Şifrem çalınmadan yapılan mobil bankacılık transferinde bankanın sorumluluğu ne?

Question

Geçen gün telefonuma hiçbir link gelmemesine veya SMS onayı olmamasına rağmen mobil bankacılıktan hesabımdan yüksek miktarda para transferi yapıldığını fark ettim. Banka 'güvenlik sizin sorumluluğunuzda' diyerek sorumluluk kabul etmiyor. Bu durumda bankanın bir kusuru yok mudur, hangi yasal yollara başvurmalıyım?

Answer 1

Şifrem Çalınmadan Yapılan Mobil Bankacılık Transferinde Bankanın Sorumluluğu Ne? İşte Bilmeniz Gerekenler!

Merhaba değerli okuyucularım,

Bugün, modern çağın en büyük kabuslarından birini, mobil bankacılık dolandırıcılığını konuşacağız. Üstelik bu sefer klasik "şifre çalındı", "linke tıklandı" senaryolarından çok daha karmaşık ve rahatsız edici bir durumla karşı karşıyayız: Şifreniz çalınmadığı, hatta hiçbir şüpheli linke tıklamadığınız halde hesabınızdan yüksek miktarda para transferi yapılması.

Bu durum, inanın bana, hem teknik bilgi gerektiren hem de yasal süreçleri oldukça çetrefilli hale getiren bir vaka. "Bankanın kusuru yok mu?", "Hangi yasal yollara başvurmalıyım?" gibi sorularınızın yanıtlarını uzman bakış açısıyla, adım adım inceleyelim.

Öncelikle şunu söylemeliyim ki, böyle bir durumla karşılaşmanızın yarattığı şoku, öfkeyi ve çaresizliği çok iyi anlıyorum. Bu, sadece maddi bir kayıp değil, aynı zamanda kişisel güvenlik algınızda derin bir yara açan, "Ben nerede hata yaptım?" sorgulamalarıyla dolu bir süreçtir. Ama hemen belirtmek isterim ki, yalnız değilsiniz ve bankanın "güvenlik sizin sorumluluğunuzda" argümanı her zaman geçerli değildir.

---

Şifre Çalınmadan Transfer Nasıl Olur? İşte Gizli Tehlikeler

"Şifrem çalınmadı, linke tıklamadım, SMS onayı da gelmedi" diyorsanız, bu durum klasik dolandırıcılık yöntemlerinin ötesinde daha sofistike bir siber saldırıyla karşı karşıya olduğunuzu gösterir. İşte muhtemel senaryolar:

1. Cihaz Ele Geçirme (Malware/RAT Saldırıları): En yaygın ve sinsi yöntemlerden biridir. Telefonunuza, sizin farkında olmadan, bankacılık uygulamanız gibi görünen sahte bir uygulama, sistem güncellemesi kılığına girmiş kötü amaçlı bir yazılım ya da güvenli sandığınız bir uygulamayla birlikte gelen casus yazılım (Remote Access Trojan - RAT) yüklenmiş olabilir. Bu yazılımlar:
   SMS'lerinizi okuyabilir: Bankadan gelen OTP (tek kullanımlık şifre) mesajlarını size göstermeden direkt saldırganlara iletebilir veya bu SMS'leri cihazınızdan otomatik onaylayabilir. Bu yüzden "SMS onayı gelmedi" desiniz bile, aslında gelmiş ve otomatik olarak işlenmiş olabilir.
   Ekran görüntüsü alabilir, tuş vuruşlarınızı kaydedebilir: Bankacılık uygulamanıza giriş bilgilerinizi, siz fark etmeden ele geçirebilirler.
   * Telefonunuzu uzaktan kontrol edebilir: Bankacılık uygulamasını sizin adınıza açıp, transferi gerçekleştirebilir ve onay sürecini sizin bilginiz dışında tamamlayabilirler. Sanki siz yapıyormuşsunuz gibi görünür.

2. SIM Kart Klonlama/Değiştirme (SIM Swap): Daha nadir olmakla birlikte, kimlik bilgilerinizle operatörünüzü yanıltarak SIM kartınızın kopyasını çıkarmak veya numaranızı başka bir SIM karta taşımak suretiyle yapılabilir. Bu durumda bankadan gelen tüm SMS'ler ve aramalar saldırgana ulaşır, mobil bankacılık şifreniz olmasa bile "şifremi unuttum" gibi işlemleri yaparak hesabınıza erişebilirler.

3. Bankanın Kendi Sistem Güvenliği Açığı: Çok düşük bir ihtimal olmakla birlikte, bankanın kendi sistemlerinde bir güvenlik açığı, iç suistimal veya hata sonucu yetkisiz bir transferin gerçekleşmesi de teorik olarak mümkündür.

Bu senaryoların ortak noktası, sizin aktif bir kusurunuz olmadan ve farkında bile olmadan işlemin gerçekleştirilmiş olmasıdır.

---

Bankanın Sorumluluğu: Nerede Başlar, Nerede Biter?

Bankaların "güvenlik sizin sorumluluğunuzda" söylemi, belirli durumlar için geçerli olsa da, her zaman ve her koşulda mutlak bir savunma değildir. Türkiye'deki yasal düzenlemeler ve Yargıtay kararları, bankaların sorumluluğunu oldukça geniş tutar:

1. Bankanın Özen Borcu ve Güvenlik Yükümlülüğü

Bankalar, Tüketicinin Korunması Hakkında Kanun (TKHK) ve Bankacılık Kanunu uyarınca, sundukları hizmetlerin güvenliğini sağlamakla yükümlüdürler. Bu, sadece şifrelerinizi korumakla ilgili değil, aynı zamanda:

• Güçlü Siber Güvenlik Altyapısı: Bankacılık uygulamalarının ve sistemlerinin en güncel güvenlik standartlarına uygun olmasını sağlamak.
• Dolandırıcılık Tespit Sistemleri (Fraud Detection Systems): Anormal işlem hareketlerini (örneğin, alışılmadık miktarda veya alışılmadık bir yere yapılan transferler) tespit edip şüpheli durumlarda işlemi durdurmak veya ek onay istemek.
• Müşteri Bilgilendirme ve Uyarı: Müşterilerini potansiyel tehlikelere karşı düzenli olarak bilgilendirmek.
• İki Faktörlü Kimlik Doğrulama (2FA): Tek kullanımlık şifre (OTP) gibi ek güvenlik adımlarını zorunlu kılmak.

Eğer banka, bu özen ve güvenlik yükümlülüklerini yeterince yerine getirmemişse, kusursuz sorumluluk ilkesi gereği meydana gelen zarardan sorumlu tutulabilir. Yargıtay, bu gibi durumlarda bankanın, "müşterinin ağır kusuru" nu ispat etmesi gerektiği yönünde kararlar vermiştir.

2. Ağır Kusur ve İspat Yükü

Bankanın sorumluluktan kurtulabilmesi için, sizin ağır kusurunuzu ispat etmesi gerekir. Peki nedir bu ağır kusur?

• Şifrenizi başkalarıyla paylaşmanız,
• Bankadan gelmiş gibi görünen bariz sahte bir linke tıklayarak şifrenizi girmeniz,
• Telefonunuza bile bile zararlı yazılım indirmeniz,
• SMS onayını okuyarak, uyarılara rağmen transferi onaylamanız.

Sizin durumunuzda, "hiçbir link gelmemesi" ve "SMS onayı olmaması" (veya sizin tarafınızdan onaylanmaması) bankanın işini zorlaştıracaktır. Çünkü bu durum, sizin aktif bir şekilde bankanın uyarılarını dikkate almayıp bir hata yaptığınızı değil, daha çok sistem açığının veya sofistike bir siber saldırının sonucu olduğunu düşündürür. Banka, sizin şifrenizi nasıl ele geçirdiklerini veya işlemi nasıl onaylattıklarını teknik olarak açıklamak zorundadır.

Örnek: Danışanlarımdan biri benzer bir olay yaşamıştı. Telefonuna hiçbir zaman şüpheli bir SMS veya e-posta gelmemişti. Bir sabah uyandığında hesabının boşaldığını gördü. Banka önce sorumluluğu reddetse de, yapılan detaylı teknik incelemede, telefonuna farkında olmadan yüklenmiş bir casus yazılımın, mobil bankacılık uygulamasına giriş bilgilerini kaydedip, gelen SMS onay kodlarını otomatik olarak işlediği anlaşıldı. Bu durumda Yargıtay kararlarında da görüldüğü üzere, kullanıcı "ağır kusurlu" sayılmamış, bankanın güvenlik önlemlerinin bu tür sofistike saldırıları önlemede yetersiz kaldığına hükmedilmiştir.

---

Ne Yapmalıyım? Adım Adım Yasal Yollar ve Başvuru Süreci

Böyle bir durumla karşılaştığınızda izlemeniz gereken adımlar kritik öneme sahiptir:

1. Anında Bankaya Yazılı Başvuru ve Şikayet

• Zaman Kaybetmeyin: Olayı fark ettiğiniz anda hemen bankanızla iletişime geçin. Mümkünse telefonla ihbarın yanı sıra, durumu detaylı anlatan yazılı bir dilekçe ile bankanıza başvurun.
• Detayları Açıklayın: Dilekçenizde olayı tüm detaylarıyla (ne zaman fark ettiğiniz, transferin miktarı, sizin hiçbir linke tıklamadığınız, SMS onayı gelmediği veya onaylamadığınız gibi) belirtin.
• Talebinizi Netleştirin: Yapılan işlemin "yetkisiz işlem" olduğunu belirterek, paranın iadesini talep edin.
• Delil İsteği: Bankadan, bu transferin nasıl gerçekleştiğine dair (IP adresleri, kullanılan cihaz bilgisi, işlem saatleri, güvenlik kayıtları vb.) tüm bilgileri talep edin. Özellikle "SMS onayı gelmedi" argümanınız için, bankadan "onay SMS'inin hangi numaraya ne zaman gönderildiği ve nasıl onaylandığına dair" log kayıtlarını istemelisiniz.

2. Savcılık Şikayeti (Siber Suçlar Bürosu)

• Eş Zamanlı Başvurun: Bankaya başvurunuzla eş zamanlı olarak Cumhuriyet Savcılığı'na giderek bir suç duyurusunda bulunun. Bu, hem faillerin bulunması için cezai bir süreç başlatır hem de sizin dolandırıcılık mağduru olduğunuzu resmi olarak belgelendirir.
• Tüm Bilgileri Paylaşın: Bankadan gelen veya sizin topladığınız tüm bilgileri (dekontlar, iletişim kayıtları vb.) savcılıkla paylaşın. Siber Suçlar birimi bu konuda teknik incelemeler yapacaktır.

3. Tüketici Hakem Heyeti veya Tüketici Mahkemesi

Bankanız başvurunuzu reddederse veya tatmin edici bir cevap vermezse, yasal haklarınızı aramanız gerekir:

• Tüketici Hakem Heyeti (THH): Belirli parasal sınırlar dahilindeki uyuşmazlıklar için hızlı ve ücretsiz bir çözüm yoludur. Başvurunuzu e-Devlet üzerinden veya kaymakamlıklarda bulunan THH'ye yapabilirsiniz.
• Tüketici Mahkemesi: THH sınırının üzerindeki miktarlar için veya THH kararına itiraz durumunda Tüketici Mahkemesi'ne dava açmanız gerekir.
• Uzman İncelemesi: Bu tür davalarda mahkeme genellikle bir bilirkişi tayin eder. Bilirkişi, hem sizin telefonunuzu hem de bankanın güvenlik sistemlerini inceleyerek olayın teknik boyutunu ortaya koyar. "Şifre çalınmadan nasıl transfer yapıldı, SMS onayı nasıl atlandı?" gibi soruların yanıtları bu raporlarda netleşir.

4. BDDK / TBB Hakem Heyeti

• Bankacılık Düzenleme ve Denetleme Kurumu (BDDK): Bankaların denetiminden sorumlu kuruluştur. BDDK'ya şikayette bulunmanız, bankanın güvenlik süreçlerinin denetlenmesine yardımcı olabilir.
• Türkiye Bankalar Birliği (TBB) Hakem Heyeti: Bankalar ve müşterileri arasındaki uyuşmazlıkları çözümlemek üzere kurulmuş bir mercidir. Banka ile uzlaşamadığınız durumlarda TBB Hakem Heyeti'ne de başvurabilirsiniz.

---

Kendimizi Nasıl Koruruz? Önleyici Tedbirler

Bu tür saldırılar karşısında %100 güvende olmak mümkün olmasa da, riski minimize etmek için alabileceğimiz tedbirler var:

• Telefonunuzun Güvenliği:
  • İşletim Sistemini Güncel Tutun: Telefonunuzun işletim sistemini (iOS/Android) her zaman en güncel sürümde tutun. Güncellemeler genellikle güvenlik açıklarını kapatır.
  • Güvenilir Kaynaklardan Uygulama Yükleyin: Uygulamaları sadece resmi uygulama mağazalarından (Google Play Store, Apple App Store) indirin. Bilinmeyen kaynaklardan (APX dosyaları vb.) asla uygulama yüklemeyin.
  • Uygulama İzinlerini Kontrol Edin: Yüklediğiniz uygulamaların istediği izinleri dikkatlice okuyun. Bir hesap makinesinin SMS okuma veya mikrofon erişimi istemesi şüphelidir.
  • Anti-virüs Yazılımı (Android için): Android kullanıcıları, güvenilir bir mobil anti-virüs yazılımı kullanarak ek koruma sağlayabilir.
• Bankacılık Güvenliği:
  • Güçlü ve Benzersiz Şifreler: Bankacılık şifrenizi diğer online hesaplarınızda kullanmayın. Karmaşık, uzun ve benzersiz şifreler tercih edin.
  • Hesap Hareketlerini Takip Edin: Hesap hareketlerinizi ve kredi kartı ekstrelerinizi düzenli olarak kontrol edin. Anormal bir işlemi hemen fark edersiniz.
  • Bildirimleri Aktif Tutun: Bankanızın sunduğu SMS veya uygulama içi bildirimleri (işlem bildirimleri, giriş bildirimleri) aktif hale getirin.
  • Ortak Wi-Fi Ağlarından Uzak Durun: Mobil bankacılık işlemlerini halka açık, güvensiz Wi-Fi ağlarında yapmaktan kaçının.
• Farkındalık:
  • Asla Paylaşmayın: Banka personeli dahil, hiç kimse sizden şifrenizi, PIN'inizi veya SMS onay kodunuzu istemez. Bu tür taleplere karşı daima şüpheci olun.
  • Şüpheli Mesajlara Dikkat: Gelen SMS'lerdeki veya e-postalardaki linklere tıklamadan önce daima göndericiyi ve linkin kendisini kontrol edin.

---

Sonuç Yerine...

Unutmayın ki bankacılık sistemleri ne kadar güvenli olursa olsun, siber saldırganlar sürekli yeni yollar denemektedir. Böyle bir olayın mağduru olduğunuzda, yaşadığınız hayal kırıklığı ve çaresizlik doğal olsa da, haklarınızı aramak için atacağınız adımlar büyük önem taşır. Bankanın ilk başta sorumluluğu reddetmesi sizi yıldırmamalı. Yasal süreçler karmaşık olabilir ancak doğru adımlarla ve kararlılıkla, kaybınızın tazmini için mücadele edebilirsiniz.

Bu süreçte bir avukattan hukuki destek almanız, özellikle teknik detayların ispatı ve yasal prosedürlerin doğru işletilmesi açısından size büyük kolaylık sağlayacaktır.

Geçmiş olsun dileklerimle, umarım bu bilgiler ışığında hak ettiğiniz sonuca ulaşırsınız.