İnternet Bankacılığında Yetkisiz İşlemlerde Bankanın Sorumluluğu ve Ağır Kusur Sınırı

I. Hesabından İzinsiz Para Çekilirse Banka Sorumlu mu?

Bir müşteri, cep telefonuna gelen bir aramayla "banka müfettişi" veya "merkez bankası görevlisi" olduğunu söyleyen bir kişinin yönlendirmesiyle kendi hesabından para transfer eder; ya da hiçbir şey yapmadığı hâlde bir gün hesabının boşaldığını fark eder. Her iki durumda da ortaya aynı soru çıkar: Banka, müşterinin bilgisi veya rızası dışında gerçekleşen bu işlemden sorumlu mudur? Bankalar genellikle "SMS ile gönderilen onay kodunu kimseyle paylaşmayın" uyarısının sözleşmede yer aldığını, dolayısıyla müşterinin bu kodu ister bilerek ister bilmeyerek üçüncü kişiye ulaştırmasının tek başına sorumluluğu kendisine yüklediğini savunur.

Ancak Yargıtay'ın 2012'den bu yana istikrarla işlediği ve 2018 tarihli bir Hukuk Genel Kurulu kararıyla ilke hâline getirdiği içtihat, meseleyi bu kadar basit görmez. Bankalar, mevduatı koruma konusunda "objektif özen yükümlülüğü" altındadır ve bu yükümlülüğün ağırlığı, sadece müşterinin dikkatsizliğine değil, bankanın somut olayda hangi güvenlik protokollerini uyguladığına bakılarak belirlenir. Bu makale, bu doktrinin nasıl kurulduğunu, 2020 tarihli bir BDDK düzenlemesinin bu yükümlülüğü nasıl somut kurallara döktüğünü ve müşterinin ne zaman "ağır kusurlu" sayılıp bankanın sorumluluktan kurtulduğunu, 2012-2024 arasına yayılan Yargıtay kararları ışığında ele almaktadır.

II. Mevduat Sözleşmesi Bankaya Ne Yükler?

Mevduat sözleşmesi, 5411 sayılı Bankacılık Kanunu'nun 61. maddesi uyarınca bankaların kendilerine yatırılan paraları mudilere istendiğinde veya belli bir vadede aynen veya misli olarak iade etmekle yükümlü olduğu, ödünç (karz) ile usulsüz tevdi sözleşmelerinin niteliklerini taşıyan kendine özgü bir sözleşmedir.¹ Bu düzenlemenin doğal sonucu, hesaptan usulsüz şekilde çekilen paraların hukuken doğrudan bankanın zararı sayılması, mevduat sahibinin bankaya karşı alacağının ise aynen devam etmesidir. Banka, ancak müşterinin işlemde kusuru bulunduğunu ispatlarsa bu kusur oranında alacaktan mahsup talep edebilir.

Bu genel çerçeveyi somutlaştıran ikinci kaynak, 6098 sayılı Türk Borçlar Kanunu'nun (TBK) genel sorumluluk hükümleridir: TBK m.112 uyarınca borcunu hiç veya gereği gibi ifa etmeyen borçlu, kusuru bulunmadığını ispat etmedikçe sorumludur — ispat yükü bankadadır. Ayrıca TBK m.115/3 ve 116/3, borçlunun hafif kusurundan doğan sorumluluğu önceden kaldıran veya sınırlayan sözleşme hükümlerini, borçlunun yardımcı kişileri ya da kendi hizmetinde çalışanları bakımından da geçersiz sayar; bu nedenle bankaların internet/mobil bankacılık sözleşmelerine koyduğu "her türlü sorumluluk müşteriye aittir" tarzı hükümler, bankanın hafif kusurunu dahi ortadan kaldıramaz.²

Üçüncü kaynak, 6102 sayılı Türk Ticaret Kanunu m.18/2'deki "basiretli iş adamı gibi hareket etme" yükümlülüğüdür; Yargıtay'a göre bankalardan beklenen basiret ölçüsü sıradan bir tacirden daha ağırdır ve internet bankacılığı hizmetine başlanmasıyla bu özen yükümlülüğü daha da artar.³

Son olarak, 15.03.2020 tarihinde Resmî Gazete'de yayımlanan ve BDDK tarafından çıkarılan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'in 34. maddesi, yukarıdaki soyut ilkeleri somut ve denetlenebilir teknik yükümlülüklere dönüştürmüştür. Bu madde, aşağıda III/B'de ayrıntılı incelenecektir.

III. Yargıtay Sorumluluğu Nasıl Kuruyor?

A. 2018 Hukuk Genel Kurulu Kararı: "Objektif Özen Yükümlülüğü" Doktrininin Kuruluşu

Konunun temel taşı, Yargıtay Hukuk Genel Kurulu'nun E.2017/2224 K.2018/1753 sayılı ve 22.11.2018 tarihli kararıdır.⁴ Olayda, davacının hesabından internet bankacılığı yoluyla üçüncü kişilere para aktarılmış, yerel mahkeme davacıyı %40, bankayı %60 kusurlu bulmuş; Yargıtay 11. Hukuk Dairesi bu oranlamayı bozmuş, yerel mahkeme direnince dosya Hukuk Genel Kurulu'na gelmiştir.

Kurul, kararında üç temel önerme ortaya koymuştur. Birincisi, bankaların "güven kurumu" niteliği: Bankalar özel yasayla kurulan, kendilerine alanlarında imtiyazlar tanınan ve topladıkları mevduatı sahteciliklere karşı özenle koruma yükümlülüğü bulunan kuruluşlardır; bu nitelik, bankanın sorumluluğunun özel güven nedeniyle ağırlaştırılmasını gerektirir.⁵ İkincisi, bu ağırlaştırılmış sorumluluğun sonucu olarak bankalar "objektif özen yükümlülüğü" altındadır ve hafif kusurlarından dahi sorumludurlar; bu sorumluluğu kaldırmaya yönelik sözleşme hükümleri TBK m.115/3 ve 116/3 uyarınca geçersizdir. Üçüncüsü, müşterinin de kendine düşen özeni göstermek zorunda olduğu, ancak müşterinin kusurunun "müterafik kusur" (TBK m.52) olarak değerlendirilebilmesi için bankanın hem kendi kusursuzluğunu hem de müşterinin kusurunu ayrı ayrı ispatlaması gerektiğidir.

Kurul, somut olayda hükme esas alınan bilirkişi raporunun "ihtimallere dayalı" olduğunu, davacının aynı anda üç farklı bankadaki hesabına yönelik saldırıya uğradığını, diğer iki bankanın müşteriyi bilgilendirip işlemi durdurduğunu, davalı bankanın ise bu tedbirleri alıp almadığının araştırılmadığını belirterek kararı bozmuştur. Karara eklenen karşı oyda ise daha da ileri gidilerek, banka SMS gibi "yetersiz kalan" bir doğrulama yöntemini seçenek olarak sunduğu için, müşterinin bilgileri ele geçirilmiş olsa dahi zararın bankanın kendi tercihinden kaynaklandığı savunulmuş ve bu görüş, Kurul'un 21.11.2012 tarihli E.2012/550 K.2012/820 sayılı önceki bir kararına⁶ ve 11. Hukuk Dairesi'nin çok sayıda emsal kararına dayandırılmıştır.⁷ Çoğunluk bu görüşü benimsemese de, gerekçedeki temel doktrin — objektif özen yükümlülüğü ve ispat yükünün bankada olması — 2012'den 2018'e, oradan günümüze kesintisiz şekilde korunmuştur.

B. 2020 Yönetmeliği: Soyut İlkeden Somut Teknik Kurala

2018 HGK kararının "gerekli tüm tedbirleri aldı mı" sorusu, uygulamada sürekli ihtilaf konusu olmuş; her davada yeniden bilirkişi incelemesi gerekmiştir. Bu belirsizlik, büyük ölçüde BDDK'nın 15.03.2020 tarihinde yürürlüğe koyduğu Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'in 34. maddesiyle giderilmiştir. Maddenin birinci fıkrası, finansal sonuç doğurmayan işlemler dâhil tüm elektronik bankacılık hizmetlerinde birbirinden bağımsız en az iki bileşenli bir kimlik doğrulama mekanizması zorunlu kılar; üçüncü fıkra ise bu kurala uyulmadan gerçekleştirilen işlemlerde, işlemin müşteri tarafından yapıldığını ispat yükünü doğrudan bankaya yükler.⁸

Uygulamada en çok tartışma yaratan hüküm, sekizinci fıkradır: Banka, SIM kart değişikliği veya numara taşıma yoluyla operatör değişikliği yapan müşterisini tespit etmek ve bu değişiklikten itibaren 90 gün boyunca SIM karta dayalı unsuru (yani SMS ile gönderilen tek kullanımlık şifreyi) kimlik doğrulama aracı olarak kullanmamak zorundadır; değişiklik teyit edilmeden bu kurala aykırı şekilde gerçekleştirilen işlemlerde ispat yükü yine bankadadır.⁸ Bu hüküm doğrudan, dolandırıcıların en sık kullandığı "SIM kart kopyalama/değiştirme" yöntemine karşı getirilmiş özel bir koruma katmanıdır.

Yargıtay 11. Hukuk Dairesi, E.2024/229 K.2024/5935 sayılı ve 03.09.2024 tarihli kararında bu hükme de dayanan bir ilk derece kararını onamıştır: Dosyada SIM kart değişikliği tespit edilmiş, ancak banka buna rağmen SMS OTP ile işlem onayı almış; ilk derece mahkemesi "davalı bankanın elektronik bankacılık hizmetleri sunulurken SİM karta dayalı kimlik doğrulama kullanamayacağı" gerekçesiyle bankayı sorumlu tutmuş, Daire bu kararı onamıştır. Olaydaki havale 2013'te yapıldığından Yönetmelik hükmünü Daire değil ilk derece mahkemesi uygulamıştır.⁹ Aynı doğrultuda, E.2022/2636 K.2023/6087 sayılı ve 23.10.2023 tarihli kararda, art arda gelen SIM değişikliği ve şifre yenileme işlemlerinin "yüksek seviyede olağandışı ve şüpheli" olduğu, bankanın fraud (dolandırıcılık) izleme sistemlerinde alarm oluşturması gerektiği belirtilerek, bankanın sadece telefonla doğum yeri/adres sorması yetersiz görülmüş ve banka tam kusurlu bulunmuştur.¹⁰ Bu karar, BDDK'nın 14.09.2007 tarihli 26643 sayılı Resmî Gazete'de yayımlanan "Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ"in 26. maddesindeki şüpheli işlem takip mekanizması kurma zorunluluğuna da dayanmaktadır.¹¹

C. Sınırın Öteki Yüzü: "Ağır Kusur" Ne Zaman Bankayı Kurtarır?

Yukarıdaki çerçeve, bankanın kural olarak sorumlu olduğu izlenimini verse de, Yargıtay aynı 2024 yılı içinde bankanın sorumluluktan tamamen kurtulduğu kararlar da vermiştir. Bu kararları birbirinden ayıran çizgi, "müşterinin şifresini yeterince korumaması" gibi genel bir ihmal değil, çok daha dar bir ölçüttür: müşterinin, bizzat ve bilerek, dolandırıcının talimatlarını uygulayarak işlemi kendi elleriyle tamamlayıp tamamlamadığı.

E.2023/3451 K.2024/5531 sayılı ve 03.07.2024 tarihli kararda, davacıyı arayan kişiler kendilerini sırasıyla Merkez Bankası, Akbank, Yapı Kredi ve Denizbank görevlisi olarak tanıtmış; davacı, bu kişilerin telefonla verdiği talimatlarla kendi mobil bankacılık uygulamasına bizzat giriş yaparak dövizini TL'ye çevirmiş, "ön onaylı" bir krediyi bizzat onaylayarak kullanmış ve parayı yine kendi eliyle bildirilen IBAN'lara EFT/havale etmiştir. Bilirkişi raporu ve mahkeme, işlemlerin davacının kendi cihazından, "beni hatırla" özelliği aktifken (yani ek SMS doğrulaması gerekmeden) yapıldığını, bankaların o dönem sektör standardı güvenlik tedbirlerini uyguladığını tespit etmiş; Yargıtay bu gerekçeyle davanın reddini onamıştır.¹²

Buna karşılık, E.2022/5087 K.2024/1598 sayılı ve 28.02.2024 tarihli kararda, davacı şirket yetkilisinin telefonuna gönderilen bir linke tıklaması sonucu cihaza kötü amaçlı yazılım (virüs) bulaşmış; bu yazılım, davacının haberi ve müdahalesi olmadan cep telefonuna gelen tek kullanımlık SMS şifresini doğrudan ele geçirip dolandırıcılara iletmiştir. Burada davacı hiçbir işlemi bizzat onaylamamış, hatta ekranında beliren "birden" (ani) uyarılara dahi bilinçli bir tepki verme fırsatı bulamamıştır. Yargıtay, bankanın "şifrenin davacının kusuru ile ele geçirildiğini" ispatlayamadığı gerekçesiyle bankayı tam kusurlu bulan kararı onamıştır.¹³

İki kararın karşılaştırması, ayrımın nerede olduğunu netleştirir: Birinci olayda müşteri, kendi iradesiyle ve kendi eylemiyle (bizzat giriş yapıp bizzat onaylayarak) zararı doğuran işlemi gerçekleştirmiştir — banka açısından bu, önlenmesi objektif olarak mümkün olmayan bir davranıştır. İkinci olayda ise müşterinin iradesi hiç devreye girmemiş, şifre onun bilgisi dışında bir yazılım tarafından çalınmıştır — bu senaryoda "linke tıklamak" tek başına ağır kusur oluşturmaz, çünkü zararı doğuran asıl eylem (şifrenin ele geçirilmesi ve kullanılması) müşterinin değil, üçüncü kişinin ve bankanın yetersiz doğrulama sisteminin ürünüdür.

IV. Dosyada Hangi Noktalar Netleştirilmeli?

Banka aleyhine dava açacak veya banka lehine savunma hazırlayacak bir uygulayıcının, dava dosyasında şu üç noktayı sırasıyla netleştirmesi gerekir:

Birincisi, işlem tarihinde SIM kart değişikliği veya operatör değişikliği yaşanmış mı? Yaşanmışsa ve 90 gün içindeyse, Yönetmelik m.34/8 gereği ispat yükü doğrudan bankadadır ve banka bu süre boyunca SMS OTP'yi kimlik doğrulama aracı olarak kullanamayacağından, çoğu zaman doğrudan sorumlu bulunur.

İkincisi, işlem iki bileşenli kimlik doğrulama olmadan mı gerçekleşti, yoksa ard arda gelen ve "sıra dışı" nitelikte işlemler (art arda para transferi, alışılmadık tutar, yeni alıcı) bankanın fraud izleme sistemini harekete geçirmesi gereken bir örüntü mü oluşturdu? Bu durumda da ispat yükü ve kusur karinesi bankanın aleyhinedir.

Üçüncüsü — ve en kritik ayrım — müşteri, işlemi kendi cihazından, kendi bilinçli tercihiyle mi gerçekleştirdi (ör. dolandırıcının telefon talimatıyla bizzat EFT yaptı, bizzat krediyi onayladı), yoksa şifre/kod kendisinin haberi veya iradesi dışında mı (malware, sahte site, ele geçirilmiş oturum) çalındı? İlk durumda "ağır kusur" savunması güçlüdür; ikinci durumda ise sadece "linke tıklamış olmak" veya "bir bilgiyi telefonda paylaşmış olmak" tek başına ağır kusur oluşturmaz — bankanın kendi güvenlik sisteminin yetersizliği asıl belirleyici olur.

Sonuç

2012'den 2024'e uzanan bu içtihat çizgisi, bankaların internet ve mobil bankacılık işlemlerinden doğan zararlarda "kural olarak sorumlu, istisnaen sorumsuz" bir konumda olduğunu göstermektedir. 2018 HGK kararının kurduğu "objektif özen yükümlülüğü" doktrini, 2020 Yönetmeliği'nin somut teknik kurallarıyla (iki bileşenli doğrulama, SIM-değişikliği sonrası 90 günlük kısıtlama, fraud izleme zorunluluğu) güçlendirilmiş; ancak 2024 kararları, bu kuralın sınırsız olmadığını, müşterinin bizzat ve bilerek gerçekleştirdiği işlemlerde bankanın sorumluluktan kurtulabileceğini de netleştirmiştir. Uygulayıcı için belirleyici soru, "müşteri dikkatli miydi" değil, "zararı doğuran son eylemi kim, hangi iradeyle gerçekleştirdi" sorusudur.