İstanbul 7. Asliye Ticaret Mahkemesi E.2024/682 K.2025/878

Mahkememizde görülmekte olan Tazminat davasının yapılan açık yargılaması sonunda,

GEREĞİ DÜŞÜNÜLDÜ

Davacı vekili dava dilekçesinde özetle. Müvekkili şirkete ait telefon hattı 19.09.2023 tarihinde saat 16.00 - 17:00 aralığında kimliği belirsiz kişiler tarafından aranmış ve müvekkilimiz şirketin muhasebe departmanı müdürü ... ile telefon görüşmesi gerçekleştirildiğini, Arayan kişi yapılan bu görüşmede kendisini ...

T.A.Ş görevlisi olarak tanıtmış ve konuşmaya başlarken güven telkin etmek maksadıyla mevcut banka müşteri temsilcinin adını verip kendisinden memnun olup olmadıklarını, herhangi bir şikâyetlerinin olup olmadığını sormuş, akabinde şirket için yeni bir kart basıldığını ve bunun nereye gönderileceğine dair işlemler için aradığını beyan ettiğini, Müvekkil şirketin farklı adreslerde şubelerinin bulunduğunu bilen şahıs bu bilgiyi kullanarak ...'a kartın hangi adrese gönderileceğini,

kartın tercih edilen adreste kime teslim edileceğine dair bazı sorular sorarak sahte bir güven telkin etmiş ve bunun ardından işlemlerin sonladırılması için müşteri hesabının bağlı bulunduğu ... numaralı GSM hattına kısa mesaj (sms) geleceğini belirterek bu mesajdaki şifrenin kendisine söylenmemesini belirttiğini, yine sahte bir güven telkin etmek maksadıyla kendisini birazdan santral sistemine aktaracağını ve burada şifreyi kendisinin telefondan tuşlama yaparak girmesini istediğini, Telefona gelen şifrenin ...

Hanım tarafından tuşlanmasının hemen ardından üçüncü şahıs internet bankacılığı aracılığıyla müvekkilimizin banka hesabına giriş yaparak şirketin davalı bankanın... şubesinde bulunan ... numaralı hesabındaki dövizi Türk lirasına çevirdiğini ve bu paranın 990.000,00 TL'lik kısmını ... iban numaralı ...bank hesabına EFT işlemi ile göndermiştir.

Müvekkilimizin banka hesap hareketleri ve EFT işlemi için tanzim edilen dekontun sunulduğunu, Gelinen noktada üçüncü şahsın gerçekleştirdiği eylem davalının olaydaki güvenlik zaafiyetini ve taraflar arasında tanzim edilen bankacılık sözleşmesine istinaden müvekkilimizin hesabında bulunan paranın korunması sözünün yerine getirilmediğini , Davalının sözleşmeye aykırılığı nedeni ile şimdilik 10.000,00 TL (fazlaya ilişkin haklarımız saklı kalmak ve ilerde ıslahla arttırmak suretiyle) maddi tazminatın EFT işlem tarihi olan 19.09.2023 tarihinden itibaren işleyecek ticari faizi ile birlikte davalıdan tahsili ile müvekkilimize ödenmesine,

Yargılama giderleri ve vekâlet ücretinin davalıya yüklenmesine karar verilmesini talep ve dava etmiştir.

Davalı vekili cevap dilekçesinde özetle.

Davacı şirket, 19.09.2023 tarihinde kimliği belirsiz kişilerce yapılan telefon görüşmesi sırasında muhasebe müdürünün güveninin kazanıldığını, bu suretle bankaya kayıtlı cep telefonuna gönderilen tek kullanımlık şifrenin üçüncü kişilerle paylaşıldığını, akabinde şirket hesabındaki dövizin Türk Lirasına çevrilerek 990.000,00 TL’nin daha önce hiçbir ticari ilişki bulunmayan bir ...bank hesabına EFT edildiğini ileri sürerek, zararın bankanın kusurundan kaynaklandığı iddiasıyla kısmi dava açmış ve şimdilik 10.000 TL’nin ticari faiziyle tahsilini talep etmiştir.

Davalı banka ise, dava konusu işlemlerin BDDK mevzuatına uygun şekilde iki aşamalı kimlik doğrulama kullanılarak, doğrulanmış cihaz ve davacıya ait cep telefonuna gönderilen tek kullanımlık şifre ile mobil/internet bankacılığı üzerinden gerçekleştirildiğini, sistemsel bir güvenlik açığı veya kusurunun bulunmadığını, aksine davacının bizzat kendi beyanıyla gizli tutulması gereken şifreyi üçüncü kişilerle paylaşmak suretiyle ağır kusurlu davrandığını savunmuştur.

Taraflar arasındaki Ticari Bankacılık Hizmet Sözleşmesi uyarınca şifrelerin korunmasının münhasıran müşterinin sorumluluğunda olduğu, bu şifrelerle yapılan işlemlerin müşterinin talimatı hükmünde sayıldığı, bankanın veri güvenliği yükümlülüklerini eksiksiz yerine getirdiği ve Yargıtay içtihatlarının da bu tür durumlarda zararın müşteriye ait olduğuna işaret ettiği belirtilmiştir.

Davacının tacir sıfatıyla basiretli davranma yükümlülüğü bulunduğu, internet bankacılığı hizmetinin sağladığı menfaatlerden yararlanırken doğan risklere de katlanması gerektiği, bu nedenlerle bankaya atfedilebilecek herhangi bir kusur bulunmadığı ve davanın reddinin gerektiği sonucuna varılmıştır.

Taraflar arasında uyuşmazlık bulunan hususların;davalı bankanın, davacının hesabından üçüncü kişilerin dövizi TL'ye çevirmek suretiyle 990.000,00 TL tutarlı para transferi işleminde kusurunun ve sorumluluğunun olup olmadığı, davacının bu işlemden dolayı zarar miktarının ve davalının sorumluluğunun ne olduğu hususundan ibaret olduğu görüldü.

Mahkememizce verilen ara karar gereğince bilirkişi raporu alınmasına karar verilmiş olup 29/06/2025 tarihli bilirkişi raporunda özetle; "Yapılan kapsamlı teknik ve sektörel değerlendirme neticesinde, 990.000 TL tutarındaki zararın sosyal mühendislik dolandırıcılığı sonucu oluştuğu, davalı bankanın mevzuata uygun güvenlik önlemlerini aldığı, davacının ise şifre güvenliğini sağlama yükümlülüğünü ihlal ederek zarara sebebiyet verdiği tespit edilmiş olup, bu hususlara ilişkin hukuki değerlendirme ve nihai takdirin mahkemeye ait olduğu kanaatine varılmıştır. İnceleme kapsamında, bankanın mevzuat gereği alması gereken teknik güvenlik önlemlerini aldığı belirlenmiş, teknik bulgular para transferinin SMS şifresinin üçüncü kişilerle paylaşılması sonucu gerçekleştiği" sonuç ve kanaatine varılmıştır.

DELİLLERİN DEĞERLENDİRİLMESİ VE GEREKÇE

Mahkememizce yapılan yargılama sonucunda; tarafların beyanları, deliller ve tüm dosya kapsamına göre;

Davacı vekili dava dilekçesinde; müvekkilinin davalı banka nezdindeki hesabından, üçüncü kişiler tarafından gerçekleştirilen dolandırıcılık fiili sonucunda rızası dışında para çıkışı meydana geldiğini, söz konusu işlemlerin bankanın güvenlik sistemlerindeki yetersizlik ve ihmaller sebebiyle gerçekleştiğini, olağan dışı ve yüksek tutarlı işlemler sırasında davalı banka tarafından herhangi bir uyarı, bilgilendirme veya teyit mekanizmasının işletilmediğini, bu nedenle bankanın özen yükümlülüğünü ihlal ettiğini ileri sürerek uğranılan maddi zararın faiziyle birlikte tahsilini, ayrıca manevi tazminata hükmedilmesini talep etmiştir.

Davalı banka vekili cevap dilekçesinde; dava konusu işlemlerin davacının bizzat kendisi tarafından, kendisine tanımlı mobil ve internet bankacılığı kanalları kullanılarak, geçerli kimlik doğrulama adımları tamamlanmak suretiyle gerçekleştirildiğini, bankanın sistemlerinde herhangi bir teknik zafiyet, güvenlik açığı veya yetkisiz erişim bulunmadığını, olayın üçüncü kişilerce uygulanan sosyal mühendislik yöntemleri neticesinde davacının kendi iradesiyle gerçekleştirdiği işlemlerden kaynaklandığını, bankaya atfedilebilecek kusur ve illiyet bağının bulunmadığını belirterek davanın reddini talep etmiştir.

Dava, davalı banka nezdindeki davacının hesabında bulunan dövizin TL'ye çevrilmek suretiyle dava dışı üçüncü kişilere 990.000,00 TL tutarlı para transferi işlemi sonrası oluştuğu iddia edilen zararın davalı bankadan tazmini istemine ilişkindir.

"Güven kurumu olan bankaların, mudilerinin kendilerine emanet ettikleri parayı korumakla yükümlü olup, hafif kusurlarından bile sorumlu oldukları ve rıza ve bilgi dışında yapıldığı iddia edilen veya yapılan işlemlerde hesap sahibinin kusurlu eylemi olduğunu ispat etmedikleri sürece meydana gelen zarardan sorumlu bulundukları tartışmasız olmakla birlikte somut olayda, davacının tek kullanımlık şifreyi karşı tarafa kendisinin bildirmesi ve bundan sonra kart bilgilerine ulaşılarak bu bilgilere göre işlem yapıldığının anlaşılmasına göre, bankanın artık bankanın özen yükümlülüğünü ihlal ettiği ve kusurlu bulunduğundan söz edilemeyecektir.

Aksine davacı taraf, kişisel bilgilerini koruma görevini yerine getirmekte gerekli özeni göstermeksizin güvenli işlem yapılabilmesi için banka tarafından gönderilen tek kullanımlık şifreyi paylaşarak zararlandırıcı işleme, bizzat kendisi sebebiyet verdiğinden, davalının müterafik kusuruna esas olabilecek bir delilin bulunmadığı ve bankanın kusursuzluğunu kanıtladığı kabul edilmelidir.

Öte yandan olayla ilgili yürütülen bir savcılık soruşturmasının olmadığı da dosya kapsamı ile sabit olup, davacı tarafından aksi yönde bir delil de ibraz edilmiş değildir.

Hal böyle olunca, ilk derece mahkemesince yazılı şekilde davanın reddine karar verilmesinde bir isabetsizlik bulunmadığından, davacı vekilinin yerinde olmayan nedenlere göre istinaf başvurusunun esastan reddine karar verilmesi gerekmiş ve aşağıdaki hüküm kurulmuştur." (İstanbul Bölge Adliye Mahkemesi 43. Hukuk Dairesinin ... esas, ... karar sayılı 16/12/2021 tarihli kararı)

"Somut olayda. 02/01/2017 tarihinde davacının hesabına mobil bankacılık üzerinden giriş için davacı cep telefonuna banka tarafından saat 15:56:31 ve saat 16:02:06'da "sms şifresi kullanarak mobil uygulamamıza giriş yapabilirsiniz.

Güvenliğiniz için şifrenizi banka personeli dahil kimseyle paylaşmayın" uyarısını da içeren iki ayrı tek kullanımlık/dinamik şifre gönderildiği, bu şifrelerin davacıyı arayan şahısların isteği üzerine davacı tarafından tuşlandığı, kendisine gönderilen tek kullanımlık şifreleri koruma yükümlülüğünün davacı tüketiciye ait olduğu, davalı banka bir güven kurumu olarak hafif kusurundan sorumlu olsa dahi, somut olayda şifrelerin üçüncü kişilerce ele geçirilmesinin bankanın internet bankacılığı sistemindeki zaafiyetten kaynaklanmadığı,

anılan şifrelerin davalı banka sistemi üzerinden ele geçirilmeyip, doğrudan davacıdan temin edildikleri, şu halde davalı bankaya izafe edilecek bir kusur bulunmadığı, davalı bankanın zararın ortaya çıkışında davacının kusurlu olduğunu, bizzat davacı beyanı ile ispatlamış olduğu, mahkemece aldırılan ikinci bilirkişi heyeti kök ve ek raporlarında bilişim uzmanı bilirkişinin de yer aldığı, davacının cep telefonuna gelen şifrelerin üçüncü kişilerin eline geçmesine sebep olmuş olması karşısında, mobil bankacılık sistemine girilen IP adresinin kime ait olduğunun tespitinin gerekmediği,

yine davacının şikayeti üzerine başlatılan soruşturma dosyasında yer alan kolluk fezlekesi ve ifade tutanakları incelendiğinde, şüphelilerin banka çalışanı olmadıklarının görüldüğü, bilirkişi heyeti tarafından tanzim edilen kök ve ek raporlarda, ücretsiz ... yazılımları kullanılarak internet üzerinden ve sahte numaralar ile arama yapılmasının mümkün olduğu ve bankaların bunu engellemelerinin mümkün olmadığı tespit edildiğinden, davacı yanın davalı bankanın müşteri hizmetleri numarası ile aynı numaradan arandığına, bu numaraların kopyalanmasının banka tarafından engellenmesi gerektiğine yönelik istinaf sebebinin yerinde olmadığı,

üçüncü kişiler tarafından tek kullanımlık şifreler kullanılarak mobil bankacılık sistemine girildikten sonra davacı hesabından yaklaşık beş dakika ara ile 6.000,00-TL ve 17.000,00-TL para transferi sağladıkları, davacıya özel tek kullanımlık şifre ile sisteme giriş yapıldıktan sonra, her bir havale işlemi için ayrıca onay şifresi gönderilmesi gerekmediği,

tek kullanımlık şifrelerin, kimseyle paylaşılmaması yönündeki uyarıya rağmen doğrudan davacıdan ele geçirilmiş olması karşısında, transfer işlemlerinin gerçekleştiğinin sonradan davacıya sms yolu ile bildirilmesinin sonucu değiştirmeyeceği, davalının aksi yöndeki istinaf sebeplerinin yerinde olmadığı anlaşılmıştır. "(İstanbul Bölge Adliye Mahkemesi 13. Hukuk Dairesinin ... esas, ... karar sayılı 09/05/2024 tarihli kararı)

"Somut olayda davacının, özel hattan arayan ve kendisini dava dışı banka çalışanı gibi tanıtan kişi tarafından sosyal mühendislik yöntemi kullanılarak hile içeren davranışlarla iradesinin sakatlandığı ve uğradığı dolandırıcılık eylemi sebebiyle davalı banka nezdindeki vadeli döviz hesabını bozdurarak vadesiz hesaba aktardığı, sonradan üçüncü kişilere havale işlemlerini gerçekleştirdiği gözetildiğinde davacının bizzat kendisi tarafından yapılan işlemler sebebiyle davalı bankanın özen yükümlülüğünü ihlal ettiği ve kusurlu bulunduğundan söz edilemeyecektir.

Davacı tarafça davalın bankanın güvenlik açığının olup olmadığının araştırılmadığı ve davacının annesinin yaptığı kartların kapatılmasına yönelik ihbarın davalı banka tarafından dikkate alınmadığı ileri sürülmüş ise de ihbardan sonra davacı tarafça işlem yapılmaya devam edildiği gibi denetime ve hüküm kurmaya elverişli bilirkişi raporunda belirtildiği üzere davacı, zararlandırıcı işleme bizzat kendisi sebebiyet verdiğinden davalı bankanın müterafik kusuruna esas olabilecek bir delilin bulunmadığının ve davalı bankanın kusursuzluğunu kanıtladığının kabulü gerekir. Bu durumda ilk derece mahkemesince maddi ve manevi tazminat davasının reddine karar verilmesinde bir isabetsizlik yoktur."(İstanbul Bölge Adliye Mahkemesi 43. Hukuk Dairesinin ... esas, .. karar sayılı 10/04/2025 tarihli kararı)

İnternet bankacılığı hizmetini müşterilerine sunan bankaların, internet bankacılığı sisteminin güvenliğine yönelik tüm tedbirleri almaları ve sistem hatalarını ve eksikliklerini gidererek sistemi bilinen en son teknolojik gelişmeye uygun hâle getirmeleri gerekir. Müşterilerin internet bankacılığını kullanmakta olması bankaların mevduatı koruma yükümlülüğünü ortadan kaldırmaz.

Buna karşın internet bankacılığı işlemlerinde müşteriler de kendilerinden beklenen her türlü tedbiri almak ve her türlü dikkat ve özeni göstermek zorundadırlar. Müşterilerin, internet bankacılığında kullanılmak üzere kendilerine verilen özel bilgilerini, banka ve kredi kartlarında olduğu gibi, üçüncü kişilerden özenle koruma ve saklama yükümlülüğü mevcuttur.

Bu yükümlülüklerin ihlal edilmesi hâlinde müşterinin kendi kusurundan kaynaklanan bu durumun sorumluluğuna katlanması gerekmektedir.

Somut olayda, internet bankacılığı üzerinden işlem yapılabilmesi için gerekli ve şart olan tek kullanımlık şifrenin davacının bankada kayıtlı olan cep telefonuna gönderilmiş olduğu ancak davacının kendisini arayan kötüniyetli kişilerle bu şifreyi paylaştığı dosya kapsamı ile sabit olduğu gibi taraflar arasında da ihtilaflı da değildir. İhtilaf, davalı bankanın bu işlemde tam ya müterafik kusurlu olup olmadığı konusundadır. Davalı bankadan banka kayıtları, işlem logları ve soruşturma dosyası celp edilmiştir. Bilirkişi raporu alınmıştır. Dosya kapsamında taraf beyanları, banka kayıtları, işlem logları, soruşturma dosyası ve alınan bilirkişi raporu birlikte değerlendirilmiştir.

29/06/2025 tarihli bilirkişi raporunda; dava konusu para transferlerinin, davacıya tanımlı internet/mobil bankacılık kanalı kullanılarak, davacının kullanıcı bilgileri ile sisteme giriş yapılmak suretiyle ve işlem sırasında davacının bankada kayıtlı cep telefonuna gönderilen tek kullanımlık doğrulama kodlarının girilmesi suretiyle gerçekleştirildiği, davalı bankanın sistem altyapısı ve güvenlik protokolleri bakımından işlemlerin yetkisiz kişilerce doğrudan gerçekleştirilmesine imkân verecek nitelikte herhangi bir teknik zafiyet veya ihlalin tespit edilemediği,

doğrulama kodlarının davacının fiili hâkimiyet alanında bulunduğu ve bu bilgilerin üçüncü kişilerce öğrenilmesinin bankadan kaynaklanan bir güvenlik açığından değil, davacının kendi davranışları sonucunda mümkün olabileceği değerlendirilmiştir.

Raporda ayrıca, olayın klasik anlamda bir banka sistemi ihlali olmayıp, üçüncü kişilerce sosyal mühendislik yöntemleri kullanılarak davacının iradesinin yönlendirilmesi suretiyle gerçekleştirilen bir dolandırıcılık vakası olduğu, bankanın bu süreçte işlemleri engelleyebilmesini gerektirecek objektif bir teknik veya hukuki yükümlülüğünün bulunmadığı belirtilmiştir.

Mahkememizce bilirkişi raporu, dosya kapsamı ve taraf beyanları ile uyumlu, denetime elverişli ve hüküm kurmaya yeterli görülmüştür.

Uyuşmazlık, üçüncü kişiler tarafından yönlendirilmek suretiyle davacı tarafından şifrenin paylaşılması sonucu üçüncü kişiler tarafından gerçekleştirilen bankacılık işlemleri sonucunda meydana gelen zarardan davalı bankanın sorumlu olup olmadığı noktasında toplanmaktadır.

Bankalar, mevduat sözleşmesi ve bankacılık hizmetleri kapsamında müşterilerine karşı sadakat ve özen yükümlülüğü altında olup, bankacılık işlemlerini güvenli şekilde yürütmekle yükümlüdür. Ancak bankanın sorumluluğundan söz edilebilmesi için, zararın bankanın kusurlu davranışı sonucu meydana gelmesi ve zarar ile kusur arasında uygun illiyet bağının bulunması gerekmektedir.

Somut olayda, 19.09.2023 tarihinde davacının ...bank ... şubesindeki ... numaralı hesabından yetkisiz olarak gerçekleştirilen 990.000,00 TL tutarındaki EFT işlemi öncesinde hesapta bulunan döviz varlıkları Türk Lirasına çevrilmiş, ardından ...'ta ... adına kayıtlı ... IBAN numaralı hesaba transfer edilmiştir. İşlemler internet bankacılığı kanalı üzerinden saat 16:45-16:46 arasında gerçekleştirilmiştir.

Kendisini ... görevlisi olarak tanıtan üçüncü kişi, davacının muhasebe müdürü ...'ı telefonla arayarak güven tesis etmiş, mevcut müşteri temsilcisinin adını ve şirketin şube bilgilerini kullanarak inandırıcılığını artırmış, yeni kart basıldığı beyanıyla SMS şifresini davacının muhasebe müdürüne telefonda tuşlatmıştır. SMS mesajındaki "Sizi arayan kişilere şifrenizi söylemeyin/tuşlamayın" uyarısına rağmen davacı şirket çalışanı mesajdaki şifreyi üçüncü kişi ile paylaşmıştır.

Davalı banka, BDDK Bilgi Sistemleri ve Elektronik Bankacılık Yönetmeliği'nin 34. maddesi uyarınca zorunlu olan iki faktörlü kimlik doğrulama sistemini eksiksiz uygulamıştır. Müşteri şifresi ve SMS ile gönderilen tek kullanımlık şifre kombinasyonu kullanılmış, her işlem öncesi SMS bildirimi gönderilmiştir. 990.000 TL'lik EFT işlemi öncesinde gönderilen SMS'te işlem tutarı, alıcı hesap bilgisi ve onay kodu açıkça belirtilmiştir.

Banka, teknik güvenlik gerekliliklerini tam olarak yerine getirmiştir. Dava konusu para transferlerinin davacının kendisine tanımlı mobil/internet bankacılığı sistemi kullanılarak, geçerli kimlik doğrulama adımları tamamlanmak suretiyle gerçekleştirildiği sabittir. Dosya kapsamı ve bilirkişi raporundan, davalı bankanın sistemlerinde güvenlik açığı veya teknik zafiyet bulunduğuna dair herhangi bir tespit yapılamadığı anlaşılmaktadır.

Davacının çalışanının, üçüncü kişiler tarafından telefonla yönlendirilerek ve ikna edilerek tek giriş şifresinin paylaşıldığı, bu suretle üçüncü kişilerin banka sistemine giriş yaparak havale ve transfer işlemlerini tamamladığı, banka tarafından gönderilen şifrenin müşterisi olan davacıya gönderilmesi ve o şifre ile giriş yapılması neticesinde banka sistemlerinde bu girişin müşterisi olan davacı tarafından yapıldığının kabul edileceği, bankanın ise bu aşamada müşterinin kendi hesabına erişimini ve talimatını hukuka aykırı şekilde engellemesinin mümkün olmadığı değerlendirilmiştir.

Bu hâliyle, zararın meydana gelmesinde belirleyici olan hususun, davacının üçüncü kişilerce yönlendirilmesi sonucu kendi tasarruf alanında bulunan şifreyi paylaşarak işlemin gerçekleşmesine neden olduğu, davalı bankanın kusurlu bir eyleminin veya ihmalinin ispatlanamadığı, zarar ile bankanın işlemleri arasında uygun illiyet bağının kurulamadığı sonucuna varılmış ve davanın reddine dair aşağıdaki şekilde hüküm kurulmuştur.

Katip · e-imzalıdır Hakim · e-imzalıdır