Mobil Bankacılık Dolandırıcılığında Banka Sorumlu Mudur?

Mobil bankacılık dolandırıcılığında bankanın sorumluluğu, işlemin olağandışılığına, bankanın alması gereken güvenlik tedbirlerine ve müşterinin kusuruna göre belirlenmektedir. Bu yazıda bankanın sorumluluğunun hukuki dayanağı, Yargıtay kararlarında kusurun nasıl değerlendirildiği, müşterinin müterafik kusurunun tazminata etkisi ve mağdurun başvurabileceği hukuki yollar ele alınmaktadır.

Bankanın Sorumluluğunun Hukuki Dayanağı

Bankanın sorumluluğunun hukuki dayanağı, banka ile müşteri arasındaki mevduat sözleşmesi ile bankanın bu sözleşmeden doğan özen yükümlülüğüdür.

Mevduat Sözleşmesi ve Özen Yükümlülüğü

Mevduat sözleşmesi, Türk Borçlar Kanunu (TBK) kapsamında ödünç (tevdi) sözleşmesi niteliğindedir. Mevduat sahibi bankaya karşı alacak hakkına sahiptir; banka ise parayı mülkiyetiyle tasarruf eder (TBK m.386-387, TBK m.570).

Mevduatın müşterinin rızası dışında usulsüz çekilmesi bankanın zararı sayılır ve mudi alacağı devam eder (5411 sayılı Bankacılık Kanunu m.61). Buna göre izinsiz çekimde zarar bankanın malvarlığında doğar ve banka müşteriye tazminle yükümlü olur.

Banka, basiretli tacir ve mevduatı koruyan kuruluş sıfatıyla dolandırıcılık yöntemlerine karşı gerekli güvenlik altyapısını kurmakla yükümlüdür. Bankalar elektronik bankacılıkta ağırlaştırılmış özen yükümlülüğüne tabidir. Bu yükümlülük, şüpheli işlemi algılayan, gerekli doğrulama kodunu gönderen ve işlemi durduran mekanizmaların işletilmesini kapsar.

Borcun gereği gibi ifa edilmemesi hâlinde tazminat sorumluluğu doğar (TBK m.112). Bankanın kusursuzluğunu ispatlaması gerekir (TBK m.112).

Bankanın hafif kusurundan sorumsuz olduğunu öngören kayıtlar geçersizdir (TBK m.115, m.116). Banka bu tür bir kayda dayanarak hafif kusurundan doğan sorumluluktan kurtulamaz.

Güvenlik Önlemleri ve İspat Yükü

Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ'in 26/2. maddesi, bankalara sıra dışı ve şüpheli işlemleri tespit edecek bir takip mekanizması kurma yükümlülüğü getirir. Tebliğ'in 27. maddesi ise en az iki bileşenli kimlik doğrulama yükümlülüğü getirir.

Bankanın riskli işlemleri filtrelemesi, işlem tutarını, müşterinin konumunu ve alışkanlıklarını, işlem saatini, kullanılan cihaz ve SIM kartı, IP adresini, olağan dışı transferleri ile zararlı yazılım belirtilerini izlemesi ve müşteriyi uyarması gerekir (Yönetmelik m.36). Bu tedbirler alınmadığında banka, müşterinin zararından kusurlu ve sorumlu tutulabilir.

Müşterinin şifresini veya kimlik bilgilerini paylaştığını banka somut delillerle kanıtlamalıdır. Bu ispatlanamazsa müşteri kusuru kabul edilmeyebilir. SMS onay şifresinin müşteriden alınmış olması, bankanın kusursuzluğu ispatlanmadıkça sorumluluktan kurtulmasını sağlamaz.

Yargıtay Kararlarında Banka Kusurunun Değerlendirilmesi

Yüksek Tutarlı Şüpheli İşlemlerde Teyit ve Durdurma Yükümlülüğü

Yargıtay, bankanın kusurunu iki noktadan değerlendirmektedir: işlemin olağandışı olup olmadığı ve bankanın bu işlemi teyit alarak ya da durdurarak müdahale edip etmediği.

Yargıtay Hukuk Genel Kurulu, 17.09.2025 tarihli, 2024/304 E. ve 2025/525 K. sayılı kararında, bankanın şüpheli işlemi teyit alamadığı hâlde transferleri durdurmamasını kusur saymıştır. Olayda davacının TL ve döviz hesaplarındaki 30.000,00 TL ile 8.884,00 USD, 11.07.2018'de daha önce işlem yapılmamış şirketlere mobil bankacılık yoluyla aktarılmıştı. Telefon başka numaraya yönlendirilmiş, tek kullanımlık SMS şifreleri müşteriye ulaşmamıştı. Banka işlemleri şüpheli bulmuş, teyit için müşteriye ulaşamamış, ancak transferleri durdurmadan yalnızca bilgilendirme e-postası göndermişti.

Kurula göre müşterinin teyit aramasına cevap vermemesi de şüpheli bir durumdur. Banka etkin bir güvenlik kontrolü yürütmeli ve işlemi durdurmalıdır. Yalnızca SMS doğrulaması ve bilgilendirme e-postası yeterli değildir; elektronik imza, yüz tanıma veya kimlik okutma gibi ek önlemlerin alınabileceği kabul edilmiştir. Kurul ayrıca, zararlı yazılım iddiasının bilirkişilerce somut ve kesin biçimde kanıtlanamadığını, bu nedenle müşteriye kusur yüklenemeyeceğini belirtmiştir. Bölge Adliye Mahkemesinin direnme kararı usul ve yasaya uygun bulunmuş, karar oy çokluğuyla kesinleşmiştir. Dosya, diğer temyiz itirazlarının incelenmesi için Yargıtay 11. Hukuk Dairesine gönderilmiştir. Karşı oyda ise hem bankanın hem davacının kusurlu olduğu, ilk derece mahkemesinin %80-%20 kusur oranının korunması gerektiği savunulmuştur.

Yargıtay 11. Hukuk Dairesi, 21.01.2022 tarihli, 2021/4810 E. ve 2022/485 K. sayılı kararında, işlemin 3D güvenlik şifresiyle onaylanmış olmasını bankayı sorumluluktan kurtarmak için yeterli görmemiştir. Müşterinin bilgisi ve izni dışında hesabından 2.528,01 TL çekilmiş; işlemin yüksek tutarlı ve şüpheli nitelikte olmasına rağmen banka gerekli güvenlik önlemlerini almamıştır. Bu nedenle bankanın %50 müterafik kusurlu bulunmasıyla tüketiciye 1.264,005 TL iade edilmesine karar verilmiştir.

Yargıtay Hukuk Genel Kurulu, E:2017/2224, K:2018/1753, T:22.11.2018 tarihli kararında, aynı anda farklı bankalardaki hesaplara girişim yapıldığı olayda diğer bankaların işlemi engellemiş olmasını dikkate almıştır. Bu durumda davalı bankanın olay tarihindeki sektör güvenlik önlemlerini alıp almadığının araştırılması gerekir.

Ankara Bölge Adliye Mahkemesi 21. Hukuk Dairesi, 2021/1354 E. ve 2023/728 K. sayılı kararında, müşterinin şifresini üçüncü kişilerle paylaştığına dair bilgi bulunmadığını ve hesabın şifresinin kırılarak ele geçirildiğini dikkate almıştır. Teyit alınmadan yapılan döviz bozdurma ve daha önce işlem yapılmamış üçüncü kişi hesabına transfer gibi olağandışı işlemlerde bankanın tam kusurlu olduğu kabul edilmiş, banka ek güvenlik önlemlerini almadığı için zarardan sorumlu tutulmuştur.

Yargıtay 11. Hukuk Dairesi, 26.03.2024 tarihli, 2022/6005 E. ve 2024/2430 K. sayılı kararında, bankanın ilk uluslararası transferi takip etmeden ikinci işlemi kabul etmesini ve güvenlik yükümlülüklerini yerine getirmemesini kusur saymıştır.

Müşteri Kusuru ve Müterafik Kusurun Tazminata Etkisi

Müterafik Kusurun İspatı ve Tazminat Oranı

Müşterinin davranışı, bankanın güvenlik yükümlülüğünü ihlal edip etmediğinden bağımsız olarak tazminat miktarının belirlenmesinde incelenir. Müşteri, şifresini, kullanıcı adını, doğrulama kodlarını ve cihazını korumakla yükümlüdür. Bu yükümlülüğe aykırı davranışın zararın meydana gelmesine veya artmasına katkı sağladığı somut delillerle ortaya konulursa müterafik kusur gündeme gelir.

TBK m.52 uyarınca hâkim, zarar görenin kusurunu dikkate alarak tazminatı indirebilir veya tamamen kaldırabilir. Ancak indirim yapılabilmesi için müşterinin kusurunun varsayıma dayalı biçimde kabul edilmesi yeterli değildir. Banka, müşterinin hangi davranışının zarara katkı sağladığını ve bu davranış ile gerçekleşen işlem arasında nasıl bir nedensellik bulunduğunu göstermelidir. Şifrenin üçüncü kişilerce kullanılmış olması, tek başına müşterinin kusurlu olduğunu kanıtlamaz. Şifrenin müşteriden alındığı, cihazın korunmadığı, güvenlik bilgilerinin paylaşıldığı veya müşterinin somut bir güvenlik ihlaline neden olduğu işlem kayıtları, iletişim kayıtları ve diğer delillerle ortaya konulmalıdır.

Müşterinin kusurunun ispatlanamaması hâlinde tazminattan indirim yapılamaz. Özellikle bankanın işlemi olağandışı bulmasına rağmen gerekli kontrolü yapmadığı, müşteriden teyit alamadığı hâlde transferi durdurmadığı veya yalnızca bilgilendirme mesajı göndermekle yetindiği durumlarda, müşterinin cevap vermemesi ya da SMS doğrulamasının kullanılmış olması otomatik kusur sonucu doğurmaz. Banka, kendi güvenlik kontrollerini yerine getirdiğini ve müşterinin kusurunun zararın oluşumunda etkili olduğunu ayrı ayrı kanıtlamalıdır.

Tacir olan müşteri bakımından özen ölçütü ağırlaşır. TTK m.18/f.2 gereğince tacir, basiretli iş adamı gibi davranmak zorundadır. Bu nedenle ticari hesaplarda müşteriden beklenen dikkat, kişisel kullanım amacı taşıyan hesaplara göre daha yüksek değerlendirilebilir. Tacirin hesap hareketlerini düzenli biçimde denetlememesi, yetkili kişilerin erişimini kontrol etmemesi veya işletme içindeki güvenlik prosedürlerini kurmaması, somut olayın koşullarına göre kusur değerlendirmesine alınabilir. Bununla birlikte tacir sıfatı, bankanın güvenlik yükümlülüğünü ortadan kaldırmaz ve bankayı müşterinin kusurunu ispat etme yükünden kurtarmaz.

Müşterinin şifresinin üçüncü kişilerin eline geçmesini önlemek için gerekli tedbirleri alıp almadığı ayrıca değerlendirilir. Şifrenin paylaşılması, doğrulama kodunun üçüncü kişiye verilmesi veya güvenli olmayan bir cihazın kullanılmasının zararla bağlantısı bulunuyorsa tazminat azaltılabilir. Buna karşılık zararlı yazılım bulunduğu yönündeki soyut iddia, bu yazılımın müşterinin kusuruyla yüklendiği ve işlemin bu nedenle gerçekleştiği kesin biçimde gösterilmedikçe indirim için yeterli değildir.

Mevduat sahibinin müterafik kusuru ispatlandığında banka, kusur oranına karşılık gelen miktarı mahsup edebilir. Kusur oranı belirlenirken işlemin tutarı, işlemin müşterinin önceki kullanım alışkanlıklarına uygun olup olmadığı, işlemin gerçekleştirildiği cihaz ve konum, müşterinin bankaya bildirim süresi, bankanın şüpheli işlemi fark edip etmediği ve işlem sonrasında müdahale edilip edilmediği birlikte incelenir. Müşterinin kusuru ile bankanın kusuru aynı olayda birlikte bulunabilir. Bu durumda tazminat, tarafların zararın doğumundaki katkıları dikkate alınarak paylaştırılır.

Sözleşmenin 18.20.3.2. maddesinde bankanın hile ve sahteciliğin sonuçlarından sorumlu olmadığı düzenlenmiştir. Bu hükmün müşterinin ilgili riske katlandığı anlamına gelip gelmediği, sözleşmenin somut içeriğine ve bilirkişi incelemesine göre değerlendirilir. Böyle bir kayıt, müşterinin gerçekten kusurlu olduğunu kendiliğinden kanıtlamaz. Bankanın sorumluluğu, sözleşme hükmünün yanı sıra işlemin güvenlik özellikleri, bankanın uyguladığı kontrol mekanizmaları ve tarafların somut davranışları üzerinden belirlenir.

Tazminat Talebinde Başvuru Yolları ve Parasal Sınırlar

Derhal Bildirim, Bloke ve Suç Duyurusu

Dolandırıcılık fark edildiğinde bankaya hem telefonla hem yazılı olarak bildirimde bulunulur. Telefonda görüşmenin kayıt numarası alınır ve hesapların ile kartların bloke edilmesi istenir.

Bloke işleminden sonra şubede harcama itirazı yapılır ve bankaya ıslak imzalı yazılı itiraz verilir. Banka düzeltme yapmazsa menfi tespit davası açılabilir. Bankanın icra takibi başlatması hâlinde borca süresi içinde itiraz edilmelidir.

Mağdur, Cumhuriyet Başsavcılığına veya emniyete suç duyurusunda bulunur. Olay, bilişim sistemlerinin kullanıldığı nitelikli dolandırıcılık niteliğindeyse 5237 sayılı Türk Ceza Kanunu m.158/1 (f) kapsamına girer. Olaya göre TCK m.142/2 (e) kapsamında bilişim sistemleri kullanılarak işlenen hırsızlık da gündeme gelebilir. Savcılık süreci failin bulunup cezalandırılmasına yöneliktir. Banka süreci ise bankanın güvenlik sorumluluğu nedeniyle zararın giderilmesine yöneliktir. Bu iki yol birbirinden bağımsız yürütülür.

Bankaya karşı tazminat talebinin dayanağı olacak belgeler, işlem sonrasında saklanmalıdır:

• Hesap ekstresi ile işleme ait dekontlar
• SMS kayıtları ve bildirim kanıtları
• Banka ile yapılan görüşmelere ve yazışmalara ait iletişim kayıtları
• Suç duyurusu ve şikâyet belgeleri

Hak Düşürücü ve Sınır Değerler

Kredi kartı işlemlerinde Visa, Mastercard ve benzeri kuruluşların chargeback (ters ibraz, harcama itirazı) mekanizmasına başvurulur. Başvurunun genellikle işlem veya ekstre tarihinden itibaren 120 gün içinde yapılması gerekir.

Zamanaşımı süresi, dayanılan hukuki ilişkiye göre değişir. Sözleşmeye dayalı alacaklarda genel olarak 10 yıl, haksız fiilde ise zararın öğrenilmesinden itibaren 2 yıl uygulanır.

Parasal sınır, başvuru yolunu belirler. 2025 yılı için 149.000 TL'nin altındaki tüketici uyuşmazlıklarında tüketici hakem heyetine başvuru zorunludur. Bu başvuru, bireysel hesaplarda ilçe veya il tüketici hakem heyetine yapılır. 149.000 TL ve üzerindeki uyuşmazlıklar hakem heyetince karara bağlanamaz.

149.000 TL ve üzerindeki tüketici uyuşmazlıklarında 6502 sayılı Tüketicinin Korunması Hakkında Kanun m.73/A uyarınca dava şartı arabuluculuk uygulanır. Arabuluculuk sonuçlanmadan tüketici mahkemesine dava açılamaz. Tüketici mahkemesi bulunmayan yerlerde görevli mahkeme asliye hukuk mahkemesidir. Ticari hesaplarda ise görevli mahkeme Asliye Ticaret Mahkemesidir.

Mahkeme, parayı aynen iadeye ya da TL üzerinden ödemeye hükmedebilir. Mevduat faizsiz borç sayıldığından haksız çekiliş tarihinden itibaren yasal faiz de işler. Banka zararı karşılamazsa hizmet kusuru ve sözleşmeye aykırılık gerekçesiyle tazminat talep edilebilir. Bu talepte faiz, yargılama giderleri ve avukatlık ücretleri de istenebilir.

Mağdurun izleyeceği sıra, bankaya derhal bildirim ve bloke talebiyle başlar. Şubede harcama itirazı ve yazılı itirazın ardından Cumhuriyet Başsavcılığına suç duyurusu yapılır. Tazminat talebi, 149.000 TL sınırına göre hakem heyetine ya da arabuluculuk ve tüketici mahkemesi yoluna yöneltilir.