İstanbul 8. Asliye Ticaret Mahkemesi E.2023/45 K.2024/909

Mahkememizde görülmekte olan maddi tazminat davasının yapılan açık yargılaması sonunda;

GEREĞİ DÜŞÜNÜLDÜ

Davacı vekili dava dilekçesi ile; müvekkili şirketin davalı bankada mevcut ... IBAN numaralı vadesiz hesabın sahibi olduğunu, müvekkili şirkete ait bu hesaba 10/02/2022 tarihinde şüpheliler tarafından siber saldırı ile haksız şekilde giriş yapıldığını, ... Bankası'nda ... adlı şahısa ait ...

IBAN numaralı hesaba önce 49.592,00-TL, sonra hesapta yer alan dövizlerin bozulması suretiyle arka arkaya 245.544,00-TL, 221.111,00-TL, 138.433,00-TL ve 12.222,00-TL olmak üzere toplam 666.902,00-TL bedelin EFT yoluyla gönderildiğini, bu işlemlerin hiçbirinin müvekkiline ait olmadığını, söz konusu transfer işlemlerinin, müvekkili şirketin bilgisi ve onayı olmaksızın, şüpheliler tarafından banka hesabına hukuka aykırı giriş yapılarak gerçekleştirildiğini, sonrasında ise yine müvekkilinin hesabından ...

Bankası'nda ... adlı şahısa ait ... IBAN numaralı hesaba 41.179,27-TL tutarında EFT yapıldığını, bu işlemin de müvekkiline ait olmadığını ve şüpheli işlemin ... Bankası tarafından tespit edilerek, ilgili bedel üzerinde bloke konulduğunu, bu durumlarla ilgili müvekkili tarafından ...

Cumhuriyet Başsavcılığının ... soruşturma numaralı dosyası ile şikayetçi olunduğunu ve soruşturma sürecinin devam etmekte olduğunu, gelinen aşamada davalı bankanın, söz konusu dolandırıcılık ve müvekkili nezdinde meydana gelen zararlardan kusursuz sorumluluğunun olduğunun tartışmasız olduğunu, davalı bankanın, internet bankacılığı sisteminin güvenliğine yönelik tedbirleri alması,

sistem hatalarını ve eksikliklerini gidererek sistemi bilinen en son teknolojik gelişmeye uygun hale getirmesinin gerekmekte olduğunu, müşterilerin internet bankacılığını kullanmakta olmasının, bankaların mevduatı koruma yükümlülüğünü ortadan kaldırmayacağı gibi, sorumluluğunu da hafifletmeyeceğini, bu kapsamda işlemlerini internet ortamına taşıyarak daha fazla müşteri kitlesine ulaşmak ve dolayısıyla daha fazla kâr elde etmek isteyen bankanın, buna paralel olarak gerekli teknolojik ve yazılımsal önlemleri almasının,

gelişen teknoloji karşısında kötü niyetli üçüncü kişilerin internet bankacılığı sistemine girişimlerini anında engelleyecek güvenlik mekanizmasını oluşturması, sistemini sürekli güncelleyerek yenilemesi, herhangi bir usulsüz işlemle karşılaşıldığında gerekli önlemleri almanın yanı sıra müşterilerini de anında bilgilendirmesinin gerekmekte olduğunu, davalı banka tarafından herhangi bir şüpheli işlem mesajı dahi iletilmediğini veya bloke uygulanmadığını, davalı banka tarafından tespit edilmeyen şüpheli işlemin, ...

Bankası tarafından tespit edildiğini ve bu bankaya giden 41.179,27-TL ödemeye şüpheli işlem olması nedeniyle banka tarafından resen bloke konulduğunu, tüm bu nedenlerle müvekkili şirketin hesabından alınan 666.902,00-TL bedelin 10/02/2022 tarihinden başlayarak hesaplanacak avans faizi ile birlikte davalıdan tazminini talep etmiştir.

Davalı vekili cevap dilekçesi ile; dava dilekçesinde müvekkili bankaya yöneltilen kusur ve iddiaların tamamının soyut olduğunu ve maddi ve hukuki dayanaktan yoksun olduğunu, günümüz bankacılık sistemlerinde hiçbir banka hesabında müşteri kusuru olmaksızın doğrudan üçüncü kişilerin müdahalesi ile işlem yapılabilme imkanının bulunmamakta olduğunu, müvekkili bankanın sisteminde herhangi bir güvenlik zafiyetinin bulunmamakta olduğunu, buna karşın genel anlamda davacı vekillerince müvekkili banka ve diğer bankalara yöneltilen bu tür davalarda davacıların,

kusurlu eylemlerini gizler mahiyette eksik ve yanıltıcı anlatımlarla davalar ikame etmekte olduklarını, müşteriler tarafından bankacılık işlemlerinin gerçekleştirildiği bilgisayar, telefon vb. cihazlarının güvenliğini sağlayamamaları, zararlı yazılımları cihazlarına indirmeleri, bankalara ait resmi iletişim numaraları dışındaki telefon görüşmelerine yanıt vermeleri ve kişisel bilgilerini paylaşmalarının, internet ortamında özellikle sosyal medya vb. platformlarda kötü niyetli üçüncü kişilerin sosyal mühendislik olarak tabir edilen dolandırıcılık ve bilgi hırsızlığı eylemlerine maruz kalmalarının,

internet ortamında yer alan ve "Fishing" olarak tabir edilen sahte siteler üzerinden işlem yapmaya çalışmalarının, yurt dışı kaynaklı "..." metoduyla yapılan aramalara yanıt verilerek bankacılık sistemlerinde ... tuşlamaları yapmalarının huzurdaki dava konusu somut olaya benzer şekilde işlemlerin gerçekleşmesine neden olmakta olduğunu, tahdidi olarak sınırlanamaz biçimde her geçen gün ortaya çıkan bu metotların ve dolayısıyla gerçekleşen işlemlerin ana faktörünün müşteri kusuru olduğunu,

huzurdaki davada da davacı tarafın bilgisi ve rızası dışında gerçekleşmiş olduğunu iddia ettiği tüm işlemlerin internet şubesi üzerinden gerçekleştirilmiş olduğunu, internet şubeye giriş ve devamında davacıdan mobil onay alınmak suretiyle işlemlerin gerçekleştirildiğini, söz konusu işlemlerin davacı tarafından gerçekleştirildiğini gösterir kayıtlara müvekkili banka sistemlerinde yapılacak bir yerinde inceleme ile ulaşılabileceğini, davacının beyanlarının eksik ve yanıltıcı olduğunu, kötü niyetli olarak huzurdaki davayı ikame ettiklerinin açık olduğunu, müvekkili bankanın sisteminden alınan SMS raporu,

login detay raporu ve log kayıtları incelendiğinde, müvekkili bankanın bütün güvenlik mekanizmasını sağladığının görülmekte olduğunu, müvekkili bankanın internet şube ve mobil şube kanallarını BDDK tarafından yayınlanan Bankaların Bilgi Sistemleri Ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'e uygun olarak kurduğunu, siber suçlarla mücadele şube müdürlüğü tarafından, davacının mobil bankacılıkta kullanmış olduğu telefon ve internet bankacılığı için kullanılan bilgisayar cihazı üzerinde ve de yurt dışı aramaya muhatap olan telefon hattı üzerinde yapılan inceleme varsa, inceleme raporunun dosyaya celp edilmesi gerektiğini,

böyle bir inceleme yok ise bu yönde bir inceleme yapılması gerektiğini, bankacılık bilgisinin başkalarının eline geçmesine sebep olan ve açıkça müvekkili bankaya ait olmadığı bilinen ve de basiretli bir tacir olarak söz konusu çağrıya yanıt vermemesi gerektiğini bilmesi gereken davacıya karşı, müvekkili bankanın alabileceği bir önlemin kalmamakta olduğunu, dava konusu olayda davacının, müvekkili bankaya ait olmayan bir numaradan gelen çağrıya yanıt verip ... tuşlaması gerçekleştirerek söz konusu işlemlerin gerçekleşmesine sebebiyet verdiğini, davacının,

dava dilekçesinde hesabından 41.179,27-TL tutarında EFT işleminin yapıldığını iddia ettiğini, ancak müvekkili banka kayıtlarında yapılan tetkiklerde söz konusu tutarda bir EFT hareketi tespit edilemediğini, internet şubeye giriş işlemi ve devamı işlemlerin, müşterinin mobil onayı ile gerçekleştiğini, davacı ile müvekkili banka arasındaki bankacılık hizmetleri sözleşmesi hükümlerine göre davacı tarafın, yükümlülüklerini ihlal ettiğini, müvekkili bankanın kayıtlarının yerinde incelenmesinin ve davacı tarafın müvekkili banka ile arasında gerçekleşen çağrı kayıtlarının müvekkili bankadan celbinin gerektiğini,

tüm bu nedenlerle davanın ... ile ... isimli kişilere ihbarını ve davanın reddini talep etmiştir.

Dava, davacı şirketin davalı banka nezdinde bulunan hesabına 3. kişiler tarafından giriş yapılarak dolandırıcılık fiilinin işlenmesi nedeniyle davalı bankanın, gerekli güvenlik tedbirlerini alamaması nedeniyle kusursuz sorumlu olduğundan bahisle, hesaptan alınan bedelin tazmini istemine ilişkin bulunmaktadır.

Eldeki dosya öncelikle ... Asliye Ticaret Mahkemesinin ... esas sırasına tevzi edilmiş olup, mahkemenin 02/01/2023 tarihli, ... karar sayılı sayılı kararıyla dava dosyasının konusu itibariyle İstanbul 6., 7., 8., ve 9. Asliye Ticaret Finans İhtisas Mahkemelerine gönderilmesine karar verilmiş olup, Mahkememize tevzi edilen dosya mahkememiz esasının yukarıda belirtilen sırasına kaydedilerek, yargılamaya mahkememizce devam olunmuştur.

Mahkememizce taraflar arasında akdedilen bankacılık hizmetleri sözleşmesi, davacı, ... ve ...'nın hesap hareketleri, telefon kayıtları, hesap log kayıtları, telefon aktivasyon kayıtları, jurnal raporu, arabuluculuk son tutanağı, ... Cumhuriyet Başsavcılığının ... soruşturma sayılı dosyası vs. dosyamız arasına alınmış, bankalar iç denetimi ve internet dolandırıcılığı uzmanı, veri tabanı, veri merkezi, yazılım ve adli bilişim uzmanı öğretim üyesi ve borçlar hukuku uzmanı bilirkişilerden oluşan 3 kişilik heyetten rapor ve ek rapor temin edilmiştir.

... Cumhuriyet Başsavcılığının ... soruşturma sayılı dosyasının incelenmesinden, müşteki ... Sanayi Ve Ticaret Anonim Şirketi tarafından, şüpheliler ... ile ... aleyhine 11/02/2022 tarihinde nitelikli dolandırıcılık suçu isnadıyla şikayette bulunulduğu, savcılık talebi üzerine .... Sulh Ceza Hâkimliğinin ... değişik ... sayılı dosyası kapsamında ...'nın ... Bankası Anonim Şirketinde bulunan hesabındaki 41.179,27-TL tutarlı blokeli meblağa el konulduğu, dosyanın derdest olduğu anlaşılmıştır.

Bankacılık işlemleri, bankalar iç denetimi ve internet dolandırıcılığı uzmanı ..., veri tabanı, veri merkezi, yazılım ve adli bilişim uzmanı yüksek mühendis ve öğretim üyesi Dr. ... ve borçlar hukuku uzmanı Prof. Dr. ...'den oluşan bilirkişi heyeti tarafından düzenlenerek mahkememiz dosyasına sunulan 29/03/2024 havale tarihli rapor ile; işlemlerin nasıl yapıldığı hususu LOG kayıtları üzerinden incelendiğinde, internet bankacılığının

kullanıldığı, mobil bankacılık uygulamasının kullanılmadığı, LOG kayıtlarına göre, davacının şirket hesabına 10.2.2022 günü, internet bankacılığı kullanılarak

12:31:46’da mobil onay ile giriş yapıldığı,

girişi takiben 40 dakikaya yakın bir süre zarfında, “...” kullanıcısı tarafından muhtelif döviz satış

işlemleri ile dava konusu 666.902,00-TL tutarında para transferlerinin gerçekleştirildiği, bu tespitlere göre hesaba, daha önceden sisteme “...” olarak kaydedilmiş kullanıcının

bilgileriyle ve mobil onay ile girildiği,

tüm işlemlerin, aynı oturum içerisinde ve aynı kullanıcı tarafından yapıldığını gösterdiği,

bankaca sunulan müşteri-değişiklik onay formunda ... adlı bir yetkilinin yer

aldığı, kullanıcı adının şirket tarafından verilmiş bir kullanıcı adı olduğu kanaatine varıldığı,

“...” kullanıcısı ile giren kişinin, hesabın gerçek kullanıcısı “...” olup olmadığının

bilinemeyeceği, ancak “...” kullanıcı adıyla ve iki faktörlü kimlik doğrulama kullanılarak ve

... adlı kullanıcının da girişi mobil onay bildirimine onay vermek suretiyle onayladığı,

hesaptan gönderilen paraların, ... adlı kişi tarafından hiç bekletilmeden kripto para alımı

yahut başka banka hesaplarına EFT ile aktarılarak derhal kullanılmış olduğu,

... adlı şahısa ait ... IBAN nolu ... Bankası'ndaki hesaba

gönderilen 41.179,27-TL'lik EFT işleminin davacının incelenen hesabı içerisinde yer almadığı, bu

konunun değerlendirme dışı kaldığı,

BDDK tarafından yayınlanarak 1.7.2020 tarihinden itibaren yürürlüğe giren Bankalarda Bilgi Sistemleri Ve Elektronik Bankacılık Hizmetleri Yönetmeliği kapsamında değerlendirildiğinde, yönetmeliğin 34/3. maddesi doğrultusunda, bankanın hesaba girişte iki faktörlü kimlik doğrulama

yöntemini kusursuz olarak uyguladığını gösterdiği, hesaba girmiş olan kişinin kim olduğu

hususunda bankanın ayrıca bir kanıtlama mecburiyeti olmadığı, hesaba giriş işleminin müşteri

sorumluluğunda olduğu,

ancak işlem güvenliği konusunda yönetmeliğin “mobil bankacılıkta kimlik doğrulama ve işlem

güvenliği” başlıklı, yönetmeliğin 39. maddenin 3. paragrafında anlatılan, güvenli alıcılar listesinde

olmayan bir kişiye para gönderilmesi halinde işleme ilave bir güvenlik unsuru daha eklenmesinin

uygun olacağı öngörüsüne uyum sağlanmamış olduğu,

davaya konu işlemlerin mobil bankacılık aracılığıyla yapılmamış olsa dahi, hesaba girişte mobil

bankacılığa ilişkin bildirim onayı yöntemi kullanıldığından 39/3. madde kapsamına girdiği, davacının

hesabı mobil bankacılık sistemine tanımlı olmasının bu bildirim onayına yol açtığı,

davacının hesabından daha önce hiç işlem yapılmamış ... adlı kişiye 666.902,00-TL’lik EFT

yapılırken, bu maddeye göre ikinci bir güvenlik unsuru, SMS ile gönderilecek onay şifresi veya ...

üzerinden alınacak bir onaya gerek olduğu,

bu onayın, mobil onay bildiriminin tekrarlanması değil, yeni bir kimlik doğrulama unsurunun

eklenmesi suretiyle yerine getirilmesi gerektiği,

gönderilmiş olan LOG kayıtlarında bankanın bu ek güvenlik unsurunu işleme dahil ettiğine dair bir kayıt görülemediğinden bankanın, yönetmeliğin 39/3. maddesi gereklerine uygun işlem yaptığının ileri

sürülemeyeceği,

bu eksikliğin, bir risk önleme aracının kullanılmaması anlamına geldiği, müşterinin riskli bir işlem

yapıldığını anlama ve durdurma şansının bu suretle elinden alınmış olduğu, bankanın ortaya çıkan zarara neden olduğunun

söylenebileceği,

neticeten davacının davalıdan, dava tarihi itibariyle

666.902,00-TL tutarında tazminat alacağının bulunduğu, bu alacağın talep gibi zararın meydana

geldiği 10.02.2022 tarihinden itibaren işletilecek avans faizi ile birlikte tahsilinin talep edilebileceği tespit edilmiş, 21/10/2024 tarihli ek rapor ile; ilk transfer işleminde ... üzerinden alınmış bir ek onay görülebilmekte olduğunu, 38. maddenin 3. paragrafı çerçevesinde farklı tutardaki her bir işlem için ayrı bir doğrulama kodu

üretilmesi gerektiğinin de ileri sürülebileceğini, raporda kusur tespitine esas alınmış olan yönetmeliğin 39/3. maddesinin dava konusu

olaya uygulanmaması gerektiği, bu maddenin mobil bankacılığa özgü olduğu, oysa

işlemlerin internet bankacılığı üzerinden yapılmış olduğu, internet bankacılığına ilişkin

hükümlerin 38. maddede düzenlendiği ve bu maddede ise “güvenli alıcılar” şeklinde bir

belirleme bulunmadığı tespitinin yerinde olduğunu, 39. maddenin mobil bankacılık uygulamalarında dikkate alınması gerektiği, dava

konusu olayda işlemlerin internet bankacılığı üzerinden gerçekleştirildiği, mobil cihazların onay

bildirimleri için kullanıldığı, bu konuda olaya uygulanması gereken hükümlerin 38. madde

kapsamında düzenlendiği, parasal işlemlerin onay kodu gerektirdiği, 3. paragrafta

“Finansal sonuç doğuran işlemler için doğrulama kodlarının, işlemi gerçekleştirirken

müşterinin onayladığı tutar ve alıcı bilgisine göre spesifik olması, tutar veya fonun

aktarılacağı alıcı bilgisindeki herhangi bir değişiklik halinde bu bilgilere göre oluşturulmuş

ilgili doğrulama kodunun da geçersiz hale gelmesi temin edilir.” hükmüne tabi olduğu, bu hüküm

çerçevesinde internet bankacılığı üzerinden yapılan finansal işlemler için de onay kodu

gerektiğinin düşünülmekte olduğu tespit edilmiştir.

Mahkememizce tüm dosya kapsamı hep birlikte değerlendirilmiştir. Buna göre, taraflar arasında 04/11/2019 tarihinde bankacılık hizmetleri sözleşmesi

akdedilmiş olduğu, sözleşmenin şirket adına ... tarafından vekaleten imzalanmış

olduğu,

sözleşmenin 8.4. maddesinin elektronik bankacılık hizmetlerini düzenleyici hükümler içerdiği,

davaya konu olan işlemlerin, davacı şirketin ... IBAN numaralı

hesabında gerçekleştiği, işlemlerin nasıl yapıldığı hususunun LOG kayıtları üzerinden incelendiğinde, internet bankacılığının

kullanıldığı, mobil uygulama kullanılmadığı, ancak davaya konu usulsüz işlemlerin tamamlanmasından yaklaşık bir saat sonra, hesaba bağlı cep

telefonlarının aktivasyonlarının iptal edildiği, bu iptallerin davaya etkili bulunmadığı, LOG kayıtlarına göre, davacının şirket hesabına 10/02/2022 günü saat 12:31:46’da mobil onay ile giriş

yapıldığı, mobil onayın ise sisteme 20/12/2021 tarihinde kaydedilmiş, ... ile biten device ID ile

tanımlanmış ... cihazına gönderildiği,

giriş için ... kullanan PC üzerinden ve ... IP adresinden ... tarayıcısı ile

girildiği, internet bağlantısı için kullanılan IP adresinin ise ... Anonim Şirketine ait bir veri hattı olduğu,

hesaba giren kişinin “...” kullanıcı adını kullandığı ve hesaba bu kullanıcı adının 04/11/2019

tarihinde eklenmiş olduğu,

bu girişle açılan oturumun 13:09:36’ya kadar devam ettiği,

40 dakikaya yakın bu süre zarfında, “...” kullanıcısı tarafından muhtelif döviz satış işlemleri ile

dava konusu 666.902,00-TL tutarında para transferlerinin gerçekleştirildiği, bu tespitlerin, hesaba daha önceden sisteme “...” olarak kaydedilmiş kullanıcının bilgileriyle ve

mobil onay ile girildiğini, tüm işlemlerin, aynı oturum içerisinde ve aynı kullanıcı tarafından

yapıldığını göstermekte olduğu, bankaca sunulan müşteri-değişiklik onay formunda ... ...

... adlı bir yetkilinin yer almakta olduğu, “...” kullanıcısı ile giren kişinin, hesabın gerçek kullanıcısı “...” olup olmadığı bilinmemekte olduğu, ancak “...” kullanıcı adıyla ve iki faktörlü kimlik doğrulama kullanılarak girildiği, bu durumun, giren kişinin ... olduğunu ya da ... adlı kullanıcının hesaba giriş

bilgileri ile giriş yaptığını ve ... adlı kullanıcının da girişi mobil onay bildirimine onay vermek

suretiyle onayladığını gösterdiği, ... adlı kullanıcının ... numaralı ... model telefonu 20/12/2021 tarihinde saat 17:22:19’da aktivasyona tabi tutulduğu, hesapla eşleştirildiği, bu aktivasyonun, dava konusu işlemlerin oluşundan sonra,

10/02/2022 günü saat 13:43:28’de kaldırılıncaya kadar devam ettiği, bu kayıtların, mobil onayın bu

cihazdan verilmiş olduğunu gösterdiği anlaşılmıştır. Hesaptan gönderilen paralar, ... adlı kişi tarafından hiç bekletilmeden kripto para alımı

yahut başka banka hesaplarına EFT ile aktarılarak derhal kullanılmış olduğu dosyadaki evraklardan ve temin edilen bilirkişi raporu ile anlaşılmıştır. Yapılan tespitlerde davalı banka tarafından ilk transfer işleminde mobil onay alındığı, diğer işlemlerde ise aynı alıcıya

yapılmış olması nedeniyle ayrıca mobil onay alınmadığı görülmektedir. İnternet

bankacılığına ilişkin 38. maddesinin 3. paragrafı; “Finansal sonuç doğuran işlemler için doğrulama

kodlarının, işlemi gerçekleştirirken müşterinin onayladığı tutar ve alıcı bilgisine göre spesifik olması, tutar veya fonun aktarılacağı alıcı bilgisindeki herhangi bir değişiklik halinde bu bilgilere göre

oluşturulmuş ilgili doğrulama kodunun da geçersiz hale gelmesi temin edilir.” hükümlerini

içermektedir. Bu hükümden, fonun aktarılacağı alıcı bilgisindeki herhangi bir değişiklik olmadığı durumda, bu bilgilere göre oluşturulmuş ilgili doğrulama kodunun geçersiz hale gelmeyeceği anlaşılmaktadır. Kaldı ki ilk transfer işleminde ... üzerinden alınmış bir ek onayın görülebildiği tespit edilmiştir. Dolayısıyla davacı hesabından yapılan ilk işlemde ek bir güvenlik önlemi alındığı anlaşılmaktadır. Bu anlamda, dosya kapsamında toplanan deliller, temin edilen bilirkişi rapor ve ek raporu da dikkate alındığında davalı bankanın, alınması gerekli önlemleri aldığı, davacının zarara uğramasında herhangi bir sorumluluğunun bulunmadığı sonucuna varılarak, açılan davanın reddine karar verilmiştir.

Tüm bu nedenlerle davanın reddine ilişkin aşağıdaki gibi hüküm kurulmuştur.

Başkan ... · e-imzalıdır · Üye ... · e-imzalıdır · Üye ... · e-imzalıdır · Katip ... · e-imzalıdır