Siber Suçlarda Banka ve Ödeme Kuruluşlarının Sorumluluğu

Siber suçlarda bankaların sorumluluğu, özellikle müşterilerin bilgisi veya rızası dışında gerçekleştirilen para transferleri, ele geçirilen bankacılık hesapları ve elektronik ödeme sistemlerinin kötüye kullanılması nedeniyle ortaya çıkan zararlar bakımından önem taşımaktadır. İnternet ve mobil bankacılığın yaygınlaşmasıyla birlikte finansal işlemlerin güvenliği yalnızca hesap sahibinin dikkatine bırakılmamış, bankalar ve ödeme hizmeti sağlayıcıları bakımından da kapsamlı yükümlülükler düzenlenmiştir.

Bir müşterinin banka hesabından üçüncü kişiler tarafından para transferi yapılması, her olayda bankanın sorumlu tutulacağı anlamına gelmez. Bununla birlikte işlemin doğru şifreyle gerçekleştirilmesi veya sistem tarafından onaylanmış görünmesi de bankanın sorumluluğunu kendiliğinden ortadan kaldırmaz. İşlemin gerçekten müşteri tarafından yetkilendirilip yetkilendirilmediği, güvenlik önlemlerinin yeterliliği ve tarafların davranışlarının zararın meydana gelmesine etkisi araştırılmalıdır.

Siber suçlarda banka ve ödeme kuruluşlarının sorumluluğu, suç failinin ceza sorumluluğundan bağımsız olarak değerlendirilmesi gereken bir hukuki meseledir. Bankanın güvenlik yükümlülüğüne aykırı davranması, müşterinin zararının giderilmesi bakımından sorumluluk doğurabilir. Ödeme kuruluşları yönünden ise 6493 sayılı Kanun ve ilgili düzenlemelerde öngörülen özel hükümler uygulanır.

Siber Suçlarda Bankaların Hukuki Sorumluluğu

Bankanın Güven ve Özen Yükümlülüğü

Bankalar, kendilerine emanet edilen parayı korumak ve bankacılık hizmetlerini güvenli biçimde sunmakla yükümlü güven kurumlarıdır. Bu yükümlülük, yalnızca mevduatın muhafazasıyla sınırlı değildir. Elektronik bankacılık kanallarında gerçekleştirilen işlemlerin güvenliği, müşteri bilgilerinin korunması ve yetkisiz erişimlerin önlenmesi de bankanın sorumluluk alanındadır.

5411 sayılı Bankacılık Kanunu, 6098 sayılı Türk Borçlar Kanunu ve Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, bankanın sorumluluğunun değerlendirilmesinde başvurulan başlıca düzenlemelerdir.

Bankanın teknolojik altyapısını güncel güvenlik ihtiyaçlarına uygun biçimde oluşturması, kimlik doğrulama mekanizmalarını işletmesi ve şüpheli işlemleri tespit etmeye yönelik kontroller sağlaması gerekir. Bu yükümlülüklerin yerine getirilip getirilmediği, olay tarihindeki teknik imkanlar ve uygulanabilir mevzuat dikkate alınarak belirlenmelidir.

Bankanın Sorumluluğu ile Suç Failinin Ceza Sorumluluğu

Banka hesabını ele geçirerek hukuka aykırı transfer yapan kişinin ceza sorumluluğu ile bankanın müşteriye karşı hukuki sorumluluğu farklı koşullara bağlıdır.

Failin davranışı, olayın niteliğine göre TCK 158/1-f kapsamında bankacılık ve bilişim sistemleriyle dolandırıcılık veya başka bir suç oluşturabilir. Bankanın sorumluluğu ise çoğunlukla sözleşmeden doğan yükümlülüklerin ihlali, ödeme hizmetlerine ilişkin özel düzenlemeler ve gerekli güvenlik önlemlerinin alınmaması çerçevesinde incelenir.

Fail hakkında mahkumiyet kararı verilmesi, bankanın sorumluluğunu kendiliğinden ortadan kaldırmaz. Aynı şekilde bankanın tazminat ödemekle yükümlü tutulması da banka çalışanlarının suç işlediğini göstermez.

Bankanın Doğrudan ve Dolaylı Sorumluluğu

Yetkisiz transferin bankanın güvenlik sistemindeki eksiklikten kaynaklanması, çalışanların gerekli kontrolleri gerçekleştirmemesi veya şüpheli işlemlerin yeterince araştırılmaması bankanın doğrudan sorumluluğuna ilişkin değerlendirmelerde önem taşıyabilir.

Dolandırıcılık fiilinin bütünüyle üçüncü kişiler tarafından gerçekleştirilmiş olması halinde dahi bankanın kendi yükümlülüklerini yerine getirip getirmediği araştırılmalıdır. Ancak suçun işlenmesinde banka hizmetinin kullanılmış olması tek başına bankanın bütün zararlardan sorumlu olduğunu göstermez.

Yetkisiz Bankacılık İşlemlerinde Sorumluluk

Müşterinin Bilgisi Dışında Yapılan Para Transferleri

Müşterinin bilgisi veya rızası olmadan hesabından para aktarılması, elektronik bankacılık uyuşmazlıklarının başlıca nedenlerindendir. Hesap hareketinin bankanın sistemlerinde tamamlanmış görünmesi, işlemin hukuken geçerli bir müşteri talimatına dayandığını kesin olarak kanıtlamaz.

Transferin hangi cihazdan başlatıldığı, kimlik doğrulama süreci, işlem onayının nasıl gerçekleştiği ve güvenlik kayıtlarında olağandışı bir durum bulunup bulunmadığı araştırılmalıdır.

Mevduat hesabından rıza dışında para çekilmesiyle meydana gelen zararlarda bankanın mevduatı iade borcu ayrıca önem taşır. Yargıtay içtihatlarında, usulsüz işlemin mevduat sahibinin alacağını hangi koşullarda etkileyeceği ve müşterinin kusurunun bulunup bulunmadığı birlikte değerlendirilmektedir.

İnternet ve Mobil Bankacılık Hesaplarının Ele Geçirilmesi

Siber saldırganlar, zararlı yazılımlar, ele geçirilmiş parolalar veya sosyal mühendislik yöntemleriyle bankacılık hesaplarına erişebilir. Bu tür olaylarda saldırganın kimlik doğrulama mekanizmasını nasıl aştığı belirlenmelidir.

Bankanın teknik sistemlerinde güvenlik açığı bulunması ile müşterinin cihazındaki zararlı yazılımın kimlik bilgilerini ele geçirmesi farklı olaylardır. Bununla birlikte saldırının müşterinin cihazından kaynaklanması, bankanın kendi kontrol ve güvenlik yükümlülüklerinin araştırılmasını gereksiz hale getirmez.

Kimlik Avı ve Sahte Banka Uygulamaları

Kimlik avı saldırılarında müşteri, bankanın gerçek internet sitesi veya mobil uygulaması görünümündeki sahte bir ortama yönlendirilebilir. Bu yolla elde edilen kullanıcı bilgileri daha sonra yetkisiz işlemlerde kullanılabilir.

Hesap sahibinin sahte bağlantıya erişmesi, her olayda ağır ihmalli davrandığı anlamına gelmez. Bağlantının hazırlanma biçimi, bankanın güvenlik uyarıları, kullanılan kimlik doğrulama yöntemi ve müşteriden beklenebilecek dikkat birlikte değerlendirilmelidir.

SIM Kart Değişikliği ve Kimlik Doğrulama Sorunları

SIM kart değişikliği veya telefon numarasının hukuka aykırı biçimde başka kişiye kullandırılması, SMS üzerinden gerçekleştirilen kimlik doğrulama işlemlerini etkileyebilir.

Bankanın telefon numarası değişikliklerini nasıl doğruladığı, yeni cihaz tanımlama süreci ve şüpheli işlemler sırasında uyguladığı güvenlik kontrolleri araştırılmalıdır. Mobil operatörün davranışları da ayrı bir hukuki sorumluluk değerlendirmesini gerektirebilir.

Şifrenin veya Onay Kodunun Paylaşılması

Müşteri, bankacılık şifresini veya işlem onay kodunu üçüncü kişilere vermişse bunun zararın meydana gelmesindeki etkisi araştırılmalıdır. Ancak şifre paylaşımı ile müşterinin bankacılık işlemini bizzat yetkilendirmesi aynı değildir.

Müşterinin aldatılarak onay kodunu vermesi halinde bankanın gerekli güvenlik önlemlerini alıp almadığı ve müşterinin davranışının ağır ihmal oluşturup oluşturmadığı ayrıca incelenmelidir.

Bankaların İşlem Güvenliğini Sağlama Yükümlülüğü

Çok Faktörlü Kimlik Doğrulama

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliğin 34. maddesi, elektronik bankacılık hizmetlerinde kural olarak birbirinden bağımsız en az iki bileşenli kimlik doğrulama mekanizması kullanılmasını öngörmektedir.

Kimlik doğrulama bileşenleri, müşterinin bildiği bilgiye, sahip olduğu araca veya biyometrik özelliğine dayanabilir. Yönetmelikte mobil bankacılık ve belirli işlemler bakımından özel yöntemler ve istisnalar da düzenlenmiştir.

İki bileşenli kimlik doğrulamanın bulunması tek başına bütün işlemlerin güvenli olduğunu göstermez. Kimlik doğrulama bileşenlerinin gerçekten bağımsız olup olmadığı ve saldırgan tarafından birlikte ele geçirilip geçirilmediği önemlidir.

Olağandışı İşlemlerin Tespiti

Bankalar, elektronik bankacılık işlemlerindeki güvenlik risklerini belirlemeye yönelik kontrol mekanizmaları oluşturmalıdır. Müşterinin geçmiş işlem davranışlarından ciddi biçimde farklılaşan transferler, kısa sürede gerçekleştirilen çok sayıda işlem veya alışılmadık erişim denemeleri şüpheli işlem değerlendirmesine konu olabilir.

Ancak her yüksek tutarlı transferin durdurulması gerektiği yönünde genel bir kural bulunmaz. Sorumluluk, somut riskin niteliği ve bankanın o işlem bakımından yerine getirmesi gereken kontroller üzerinden değerlendirilmelidir.

Yeni Cihazdan Erişim ve Yüksek Tutarlı Transferler

Müşterinin daha önce kullanmadığı bir cihazdan bankacılık hesabına erişilmesi ve kısa süre içinde yüksek tutarlı para transferi gerçekleştirilmesi, güvenlik incelemesi bakımından anlamlı olabilir.

Yeni cihazın sisteme nasıl tanımlandığı, önceki oturumlarla ilişkisi, işlem limitlerindeki değişiklikler ve müşteriden alınan doğrulama bilgileri birlikte incelenmelidir.

İşlem Limitleri ve Güvenlik Uyarıları

Günlük transfer limitleri, işlem bazlı onay mekanizmaları ve güvenlik bildirimleri bankacılık işlemlerinin korunmasına hizmet eder.

Bankanın müşteriye güvenlik uyarısı göndermesi, işlemin müşteriye ulaştığını veya müşteri tarafından onaylandığını her zaman göstermez. Uyarının gönderildiği kanal, teslim durumu ve müşteri tarafından gerçekleştirilen işlem ayrı ayrı belirlenmelidir.

Ödeme ve Elektronik Para Kuruluşlarının Sorumluluğu

Banka ile Ödeme Kuruluşunun Hukuki Statü Farkları

Bankalar ile ödeme ve elektronik para kuruluşları aynı hukuki statüye sahip değildir. Bankalar 5411 sayılı Bankacılık Kanunu kapsamında faaliyet gösterirken ödeme ve elektronik para kuruluşlarının yetkilendirilmesi ve faaliyetleri 6493 sayılı Kanun ile ilgili düzenlemelere tabidir.

Ödeme kuruluşları mevduat veya katılım fonu kabul edemez. Elektronik para kuruluşlarının çıkardığı elektronik para da bankalarda tutulan mevduatla aynı hukuki niteliğe sahip değildir.

Bununla birlikte bankalar da ödeme hizmeti sağlayıcısı sıfatıyla belirli işlemlerde 6493 sayılı Kanun ve ilgili ödeme hizmetleri düzenlemelerinin kapsamına girebilir. Sorumluluk değerlendirmesinde kuruluşun adı değil, sunduğu hizmetin hukuki niteliği esas alınmalıdır.

6493 Sayılı Kanun Kapsamındaki Yükümlülükler

6493 sayılı Kanun ve Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik, ödeme hizmetlerinin güvenli biçimde sunulmasına, müşterinin bilgilendirilmesine ve yetkilendirilmemiş işlemlerin düzeltilmesine ilişkin hükümler içermektedir.

Yönetmeliğin 52, 53 ve 54. maddeleri ödeme işleminin onaylanması, ödeme araçlarının korunması ve yetkilendirilmemiş işlemlerden doğan sorumluluk bakımından önem taşır.

4 Eylül 2026 tarihinde yapılan yönetmelik değişikliği, 41. maddedeki uzaktan iletişim yoluyla sözleşme kurulmasına ilişkin kimlik doğrulama düzenlemesini etkilemiştir. Yetkilendirilmemiş işlemlerin bildirim ve düzeltilmesine ilişkin 54. madde hükümleri ise ayrıca uygulanmaktadır.

Elektronik Para Hesaplarının Ele Geçirilmesi

Elektronik para hesabının üçüncü kişiler tarafından ele geçirilmesi halinde işlem kayıtları, müşteri kimlik doğrulama bilgileri ve hesap üzerindeki fiili kontrol incelenmelidir.

Ödeme hizmeti sağlayıcısının gerekli güvenlik önlemlerini alıp almadığı, müşterinin bildirim yükümlülüğünü yerine getirip getirmediği ve işlemin yetkilendirilip yetkilendirilmediği zararın giderilmesi bakımından belirleyicidir.

Sanal POS ve Ödeme Altyapılarında Dolandırıcılık

Sanal POS üzerinden gerçekleştirilen dolandırıcılık işlemlerinde kartı çıkaran kuruluş, ödeme kabul hizmetini sunan kuruluş, işyeri ve ödeme işlemine aracılık eden diğer tarafların rolleri farklı olabilir.

İşyeriyle yapılan sözleşmeler, işlem güvenliği kontrolleri, ödeme doğrulama yöntemi ve dolandırıcılık şüphesinin ne zaman ortaya çıktığı değerlendirilmelidir.

Başkasına ait kartın hukuka aykırı kullanılması ayrıca TCK 245 kapsamında banka veya kredi kartlarının kötüye kullanılması suçunu oluşturabilir. Ödeme hizmeti sağlayıcısının hukuki sorumluluğu ise bu suçtan bağımsız koşullara bağlıdır.

Para Transferine Aracılık Eden Kuruluşların Sorumluluğu

Bir ödeme kuruluşunun suçtan elde edilen paranın transferine aracılık etmesi, kuruluşun otomatik olarak bütün zarardan sorumlu olduğu anlamına gelmez.

Kuruluşun işlemdeki rolü, yetkilendirme yükümlülükleri, güvenlik kontrolleri ve işlemi durdurma imkanları araştırılmalıdır. Yalnızca transferin kuruluş altyapısından geçmesi ile kuruluşun kendi yükümlülüklerini ihlal etmesi farklı hukuki durumlardır.

Yetkilendirilmemiş Ödeme İşlemlerinde İspat Yükü ve Zararın Giderilmesi

İşlemin Müşteri Tarafından Onaylandığının İspatı

Ödeme Hizmetleri Yönetmeliğinin 54/2. maddesi uyarınca müşterinin işlemi yetkilendirmediğini veya işlemin hatalı gerçekleştirildiğini ileri sürmesi halinde işlemin müşteri tarafından onaylandığını, doğru kaydedildiğini, hesaplara işlendiğini ve teknik bir sorundan etkilenmediğini ispat yükümlülüğü ödeme hizmeti sağlayıcısına aittir.

Bu nedenle kuruluşun yalnızca işlemin sistemde kayıtlı olduğunu belirtmesi yeterli olmayabilir. Yetkilendirme sürecinin ilgili teknik kayıtlarla açıklanması gerekir.

Teknik İşlem Kaydı ile Gerçek Kullanıcı İradesi

Bir işlemin doğru kullanıcı bilgileriyle gerçekleştirilmesi, müşteri tarafından gerçekten yetkilendirildiğinin değerlendirilmesinde önemli olabilir. Ancak kullanıcı bilgilerinin üçüncü kişiler tarafından ele geçirilmesi ihtimali de araştırılmalıdır.

İşlem zamanı, kullanılan cihaz, oturum bilgileri ve kimlik doğrulama süreci birlikte incelenmelidir. Teknik doğrulama kayıtları ile hukuken geçerli ödeme onayının bulunması birbirine karıştırılmamalıdır.

Müşterinin Kastı ve Ağır İhmali

Yönetmeliğin 54/5. maddesine göre müşterinin ödeme aracını hileli kullanması veya ödeme aracına ilişkin yükümlülüklerini kasten ya da ağır ihmalle yerine getirmemesi halinde yetkilendirilmemiş işlemden doğan zararın tamamından sorumluluğu söz konusu olabilir.

Ağır ihmalin varlığı soyut biçimde kabul edilemez. Müşterinin hangi yükümlülüğe aykırı davrandığı ve davranışın zararla ilişkisi somut olarak belirlenmelidir.

Yetkisiz İşlem Bildirimi ve İade Yükümlülüğü

Yönetmeliğin 54/1. maddesi uyarınca müşteri, yetkilendirmediği veya hatalı gerçekleştirilmiş ödeme işlemini öğrendiğinde gecikmeksizin ödeme hizmeti sağlayıcısına bildirmelidir. Düzeltme talebi kural olarak işlem tarihinden itibaren on üç ay içinde yapılmalıdır. Kuruluşun gerekli işlem bilgilerini müşteriye sağlamadığı hallerde bu süreye ilişkin özel istisna bulunmaktadır.

Yönetmeliğin 54/3. maddesi, yetkilendirilmemiş veya hatalı işlemin ispatlanması durumunda işlem tutarının derhal iadesini veya ödeme hesabının eski durumuna getirilmesini düzenler. Kanunda belirtilen kuvvetli şüphe durumlarında sınırlı araştırma imkanı da bulunmaktadır.

Kayıp veya çalıntı ödeme aracının kullanılması ya da güvenlik bilgilerinin korunmaması nedeniyle gerçekleşen işlemlerde, bildirimden önceki yirmi dört saatte meydana gelen zarar bakımından 54/4. maddede iki yüz elli Türk lirasına kadar sorumluluk öngörülmüştür. Bu sınır, kasıt ve ağır ihmal gibi özel durumlarla birlikte değerlendirilmelidir.

Banka, Ödeme Kuruluşu ve Müşteri Arasında Kusur Dağılımı

Tarafların sorumluluğu belirlenirken işlemin tabi olduğu özel ödeme hizmeti hükümleri ile genel borçlar hukuku kuralları birbirinden ayrılmalıdır.

Bankanın gerekli güvenlik tedbirlerini almaması ile müşterinin kendi bilgilerini koruma yükümlülüğünü ihlal etmesi aynı olayda birlikte bulunabilir. Ancak müşteriye kusur yüklenebilmesi için davranışının somutlaştırılması ve zararla bağlantısının kurulması gerekir.

Siber Suçlarda Şüpheli Hesapların Askıya Alınması

CMK 128/A Kapsamında Hesapların Askıya Alınması

25 Aralık 2025 tarihinde yürürlüğe giren 7571 sayılı Kanunla Ceza Muhakemesi Kanunu'na eklenen 128/A maddesi, belirli bilişim bağlantılı suçlarda kullanılan hesapların geçici olarak askıya alınmasına ilişkin özel bir düzenleme getirmiştir.

Bu hüküm, TCK m. 142/2-e, m. 158/1-f ve l bentleri ile m. 245 kapsamındaki suçların işlendiği hususunda makul şüphe bulunması halinde uygulanabilir.

Kanuni koşulların gerçekleşmesi halinde banka, ödeme hizmeti sağlayıcısı veya kripto varlık hizmet sağlayıcısı, suçta kullanılan hesabı kırk sekiz saate kadar askıya alma kararı verebilir.

Finansal Kuruluşların İşlemi Durdurma Yetkisi

CMK m. 128/A kapsamında verilen askıya alma kararı ve hesap hareketleri, ilgili finansal kuruluş tarafından bütün bilgi ve belgelerle birlikte derhal Cumhuriyet başsavcılığına bildirilmelidir.

Askıya alma işlemi hesap sahibine de bildirilir. Hesap sahibi işlemin kaldırılması için Cumhuriyet başsavcılığına başvurabilir. Cumhuriyet savcısı başvuru hakkında yirmi dört saat içinde karar verir.

Kanun, bu madde uyarınca askıya alma kararı veren gerçek ve tüzel kişilerin hukuki bakımdan sorumlu tutulmayacağını ayrıca düzenlemiştir. Bu koruma, madde kapsamındaki askıya alma kararına ilişkindir. Finansal kuruluşun diğer bankacılık ve ödeme güvenliği yükümlülüklerini bütünüyle ortadan kaldırmaz.

Suç Gelirinin Başka Hesaplara Aktarılması

Askıya alma işlemi tamamlanmadan suça konu menfaatin başka bir finansal kuruma aktarıldığı tespit edilirse ilgili kuruluşa gecikmeksizin bildirim yapılması gerekir.

Bu düzenleme, suç gelirinin finansal kuruluşlar arasında hızla aktarılması nedeniyle soruşturma tedbirlerinin etkisiz kalmasının önlenmesini amaçlamaktadır.

Askıya Alma ile El Koyma Arasındaki Fark

CMK m. 128/A kapsamında hesabın askıya alınması ile hesapta bulunan suça konu menfaate el konulması farklı işlemlerdir.

El koyma, hakim kararıyla veya gecikmesinde sakınca bulunan hallerde Cumhuriyet savcısının yazılı emriyle gerçekleştirilebilir. Hakim kararı olmaksızın yapılan el koyma yirmi dört saat içinde hakim onayına sunulmalı, hakim kararını el koymadan itibaren kırk sekiz saat içinde açıklamalıdır.

Suça konu menfaatin mağdura ait olduğu anlaşılırsa kanuni koşullarla soruşturma veya kovuşturma sırasında sahibine iadesi mümkündür.

Finansal Kuruluşların Bilgi ve Belge Sunma Yükümlülüğü

Savcılık ve Mahkeme Taleplerinin Karşılanması

CMK m. 128/A/7 uyarınca yürütülen soruşturma veya kovuşturma kapsamında Cumhuriyet savcısı, hakim veya mahkeme tarafından istenen bilgi ve belgelerin on gün içinde fiziki veya elektronik ortamda gönderilmesi zorunludur.

Bilgi ve belgelerin gönderilmemesi veya eksik gönderilmesi halinde ilgili finansal kuruluşa elli bin Türk lirasından üç yüz bin Türk lirasına kadar idari para cezası uygulanabilir.

Bu yükümlülük, kanunun düzenlediği kapsamla sınırlıdır. Diğer suçlarda ve taleplerde ilgili bilgi verme, gizlilik ve veri koruma hükümleri ayrıca uygulanır.

Hesap Hareketleri ve İşlem Kayıtlarının Korunması

Finansal suç soruşturmalarında işlem kayıtlarının bütünlüğü ve doğruluğu önem taşır. Transfer tarihi, işlem referansı, hesap bilgileri ve elektronik bankacılık oturum kayıtları maddi olayın araştırılmasına yardımcı olabilir.

Kayıtların saklanma süresi ve erişime açılması bakımından bankacılık, ödeme hizmetleri ve kişisel verilerin korunmasına ilişkin mevzuat birlikte değerlendirilmelidir.

IP, Cihaz ve Oturum Bilgilerinin Delil Değeri

İnternet bankacılığına erişimde kullanılan IP adresi, cihaz bilgileri ve oturum kayıtları işlemin hangi teknik ortamda gerçekleştirildiğini gösterebilir.

Ancak IP adresinin belirli bir aboneye ait olması, işlemin mutlaka abone tarafından gerçekleştirildiğini kanıtlamaz. Ortak internet bağlantıları, uzaktan erişim ve ele geçirilmiş cihazlar gibi ihtimaller teknik değerlendirmeyi etkileyebilir.

Bu kayıtlar yalnızca bankanın güvenlik yükümlülüğüne değil, suç failinin kimliğinin belirlenmesine ilişkin incelemelerde de kullanılabilir.

Banka ve Ödeme Kuruluşlarına Karşı Hukuki Başvuru

Yetkisiz İşlemin Bildirilmesi ve İade Talebi

Yetkisiz işlem nedeniyle zarara uğrayan kişi, işlemi öğrendiğinde finansal kuruluşa başvurarak hesap güvenliğinin sağlanmasını, işlemin araştırılmasını ve kanuni koşullarla paranın iadesini talep edebilir.

Başvurunun tarihi, bildirimin içeriği ve kuruluşun verdiği cevap belgelenmelidir. İşlemlerin hangi tarihlerde gerçekleştirildiği ve müşterinin bunları ne zaman öğrendiği, bildirim yükümlülüklerinin değerlendirilmesinde önem taşır.

Bankaya Karşı Tazminat Talebinin Koşulları

Bankanın sözleşmeden veya kanundan doğan yükümlülüğünü ihlal etmesi nedeniyle zarar doğmuşsa genel hükümler çerçevesinde tazminat talep edilebilir. Ayrıca mevduatın rıza dışında eksiltilmesi halinde bankanın mevduat borcunun devam edip etmediği değerlendirilmelidir.

Zararın miktarı, bankanın davranışı, müşterinin olası kusuru ve tarafların yükümlülükleri birlikte incelenmelidir. Bankanın sorumluluğu yalnızca işlemin suç niteliği taşımasına dayanılarak belirlenemez.

Ödeme Kuruluşuna Karşı Başvuru Yolları

Ödeme ve elektronik para kuruluşlarıyla ilgili uyuşmazlıklarda öncelikle ilgili kuruluşun başvuru ve şikayet mekanizmaları kullanılabilir. Uyuşmazlığın niteliğine göre Türkiye Ödeme ve Elektronik Para Kuruluşları Birliği bünyesindeki başvuru imkanları, tüketici hakem heyetleri veya yargı yolları değerlendirilebilir.

Her ödeme kuruluşu uyuşmazlığının aynı başvuru merciine tabi olduğu kabul edilemez. Başvurunun konusu, müşteri sıfatı ve talep miktarı değerlendirilmelidir.

Ceza Soruşturmasının Hukuk Davasına Etkisi

Yetkisiz para transferi nedeniyle ceza soruşturması yürütülmesi, bankaya veya ödeme kuruluşuna karşı hukuki talepte bulunulmasını kendiliğinden engellemez.

Ceza soruşturmasında failin belirlenmesi, işlem kayıtlarının elde edilmesi ve para hareketlerinin araştırılması hukuk uyuşmazlığının çözümüne katkı sağlayabilir. Bununla birlikte finansal kuruluşun sözleşmeden doğan sorumluluğu ceza sorumluluğundan farklı esaslara tabidir.

Görevli Mahkeme ve Uyuşmazlık Çözüm Yolları

Bankacılık işlemlerinden doğan uyuşmazlıklarda görevli mahkeme, tarafların sıfatına ve uyuşmazlığın hukuki niteliğine göre belirlenir.

Tüketici işlemi niteliğindeki uyuşmazlıklarda tüketici mahkemesi, ticari uyuşmazlıklarda asliye ticaret mahkemesi görevli olabilir. Talep miktarına ve dava türüne göre tüketici hakem heyetine veya dava şartı arabuluculuğa başvurulması gerekebilir.

Yargıtay Kararlarında Bankaların Sorumluluğu

Elektronik Bankacılıkta Ağırlaştırılmış Özen Yükümlülüğü

Yargıtay Hukuk Genel Kurulunun 17 Eylül 2025 tarihli, 2024/304 E., 2025/525 K. sayılı kararında internet bankacılığı yoluyla gerçekleştirilen yetkisiz transferler nedeniyle bankanın sorumluluğu değerlendirilmiştir.

Kararda bankaların güven kurumu olduğu, elektronik bankacılık hizmetleri sunmaları nedeniyle objektif özen yükümlülüklerinin ağırlaştığı ve müşterilerin mevduatlarını usulsüz işlemlere karşı korumaları gerektiği vurgulanmıştır.

Şüpheli İşlemin Tespit Edilmesine Rağmen Gerçekleştirilmesi

Anılan kararda banka, şüpheli işlemi fark ederek müşteriyle iletişim kurmaya çalışmasına rağmen yeterli teyit sağlayamadan transferi gerçekleştirmiştir.

Hukuk Genel Kurulu, bankanın şüpheli işlemi tespit ettiği halde gerekli güvenlik değerlendirmesini tamamlamadan işleme devam etmesini sorumluluk bakımından ele almıştır.

Bu yaklaşım, bankanın yalnızca kimlik doğrulama verilerinin doğru kullanılmasına dayanmasının her olayda yeterli olmayabileceğini göstermektedir.

Müşterinin Kusurunun İspatı

Aynı kararda müşterinin cihazına zararlı yazılım bulaştığı yönündeki iddianın ve müşteriye yüklenen kusurun somut delillerle ispatlanması gerektiği belirtilmiştir.

Bankanın müşterinin kişisel bilgilerini korumadığını ileri sürmesi, tek başına kusur indirimi yapılmasını haklı kılmaz. Müşterinin davranışı, güvenlik bilgilerinin ele geçirilme biçimi ve zararla nedensellik ilişkisi araştırılmalıdır.

İşlem Onayının Bulunması ile Yetkilendirme Arasındaki Fark

Elektronik sistemde işlemin onaylanmış görünmesi, işlemin gerçek kullanıcı iradesini yansıtıp yansıtmadığının araştırılmasını ortadan kaldırmaz.

Yargıtay içtihatları ile ödeme hizmetlerine ilişkin mevzuat birlikte değerlendirildiğinde, teknik kimlik doğrulama kayıtlarının hukuki sorumluluk bakımından önemli olduğu, ancak olayın bütününden bağımsız ve tartışılmaz bir delil olarak kabul edilmemesi gerektiği anlaşılmaktadır.

Siber Suçlarda Banka ve Ödeme Kuruluşlarının Sorumluluğuna İlişkin Hukuki Değerlendirme

Siber suçlarda bankaların ve ödeme kuruluşlarının sorumluluğu, işlemin niteliğine, kuruluşun hukuki statüsüne, güvenlik yükümlülüklerine ve müşterinin davranışlarına göre belirlenmelidir.

Özellikle yetkisiz para transferlerinde işlemin teknik olarak doğrulanması ile müşteri tarafından hukuken yetkilendirilmesi birbirinden ayrılmalıdır. Bankanın işlem güvenliği yükümlülüklerini yerine getirip getirmediği ve müşterinin kusuruna ilişkin iddiaların somut delillerle desteklenip desteklenmediği araştırılmalıdır.

Banka veya ödeme kuruluşunun siber suçun faili olmaması, müşterinin zararından doğabilecek hukuki sorumluluğunu kendiliğinden ortadan kaldırmaz. Buna karşılık dolandırıcılık amacıyla gerçekleştirilen her finansal işlem de hizmet sağlayıcısını otomatik olarak tazminat borçlusu haline getirmez.

CMK m. 128/A ile getirilen hesapların askıya alınması mekanizması, suçtan elde edilen ekonomik menfaatin korunmasına yönelik ayrı bir güvence oluşturmuştur. Ancak bu tedbirin uygulanması ile yetkisiz işlemlerden kaynaklanan zararın giderilmesi farklı hukuki koşullara bağlıdır.

Bankaların sorumluluğuna ilişkin uyuşmazlıklarda belirleyici olan, işlemin nasıl gerçekleştiğinin teknik kayıtlarla açıklanması, tarafların kanuni yükümlülüklerinin somutlaştırılması ve zararın hangi davranıştan kaynaklandığının ortaya konulmasıdır.

Kaynaklar: 5411 sayılı Bankacılık Kanunu, 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun, 6098 sayılı Türk Borçlar Kanunu, 5271 sayılı Ceza Muhakemesi Kanunu (m. 128/A), 5237 sayılı Türk Ceza Kanunu (m. 142, 158 ve 245), 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu, Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (m. 52, 53 ve 54), BDDK 2023/1 sayılı Genelge, Yargıtay Hukuk Genel Kurulu 17.09.2025 tarihli 2024/304 E., 2025/525 K. sayılı kararı.

Yazar

Av. Ramazan Sertan Safsöz

Kurucu Avukat

Teknik mahiyeti güçlü uyuşmazlıklarda ceza hukuku ile bilişim hukuku kesişiminde yürüttüğü çalışmalarıyla tanınmaktadır. Özellikle dijital delillerin belirleyici olduğu soruşturma ve kovuşturmalarda, elektronik cihaz incelemeleri, iletişim verileri ve sayısal / mali kayıtlar etrafında şekillenen hukuki uyuşmazlıklar üzerinde yoğunlaşmaktadır. Bu çerçevede, teknik inceleme ile hukuki değerlendirmeyi aynı düzlemde ele alan ve yerleşik kabullerin ötesine geçen savunma yaklaşımları geliştirmektedir.

İletişim

Yasal Uyarı

Bu makaledeki açıklamalar genel bilgilendirme amacı taşımaktadır. Her somut olay kendi koşulları içinde değerlendirilmelidir. Bu nedenle, hukuki durumunuza uygun değerlendirme için profesyonel destek alınması gerekir.