Gaziantep Bölge Adliye Mahkemesi 11. Hukuk Dairesi E.2024/1682 K.2025/341

Taraflar arasında görülen davada yerel mahkemece verilen karar davacı vekilince istinaf edilmekle, dosyadaki tüm belgeler okunup, incelendikten sonra işin gereği görüşülüp, düşünüldü:

DAVA

Davacı vekili, müvekkil hesabından bilgisi dışında,.... tarihli . .. adına kayıtlı.. . numaralı İşbank hesabına ... TL havale yapıldığı, havale yapılan kişi ile müvekkil şirket arasında herhangi bir ilişki söz konusu olmadığı, ...'tan havale işlemleri yapıldığında şifre matik denilen bir alet mevcut olup her havale işleminde tek seferlik şifre verildiği, ...... tarihinde çekilen paranın tekrar hesaba iadesi için ihtar çekildiği, ... tarihinde tebliğ edildiği, somut olayda ilgili . . . ..soruşturma dosyası ile suç duyurusunda bulunduğu, iş bu açıklanan nedenlerle müvekkil şirket çok büyük zarara uğramış olup, bu davayı açma zaruriyeti doğduğu, açıklanan nedenlerle davanın kabulüne karar verilmesine karar verilmesini talep ve dava etmiştir.

CEVAP

Davalı, cevap dilekçesi sunmamıştır.

YEREL MAHKEME İLK KARARI

Mahkemece, tarafların kusur oranlarına göre davanın kısmen kabulüne, . TL'nin..... tarihinden itibaren işleyecek ticari faiz ile birlikte davalıdan alınarak davacıya ödenmesine, fazlaya dair istemin reddine karar verilmiş, hüküm taraf vekilleri tarafından istinaf edilmiştir.

DAİREMİZİN KARARI

Dairemizin ....... tarihli kararıyla; "...Bankalar kendilerine yatırılan paraları mudilere istendiğinde veya belli bir vadede ayni veya misli olarak iade etmekle yükümlüdür...Bu tanımlamaya göre, mevduat ödünç ile usulsüz tevdi sözleşmelerinin niteliklerini taşıyan kendine özgü bir sözleşmedir. .... maddeleri uyarınca ödünç alan, akdin sonunda ödünç verilen parayı eğer kararlaştırılmışsa faizi ile iadeye mecburdur. . .. .. maddesi uyarınca usulsüz tevdide paranın yararı ve hasarı mutlak şekilde saklayana geçtiği için ayrıca açıklamaya gerek kalmadan saklayan bu parayı kendi yararına kullanabilir.

Bu açıdan değerlendirildiğinde, usulsüz işlemle çekilen paralar aslında doğrudan doğruya bankanın zararı niteliğinde olup, mevduat sahibinin bankaya karşı alacağı aynen devam etmektedir. Usulsüz işlemlerin gerçekleşmesinde ispatlandığı takdirde mevduat sahibinin müterafık kusurundan söz edilebilir ve banka bu kusur oranı üzerinden hesap sahibinin alacağından mahsup talebinde bulunabilir.

Bu açıklamalar ışığında somut olaya gelindiğinde, mahkemece dosyadan alınan bilirkişi kurulu raporu ve ek raporuna itibar edilerek, davacının şifre, parola gibi kişisel bilgilerini koruyamamakla, davalının da davacının sahip olduğu şifre dışında diğer güvenlik önlemlerini zorunlu hale getirmemekle, müşteriyi yeterince bilgilendirmemekle zararın meydana gelmesinde müterafik kusurlu oldukları gerekçesiyle davanın kısmen kabulüne karar verilmiş ise de, aldırılan rapor hüküm kurmaya elverişli değildir.

Zira dava konusu dolandırıcılık işleminde kullanılan...no.lu bilgisayarın kime ait olduğu araştırılmadığı gibi, davacının elde edilen kişisel verilerinin davacının bilgisayarına elektronik ortamda erişilerek mi yoksa davacının bu bilgileri saklayamaması sonucu mu ele geçirildiği netlik kazanmamıştır. Öte yandan davalıya kusur atfına sebep olan ihmali davranış da somutlaştırılmamıştır.

Ayrıca dosyadaki bilgi ve belgelerden davacı tarafça, olay nedeniyle suç duyurusunda bulunulduğu, . . . .. dosyaya yetkisizlik kararı verilerek . . . .. soruşturma sırasına kaydedildiği anlaşılmaktadır.

Ancak dosyada soruşturmanın akibeti hakkında herhangi bir bilgi bulunmamaktadır. .......maddesine göre; hukuk hakimi zarar verenin kusuru olup olmadığına karar vermek için ceza hukukunun sorumluluğa dair hükümleri ile bağlı olmadığı gibi, kusurun takdiri ve zarar miktarının belirlenmesi konusunda da ceza mahkemesi kararı ile bağlı değildir.

Ancak Ceza Mahkemesinin mahkumiyet kararındaki, fiilin hukuka aykırılığını ve illiyet bağını saptayan maddi olaya ilişkin kabul, hukuk hakimini de bağlar.

Bir başka deyişle ceza davasında, sübuta eren maddi vakıaların hukuk davasında nazara alınacağı açıktır. ...... soruşturma sayılı dosyası celbedilerek incelenmesi ve yukarıda açıklandığı şekilde eldeki davayı etkileyecek nitelikte bir hususun tespiti halinde soruşturma sonucunun ve soruşturma sonucunda dava açılırsa dava sonucunun beklenmesi, dosya sonucu beklenmeyecekse bunun gerekçesi açıklanmak suretiyle karar verilmesi gerekirken, bilirkişi raporunda aksine işaret edildiği halde bu yönde bir inceleme yapılmaksızın karar verilmesi doğru olmamıştır.

Mahkemece aralarında bilgisayar mühendisi ve bankacı bilirkişinin de bulunduğu 3 kişilik bilirkişi kurulundan davacının kişisel bilgilerinin ele geçirilme yöntemi, ele geçiren .. numarasının aidiyeti ve davacı ile bağlantılı olup olmadığı, varsa ne şekilde böyle bir bağlantı kurulduğu, banka kayıt ve belgeleri, bankanın internet üzerinde yapılan işlemlerle ilgili almış olduğu güvenlik önlemleri incelenerek, davacının elde edilen kişisel verilerinin davacının bilgisayarına elektronik ortamda erişilerek mi yoksa davacının bu bilgileri saklayamaması sonucu mu ele geçirildiği de netleştirilerek,

yapılan işlemlerde bankanın teknik ve hukuki yönden herhangi bir kusuru olup olmadığı, şayet kusuru yok ise zarardan sorumlu tutulamayacağı, davacının müterafık kusuru varsa tazminattan kusur oranında indirim yapılması gerektiği hususları da gözetilip toplanacak deliller ve alınacak bilirkişi raporu doğrultusunda bir karar verilmesi gerekirken eksik inceleme ile yazılı şekilde karar verilmesi doğru görülmemiştir..." şeklinde kaldırma kararı verilmiştir.

KALDIRMA SONRASI YEREL MAHKEME KARARI

Mahkemece, denetime elverişli bilirkişi raporları aldırılmış, taraf beyanları,...... karar sayılı kaldırma ilamı, .....tarihli rapora göre davaya konu uyuşmazlık sebebiyle davalı bankaya kusur atfının mümkün olmadığının bildirilmiş olduğu, kaldırma ilamından önce alınan rapor ile kaldırma ilamından önce alınan raporlar arasında çelişki bulunması sebebiyle yeniden ......aracılığıyla raporlar arasındaki çelişkilerin giderilmesi için alınan.....rapora göre de davalı bankaya kusur atfının mümkün olmadığının bildirildiği, kaldırma ilamından sonra alınan ve farklı heyetlerce hazırlanan her iki rapora göre de davalı bankanın kusursuz olduğunun anlaşılması karşısında davanın reddine karar verilmiştir.

İSTİNAF NEDENLERİ

Davacı vekili,..... bozma kararında açıkça ....no'lu bilgisayarın kime ait olduğunun araştırılması istenmişse de; bilirkişilerin bu araştırmayı yapmadığını, yapmamak için gerekçeler ürettiğini, dolandırıcıların fiziksel olarak aynı bölgeden giriş yapması benzeri olasılıklar bulunduğunu, olayın, şüpheye yer bırakmayacak şekilde bilimsel verilerle tam ve eksiksiz kanıtlanmadığından müvekkili aleyhine düzenlenen raporu kabul etmediklerini, ....tarihli bilirkişi heyet raporunda işlemin müvekkili tarafından yapılıp yapılmadığının anlaşılmadığını, işlemlerin ... kişilerce de yapılmasının ihtimal dahilinde olduğunun açıkça belirtilmiş olduğunu,

yine aynı raporda ayrıca, davalı banka sisteminin .. güvenilir bir sistem olmadığı ve bankaca duyurulan ek güvenlik önlemlerinde yetersizlik ve eksiklik olduğunun belirtildiğini, ... da .....sisteminin güvernirliliğinde problem olması nedeni ile bu uygulamayı kaldırdığını, diğer tüm bankalar gibi davalı ...'ın da bankacılık işlemlerinde şifre, ....gibi üç, dört kademeli güvenlik sistemlerine geçtiğini, şu anda dahi ...'ın mevduattan para transferi durumunda şifre ve .. yoluyla dahi yapılsa mevduat sahibini arayarak transfere izin verip vermediğini veya SMS çekerek para çıkışı olduğunu bildirdiğini, .....

TL gibi büyük bir rakamda bankanın bu işlemlerden hiçbirini yapmadığını, bu sorumsuzluğun kabul edilemez olduğunu, müvekkilinin yatırdığı mevduatını bankanın korumak zorunda olup güncel olan ve etkili güvenlik sistemlerini bankacılık işlemlerinde kullanmak zorunda olduğunu,...... da açıkça anlaşılacağı üzere;

"ispat yükü kendisinde olan davalı bankanın kısıtlının, davalı ya da üçüncü kişilerle iş birliği yaparak veyahut başka şekilde kusurlu davrandığını kanıtlayamadığından meydana gelen zararın tamamından haksız fiili işleyen davalı ... ile birlikte davacıya karşı sorumlu olduğu" belirtilmiş olup, müvekkilinin kendisini dolandıran hiçbir şahsı tanımadığını, bu nedenle kararın kaldırılması gerektiğini belirterek istinaf isteminde bulunmuştur.

İNCELEME VE GEREKÇE

Dava, davacının hesabından isteği dışında 3. Kişilere yapılan havale işlemleri nedeniyle uğranılan zararın davalı bankadan tahsili talebine ilişkindir.

Dairemizce inceleme, HMK'nın 355. maddesi uyarınca, istinaf nedenleri ve kamu düzeni gözetilerek yapılmıştır.

Bankalar, kendilerine yatırılan paraları mudilere istendiğinde veya belli bir vadede ayni veya misli olarak iade etmekle yükümlüdür. Bu tanımlamaya göre mevduat, ödünç ile usulsüz tevdi sözleşmelerinin niteliklerini taşıyan kendine özgü bir sözleşmedir. TBK'nın 386......maddesi uyarınca, ödünç alan akdin sonunda ödünç verilen parayı eğer kararlaştırılmışsa faizi ile iadeye mecburdur. TBK'nın 570. maddesi uyarınca usulsuz tevdide paranın nefi ve hasarı mutlak şekilde saklayana geçtiği için saklayan bu parayı kendi yararına kullanabilir. Bu açıdan değerlendirildiğinde, usulsüz işlemle çekilen paralar aslında doğrudan doğruya bankanın zararı niteliğinde olup, mevduat sahibinin bankaya karşı alacağı aynen devam etmektedir.

İnternet ve mobil bankacılık sistemini kurup hizmete sunan banka, mudinin kastı, kötüniyeti ve suç sayılır eylemini kanıtlayamadığı sürece kendisine emanet edilen paradan güven kuruluşu vasfı nedeniyle sorumludur. Bu sorumluluk, olağan sebep sorumluluğu mahiyetinde olmakla, banka gerekli özeni göstermiş olsa bile zararın gerçekleşeceğini ispat etmesi halinde, sorumluluktan kurtulabilir.

Davacının zararın meydana gelmesinde kusurunun bulunduğunu ispat yükü davalı bankadadır. ...... karar sayılı kararında da, internet üzerinden de müşterilerinin işlemlerini yürütmesine imkan tanıyan davalı bankanın, nezdindeki yatırım enstrümanının internet ortamında üçüncü kişilerce usulsüz olarak havale edilmesi durumunda dahi müşterisinin kendisine yatırdığı parasını iade etmekle yükümlü olduğu, ancak bu usulsüz işlemin gerçekleşmesinde müşterisinin üçüncü kişilerle işbirliği içinde olduğunun veya müterafik kusuru bulunduğunun kanıtlanması durumunda hesap sahibinin alacağından kusuru oranında mahsup talebinde bulunabileceği belirtilmiştir.

İnternet bankacılığını müşterilerine özendiren bankaların, kendilerine emanet edilen mevduatı koruma özel yükümlülüğü gereğince; internet bankacılığı işlemlerinde işlem yapanın gerçek müşteri olup olmadığını belirleme yönünde, gelişen dolandırıcılık yöntemlerine karşı, bunları önleyici gerekli altyapıyı sağlayarak güvenlik önlemlerini almak zorundadır. .....İnternet bankacılığı ile yapılan işlemlerde şubeden yapılan işlemlerde olduğu gibi mevduat, bankanın kontrol ve sorumluluğundadır. Bu durumda banka, sözleşmeden doğan yükümlülüğünü yerine getirememesinde kusurlu olmadığını .. sayılı ... maddesi gereğince ispat etmek durumunda olup, ayrıca müşterisinin müterafik kusurunu da ispat etmekle yükümlüdür....

Nitekim olay tarihinde yürürlükte olan . . tarihli . .. yayımlanan ...... maddesinde, banka yönetim kurulunun, bilgi sistemlerinin yönetimini kurumsal yönetim uygulamalarının bir parçası olarak ele almakla, bilgi sistemlerinin doğru yönetimi için gerekli finansman ve insan kaynağını tahsis etmekle, bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliğini sağlamak amacıyla bilgi sistemleri üzerinde etkin kontrollerin tesis edilmesini sağlamakla ve gelişen yeni teknolojileri de göz önünde bulundurarak bilgi sistemlerinin kullanımından kaynaklanan risklerin yönetilmesi için etkin bir gözetim yürütmekle sorumlu olduğu.

5. maddesinde, bankanın, bilgi sistemlerinin kullanımından kaynaklanan riskleri yönetmek ve bilgi varlıklarını korumak amacıyla uygulanması gereken usul ve esaslar ile tesis edilmesi gereken kontrolleri tarif eden bilgi sistemleri politika, prosedür ve süreç dokümanlarını oluşturacağı.

7. maddesinde, bankanın, bankacılık faaliyetlerinde bilgi teknolojilerini kullanıyor olmasından kaynaklanan riskleri analiz etmek, azaltmak, takip etmek ve raporlamak üzere bir bilgi sistemleri risk yönetim süreci tesis edeceği.

11. maddesinde, bankanın, bilgi varlıklarına olan erişimlerin, görevler ayrılığı prensibine göre belirlenmiş ve kullanıcıların sorumluluğu gereği kendileri için tanımlanan erişim kontrolleri uyarınca, ilişkili bilgi varlığının güvenlik sınıfına uygun bir kimlik doğrulama yöntemiyle gerçekleştirilmesini sağlamakla yükümlü olduğu.

14. maddesinde, gerek kendi kurumsal ağı gerek dış ağlardan gelebilecek tehditler için gerekli ağ güvenlik kontrol sistemlerini tesis edeceği, güvenlik önlemlerinin tesis edilmesinde, bir güvenlik katmanının aşılması halinde diğer güvenlik katmanının devreye girdiği katmanlı güvenlik mimarisinin esas alınacağı.

15. maddesinde, masaüstü, dizüstü, mobil cihazlar ve sunucuları üzerindeki işletim sistemi, veritabanları ve uygulamalar ile güvenlik duvarları, yönlendirici ve anahtarlama cihazları gibi ağ cihazları için sıkılaştırılmış ve test edilmiş güvenli standart konfigürasyon bilgilerini oluşturacağı.

16. maddesinde, bankacılık faaliyetlerini kesintiye uğratacak veya önemli ölçüde olumsuz etkileyecek durumların ortaya çıkma olasılığını azaltmak için sistem, yazılım ve cihazlardaki güvenlik açıklarını hızlı ve etkin bir şekilde ele alacak bir güvenlik açıkları ve yama yönetim süreci tesis edileceği.

18. maddesinde, siber olaylardan sonra bankacılık faaliyetlerini en az etkileyecek şekilde ve mümkün olan en kısa sürede bilgi sistemleri hizmetlerini normal işleyişine döndürmek üzere, gerçekleşen siber olayların ele alınmasına ve takibine yönelik siber olay yönetimi ve siber olaylara müdahale süreci oluşturacağı;" hususları hüküm altına alınmıştır.

Tüm bu açıklamalar ışığında somut olaya bakıldığında; dava konusu somut olayda zararı meydana getiren olayın, davalı tarafından alınan ve bankanın internet şubesine girmek için şifre üreten .. denen cihazın müşteri numarasına tanımlanan ve sadece o müşteri numarasının internet şubesine giriş yapabilmesi için şifre üreten bir cihaz olduğunu, fiziki olarak bir cihaz olarak müşterilere sunulduğunu, bu cihazın kullanılması için öncelikle tanımlanması/müşteri kullanıcı bilgileri ile eşleştirilmesi gerektiğini, eşleştirme için belirlenen prosedür ile kullanıcı profil giriş ayarlarına tanımlaması yapıldıktan sonra,

cihazdan tek kullanımlık şifre üretilebildiğini, fiziki cihaz (..) yanında olmadan ya da tanımlı olan cihaz kullanılmadan internet şubesine giriş yapılabilmesi için kullanıcının çağrı merkezini arayarak giriş yöntemini değiştirmesi gerektiğinin anlaşıldığından.

Dava konusu işlem için banka tarafından kullanıcıya sağlanan ve kullanıcının sorumluluğunda olan ... cihazıyla yapılan işlem sonucunda oluşan durum nedeniyle davalı bankada herhangi bir kusur bulunmadığı dolayısıyla bankanın somut olayda güvenlik açığının ve üzerine atfı kabil kusurunun olmadığı sabit görülmüştür.

Bir başka söyleyişle; uyuşmazlığa ilişkin eylemde bankanın şifre ve güvenlik açığı söz konusu olmadığı, zararı meydana getiren olayın kökeni, davalı bankanın internet üzerinden şifre güvenliğinde yetersiz kalması değil davacının bir şekilde internet şubesine giriş yöntemini güvenlik açığı oluşturacak şekilde değiştirmesi zararın meydana gelmesinde kusurun davacıya ait olduğu gözetilerek maddi tazminat talebinin reddine karar verilmesinde isabetsizlik görülmemiştir. Bu itibarla; davacı vekilinin istinaf başvurusunun esastan reddine karar verilmiştir.

NOT

BU BELGE ELEKTRONİK İMZA İLE İMZALANMIŞ OLUP AYRICA ISLAK İMZA UYGULANMAYACAKTIR. "5070 Sayılı Yasanın 5. ve 22. maddeleri gereğince elektronik imza ile oluşturulan belgeler elle atılan ıslak imza ile aynı hukuki sonucu doğurur."