Oltalama (Phishing) Mağduruyum: Banka Parayı İade Etmek Zorunda mı?

Oltalama (phishing), sahte sayfa ve mesajlarla banka bilgilerinizin ele geçirilmesidir. Mağdur olduğunuzda bankanın parayı iade edip etmeyeceği, kusur dağılımına ve bankanın güvenlik yükümlülüklerini yerine getirip getirmediğine bağlıdır. Bu yazıda phishing mağdurunun haklarını, bankanın kusursuz sorumluluk sınırlarını ve izlemeniz gereken yolu adım adım açıklıyoruz.

Phishing Nedir, Nasıl İşler?

Oltalama; sahte e-posta, SMS veya web sitesiyle sizi kandırıp banka giriş bilgilerinizi, kart numaranızı veya doğrulama kodlarınızı ele geçirme yöntemidir. Çoğu zaman mağdur, gerçek banka sayfasıyla birebir aynı görünen sahte bir ekrana bilgilerini girer; arka planda dolandırıcı bu bilgilerle işlem yapar.

Bankanın Sorumluluğunda Temel İlke

İnternet bankacılığı dolandırıcılıklarında, bankanın sorumluluğu kusursuz (objektif) sorumluluğa yakın değerlendirilir. Banka, sistemini işletmenin getirdiği riskten sorumludur ve müşterinin ağır kusuru ispatlanmadıkça zararı tazminle yükümlü olabilir. Bankanın asli görevlerinden biri, müşterinin olağan işlem profiline aykırı, şüpheli işlemleri sistem algoritmasıyla (anti-fraud) tespit edip durdurmaktır.

Anti-Fraud Yükümlülüğü Neden Önemli?

Bir kişi yıllardır hiç kredi kullanmamışken gece yarısı hesabından yüklü bir kredi çekilip tanımadığı hesaplara aktarılıyorsa, bankanın şüpheli işlem tespit sisteminin bunu yakalayıp bloke etmesi beklenir. İlgili yönetmelik, olağandışı ve dolandırıcılık riski taşıyan işlemlerin takip edilip ek doğrulama istenmesini zorunlu kılar. Banka bu yükümlülüğü yerine getirmemişse, kusuru ağırlaşır.

Mağdurun Kusuru Hangi Hâlde Gündeme Gelir?

Sosyal mühendislikle (kandırılarak) bilgilerini kaptıran müşterinin durumu, somut olaya göre değerlendirilir. Müşteri, gelen kodun açıkça “para transferi/kredi onayı” olduğunu okumasına rağmen rızasıyla başkasına vermişse, bu ağır kusur sayılabilir. Ancak sahte ekran veya zararlı yazılımla kodlar arka planda ele geçirilmişse, müşterinin kusurundan söz etmek güçleşir; bu durumda banka zararın tamamından sorumlu olabilir.

İzlenecek Yol

Olayı fark eder etmez bankanıza yazılı bildirin ve hesabınızı dondurun. Savcılığa/Siber Suçlara suç duyurusunda bulunun. Bankadan çözüm çıkmazsa, tutara göre Tüketici Hakem Heyeti veya Tüketici Mahkemesi’ne başvurun; ayrıca Türkiye Bankalar Birliği nezdinde de başvuru yapılabilir. Tüm delilleri (sahte mesaj, işlem kayıtları, şikâyet tarihleri) saklayın ve gerekirse avukat desteği alın.

En Önemli Bilgi: İspat Yükü Bankadadır

Bu, dosyanın kaderini belirleyen ve mağdurların çoğunun bilmediği kuraldır.

Müşteri ile banka arasında bir sözleşme ilişkisi vardır. Borçlar hukukunun genel kuralına göre, sözleşmeden doğan borcunu gereği gibi yerine getirmeyen borçlu, kusuru bulunmadığını kendisi ispat etmek zorundadır. Haksız fiilde ise tersi geçerlidir: orada zarar gören, failin kusurunu ispatla yükümlüdür.

Yargı uygulaması bunu açıkça ortaya koymuştur: banka, sözleşmeden doğan yükümlülüğünü yerine getirememesinde kusurlu olmadığını ispat etmek durumundadır; ayrıca müşterisinin müterafik kusurunu da ispat etmekle yükümlüdür. Banka bunlardan birini ispatlayamazsa, dolandırıcılık işlemine konu tüm paranın iadesiyle yükümlü olan taraf bankadır.

Pratik sonuç: Talebinizi ve dava dilekçenizi sözleşmeye aykırılık üzerinden kurun. «Banka kusurluydu, ispat edeceğim» demek yerine, «bankayla aramda sözleşme var, parayı rızam dışında ödedi, kusursuzluğunu ispat etsin» demek sizi çok daha güçlü bir konuma taşır.

Bankanın Özen Ölçüsü: Hafif Kusurdan Bile Sorumlu

Bankalar sıradan bir sözleşme tarafı değildir. Yargı uygulamasındaki yerleşik yaklaşım şudur:

• Bankalar güven kuruluşlarıdır ve topladıkları mevduatı sahtecilere karşı özenle korumak zorundadırlar.
• Objektif özen yükümlülüğü altındadırlar; bu, ağırlaştırılmış sorumluluğun bir gereğidir.
• Bu nedenle hafif kusurlarından dahi sorumludurlar.
• Ticaret Kanunu uyarınca tacir, ticaretine ait bütün faaliyetlerinde basiretli iş adamı gibi hareket etmek zorundadır. Bankalardan beklenen basiret ölçüsü, herhangi bir tacirden daha ağırdır ve internet bankacılığı hizmeti verilmeye başlandığı andan itibaren bu yükümlülük daha da artar.

Yani tartışma «banka ağır kusurlu muydu» değil, «banka en küçük özen eksikliğini bile gösterdi mi» düzleminde yürür.

«SMS Şifresi Size Geldi» Savunması Yeterli mi?

Bankaların en sık kullandığı savunma budur: «İşlem, sizin telefonunuza gelen tek kullanımlık şifreyle ve üç boyutlu güvenli ödeme yöntemiyle onaylandı; sorumluluk bize ait değil.»

Yargı uygulaması bu savunmayı tek başına yeterli görmemektedir. Kabul edilen yaklaşım şudur: dolandırıcılık işlemi SMS yoluyla gönderilen şifre aracılığıyla ve üç boyutlu güvenlik yöntemiyle onaylanarak tamamlanmış olsa dahi, bankaların elektronik sistemlerinde şüpheli işlemleri algılayabilecek bir güvenlik duvarının bulunması gerekir; şifre gönderilmiş olması bankayı sorumluluktan kurtarmaz.

Bu nedenle dosyada asıl sorulması gereken şudur:

• İşlem, müşterinin olağan işlem profiline uygun muydu?
• Tutar, saat, alıcı hesap ve işlem sıklığı bakımından olağandışı bir hareket var mıydı?
• Banka bu hareketi tespit edip durdurdu mu, ek doğrulama istedi mi?
• Yeni cihazdan giriş, kısa sürede çok sayıda transfer, daha önce hiç kullanılmamış bir kanal gibi risk işaretleri nasıl değerlendirildi?

Bu sorular dilekçede açıkça sorulmalı ve bankadan cevap vermesi istenmelidir.

Sözleşmedeki «Tüm Sorumluluk Müşteriye Aittir» Maddesi

Banka sözleşmelerinde neredeyse istisnasız bulunan bu tür kayıtlar, göründükleri kadar güçlü değildir.

Borçlar Kanunu, sorumsuzluk anlaşmalarına sınır getirir. Yargı uygulamasında kabul edilen sonuç şudur: bankaların hafif kusurlarından doğan sorumluluğunu kaldıran sözleşme hükümleri geçersizdir. Bu, özellikle uzmanlığı gerektiren ve izne bağlı bir faaliyet yürüten kuruluşlar bakımından böyledir.

Dolayısıyla banka size sözleşme maddesini gösterdiğinde verilecek cevap hazırdır: o kaydın geçerliliği tartışmalıdır ve bankayı objektif özen yükümlülüğünden kurtarmaz.

Bu tartışmanın ayrıntılı ele alındığı yazımız: linke tıkladım, hesabım boşaldı — bankanın sorumluluğu.

Müterafik Kusur: Neyi Yaptıysanız Aleyhinize

Müşterinin de kendisinden beklenen tedbirleri alma yükümlülüğü vardır. Kusuru ispatlanırsa, banka bu oranda indirim talep edebilir. Ayrımı netleştirelim:

• Kusur sayılması muhtemel davranışlar: Gelen mesajda «para transferi» ya da «kredi onayı» yazdığını okumasına rağmen kodu telefonda birine söylemek; şifreyi paylaşmak; bankanın uyarılarına rağmen işlemi sürdürmek.
• Kusur sayılması güçleşen hâller: Kodların sahte ekran veya zararlı yazılımla arka planda ele geçirilmesi; müşterinin hiçbir kod paylaşmamış olması; işlemden hiç haberdar olmaması.

Kritik ayrım şudur: kodu bilerek verdiniz mi, yoksa sizden habersiz mi alındı? İkinci hâlde müşterinin kusurundan söz etmek büyük ölçüde güçleşir ve banka zararın tamamından sorumlu tutulabilir.

Bu nedenle ilk beyanınızda ne olduğunu tam olarak anlatın; «şifreyi verdim» gibi eksik ve genel bir ifade, dosyanın seyrini değiştirir.

Nereye Başvurulur? Üç Kapı

Yollar paraleldir; birini seçmek diğerini kapatmaz:

• 1. Bankaya yazılı başvuru. Olayı anlattığınız, işlemin iadesini talep ettiğiniz ve işlem kayıtlarının, IP bilgilerinin ve anti-fraud değerlendirmesinin tarafınıza verilmesini istediğiniz bir dilekçe verin. Kayıt altına aldırın; bu belge sonraki aşamaların dayanağıdır.
• 2. Tüketici hakem heyeti veya tüketici mahkemesi. Bireysel müşteri bakımından uyuşmazlık tüketici hukuku kapsamındadır. Her yıl güncellenen parasal sınırın altındaki talepler için il veya ilçe tüketici hakem heyetine başvurulur; sınırın üzerindeki talepler için tüketici mahkemesinde dava açılır. Güncel sınırı başvurudan önce teyit ediniz.
• 3. Cumhuriyet başsavcılığına suç duyurusu. Fail bakımından bilişim sistemleri kullanılarak dolandırıcılık ve bilişim suçları gündeme gelir.

Ayrıca: Bankanın işleyişine ilişkin şikâyet, ilgili düzenleyici kuruma da iletilebilir. Bu, para iadesini doğrudan sağlamaz ama dosyaya yansıyan bir kayıt oluşturur.

Ceza tarafının işleyişi için internetten ve telefonla dolandırıcılık, dilekçe yapısı için şikâyet dilekçesi örneğimiz yol gösterir.

İlk 24 Saat: Ne Yapmalı?

• Bankayı derhâl arayın ve işlemi bildirin; görüşmenin tarih, saat ve işlem numarasını not edin. Bildirim anı, sorumluluk tartışmasında belirleyici olabilir.
• Hesabı ve kartları bloke ettirin, internet bankacılığı şifrelerini değiştirin.
• Alıcı hesaba bloke konulmasını isteyin. Para henüz çekilmemişse hızlı hareket sonucu değiştirebilir; savcılıktan da bu yönde talepte bulunulmalıdır.
• Hiçbir şeyi silmeyin: sahte mesaj, bağlantı, e-posta, arayan numara, ekran görüntüleri. Bunlar hem ceza hem hukuk dosyasının delilidir.
• Cihazınızı sıfırlamayın; zararlı yazılım varsa inceleme ile tespit edilebilir ve bu, kusurunuzun bulunmadığının en güçlü kanıtı olur.
• Yazılı başvuruyu geciktirmeyin; telefonla bildirim tek başına ispat için zayıftır.

Ceza Dosyası ile Para İadesi Aynı Şey Değil

Sık yapılan bir hata, savcılığa şikâyette bulunup paranın kendiliğinden geleceğini beklemektir. Oysa iki ayrı hat vardır:

• Ceza dosyası faili cezalandırır. Fail bulunamazsa veya malvarlığı yoksa para geri gelmez.
• Bankaya karşı hukuk yolu ise sözleşmeye dayanır ve failin bulunup bulunmamasından bağımsızdır. Asıl tahsil imkânı çoğu zaman buradadır.

Bu nedenle iki yol birlikte yürütülmelidir. Ceza dosyasındaki bilirkişi raporu, IP tespitleri ve banka yazışmaları hukuk davasında delil olarak kullanılabilir.

Fail tarafındaki nitelendirme için hile ölçütü ve nitelendirme, bilişim sistemine girme ve sistemi engelleme ve veri bozma; hesabınız aracı olarak kullanıldıysa İBAN mağdurları rehberimiz ayrı bir konudur.

Benzer Ama Farklı Senaryolar

• Kart kaybı veya çalıntısı: Kendi kanunu ve sorumluluk tavanı vardır; bildirim anı belirleyicidir — kartımla izinsiz harcama yapılmış.
• Kimlik bilgileriyle kredi çekilmesi: Ayrı bir hat izler — kimlik bilgilerim çalındı.
• Tanışma üzerinden para istenmesi: Burada rıza ile transfer vardır; bankanın sorumluluğu tartışması farklı işler — duygusal dolandırıcılık.
• Hesap veya cihaz ele geçirilmişse: hesap ele geçirme ve telefona izinsiz erişim.

Taraf sıfatları için ceza yargılamasında taraf kavramları, mağdur destek mekanizmaları için mağdur hakları ve adli destek, takipsizlik hâlinde KYOK kararına itiraz, süreç takvimi için ceza davası ne kadar sürer; önleyici tarafta gizlilik rehberimiz. Alanın tamamı için Ceza Hukuku Rehberimiz başlangıç noktasıdır.

Sıkça Sorulan Sorular

Phishing mağduruysam bankanın parayı iade etmesi gerekir mi?

Kural olarak banka, sözleşmeden doğan yükümlülüğünü yerine getirememesinde kusurlu olmadığını ispat etmek zorundadır. Bunu veya müşterinin müterafik kusurunu ispat edemezse, işleme konu tüm paranın iadesiyle yükümlü olan taraf bankadır.

İspat yükü kimde?

Sözleşmeye dayanan taleplerde bankada. Haksız fiile dayanıldığında ise zarar gören, failin kusurunu ispatla yükümlüdür. Bu nedenle talebi sözleşmeye aykırılık üzerinden kurmak mağdur için daha elverişlidir.

Banka “şifre size geldi” diyor, haklı mı?

Tek başına yeterli bir savunma değildir. Yargı uygulamasında, işlem SMS şifresiyle ve üç boyutlu güvenlik yöntemiyle tamamlanmış olsa dahi bankaların sistemlerinde şüpheli işlemleri algılayabilecek bir güvenlik duvarı bulunması gerektiği, şifre gönderilmesinin bankayı sorumluluktan kurtarmayacağı kabul edilmektedir.

Sözleşmede “tüm sorumluluk müşteriye aittir” yazıyor, bağlayıcı mı?

Borçlar Kanunu sorumsuzluk anlaşmalarına sınır getirir. Yargı uygulamasında, bankaların hafif kusurlarından doğan sorumluluğunu kaldıran sözleşme hükümleri geçersiz kabul edilmektedir.

Banka hangi ölçüde özen göstermek zorunda?

Bankalar güven kuruluşu olarak objektif özen yükümlülüğü altındadır ve hafif kusurlarından dahi sorumludurlar. Tacir olarak basiretli davranma yükümlülükleri herhangi bir tacirden ağırdır; internet bankacılığı hizmetiyle bu yükümlülük daha da artar.

Şifreyi ben verdiysem hakkım kalmaz mı?

Somut olaya göre değişir. Mesajda para transferi veya kredi onayı yazdığını okumasına rağmen kodu birine söyleyen müşteri bakımından kusur gündeme gelebilir. Buna karşılık kodlar sahte ekran veya zararlı yazılımla arka planda ele geçirilmişse müşterinin kusurundan söz etmek güçleşir.

Nereye başvurmalıyım?

Önce bankaya yazılı başvuru yapın ve işlem kayıtlarını isteyin. Ardından, her yıl güncellenen parasal sınırın altındaki talepler için il veya ilçe tüketici hakem heyetine, üzerindeki talepler için tüketici mahkemesine başvurulur. Fail bakımından ayrıca savcılığa suç duyurusunda bulunulur.

Savcılığa şikâyet edersem param geri gelir mi?

Zorunlu değildir. Ceza dosyası faili cezalandırır; fail bulunamazsa veya malvarlığı yoksa tahsil gerçekleşmez. Bankaya karşı hukuk yolu ise sözleşmeye dayanır ve failin bulunup bulunmamasından bağımsızdır. İki yol birlikte yürütülmelidir.

İlk saatlerde ne yapmalıyım?

Bankayı derhâl arayıp işlemi bildirin ve görüşmenin tarih, saat ve işlem numarasını not edin. Hesabı bloke ettirin, alıcı hesaba bloke konulmasını isteyin, sahte mesaj ve bağlantıları silmeyin, cihazınızı sıfırlamayın ve yazılı başvuruyu geciktirmeyin.