Gaziantep Bölge Adliye Mahkemesi 11. Hukuk Dairesi E.2023/301 K.2024/1080

Taraflar arasında görülen davada yerel mahkemece verilen karar davalı vekilince istinaf edilmekle, dosyadaki tüm belgeler okunup, incelendikten sonra işin gereği görüşülüp, düşünüldü:

DAVA

Davacı vekili, banka hesabından ....... günü bilgisi ve izni dışında saat.............yapıldığını, hesabından yapılan . işlem için de bankadan gelen herhangi onay ve bilgilendirme mesajı olmadığını, davalının gerekli güvenlik önlemlerini yeterince almadığı ve ihmalinin bu duruma sebebiyet verdiğini, belirterek ......işlem bedeli toplamı .... TL'nin faiziyle ile birlikte davalıdan tahsilini talep ve dava etmiştir.

CEVAP

Davalı vekili, . . işlemlerinin davacının sorumluluğunda kendi isteğiyle oluşturduğu parola bilgileri ile gerçekleştirildiğini, bankaya bildirilen güncel telefon numarasına tek kullanımlık güvenlik şifreleri gönderildiğini, davacının kendisi dışında işlemleri yapmadığının kabulü halinde, bu işlemlerin ./.. ilanlar aracılığı ile sosyal medya üzerinden bankanın taklit sayfalarına giriş yapıldığını, müşterilerin yeterli kontrolü sağlamadan giriş yaptıkları örnek sahte sitelerin...........life olduğu,

bu sitelere bankaya ait .. sayfasına giriş yapıldığı gibi ilk adımda müşteri numarası ve parolaların girildiğini, dolandırıcıların bu bilgileri alarak eş zamanlı bankanın gerçek internet bankacılığı sitesine giriş yaptığını,............ gönderildiğini, internet bankacılığına giriş tercihi .......... olarak değiştirildikten sonra . . girmeye gerek kalmadan telefona kurulan program ile internet bankacılığı işlemleri gerçekleştirildiğini belirterek davanın reddini savunmuştur.

İLK DERECE MAHKEMESİ KARARI

Mahkemece, . . sistemini kurup hizmete sunan banka, mudinin kastı, kötüniyeti ve suç sayılır eylemini kanıtlayamadığı sürece kendisine emanet edilen paradan (ve diğer yatırım araçlarından) güven kuruluşu vasfı nedeniyle sorumlu olacağı, bu sorumluluk, olağan sebep sorumluluğu mahiyetinde olmakla, bankanın gerekli özeni göstermiş olsa bile zararın gerçekleşeceğini ispat etmesi halinde, sorumluluktan kurtulabileceği, bankanın hesabı aynen davacıya iade etmekle yükümlü olduğu, davacının zararın meydana gelmesinde kusurunun bulunduğunu ispat yükü davalı da olup, davacının kusurlu bulunduğu hususunun kanıtlanamadığı, davalı banka, hesaptan usulsüz şekilde alınan paranın tamamından davacıya karşı sorumlu olacağı gerekçeleriyle davanın kabulüne karar verilmiştir.

İLERİ SÜRÜLEN İSTİNAF NEDENLERİ

Davalı vekili, bankanın . katmanlı doğrulama yöntemi kullandığını, dolandırıcılar her bir adımı ayrı ayrı müşterilerden bu siteler yardımıyla aldığı bilgiler ile aştığını, benzer sahte sitelerden herhangi birine . . . . olduğu düşüncesiyle giriş yapan müşteriler ilk adımda müşteri numarası ve parolalarını girdiğini, dolandırıcı bu bilgileri alarak eş zamanlı olarak,

müşteriden habersiz bankaya ait gerçek internet bankacılığı sitesine girdiklerini, bankanın kayıtlarına göre ilk katman başarılı bir şekilde geçildiği için .. aşamada .. kayıtlı cep telefonuna tek kullanımlık şifre . ’i göndermekte olduğunu, internet bankacılığına giriş tercihi . . olarak değiştirildikten sonra SMS şifre girmeye gerek kalmadan telefona kurulan program ile internet bankacılığı işlemleri gerçekleştirebileceklerini, davacıya özel şifre/kod gibi hassas bilgilerin yine davacı tarafından korunamaması suretiyle davaya konu işlem(ler) gerçekleştirildiğini,

böyle bir durumda banka güvenlik altyapısının eksikliğinden söz edilmesi ve bu mekanizmanın üçüncü şahıslarca aşılması mümkün olmadığını, arz ve izah olunan nedenlerin hiçbirini yerel mahkeme değerlendirmediğini davacının zararın meydana gelmesinde kusurunun bulunduğunu ispat yükü davalı da olup, davacının kusurlu bulunduğu hususu da kanıtlayamama sebebinden bahsederek davayı kabul ettiğini, oysa ki işlemlerin tamamen davalının bahsedilen güvenlik önlemlerine uymaması ve dikkatsizlikten kaynaklandığını belirterek istinaf başvurusunda bulunmuştur.

İNCELEME VE GEREKÇE

Dava hukuki niteliği itibariyle, internet banka dolandırıcılığı eylemleri neticesinde davacının hesabından çekilen paranın davalı bankadan tahsili istemine ilişkindir.

Davalı bankanın güvenlik önlemi olarak, . veya . . olmak üzere iki tercih sunduğu, kullanıcının ". ." güvenlik tercihini seçmesi durumunda; kişisel bilgileri doğrulama kısmına geçiş yapıldığı ve bu durumda kullanıcının anne kızlık soyadının iki karakteri ile anne adını girmesi gerektiği, bu bilgilerin doğru olarak girilmesi akabinde tanımlı telefona SMS şifresi gönderildiği ve bu şifrenin girilmesi sonrasında güvenlik tercihinin ziraat onay olarak değiştirildiği, değişiklik sonrasında artık internet giriş şifresinin aynı zamanda . . . kodu olarak geçerli olduğu dolayısıyla banka tarafından yapılan her işlem (./havale) için tek kullanımlık şifre (SMS Kodu) gönderilmediği tek şifre ile işlemlerin gerçekleştirildiği anlaşılmaktadır.

Somut olayda, ..tarihinde, davacının kayıtlı cep telefonundan mobil bankacılığa giriş yapabilmek için SMS şifresinin talep edildiği, banka tarafından gönderilen şifre ile giriş yapılarak, güvenlik tercihi "ziraat onay" olarak değiştirildiği ve .. tarihinde dava konusu üç adet .. işlemlerinin yapıldığı görülmektedir.

Mobil bankacılığa giriş ve ". .." güvenlik seçimi için, kullanıcının ... kimlik numarası veya müşteri numarası ile annesinin adı ve kızlık soyadının bilinmesi/girişinin yapılması gerekmekte olup; davacı kullanıcının bu bilgilerin güvenliğini sağlama yükümlülüğü bulunmaktadır.

Dosya kapsamında . . kullanan davacının kimlik bilgilerinin ne şekilde ele geçirildiği ile ilgili bilgi belgeye rastlanılmamışsa da, davacının oğlu olan .. .. karakol ifadesinde banka hesabını babasıyla birlikte ortak kullandıklarını, ........ ait reklam linki ve banka kampanyası olduğunu düşündüğü linke tıklayarak . . olduğunu zannettiği sayfanın açıldığını, açılan sayfaya müşteri bilgileri ile telefona gelen SMS şifresini girdiğini ancak sayfaya erişemediğini beyan etmiştir.

Davacının mobil banka hesabına ..... günü tek kullanımlık .. ile giriş yapıldığı, giriş ayarlarından . . seçeneğinin tercih edildiği, bu uygulamanın onaylanması için bankaca . gönderildiği, şifrenin doğru ve eksiksiz girilmesi akabinde değişiklik yapıldığı, ayrıca yapılan değişikliğe ilişkin ...... mesajı gönderildiği tespit edilmiş olup; ..... günü banka tarafından gönderilen bu mesajların davacının kayıtlı cep telefonuna gönderildiği, ziraat onay güvenlik tercihinin davacının kayıtlı cep telefonu üzerinden gerçekleştirildiği ( eşleşmesi) yönde bilgiye rastlanılmamıştır.

Davacı Hüseyin İbili’nin hesabından ...... günü bankanın mobil bankacılık aracılığı ile dava dışı banka nezdinde hesabı olan .....tutarında . işlemleri yapıldığı tespit edilmiştir.

EFT işlemlerinin gerçekleştirildiği ..... adresinin kullanıcısının .. doğumlu........adlı şahsa ait olduğunu, cep telefon numarasının . . . hattın ., adresinin ......’da olduğunun tespit edildiği,..lerin yapıldığı . ., . ., . . firari olduğu, . .

hesabından aynı gün paraların ..’den çekildiği, ..-TL’nin . .’a havale yapıldığı bu paranın blokede gözüktüğü, diğer tutarların aynı gün .’den çekildiği,......telefona fastpay olarak gönderildiği, bu paranın ve diğer bakiye tutarların . çekildiği,........olduğu, hat aboneliğin........ tarihinde aldığ.......arihinde hattı iptal ettiği anlaşılmaktadır.

Buna göre; davacının oğlunun sosyal medya üzerinden dolandırılarak; "kullanıcının özenle saklama yükümlülüğü" olan "hesap bilgileri, kimlik bilgileri ve ....... tarihinde .. tarafından gönderilen .. şifrelerinin" ele geçirildiği, güvenlik tercihinin . . olarak değiştirildiği, böylece yapılan . işlemleri için banka tarafından tek kullanımlık şifre gönderilmesinin önüne geçildiği, . tarihinde de .’lerin elde edilen internet giriş şifresi ile gerçekleştirildiği anlaşılmaktadır.

Böylelikle davacının kullandığı telefona dolandırıcılar tarafından gönderilen link ile davacının cep telefonuna zararlı yazılım yüklenmek suretiyle elde edilen bilgiler .... ile davaya konu işlemlerin gerçekleştirildiği anlaşılmaktadır.

İlk derece mahkemesince davacıya atfı kabil bir kusur bulunmadığı, davalı bankanın meydana gelen zarardan sorumlu olduğu sonucuna ulaşılmış ise de davacının telefonunu bu tür saldırılardan korumak için gerekli önlemleri almadığı gibi kişisel bilgilerini korumak noktasında da gereken özeni göstermediği anlaşılmaktadır. Bunun yanında, davaya konu havale işlemleri, davacının telefonuna bulaştırılan bir zararlı yazılım marifetiyle gerçekleştirildiğinden davalı bankanın bu duruma müdahale imkanı da bulunmamaktadır. Bu nedenle davacının zararın meydana gelmesinde müterafik kusuru bulunduğunun kabulü gerekir.....

Hal böyleyken, .......maddesi uyarınca davacının da bir miktar müterafık kusurlu olduğunun kabulü ile takdiren % . oranında indirim yapılarak esas hakkında yeniden hüküm tesisi cihetine gidilmesi gerekmiştir.

NOT

BU BELGE ELEKTRONİK İMZA İLE İMZALANMIŞ OLUP AYRICA ISLAK İMZA UYGULANMAYACAKTIR. "5070 Sayılı Yasanın 5. ve 22. maddeleri gereğince elektronik imza ile oluşturulan belgeler elle atılan ıslak imza ile aynı hukuki sonucu doğurur."