Sophos Hukuk Bürosu

Av. Hüseyin Aydın · Alanya / Antalya

Bir gece uyuyorsunuz; sabah uyandığınızda banka hesabınızdan yüz binlerce lira tanımadığınız bir şirkete gönderilmiş, kredi kartınızla hiç görmediğiniz ürünler alınmış oluyor. Telefonunuza fark ettiğiniz bir onay mesajı gelmemiş, kimseyle şifre paylaşmamışsınız. Banka ise “işlem sizin şifrenizle, sizin cihazınızdan yapıldı” diyerek iadeyi reddediyor.

Hukuken tablo açıktır: bankalar güven kurumudur, hafif kusurlarından dahi sorumludur ve müşterinin kusurunu ispat yükü bankaya aittir. Buna rağmen uygulamada bankaların önemli bir kısmı, kendi güvenlik zafiyetinden doğan zararı kendiliğinden karşılamamaktadır. Uyuşmazlık yargıya taşındığında yargılama yıllarca sürmekte, bu sürede ödenecek tutar enflasyon karşısında erimekte ve mağdurların bir kısmı hakkını aramaktan vazgeçmektedir. Kredi kartından harcama yapılan mağdur ise hiç yapmadığı bir harcamanın borcu, faizi ve icra takibiyle karşı karşıya kalmaktadır.

Alanya, Antalya ve Gazipaşa başta olmak üzere ülke genelinde giderek artan bu şikayetler, 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu, 6098 sayılı Türk Borçlar Kanunu (TBK), 6502 sayılı Tüketicinin Korunması Hakkında Kanun (TKHK) ve Yargıtay kararları çerçevesinde bu rehberde incelenmiştir.

1. Somut Örnek Olay

Örnek Olay: Uygulamada karşılaşılan bu olayda kişisel bilgiler çıkarılmış, tutarlar yuvarlanmıştır. Bir tüketici, bir gece saat 02.45 ile 05.45 arasında iki ayrı bankada mağdur edilir. Birinci bankadaki vadesiz hesabından mobil bankacılık üzerinden, hiç tanımadığı bir şirkete iki havaleyle yaklaşık 170 bin TL gönderilir. İkinci bankanın kredi kartından ise elektronik mağazalarından 11 ayrı internet alışverişiyle yaklaşık 450 bin TL harcama yapılır. Tüketici sabah durumu fark edince iki bankayı arar, kartlarını kapattırır, ertesi gün yazılı itirazda bulunur ve Cumhuriyet Başsavcılığına suç duyurusunda bulunur.

KanalNe oldu?Tutar (yaklaşık)Bankanın tavrıBir yıl sonra durum
Mobil bankacılık (vadesiz hesap)Gece 03.40 ve 03.53’te tanınmayan bir şirkete iki FAST havalesi170 bin TL“Şifre ve tanımlı cihazla girildi, kusurumuz yok.” Yazılı itiraza cevap verilmedi.Tüketici Hakem Heyeti tüketici lehine karar verdi; banka ödeme yapmak yerine karara itiraz ederek icrayı durdurttu. Mahkemenin bilirkişi raporu da tüketici lehine; ödeme halen yapılmadı.
Kredi kartı (internet alışverişi)Oyun konsolu, telefon ve kulaklık alımları; ödemeler 3D Secure ile450 bin TL“3D Secure şifresi kayıtlı telefona gönderildi, şifre gizliliği kart sahibinin sorumluluğundadır.”Yaklaşık 215 bin TL’lik kısım, siparişler iptal edildiği için işyerince iade edildi; kalan yaklaşık 235 bin TL için dava sürüyor.

Soruşturmada, kartla alınan ürünlerin başka bir kişi adına sipariş edilip tüketicinin yaşadığı şehirden yüzlerce kilometre uzaktaki bir mağazadan elden teslim alındığı anlaşılmıştır. Havalenin gönderildiği şirket hesabı olaydan yalnızca beş hafta önce açılmış, para kısa sürede başka hesaplara dağıtılmıştır. Tablo, organize bir dolandırıcılık şebekesine işaret etmektedir.

Bilirkişi Heyeti Ne Tespit Etti?

Bir bankacı ve bir bilişim uzmanından oluşan bilirkişi heyeti, bankanın kendi kayıtlarını birleştirerek olay gecesinin kronolojisini çıkarmıştır:

SaatKayıtlarda görülen
02.45Kredi kartının kapalı olan internet alışverişi yetkisi uygulama üzerinden açılıyor; mobil bankacılık oturumu başlıyor.
02.46 – 02.47Bankanın dolandırıcılık izleme sistemi kayıtlı hattı otomatik arıyor; kayda geçen yanıt: “işlem bana ait değil”.
03.40 ve 03.53Hesap korumaya alınmadığı için iki havale gerçekleşiyor (uyarıdan yaklaşık bir saat sonra).
03.00 – 05.30Diğer bankanın kartıyla 3D Secure onaylı alışverişler; kodlar tüketicinin hattına gidiyor ancak farklı IP adreslerinden kullanılıyor.
04.49Bir aktarım denemesi bu kez güvenlik sistemince durduruluyor.
04.53Banka güvenlik birimi hattı arıyor; operatör kayıtta “Sizin sesiniz kadın sesi geliyor ama” diyor, buna rağmen oturum sonlandırılmıyor.
02.45 – 07.30Tek gecede iki düzineden fazla oturum: olağan kullanımın yaklaşık on katı.
07.40Tüketici bankayı arayarak işlemlerden haberi olmadığını bildiriyor.

Heyetin vardığı sonuç şudur: İşlemlerin müşterinin cihazı ve şifresiyle yapılmış görünmesi, işlemleri müşterinin yaptığını göstermez; kayıtlar, cihazın ve hattın o gece üçüncü kişilerin denetimine geçtiğini desteklemektedir. Banka riski tespit etmiş, müşteriyi uyarmış ancak önlememiştir; müşteriye kusur atfedilmesi için dosyada teknik bir dayanak bulunmamaktadır. Ayrıca banka, savcılığa sunduğu kayıtların daha dar bir kesitini mahkemeye sunmuş, kritik aramaya ait ses kaydını hiç vermemiştir.

2. Bankalar Zararı Neden Karşılamıyor? Zaman Bankanın Lehine

Bankalar, güvenlik zafiyetinden doğan zararı çoğu zaman kaybedeceklerini bildikleri halde kendiliğinden ödememektedir; çünkü ödememek, ekonomik olarak ödemekten daha ucuzdur. Bu tercih, haklı olan tüketiciyi alacağını yıllarca takip etmeye zorlamaktadır.

  1. İtirazlar kalıp yazılarla reddediliyor. Örnek olayda bir banka yazılı itiraza hiç cevap vermemiş; diğeri aylar sonra, işyerinin bir kısmını iade etmiş olmasına rağmen “şifre gizliliği kart sahibinin sorumluluğundadır” diyen standart bir yazıyla itirazı reddetmiştir. Oysa 5464 sayılı Kanun’un 11. maddesi uyarınca kart çıkaran kuruluş, itirazı 20 gün içinde gerekçeli olarak cevaplamak zorundadır.
  2. Kaybedilen her aşamadan sonra bir üst aşamaya gidiliyor. Tüketici Hakem Heyeti tüketici lehine karar verdiğinde banka ödeme yapmamış, karara itiraz ederek uyuşmazlığı tüketici mahkemesine taşımış ve ihtiyati tedbirle icrayı durdurtmuştur. İlk derece yargılaması, bilirkişi incelemesi, istinaf ve temyiz ile birlikte bu tür dosyaların kesinleşmesi yıllar alabilmektedir.
  3. Enflasyon alacağı eritiyor. Mahkeme sonunda bankayı haksız bulsa dahi, banka kural olarak ana para ile kanuni faizi öder. Yüksek enflasyon dönemlerinde kanuni faiz oranı enflasyonun gerisinde kalabildiğinden, yıllar sonra yapılan ödemenin alım gücü, paranın hesaptan çıktığı günkü değerinin belirgin biçimde altında kalır. Bu sürede parayı kullanan ve değerlendiren taraf ise bankadır.
  4. Yargılama giderleri caydırıcı etki yapıyor. Tüketici bilirkişi ücreti, gider avansı ve avukatlık ücreti gibi masrafları önceden karşılamak zorunda kalır. Görece düşük tutarlı zararlara uğrayan pek çok mağdur bu yükü göze alamayarak hakkını aramaktan vazgeçmektedir.

Mağdurun Elindeki Karşı Araçlar

3. Kredi Kartı Mağduru: Borç, Faiz, Sicil ve İcra Takibi

Hesabından para çekilen kişi parasını kaybeder; kredi kartından harcama yapılan kişi ise üstelik hiç yapmadığı bir harcamanın borçlusu haline getirilir. Banka itirazı reddettiğinde harcamalar ekstreye borç olarak yansır ve süreç şu sırayla ilerler:

  1. Ekstre ve faiz: Harcamalar dönem borcuna eklenir; ödenmeyen kısım için akdi faiz, süre geçince gecikme faizi işler.
  2. Kartın kapatılması ve kredi sicili: Asgari ödeme yapılmadıkça kart kullanıma kapanır, gecikme kredi kayıt sistemine bildirilir ve kredi notu düşer. Mağdur, hiç yapmadığı bir harcama yüzünden konut kredisi, taşıt kredisi veya yeni kart alamaz hale gelebilir.
  3. Hesabın katı ve icra takibi: Borç ödenmezse banka hesabı kat ederek ihtarname gönderir ve icra takibi başlatır; maaş ve banka hesaplarına haciz riski doğar.

Bu noktada mağdur gerçek bir çıkmazla karşılaşır: Öderse, yapmadığı harcamanın bedelini üstlenmiş gibi görünmekten ve parasını geri almak için yıllarca uğraşmaktan çekinir; ödemezse faiz, sicil ve icra baskısı altına girer. Bankanın ödememe tercihi, bu baskıyı tüketiciye taşımanın en etkili yoludur.

Karşı hamleNe sağlar?Dikkat edilmesi gereken
İhtirazi kayıtla ödemeFaiz ve sicil yükünü durdurur; ödenen tutar sonradan dava yoluyla faiziyle geri istenebilir.Ödeme açıklamasına ve ayrıca yazılı bir bildirime “itirazım saklı kalmak kaydıyla, borç ikrarı anlamına gelmemek üzere” şerhi düşülmelidir.
İhtiyati tedbir talepli davaİtiraz konusu harcamalar için faiz işletilmesinin, takibe geçilmesinin veya olumsuz sicil bildiriminin durdurulması talep edilebilir.Talebin dava dilekçesinde gerekçesiyle açıkça yazılması gerekir.
Menfi tespit davasıİtiraz konusu harcamalardan dolayı borçlu olunmadığının tespiti istenir (İİK m. 72).Takip başlamışsa mahkeme, teminat karşılığında paranın alacaklıya ödenmesini durdurabilir.
Ödeme emrine itirazİlamsız takipte itiraz takibi durdurur; bankanın devam edebilmesi için itirazın iptali veya kaldırılması yoluna gitmesi gerekir (İİK m. 62).Süre, ödeme emrinin tebliğinden itibaren 7 gündür; kaçırılması takibi kesinleştirir.

4. Hukuki Çerçeve: Sorumluluk ve İspat Yükü Bankada

Mevduat Bankanın Zararıdır

Banka, kendisine emanet edilen parayı aynen iade etmekle yükümlüdür. Yetkisiz bir talimatla hesaptan çıkan para, kural olarak müşterinin değil bankanın zararıdır. Banka, borçlu sıfatıyla sözleşmeye aykırılıkta kendisine hiçbir kusur yüklenemeyeceğini ispatlamadıkça zararı gidermekle yükümlüdür (TBK m. 112). Müşterinin kusuru varsa bu ancak müterafik kusur olarak tazminattan indirim sebebi olabilir (TBK m. 52) ve bunu da banka ispatlamak zorundadır.

Bankalar Hafif Kusurlarından Dahi Sorumludur

Yargıtay’a göre bankalar, özel kanunla kurulan ve topladıkları mevduatı sahteciliklere karşı özenle korumak zorunda olan güven kurumlarıdır. Bu nedenle ağırlaştırılmış bir objektif özen yükümlülüğü altındadırlar ve en hafif kusurlarından dahi sorumludurlar. Basiretli tacir olarak bankadan beklenen özen, sıradan bir tacirden daha ağırdır ve internet bankacılığıyla birlikte daha da artmıştır.

5464 Sayılı Kanun İspat Yükünü Açıkça Bankaya Verir

BDDK Yönetmeliği Bankaya “Önleme” Yükümlülüğü Getirir

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik uyarınca bankalar en az iki bileşenli kimlik doğrulama kullanmak zorundadır; buna uygun doğrulama kullanılmadan yapılan işlemlerde işlemin müşteri tarafından yapıldığını ispat yükü bankaya düşer (m. 34). Bankalar olağan dışı ve sahtekarlık amaçlı işlemleri yalnızca tespit etmekle değil, önlemekle yükümlü işlem takip mekanizmaları kurmalıdır (m. 36). İz kayıtları güvenilir delil üretecek nitelikte olmalı (m. 35); kayıtlı numara aranacaksa önce hattın başka bir numaraya yönlendirilmediği kontrol edilmelidir (m. 40).

Tüketici Hukuku: Ayıplı Bankacılık Hizmeti

Müşteri gerçek kişi ise uyuşmazlık TKHK kapsamında ayıplı bankacılık hizmeti niteliğindedir. Her yıl ilan edilen parasal sınırın altındaki taleplerde Tüketici Hakem Heyeti, üstündeki taleplerde ise zorunlu arabuluculuk sonrasında tüketici mahkemesi görevlidir. Sözleşmelerdeki “şifreyle yapılan her işlem müşteriye aittir, banka doğrulama yükümlülüğü taşımaz” türünden kayıtlar, bankanın kanuni özen borcunu ortadan kaldırmaz ve haksız şart denetimine tabidir.

5. Yargıtay ve Bölge Adliye Mahkemesi Kararları

Yerleşik içtihat, şifre ve kodun müşterinin kusuruyla ele geçirildiği bankaca somut delillerle ispatlanmadıkça zararı bankaya yüklemektedir. Belirleyici nokta şudur: Müşterinin kodu kendi eliyle üçüncü kişiye verdiği sabitse sonuç tersine dönebilir.

KararÖzü
Yargıtay HGK, E. 2012/550, K. 2012/820Usulsüz işlemle çekilen mevduat bankanın zararıdır; banka hafif kusurundan dahi sorumludur.
Yargıtay 11. HD, E. 2022/4527, K. 2024/585, T. 24.01.2024Banka, gelişen dolandırıcılık yöntemlerine karşı güvenlik altyapısını güncel tutmak, olağan dışı işlemleri tespit etmek ve müşteri teyidi almakla yükümlüdür.
Yargıtay 11. HD, E. 2012/5308, K. 2013/4684, T. 11.03.2013Kısa sürede yapılan 7 ayrı işlemi fark edecek güvenlik sistemi bulunmayan banka kusurludur; şifrenin müşteri ihmaliyle ele geçtiğini ispat edemeyen banka sorumludur.
Yargıtay 13. HD, E. 2012/17470, K. 2012/25579, T. 15.11.2012Yüksek tutarlı, peş peşe bölünerek yapılan işlemlerde sistemi güvenli hale getirmeyen banka objektif özen borcunu ihlal etmiştir.
Yargıtay 11. HD, E. 2011/8143, K. 2012/15150, T. 04.10.2012SMS ile onay alma tam güvenlik sağlamaz; en güvenli yöntemi zorunlu kılmayıp müşteri tercihine bırakan banka kusurludur.
İstanbul BAM 12. HD, E. 2025/1305, K. 2025/1393, T. 22.09.2025İşlemlerin gerçekten 3D güvenlik altyapısıyla yapıldığı gösterilemezse “3D Secure” savunması bankayı sorumluluktan kurtarmaz.
Yargıtay 11. HD, E. 2024/6085, K. 2025/3799, T. 28.05.2025Karşı örnek: Şifre ve kodları üçüncü kişilere davacının kendisinin verdiği tartışmasız olduğundan dava reddedilmiş, karar onanmıştır.

Son karar önemli bir uyarı içermektedir: “Kodu telefonda bankacı olduğunu söyleyen kişiye okudum” gibi beyanlar dava sonucunu doğrudan belirler. Bu nedenle ilk başvuru ve ifadelerde olayın gerçekte nasıl yaşandığı dikkatle ve doğru anlatılmalıdır.

6. Bankaların Savunmaları ve Karşı Argümanlar

Bankanın savunmasıKarşı argüman
“İşlem müşterinin şifresi ve tanımlı cihazıyla yapıldı; iki bileşenli doğrulama sağlandı.”Teknik kayıt, işlemi kimin yaptığını göstermez. Uzaktan erişim yazılımları, ekran paylaşımı veya erişilebilirlik servisi istismarıyla cihaz üçüncü kişinin denetimine geçebilir.
“3D Secure kodu kayıtlı telefona gönderildi; kod girilmeden işlem tamamlanamaz.”Kodun gönderilmesi, müşteriye ulaştığı, okunduğu ve müşterinin girdiği anlamına gelmez. Örnek olayda kodlar farklı IP adreslerinden girilmiştir. Kodun müşteriye ulaştığını ispat yükü bankadadır (5464 sayılı Kanun m. 32).
“Sözleşmeye göre şifreyle verilen her talimat müşteriye aittir.”Banka, sözleşme hükmüyle kanuni özen borcundan ve ağır kusurundan kurtulamaz; tüketici sözleşmelerinde bu kayıtlar haksız şart denetimine tabidir.
“Kısmi iadeyi işyeri yaptı; bu, kusur kabulü sayılmaz.”Aynı gece, aynı yöntemle yapılan işlemlerin bir kısmının iptal edilip iade edilmesi, tüm işlemlerin yetkisiz olduğunun güçlü bir göstergesidir.
“Güvenlik sistemimiz çalıştı, müşteriyi aradık.”Sistem riski tespit ettiği halde işlem durdurulmadıysa bu, bankanın aleyhine en güçlü delildir. Yönetmelik tespit ve uyarıyla yetinmez, önlemeyi ister.
“Ceza soruşturması bekletici mesele yapılsın; talep şüphelilere yöneltilsin.”Bankanın sözleşmesel sorumluluğu faillerin bulunmasına bağlı değildir. Banka ödeme yaptıktan sonra faillere rücu edebilir.
“Müşteri kayıtlı hattın güvenliğinden sorumludur.”Hattın yönlendirilip yönlendirilmediğini aramadan önce kontrol etmek bankanın yükümlülüğüdür. Örnek olayda operatör ses uyuşmazlığını fark ettiği halde işlemleri durdurmamıştır.

Usule ilişkin bir not: Bankanın elindeki log, ses kaydı ve dolandırıcılık skoru gibi belgelerin eksiksiz getirtilmesi istenmeli; sunulmazsa HMK m. 220 uyarınca bankanın aleyhine sonuç çıkarılması talep edilmelidir.

7. Mağdur Ne Yapmalı? Adım Adım Yol Haritası

İlk saatlerde atılan adımlar hem zararı sınırlar hem de yargılamada “müşteri kusuru” tartışmasını büyük ölçüde ortadan kaldırır.

  1. Bankayı hemen arayın, kartı ve dijital kanalları kapattırın; arama saatini not edin (5464 sayılı Kanun m. 16).
  2. Ekran görüntülerini alın, telefonu sıfırlamayın. SMS’ler, bildirimler, çağrı geçmişi ve yüklü uygulamalar delildir; fabrika ayarlarına dönüş adli bilişim incelemesini imkansız kılar.
  3. Bankaya yazılı itirazda bulunun. Her işlemi tarih, saat ve tutarıyla sayın. Kredi kartında itiraz, son ödeme tarihinden itibaren 10 gün içinde yapılmalıdır (m. 11).
  4. Cumhuriyet Başsavcılığına suç duyurusunda bulunun. Savcılık; mağazalardan teslim belgelerini, bankalardan IP ve log kayıtlarını, alıcı hesapların sahiplerini getirtebilir.
  5. Bankanın cevabını takip edin. Banka 20 gün içinde gerekçeli cevap vermek zorundadır; ret veya cevapsızlık halinde hukuki yola başvurun.
  6. Doğru mercii seçin. Parasal sınırın altındaki taleplerde Tüketici Hakem Heyeti, üstündekilerde zorunlu arabuluculuk ve ardından tüketici mahkemesi.
  7. Yargılamada bankanın tüm kayıtlarını isteyin ve bilirkişi heyetinde bir bilişim uzmanı bulunmasını talep edin; GSM operatöründen hatta yönlendirme veya SIM değişikliği yapılıp yapılmadığı sorulmalıdır.
  8. Kredi kartı borcunu yönetin. İtiraz reddedildiyse ihtirazi kayıtla ödeme, ihtiyati tedbir veya menfi tespit seçeneklerinden biri değerlendirilmelidir; borcu sessizce ödemeyip beklemek faiz ve sicil kaydını büyütür.
  9. Ödeme emri gelirse 7 günü kaçırmayın. İcra dairesine itiraz edin; itiraz takibi durdurur.

Sonuç

Şifre, SMS kodu ve tanımlı cihaz, bankanın kimlik doğrulama araçlarıdır; müşterinin işlemi yaptığının ispatı değildir. Dolandırıcılar bu araçları ele geçirmenin yollarını geliştirdikçe, önleme yükü de riski en iyi gören ve yöneten tarafa, yani bankaya düşer. Hukuk bu konuda tüketicinin yanındadır; asıl sorun haklı olmak değil, hakkın zamanında alınabilmesidir.

Örnek olay bunu açıkça göstermektedir: Bankanın kendi sistemi gece “işlem bana ait değil” yanıtını kaydetmiş, ancak hesap korumaya alınmamış ve para bir saat içinde çıkmıştır. Hakem heyeti ve bilirkişi heyeti tüketiciye yüklenebilecek bir kusur bulmamış, buna rağmen aradan bir yılı aşkın süre geçmiş ve ödeme halen yapılmamıştır. Güvenlik sisteminin riski tespit ettiği halde işlemi durdurmadığı durumlarda zararın tüketiciye hızla iade edilmesi ve uyuşmazlığın ondan sonra tartışılması, yükü ait olduğu yere taşıyacaktır. O güne kadar mağdurlara düşen; hızlı hareket etmek, delilleri korumak, süreleri kaçırmamak ve kredi kartı borcunu bilinçli yönetmektir. Somut uyuşmazlıklarınız ve hak kaybı yaşamamak adına alanında uzman bir avukata başvurulması tavsiye edilir.

Yararlanılan kaynaklar: 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu m. 11, 15, 16, 32, 33; 6098 sayılı TBK m. 52, 112, 122; 2004 sayılı İİK m. 62, 72; 6100 sayılı HMK m. 220; 6502 sayılı TKHK; Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik m. 34-36, 40; Yargıtay HGK E. 2012/550 K. 2012/820; Yargıtay 11. HD E. 2022/4527 K. 2024/585; E. 2012/5308 K. 2013/4684; E. 2011/8143 K. 2012/15150; E. 2024/6085 K. 2025/3799; Yargıtay 13. HD E. 2012/17470 K. 2012/25579; İstanbul BAM 12. HD E. 2025/1305 K. 2025/1393. Mevzuat metinleri için: mevzuat.gov.tr.

Yasal Uyarı: Bu metin, yalnızca genel bilgilendirme amacıyla hazırlanmıştır; hukuki tavsiye niteliği taşımaz. sophoshukuk.com olarak herhangi bir yönlendirme, garanti veya sonuç vaadinde bulunmamaktayız. Her dosya kendi özel şartlarına göre değerlendirilmelidir; somut uyuşmazlıklarınız için mutlaka bir avukattan profesyonel destek alınız.