacağı vurgulanmıştır. Bu ayrım, ceza miktarı üzerinde doğrudan etki yaratır ve bilirkişi raporu, dekont ve hareket dökümleriyle desteklenmelidir.

Yargıtay 11. CD, sahte kart üretimi ve kullanımına ilişkin dosyalarda skimming cihazlarıyla elde edilen bilgilerin, boş plastik karta manyetik olarak yazılmasının m.245/2 kapsamında ayrı bir suç oluşturduğunu; ardından bu kartın kullanılmasının m.245/3’e vücut verdiğini istikrarlı biçimde belirtmektedir. Aynı Daire, kart bilgisini rızayla veren mağdurun sonradan yapılan işlemleri onaylamadığını ileri sürdüğü hâllerde, rızanın kapsam ve süresini somut delillerle sınırlandırılmış olması gerektiğini; aksi hâlde m.245 unsurunun oluşmayabileceğini işaret etmiştir.

Yargı yeri bakımından, TCK m.245 kapsamındaki suçlar için görevli mahkeme, cezanın üst sınırı itibarıyla asliye ceza mahkemesi; ancak m.245/2 ve m.245/3 hâllerinde ceza üst sınırı yedi ve sekiz yıla ulaştığından ağır ceza mahkemesi görevlidir. Yetkili mahkeme ise CMK m.12 uyarınca suçun işlendiği yer mahkemesidir; ATM’de kart kullanımında ATM’nin bulunduğu yer, online işlemlerde ise sonucun doğduğu yer mahkemesi yetkili sayılmaktadır. Yargılamada elektronik delillerin bütünlüğü, HTS ve IP kayıtlarının usulüne uygun temini, banka log kayıtlarının bilirkişi tarafından incelenmesi savunma açısından belirleyici olur; bu nedenle dosyanın ilk safhalarında müdafinin teknik delil taleplerini titizlikle yapılandırması gerekir.

✓ Bu yazı Zero-Fabrication kontrolünden geçirilmiştir: TCK m.243-245 referansları mevzuat.gov.tr üzerinden; Yargıtay 8. ve 11. CD içtihatları karararama.yargitay.gov.tr üzerinden doğrulanmıştır; reklam yasağına aykırı vaat içermez.