İnternet Bankacılığı Şifresi Çalınırsa: Dolandırıcılık mı, Hırsızlık mı, Kart Kötüye Kullanımı mı?

I. Aynı Olay, Üç Farklı Suç Tipi

İnternet bankacılığı şifresinin ele geçirilmesi, sahte "banka görevlisi" araması veya kredi kartı bilgilerinin telefonla alınması gibi olaylarda savcılık ve mahkemeler sürekli aynı soruyla karşılaşır: bu eylem nitelikli dolandırıcılık mıdır (TCK m.158/1-f), bilişim sistemi kullanılarak işlenen hırsızlık mıdır (TCK m.142/2-e), yoksa banka veya kredi kartının kötüye kullanılması mıdır (TCK m.245/1)? Doğru nitelendirme sadece akademik bir mesele değil; üç suçun ceza alt-üst sınırları, görevli mahkemesi ve etkin pişmanlık imkânları birbirinden farklıdır. Görevli mahkeme noktasında yakın tarihli ve önemli bir değişikliğe dikkat çekmek gerekir: nitelikli dolandırıcılık suçu (TCK m.158) uzun süre ağır ceza mahkemelerinin görevindeydi; ancak 7571 sayılı Türk Ceza Kanunu ile Bazı Kanunlarda ve 631 sayılı Kanun Hükmünde Kararnamede Değişiklik Yapılmasına Dair Kanun'un 12. maddesiyle 5235 sayılı Kanun'un 12. maddesinde yapılan değişiklik uyarınca, Hâkimler ve Savcılar Kurulu Birinci Dairesi'nin 25.12.2025 tarihli ve 2275 sayılı kararıyla, nitelikli dolandırıcılık suçlarına bakan ağır ceza mahkemelerinin ihtisas yetkisi 25.12.2025 tarihi itibarıyla kaldırılmış ve bu suçtan açılacak davaların mahaldeki asliye ceza mahkemelerine genel tevziden eşit olarak dağıtılmasına karar verilmiştir.¹ Buna göre bugün itibarıyla nitelikli dolandırıcılık (TCK m.158/1-f), bilişim sistemi kullanılarak işlenen hırsızlık (TCK m.142/2-e) ve banka veya kredi kartının kötüye kullanılması (TCK m.245/1) suçlarının üçü de asliye ceza mahkemesinde görülmektedir; buna karşılık ceza miktarındaki fark ve etkin pişmanlık imkânı bakımından doğru nitelendirme hâlâ belirleyicidir.

Yargıtay Ceza Genel Kurulu'nun 2009 tarihli kararıyla ortaya konan ve Kurul'un 2026 kararlarında da anılan bir ayrım testi vardır. Ancak 2. Ceza Dairesi, şifrenin aldatma yoluyla ele geçirildiği olaylarda bu testten ayrılan bir çizgi izlemekte ve mesele yeniden Ceza Genel Kurulu önüne gelmiş bulunmaktadır. Bu makale, testin unsurlarını, bu ayrışmayı ve en güncel (2024-2026) uygulamaları ele almaktadır.

II. Yasal Çerçeve

TCK m.158/1-f, dolandırıcılık suçunun bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle işlenmesini nitelikli hâl saymaktadır. Madde gerekçesine göre bilişim sisteminin kendisinin aldatılmasından söz edilemez; bu bendin uygulanabilmesi için sistemin araç olarak kullanılıp bir insanın aldatılması, yani dolandırılması gerekir. Sisteme girilerek bir kişi aldatılmadan doğrudan sistemden yararlanılıp çıkar sağlanmışsa, bu bent değil başka hükümler uygulanır.²

TCK m.142/2-e, hırsızlık suçunun bilişim sistemlerinin kullanılması suretiyle işlenmesini nitelikli hâl sayar. TCK m.245/1 ise başkasına ait bir banka veya kredi kartını her ne suretle olursa olsun ele geçiren veya elinde bulunduran kişinin, kart sahibinin rızası olmaksızın bunu kullanarak yarar sağlamasını ayrı ve özel bir suç olarak düzenler.

III. Yargıtay Ceza Genel Kurulu'nun Testi: Kim, Kimin Eliyle İşlemi Yapıyor?

Konunun temel taşı, Yargıtay Ceza Genel Kurulu'nun 2009 tarihli kararıdır. Olayda sanık, bir şirketin hesabının internet şifresini ele geçirerek kendi hesabına havale yapmış ve haksız menfaat sağlamıştır. Kurul, sanığın bizzat kendisinin transfer işlemini yapmış olması ve eylemin doğrudan mağdurun malvarlığına yönelik olması nedeniyle bu eylemi dolandırıcılık değil, TCK m.142/2-e kapsamında bilişim sistemlerini araç kılarak işlenen hırsızlık suçu saymıştır.³ Kurul, aynı ilkeyi 2014 tarihli bir başka kararında da tekrarlamış; bu kez sanığın ele geçirdiği GSM hattı şifresiyle mağdurun kontörlerini kendi hesabına aktarması eylemini yine hırsızlık olarak nitelendirmiştir.⁴ Kurul, 14.01.2026 tarihli kararlarında da internet bankacılığı şifresinin öğrenilip paranın failin kontrolündeki hesaba aktarılması eylemlerinin, 2009 kararında belirtildiği üzere bilişim sistemlerinin kullanılması suretiyle hırsızlık oluşturduğunu tekrarlamıştır.¹⁰

Bu iki kararın ortaya koyduğu test sadedir: eğer mağdur, aldatılarak bizzat kendisi zarar doğurucu işlemi yapıyorsa (şifresini kendi eliyle girip parayı kendi eliyle transfer ediyorsa), ortada bir insanın aldatılması vardır ve TCK m.158/1-f uygulanır. Buna karşılık fail, ele geçirdiği bilgiyle kendisi sisteme girip parayı kendisi transfer ediyorsa, bilişim sisteminin "aldatılması" mümkün olmadığından burada dolandırıcılık değil, TCK m.142/2-e kapsamında hırsızlık vardır.

IV. Testin Güncel Uygulamaları: Phishing'den Uzaktan Erişim Programlarına

1. Phishing ve sahte banka görevlisi aramaları — 2. Ceza Dairesinin farklı çizgisi

2. Ceza Dairesi'nin 2022 tarihli bir kararında, bankanın web sitesiyle aynı görünümde sahte bir site açılarak mağdurun hesap bilgileri ve şifresi ele geçirilmiş, bu bilgilerle hesaptan başka hesaplara para transferi yapılmıştı. Bölge adliye mahkemesi eylemi hırsızlık saymıştı; Daire çoğunluğu ise mağdurun sahte siteyle aldatıldığını esas alarak eylemin TCK m.158/1-f kapsamında nitelikli dolandırıcılık olduğunu belirtip hırsızlık hükmünü bozmuş, hırsızlık görüşü karşı oyda kalmıştır.⁵ Daire, 2026 tarihli bir kararında da kendini banka görevlisi olarak tanıtan kişinin mağdurdan şifre ve güvenlik kodlarını alıp hesabından havaleler yaptığı ve mağdur adına kredi çektiği olayda eylemi dolandırıcılık saymıştır. Bölge adliye mahkemesi hırsızlık görüşünde direndiği için dosya CMK m.307/4 uyarınca Ceza Genel Kurulu'na gönderilmiş, iki üye karşı oy kullanmıştır.⁶ Dolayısıyla şifrenin aldatma yoluyla ele geçirildiği, ancak transferi failin yaptığı olaylarda nitelendirme bugün Yargıtay içinde tartışmalıdır ve Kurul'un vereceği karar bu soruyu netleştirecektir.

2. Kredi kartı bilgisiyle harcama — TCK m.245/1'in özel norm niteliği

Kart bilgilerinin telefonla alındığı olaylarda da görüşler ayrışmıştır. 11. Ceza Dairesi'nin 2024 tarihli bir kararında, sanığın kendini bir kurum görevlisi olarak tanıtıp mağdurdan kredi kartı bilgilerini ve telefona gelen şifreyi alarak karttan çekim yapması olayında Daire çoğunluğu ilk derece mahkemesinin hükmünü onamış; eylemin TCK m.245/1 kapsamında banka veya kredi kartının kötüye kullanılması suçunu oluşturduğu görüşü karşı oyda savunulmuştur.⁷ Daire 2026 tarihli bir kararında ise sanığın kimlik numarası ve kredi kartı bilgileriyle birlikte SMS'le gönderilen 3D güvenlik şifresini kullanarak online harcama yapması olayında, alt derece mahkemesinin nitelikli dolandırıcılık nitelendirmesini hatalı bulmuş ve TCK m.245/1'in uygulanması gerektiğine hükmetmiştir.⁸ Ceza Genel Kurulu da ele geçirilen banka veya kredi kartının rıza dışında kullanılarak yarar sağlandığı durumlarda TCK m.245/1'in hırsızlık ve dolandırıcılığa göre özel norm olduğunu kabul etmektedir.¹⁰

3. ATM'de unutulan kart — Ceza Genel Kurulu 2026'da netleştirdi

Uzun süre tartışmalı kalan bir örnek, ATM cihazında kartını unutup hesabını açık bırakan mağdurun ardından gelen kişinin işleme devam ederek para çekmesidir. 8. Ceza Dairesi böyle bir olayda eylemi basit hırsızlık (TCK m.141/1) saymış, Cumhuriyet Başsavcılığı eylemin bilişim sistemi kullanılarak işlenen nitelikli hırsızlık (m.142/2-e) olduğunu ileri sürerek itiraz etmiş, Daire itirazı oy çokluğuyla yerinde görmemişti.⁹ Ceza Genel Kurulu 14.01.2026'da itirazı değişik gerekçeyle kabul etti: kartını cihazda unutan mağdurun kart üzerindeki fiilî hâkimiyeti sona erdiğinden, hem bilişim sistemini hem de ele geçirdiği kartı rıza dışında kullanarak para çeken sanığın eylemi, hırsızlığa göre özel norm olan TCK m.245/1'deki banka kartının kötüye kullanılması suçunu oluşturur. Dört üye bu görüşe katılmamıştır.¹⁰

4. Uzaktan erişim programları ve sahte kredi başvurusu linkleri

Dolandırıcıların kullandığı yöntemler çeşitlenmeye devam etmektedir: telefonla arayıp "banka görevlisiyim" diyerek mağduru uzaktan erişim (TeamViewer benzeri) programı kurmaya ikna etmek, veya sahte "araç çekilişi" reklamına tıklattırarak kişisel bilgi toplamak gibi. 11. Ceza Dairesi'nin 2025 tarihli bir kararında, mağdurun sahte bir çekiliş linkine tıklayıp bilgilerini girmesinin ardından adına kredi başvurusu yapıldığı ve hesabından nakit çekildiği olayda, savcılığın yetersiz araştırmayla verdiği kovuşturmaya yer olmadığı kararı bozulmuş; failin kimliğinin, kullanılan yöntemin ve mağdurun işlemi bizzat mı yoksa failin mi yaptığının netleştirilmesi gerektiği vurgulanmıştır.¹¹ Bu karar, yöntem ne kadar yeni olursa olsun, doğru suç vasfının tayini için hâlâ aynı temel sorunun (işlemi kim yaptı?) sorulması gerektiğini göstermektedir.

V. Pratik Sonuç: Suç Vasfını Belirlerken Sorulması Gereken Sorular

Yukarıdaki kararlar birlikte değerlendirildiğinde, uygulayıcı için şu kontrol listesi ortaya çıkmaktadır. Birincisi, ele geçirilen şey bir banka veya kredi kartı ya da kart bilgisi mi? Öyleyse Ceza Genel Kurulu'na göre TCK m.245/1 özel norm olarak öncelik kazanır. İkincisi, zarar doğurucu işlemi bizzat mağdur mu yaptı, yoksa fail mi yaptı? Mağdur aldatılarak işlemi kendisi yaptıysa TCK m.158/1-f uygulanır; şifre mağdurun haberi olmadan ele geçirilip transferi fail yaptıysa Ceza Genel Kurulu'nun 2009 testine göre TCK m.142/2-e gündeme gelir. Üçüncüsü, şifre mağdur aldatılarak ele geçirilmiş ama transferi fail yapmışsa, 2. Ceza Dairesi bu olayları dolandırıcılık saymaktadır ve konu Ceza Genel Kurulu önündedir; bu tür dosyalarda her iki nitelendirme de gerekçeli olarak tartışılmalıdır.

Sonuç

Bilişim sistemleri aracılığıyla işlenen mal varlığına karşı suçlarda Ceza Genel Kurulu'nun 2009'dan beri esas aldığı ölçüt, işlemi kimin bizzat gerçekleştirdiğidir; kart veya kart bilgisinin kullanıldığı olaylarda ise Kurul 2026'da TCK m.245/1'in özel norm olduğunu açıkça kabul etmiştir. Buna karşılık şifrenin aldatma yoluyla ele geçirildiği phishing ve sahte banka görevlisi olaylarında 2. Ceza Dairesi dolandırıcılık görüşündedir ve konu yeniden Kurul önündedir. Uygulayıcı açısından pratik önerimiz, savunma veya şikâyet dilekçesi hazırlanırken olay örgüsünün "kim, kimin eliyle" sorusuna göre ayrıştırılması ve bu ayrıma göre ilgili maddenin (m.158/1-f, m.142/2-e veya m.245/1) gerekçeli olarak gösterilmesidir — zira ceza miktarı ve etkin pişmanlık imkânı bu nitelendirmeye göre kökten değişmektedir.