Ankara 10. Asliye Ticaret Mahkemesi E.2018/546 K.2021/415

Mahkememize açılan İstirdat (Bankacılık sözleşmesinden Kaynaklanan) davasının yapılan açık yargılaması sonunda;

GEREĞİ DÜŞÜNÜLDÜ

Davacı vekili dava dilekçesinde özetle; ... Bankası A.Ş. ... Şube Müdürlüğü nezdinde bulunan .... iban numaralı şirket hesabından 05.09.2017 tarihinde yapılan iki ayrı eft işlemi ile toplam 190.800,00 TL'nin usulsüz olarak başka banka hesaplarına aktarıldığı, olay günü ticari ödemelerin gerçekleştirilmesi amacı ile şirket yetkilisi tarafından ...

Bankası web sitesine girildiği, bu sırada gelen uyarı ile kendisinden cep şifre ve internet bankacılığı uygulamasının cep telefonuna yüklenmesinin istendiği, cep telefonu bilgisini girdikten sonra gelen sms aracılığı ile internet bankacılığı uygulamasının cep telefonuna yüklediği, bu program yüklendikten sonra cep telefonu üzerinden internet bankacılığı sistemine giriş yapıldığı ve planlanan ödemelerin gerçekleştirildiği, cep telefonuna gelen yazılım güncelleniyor uyarısının uzun süre devam etmesi üzerine müşteri temsilcisi ile görüşüldüğü, internet bankacılığı ile hesabından bilgisi dışında iki ayrı eft işlemi yapıldığının öğrenildiği,

144.000-TL tutarındaki eft işlemlerinin ... adına kayıtlı ... hesabına, 46.800-TL tutarındaki eft işleminin ise ... adına kayıtlı ... hesabına yapıldığının öğrenildiği, ilgililer hakkında ... Cumhuriyet Savcılığı'nın ....

Soruşturma numarası ile suç duyurusunda bulunulduğu, soruşturmanın halen devam ettiği, suça konu dolandırıcılık işlemine banka tarafından alınması gereken güvenlik önlemlerinin alınmamasının, internet bankacılığı sisteminde güvenlik zafiyetinin bulunmasının, şifre bilgilerinin üçüncü kişilerce ele geçirilmesini önleyecek bir güvenlik mekanizmasının oluşturulmamasının neden olduğu, 190.800,00 TL'nin davalı bankadan 05.09.2017 tarihinden itibaren ticari işlerde uygulanan en yüksek ticari faiziyle birlikte istirdatına karar verilmesini talep ve dava etmiştir.

Davalı vekili cevap dilekçesinde özetle; davacı şirketin dava konusu işlemleri müvekkil bankanın ...

Şube Müdürlüğü nezdinde bulunan 1273-61210182-5001 nolu hesabından 05/09/2017 tarihinde gerçekleştirildiğini müvekkil bankanın log kayıtlarına göre 05/09/2017 tarihinde davacının müvekkil bankada kayıtlı bulunan .... numaralı cep telefonuna gönderilen SMS'ler (doğrulama ve onay kodlarının yer aldığı SMS'ler) başarılı olarak gönderildiğini bankanın müşterileri ile yüz yüze olmayan bankacılık işlemlerini gerçekleştirmek istediklerinde iki faktörlü kimlik doğrulama mekanizmasına tabi tutulduğunu bu kimlik doğrulama sürecinde kullanılan faktörler, müşterinin bildiği (parola), sahip olduğu (mobil uygulama, SMS'le gönderilen tek kullanımlık şifre,

tek kullanımlık şifre üretim cihazı vb.) veya müşterinin biyometrik bir karakteristiği olan unsurlar arasından seçilen en az 2 farklı tipte olmak zorunda olduğunu müşterinin kimlik bilgileri söz konusu faktörlere karşılık gelmemekte, böylelikle sadece müşterinin kimlik kartlarında yer alan bilgiler kullanılarak bu mekanizmanın aşılmasının mümkün olmadığını müşterinin kimlik kartında yer alan bilgiler veya başkaca aldatıcı bilgiler kullanılarak müşteri aleyhine elektronik ortamda herhangi bir finansal işlem gerçekleştirilme olasılığı bulunmadığını,

yüz yüze olan ve kimlik tespiti gerektiren işlemlerde ise banka tarafından ilave kontrollerin uygulandığını davacının internet bankacılığına gerekli güvenlik adımlarına doğru cevaplar vererek ve son adımda banka tarafından sistemde kayıtlı cep telefonuna gönderilen onay SMS'leri ile doğrulanarak başarılı şekilde giriş yapıldığını açık bir biçimde görüldüğünü belirterek davanın reddini istemiştir.

DELİLLERİN DEĞERLENDİRİLMESİ VE GEREKÇE

Dosya kapsamında bilirkişiden 21/07/2020 tarihli bilirkişi raporu alınmış, raporda özetle; davacı, dava dışı 3.kişi veya kişiler tarafından düzenlenen, ön yüzü davalı bankanın sitesine benzer ancak arka yüzde davacının bilgilerini elde ederek hesabındaki paranın transferini gerçekleştirebilmek için (oltama olarak ifade edilen) oluşturulan zararlı yazılımı içerir siteye giriş yapmış, şifre ve parolasını söz konusu sitede yer alan ilgili bölüme yazmış, bunun üzerine bu bilgileri ele geçiren kişi veya kişiler, internet bankacılığa giriş işlemi tamamlandıktan sonra parola değişikliği yaparak, dava konusu işlemlerin yapılmasını sağlamışlardır. Davalı bankanın asli kusurlu olduğu yönündeki Takdir Sayın Mahkemeye ait olmakla, davacı zararı toplamı190.800,00 TL olduğu düzenlenmiştir.

Dosya kapsamında bilirkişiden 20/01/2021 tarihli bilirkişi ek raporu alınmış, ek raporda özetle; tarafımıza verilen görevlendirme kapsamında davalı tarafların itirazları değerlendirildiğinde Kök Raporu’muzdaki görüş ve kanaatimizi değiştirecek bir husus olmadığı sonucuna varılmış olup, nihai takdiri Sayın Mahkeme’de olmak üzere, dava konusu işlemler nedeniyle davacının zararı toplamının 190.800,00 TL olduğu düzenlenmiştir.

Dava davacının davalı bankada bulunan hesabından internet bankacılığı vasıtası ile para çekilmesinde davalı bankanın sorumluluğu olup olmadığında toplanmaktadır.

Olay günü davacı şirkette çalışan yetkilinin davalı kurum bankası internet bankacılığı giriş web sitesine benzer sahte bir link tıklanmak sureti ile sahte web sitesine müşteri numarası ve parola ile girdiği, dolandırıcıların davacı şirket yetkilisinin sahte siteye girdiği müşteri numarası ve parola bilgilerini ele geçirerek davalı kurum internet sitesine giriş yaptığı, şifre bilgilerini değiştirdiği, davacının cep telefonuna gönderilen linki de indirerek cep telefonunu ele geçirdiği, ve davacının hesabından para gönderilerek gerçekleştirildiği anlaşılmaktadır.

Olayda davalı bankanın kusurlu olup olmadığı yönünden rapor alınması için bilirkişi heyeti oluşturulmuş, heyet raporunda; tek kullanımlık şifre üretmesine imkan veren OTP(tek kullanımlık şifre) cihazları ile kimlik doğrulama sağlayan elektronik imza müşteri kullanımında oldukları doğrulandığı için yüksek seviyeli güvenlik sağlamaktadır.

Eşleştirilen cep telefonunundan başka yeni bir cep telefonuna yüklü mobil uygulama ile mobil internet bankacılığı kullanılmaya çalışıldığında (örneğin müşterinin cep telefonunu değişmesi durumunda) güvenlik prosedürü tekrar işletilerek yeni telefon aktive edilmekte bazı bankalar bu durumda ilave güvenlik önlemi alarak belli bir saat parasal işlemlerin yapılmasını engellemekte ve müşterinin cep telefonuna bilgi SMS göndermektedir.

Davalı bankanın mobil uygulamaların sunduğu teknik tespit imkanlarını kullanmadığı, uygulamasını bu imkanları kullanacak şekilde geliştirmediği, davacının hesabına davacı tarafından kullanılandan başka bir mobil uygulama cep telefonu ile 3 kişilerce giriş yapılmasına izin verdiğinin görüldüğü, yine bankacılık sektöründe uygulanan bir başka güvenlik sürecinin yeni bir uygulama veya cep telefonu ile hesaba giriş yapıldığında bankacılık müşterisine olaya dair bilgilendirme işlem kendisine ait değilse bankayı araması şeklinde alternatif kanallarla uyarı yapılması olduğu,

dava konusu olayda ise işlem gerçekleştirildikten sonra SMS bilgilendirmesi yapıldığı, yine bankaların kötü niyetli saldırganların kurbanların cihazlarına istedikleri işlemi gerçekleştirmelerine olanak sağlayacak zararlı yazılımları yükleyerek bankaya ait sayfanın ortalama internet kullanıcısı tarafından ayırt edilmesi zor benzerlerini oluşturarak müşterilerin hesaplarının ele geçirilmesini engelleyici Suistimal engelleme (Anti Fraud) sistemleri kullandıklarını,

bu sistemlerin banka müşterilerinin hesaplara hangi saatlerde hangi coğrafi bölgeler İP adreslerinden giriş yaptıkları ortalama olarak EFT ,havale gönderim miktarı gibi verileri analiz ederek bu duruma uymayan şüpheli işlemleri tespit etmekte bu işlemleri engellemekte veya müşterileri bilgilendirmekte olduğunu, dava konusu olayda kısa aralıklarla hesapta kayıtlı olmayan 3 farklı hesaba arka arkaya transfer gerçekleştirilmesi birlikte değerlendirildiğinde dava konusu işlemlerin olağan dışı ve şüpheli olduğu,

işlemlerin davalı bankanın Fraud izleme sistemlerinde alarm oluşturması gerektiği, riskli işlemlerin davalı bankanın uygulaması gereken sürecin işlemler gerçekleştikten sonra değil işlemler gerçekleşmeden önce örneğin davacıyı arayarak mesajla veya başka bir yöntemle davacının onayını almadan işlemlerin gerçekleştirilmesine izin verilmemesi gerektiği değerlendirilmiştir.

Alınan bilirkişi kök ve ek raporu ile; davacının rızası dışında gerçekleşen EFT işleminden davacının kusuru olmadığı, davalı bankanın bilirkişi raporunda tespit edilen internet bankacılığındaki güvenlik açıkları ve sistemdeki eksikler nedeni ile zararın oluştuğu anlaşılmakla; davacının rızası dışında EFT yapılan miktarın davacıya ödenmesine karar verilmiştir. Davacının bankaya çektiği ihtarın tebliği tarihinden ticari temerrüt faizine hükmedilmiştir.

Katip ... Hakim ... ¸E-İmzalıdır ¸E-İmzalıdır