Sahte Link/SMS ile Banka Bilgilerim Çalındı (Oltalama)

“Şifreyi siz girdiniz” savunması sonucu belirlemez

Oltalama mağdurlarının karşılaştığı ilk cevap hemen her zaman aynıdır: “Bilgilerinizi siz paylaştınız, sorumluluk size aittir.” Yargıtay’ın yerleşik uygulaması bu savunmayı kural olarak kabul etmez.

Yerleşik içtihat şudur: bankalar kendilerine emanet edilen mevduatı korumakla yükümlüdür; internet bankacılığında üçüncü kişilerce yapılan işlemlerden doğan zarardan, müşteri ağır kusurlu olmadıkça banka sorumludur.

Ölçüt objektif özen borcudur. Yargı kararlarında; teknik imkânları çok geniş olan ve bir güven kurumu olarak faaliyet gösteren bankanın sahteliği önleyici tedbirleri alması gerektiği, mevduat toplayarak getirisinden yararlanan bankaların gerekli güvenliği sağlayamaması nedeniyle doğan zararlardan sorumlu olacağı ve objektif özen borcunun gereği olarak hafif kusurlarından dahi sorumlu bulunduğu vurgulanmaktadır.

İspat yükü bankadadır. Banka, usulsüz işlemin gerçekleşmesinde müşterinin müterafik kusurunun bulunduğunu ispat etmek zorundadır. Kanıtlayamazsa mevduatı aynen iade etmekle yükümlüdür. Müterafik kusur ispatlanırsa sonuç talebin tümden reddi değil, tazminatta indirim olur.

Oltalamada “ağır kusur” savunması özellikle zayıftır. Sahte site gerçeğin birebir kopyasıysa, gönderilen SMS bankanın kendi kısa mesaj başlığıyla aynı hatta düşüyorsa ve bağlantı meşru görünüyorsa, ortalama bir tüketiciden bunu ayırt etmesini beklemek gerçekçi değildir. Ağır kusur, sıradan bir dikkatsizlik değil; herkesin kolayca fark edebileceği bir durumu görmezden gelmektir. Bu ayrımın dosyada açıkça kurulması gerekir.

Sorumsuzluk kayıtları geçersizdir. Sözleşmelerdeki “her türlü sorumluluk müşteriye aittir” türü kayıtlar sonuç doğurmaz; hile ve ağır kusur hâlinde borçluyu sorumluluktan kurtaran şartlar ahlak ve dürüstlük kuralına aykırı olduğundan geçersizdir.

Yetkilendirilmemiş ödeme işlemi çerçevesi

Yargıtay içtihadının yanında, ödeme hizmetlerine özgü bir mevzuat çerçevesi de vardır ve talebi bu çerçeveye oturtmak konumu güçlendirir.

Dayanak: 20/6/2013 tarihli ve 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun ile ilgili Yönetmelik. Yönetmeliğin 45. maddesi doğrudan “Yetkilendirilmemiş veya hatalı gerçekleştirilmiş işlemlerde tarafların hak ve yükümlülükleri” başlığını taşır.

Anahtar kavramlar:

• Ödeme aracı — ödeme hizmeti sağlayıcısı ile kullanıcısı arasında belirlenen ve ödeme emrini vermek için kullanılan kart, cep telefonu, şifre ve benzeri kişiye özel araç.
• Kişisel güvenlik bilgileri — ödeme işleminin bir ödeme aracıyla gerçekleştirilmesinde kullanılabilecek şifre, son kullanma tarihi, güvenlik numarası gibi, ödeme aracını ve kullanıcının kimliğini belirleyici bilgiler.
• Yetkilendirilmemiş işlem — kullanıcının rızası ve talimatı olmaksızın gerçekleştirilen ödeme işlemi. Oltalama yoluyla ele geçirilen bilgilerle yapılan transferler bu kapsamda ileri sürülür.

Kuruluşun yükümlülüğü cezai yaptırıma bağlanmıştır. 6493 sayılı Kanun uyarınca; ödeme aracını kullanmaya yetkili olanlar dışındaki üçüncü kişilerin ödeme aracına ilişkin kişisel güvenlik bilgilerine erişimlerinin engellenmesi için gerekli önlemleri almayan, ödeme aracının ve kişisel güvenlik bilgilerinin kullanıcıya güvenli biçimde ulaştırılmasını sağlamayan kuruluşların görevlileri ve işlemi yapan kişiler bir yıldan üç yıla kadar hapis ve bin güne kadar adlî para cezası ile cezalandırılır.

Bu hüküm neden önemli? Kanun koyucu, güvenlik bilgilerinin üçüncü kişilerce ele geçirilmesini önlemeyi kuruluşun yükümlülüğü olarak görmüş ve ihlalini suç saymıştır. Dolayısıyla “bilgiyi müşteri verdi” savunması, kuruluşun kendi önleme yükümlülüğünü ortadan kaldırmaz.

Bankanın izleme yükümlülüğü ve zincirdeki diğer halkalar

Şüpheli işlemi durdurma yükümlülüğü. Banka yalnızca parayı saklamakla değil, olağan dışı hareketleri izlemekle de yükümlüdür. Hiç EFT yapmayan bir hesaptan gece saatlerinde yüklü transferler, kısa aralıkla çok sayıda işlem, hiç kullanılmayan bir kanaldan giriş ya da ani kredi kullandırımı gibi durumlarda işlemin durdurulması beklenir. Durdurmadıysa sorumluluğu doğar.

Telefon hattı ele geçirilmişse operatör de sorumlu olabilir. Oltalama çoğu zaman tek başına yürümez; doğrulama şifrelerine ulaşmak için SIM kart değişimi ya da SMS yönlendirme yapılır. Yargı kararlarında, internet bankacılığını müşterilerine özendiren bankaların gelişen dolandırıcılık yöntemlerine karşı önleyici altyapıyı kurma yükümlülüğü vurgulanarak müteselsil sorumluluk kabul edilmiş; kimlik doğrulaması yapmadan hat işlemi gerçekleştiren operatörün sorumluluğu ayrıca değerlendirilmiştir.

Ceza boyutu ayrıdır ve hukuk davasını besler. Oltalama fiilleri; bilişim sistemlerinin ya da banka veya kredi kurumlarının araç olarak kullanılması suretiyle işlenen nitelikli dolandırıcılık, banka veya kredi kartlarının kötüye kullanılması ve bilişim sistemine hukuka aykırı erişim suçlarını gündeme getirir. Ceza soruşturmasında toplanan IP kayıtları, cihaz bilgileri ve para hareketleri hukuk davasında delil olarak kullanılır.

Paranın gittiği hesaplar. Transfer edilen tutarlar çoğu zaman aracı hesaplara aktarılır. Bu hesap sahiplerinin durumu ayrıca değerlendirilir; hesabını kullandıranlar bakımından cezai ve hukuki sorumluluk doğabilir. Savcılığa yapılacak başvuruda alıcı hesap bilgilerinin eksiksiz bildirilmesi, paranın izlenmesi ve tedbir konulabilmesi bakımından belirleyicidir.

İlk saatler: ne yapmalı?

Bu dosyalarda kaybedilen zaman doğrudan para kaybıdır; ilk saatlerde atılan adımlar hem paranın durdurulması hem ispat bakımından belirleyicidir.

1. Bankayı derhâl arayın. Kartı ve hesabı bloke ettirin, işlemleri durdurun, itiraz kaydı açtırın. Görüşmenin saatini not edin ve çağrı kaydının saklanmasını talep edin.
2. Aynı bildirimi yazılı olarak tekrarlayın. İnternet şubesi mesajı, e-posta ya da noter ihtarnamesiyle. Sözlü bildirim sonradan tartışma konusu olabilir; yazılı bildirim bildirim anını sabitler.
3. Cumhuriyet Başsavcılığına suç duyurusunda bulunun. Dilekçeye işlem dökümlerini, gelen SMS ve e-postaları, sahte site adresini ve alıcı hesap bilgilerini ekleyin. Soruşturma numarasını saklayın.
4. Bankadan yazılı olarak isteyin: işlem dökümü, işlemin yapıldığı IP adresi ve cihaz bilgileri, doğrulama şifrelerinin gönderim kayıtları, giriş kanalı ve saatleri. Banka vermezse bu talebi dava dilekçenizde delil olarak ileri sürün.
5. Operatörden kayıt isteyin — SIM değişimi veya SMS yönlendirme yapılıp yapılmadığını, kim tarafından ve hangi belgeyle yapıldığını. Bu kayıtlar zamanla silinebildiğinden gecikilmemelidir.
6. Delilleri saklayın. Gelen SMS ve e-postaların ekran görüntüleri, sahte sitenin adresi ve görüntüsü, arayan numaralar, uygulama bildirimleri — hepsi tarihli olarak.
7. Adınıza kredi kullandırıldıysa bunu ayrıca yazılı bildirin ve sözleşmenin bir örneğini isteyin; sözleşmenin sizin iradenizle kurulmadığının tespiti ayrıca talep edilir.

Nereye dava açılır? Bireysel müşteri sıfatıyla hareket ediyorsanız banka ile aranızdaki ilişki tüketici işlemi niteliğindedir; uyuşmazlık bedeline göre tüketici hakem heyeti ya da tüketici mahkemesine başvurulur. Ticari faaliyet kapsamındaki hesaplarda genel hükümler uygulanır.

Ne istenebilir? Çekilen tutarın faiziyle iadesi, adınıza kullandırılan kredinin iptali ve olumsuz kredi kaydının düzeltilmesi ile koşulları varsa manevi tazminat.