İstanbul Bölge Adliye Mahkemesi 12. Hukuk Dairesi E.2022/1064 K.2025/681

Davanın reddine ilişkin kararın davacı vekili tarafından istinaf edilmesi üzerine düzenlenen rapor ve dosya kapsamı incelenip gereği görüşülüp düşünüldü;

DAVA

Davacı vekili; davacının 18.12.2017 tarihinde sabaha karşı 02.30'da ...

Bankasından aranarak kredi kartından 12,97-TL işlem denemesi yapılmak istendiği belirtilerek bu işlemin davacı tarafından yapılıp yapılmadığının sorulduğunu, davacının "hayır” cevabı akabinde bu kartın banka tarafından internet alışverişine kapatıldığının belirtildiğini, böylece davacının banka hesaplarına siber saldırının 18.12.2017 tarihinde başladığını, akabinde 04.01.2018 tarihinde davacının yanında muhasebe müdürü olarak çalışan yeğeni ...'ya ait telefonun ... numaralı telefondan arandığını, ...'nın ...

Bankası'ndaki şahsi hesabından 7.000-TL'lik EFT gerçekleştirilmek istendiği belirtilerek bu durumu onaylayıp onaylamadığının sorulduğunu, ...'nın ise onaylamadığını söylediğini, arayan kişinin işlemi iptal ettiğini, ayrıca ...'nın adına kayıtlı GSM numarasından davacı adına kurumsal internet bankacılığının da kullanıldığını ve intemet bankacılığı kullanılan davacının hesaplarına da siber saldırı gerçekleştiğini, şüpheli EFT'ler olduğunu söylediğini, ...'dan onay isteyerek şüpheli işlemleri iptal etmek adına ...'yı hatta beklettiğini, telefon görüşmesi devam ederken arayan numaranın muhasebe departmanında çalışanlarca geri anarak ...

Bankası otomatik telesekreteri çıkması ile görüşülen numaranın bu bankaya ait olduğundan emin olunduğunu, bunun akabinde siber saldırı mağduriyetini önlemek adına davacının hesabının bulunduğu tüm bankaların hesapların dondurulması için muhasebe departmanı çalışanlarınca arandığını, bekletmeden sonra telefon görüşmesindeki dolandırıcının bazı şüpheli EFT işlemlerinin kimlere ve ne kadar meblağda yapıldığını, hepsi için iptal şifresi göndereceğini söylediğini, ...'nın telefonuna ...

Bankası'ndan onay mesajları gelmeye devam ederken, kendini ... olarak tanıtan dolandırıcının şifreleri benimle paylaşmadan telefona tuşlayın diyerek güvenirliğini tekrar sağladığını, yaklaşık 1 saat süren tüm telefon görüşmeleri süreci sonunda ... ve diğer bankalardaki hesaplar dondurulduğunu, ancak yapılan işlemler neticesinde müvekkilinin ...

Bankasındaki hesabından ... adına kayıtlı ... hesabına 19.000-TL EFT'nin müvekkilinin rızası dışında yapıldığını, dolandırıcıların davacının müşteri numarasını, kullanıcı kodunu, şifresini temin etmesinin, davacının hesaplarına girip bu işlemleri yapmasının bankaların güvenlik zafiyetinden kaynaklandığını, ismini ve mernis numarasını paylaştıktan sonra şifreleri kesinlikle paylaşmaması gerektiğini, sadece tuşlayarak işlem yapması gerektiğini ...'ya bildiren dolandırıcının güven sağladığını, tüm bu yaşananların akabinde davalı bankaya yazılı olarak şikayette bulunulduğunu, ancak davalının müvekkilinin mağduriyetini gidermediğini,

bankaların objektif özen borcu altında olup hafif kusurlarından dahi sorumlu olduklarını ve bu nedenle davalı bankanın davacının zararından sorumlu olduğunu belirterek, 19.000-TL'nin 04.01.2018 tarihinden itibaren işleyecek ticari faiziyle birlikte davalıdan tahsiline karar verilmesini talep etmiştir.

CEVAP

Davalı vekili; her ne kadar dava dilekçesinde sadece ...

Bankası olduğunu dolandırıcılarla yapılan konuşmalara yer verilerek müvekkili ile hiçbir görüşme yapılmamış gibi gösterilmeye çalışılmışsa da, davacının 04.01.2018 tarihinde rutin güvenlik kontrolleri kapsamında hesabından yapılan işleme ilişkin teyit amacıyla müvekkili bankanın ilgili bölümünce arandığını, davacı müşterinin şüpheli şahıslar tarafından bahsi geçen yöntemler ve senaryolar kullanılarak aranmış olduğu ve müşterinin bilgi paylaşımında bulunması sonucunda, hesabından bilgisi dışında işlemler yapıldığının anlaşıldığını,

belirtilen tarihte davacının hesabından internet şubesi aracılığıyla 46.104.61.127 numaralı IP kullanılarak saat 15.52'de davacı hesabından diğer hesabına aktarım, 15.53'te ... müşterisi ...'a 19.000-TL EFT ve 15.56'da davacının döviz hesabından döviz satışı işlemlerinin yapıldığını, söz konusu işlemlerin yapılabilmesi için internet şubesine davacının müşteri numarası, şifresi ve müşteri numarası altında kayıtlı cep telefonuna gönderilen mobil onay kodu kullanılarak giriş yapıldığını, davacının banka sisteminde kayıtlı olan ... numaralı telefonuna 04.01.2018 tarihindeki davaya konu işlemleri esnasında SMS ve mobil onay kodu gönderildiğini,

şikayete konu işlemlerin davacı tarafından özenle saklanması ve paylaşılmaması gereken mobil onay kodları kullanılarak gerçekleştiği saptanmış olduğundan, bu işlemlerin kural olarak müşteri tarafından gerçekleştirildiğinin kabul edildiğini, bu şekilde oluşan mağduriyetlerde sorumluluğun tamamen müşteride olduğunu, banka adlarının ve kurumsal telefon numaralarının kullanılmasının, inandırıcılığı artırıcı unsuru göz önünde bulundurularak ve müşterilere bankadan arama yapılıyormuş izlenimi vermek amacıyla, bankalara ait numaraların arayan numaranın değiştirilmesi yöntemiyle kullanılarak dolandırıcılık maksatlı aramalar yapıldığı hususunun,

tüm bankacılık sektörünün bilgisi dahilinde olduğunu, müvekkili banka nezdindeki işlemlerin yapılabilmesi için gönderilen mesajların, müvekkili bankanın adı ile gönderilmekte olduğunu ve sadece bu hususun dahi, bilgilerinin paylaşılmaması için fark edilebilir bir unsur olduğunu, kaldı ki gönderilen mesaj içeriklerinde "Bankamız çalışanı dahil kimseyle paylaşmayınız." uyarısı bulunan mobil onay kodlarının gönderilmiş olduğunu ve işlemlerin bu kodların girilmesi sonucu gerçekleşebildiğini, davacının da dilekçesinde ...

Bankasından arandığına güvenerek bilgi paylaşımı yaptığını kabul ettiğini, bu durumun davacının kendisinin özen yükümüne aykırı hareket ettiğini gösterdiğini, müvekkilinin internet ve mobil bankacılığı sistemine yukarıda belirtilen ve sadece müşterinin kendisinin bilebileceği bu bilgilere haiz olmayan bir kişinin giriş yapmasının mümkün olmadığını, bu nedenle müvekkiline kusur atfedilmesinin mümkün olmadığını belirterek, davanın reddini talep etmiştir.

İLK DERECE MAHKEMESİ KARARI

Mahkemece; davacının muhasebe müdürü olan ...'ya ait olan ... numaralı telefona, ... Ltd. Şti. ünvanlı firma adına kayıtlı [TELEFON] numaralı telefondan ulaşıldığı, kendilerini ...

Bankası çalışanı ...olarak tanıtan kişinin, davacının hesaplarında şüpheli işlemler olduğunu, şüpheli işlemleri iptal etmek istediğini ve şüpheli işlemlerin iptali için gelen şifreleri telefona tuşlaması gerektiğini söylediği, bu şekilde davacının davalı bankadaki hesabından ... isimli şahsın ... nezdindeki hesabına 19.000-TL EFT işlemi yapıldığı, her ne kadar bilirkişi raporunda davalı bankanın gerekli güvenlik tedbirlerini tam olarak almaması sebebiyle kusurlu olduğu belirlenmiş ise de; davacının yeğeni tarafından kullanılan telefonun soruşturma aşamasında belirlendiği üzere ... numaranın ...

Proje ünvanlı firma adına kayıtlı olup davalı bankaya ait olmadığı, arayan şahsın davalı banka çalışanı olmadığı, davacının kabulünde de olduğu üzere arayanların kendilerini ... Bankası çalışanı olarak tanıttığı, EFT'nin davacının ... Bankası hesabından yapıldığı, davacının ... Bankası nezdinde bulunan hesabı üzerindeki şüpheli hareketlerin iptal işlemlerinin ...

Bankası tarafından yapılmasının hayatın olağan akışına uygun düşmediği, gönderilen şifrenin kimse ile paylaşılmaması gerekirken, işlemin gelen şifrenin girilmesi suretiyle gerçekleştirildiği, davacının gönderilen şifrenin gizli kalması için gerekli dikkat ve özeni göstermesi gerekirken, şifrenin girilmek suretiyle eylemin gerçekleştiği, 3. şahısların eylemi sebebiyle davalının sorumluluğuna ilişkin nedensellik bağının kesildiği ve bu nedenle davalının sorumluluğundan bahsedilemeyeceği gerekçesiyle, davanın reddine karar verilmiştir.

İSTİNAF NEDENLERİ

Davacı vekili; dolandırıcıların müvekkilinin müşteri numarası, kullanıcı kodu ve şifresini temin etmesinin tamamen davalı bankanın güvenlik zafiyetinden kaynaklandığını, bankanın bu bilgileri objektif özen borcu gereği korumak zorunda olduğunu, bilgilerini paylaştıktan sonra şifreleri kesinlikle paylaşmayarak sadece tuşlaması gerektiğini bildiren dolandırıcının güven sağladığını, bankacılık uygulamasında da işlemler bu şekilde yapılmakta iken kusurun müvekkiline yüklenmesinin doğru olmadığını, davalı bankanın basiretli bir tacirden beklenen özeni göstermek zorunda olup, aksi halde hafif kusurundan dahi sorumlu olduğunu,

müvekkilinin gerekli özeni göstermiş olmasına rağmen bankanın hemen müdahale etmemesi nedeniyle dolandırıldığını, davalı bankanın müvekkiline değişik tarihlerde 444 veya 800 ile başlayan değişik numaralardan ulaştığını, bu nedenle müvekkilinin dolandırıcıya inandığını, bankanın bu kadar kolay taklit edilebilecek bir güvenlik sistemi kurmasının ve buna müşterilerini alıştırmasının özen yükümlülüğünün ihlali olduğunu, müvekkiline ait bilgilerin muhafaza edilmemesinin bankanın kusurlu olduğunu gösterdiğini, müvekkilinin bilgisi dışında hesabındaki paranın sahtecilik yoluyla başka bir hesaba aktarılmasının,

bankanın özen yükümlülüğünü ihlali ile zarar arasında uygun illiyet bağının kurulması için yeterli olduğunu, müvekkilinin gelen şifreyi tuşlamasının illiyet bağını koparmadığını, mahkemece alınan bilirkişi raporunda da davalı bankanın kusurlu olduğunun tespit edildiğini belirterek, davanın kabulüne karar verilmesini talep etmiştir.

GEREKÇE

Dava, davacının davalı banka nezdindeki hesabından bilgisi ve onayı dışında yapılan EFT işlemi sonucunda uğranılan zararın davalı bankadan tahsili istemine ilişkindir.Bilindiği üzere bankalar, özel yasa ile kurulan ve kendilerine alanlarında çeşitli imtiyazlar tanınan, topladıkları mevduatı ve katılım fonlarını sahteciliklere karşı özenle korumak zorunda olan kuruluşlardır.

Bankalar sahip oldukları bu vasıfları sebebiyle bankacılık işlemlerinin güvenilen tarafı konumundadırlar. Bu durum, bankaların bir güven kurumu olarak kabul edilmesini ve bankanın sorumluluğunun özel güven sebebiyle ağırlaştırılmasını gerektirir. Bu nedenle bankalar, ağırlaştırılmış sorumluluğun bir gereği olarak objektif özen yükümlülüğü altında bulunmakta olup, buna karşılık hafif kusurlarından dahi sorumludurlar.

Bankacılık hizmetleri sözleşmeleri, hukuki nitelikleri itibariyle vekalet benzeri isimsiz sözleşme ya da vekalet sözleşmesi niteliğinde olup, TBK'nın 506/2 maddesi gereği, vekil (banka) üstlendiği hizmetleri, vekalet verenin haklı menfaatlerini gözeterek, sadakat ve özenle yürütmekle yükümlü olup, bankalar gibi, devletten aldıkları imtiyazla hizmet veren kurumların, ortalama bir vekilin göstermesi gereken özenden, daha yüksek derecede özen göstermesi gerekmekte olup, bankalar hafif kusurlarından dahi sorumludur.

Banka, ancak özen borcunu ihlali sayılan kusurlu fiili bulunmadığını ispat ederek sorumluluktan kurtulabilecektir.Somut olayda; davacının kendi telefon numarası yanında bankacılık sistemine çalışanı olan ...'nın telefon numarasını da vermiş olduğu, olay tarihi olan 04.01.2018 tarihinde davacının çalışanı ve yeğeni olan ...'ya ait telefonun kendisini ... Bankası çalışanı olarak tanıtan dolandırıcı tarafından aranarak, ...'nın ...

Bankası'ndaki şahsi hesabından EFT yapılmak istenildiği belirtilerek onaylayıp onaylamadığının sorulduğu, ...'nın ise onaylamadığını söylediğini, arayan kişinin işlemi iptal ettiğini belirttiği, ayrıca ... adına kayıtlı telefon numarasından davacının internet bankacılığının da kullanılarak davacının hesaplarına da siber saldırı gerçekleştiğini, şüpheli EFT'ler olduğunu söylediği, dolandırıcının şüpheli EFT işlemlerinin iptali için iptal şifresi göndereceğini söylediği, ...'nın telefonuna banka onay mesajları geldiği,

dolandırıcının ...'dan gelen gelen şifreleri telefona tuşlamasını istediği ve ...'nın şifreleri girmesi sonucunda davacının davalı banka nezdindeki hesabından ... adına kayıtlı ... hesabına 19.000-TL EFT işlemi yapıldığı, işlemler sırasında davacının bankacılık sistemine kayıtlı ...'ya ait telefon numarasına davalı bankaca SMS şifreleri gönderildiği ve işlemlerin bu şifreler ... tarafından doğru şekilde girilerek gerçekleştirildiği anlaşılmaktadır.

Mahkemece alınan bilirkişi raporunda; davacının internet bankacılığı girişinde kullandığı bilgi ve şifrelerin 3. kişilerin eline geçtiği, bankanın hâkimiyetinde bulunan hesaba kötü niyetli 3. kişilerin bankanın kimlik doğrulama kriterlerini geçerek giriş ve işlem yaptığı, internet bankacılığıyla yapılan işlemlerde, şubeden yapılan işlemlerde olduğu gibi mevduatın yine bankanın kontrolünde ve sorumluluğunda olduğu,

bankaların kullanmış olduğu sistemlerde standart şifre gibi doğrulamaların yanında, hassas bir şekilde gelebilecek tüm tehlikeleri ve tehditlere göre güvenlik tedbirlerini geliştirerek önlem alması gerektiği, yapılan tespit ve incelemeler neticesinde davalı bankanın gerekli güvenlik tedbirlerini tam olarak alamadığı ve bu nedenle kusurlu olduğu kanaati bildirilmiştir.

Eldeki davada davacının hesabından yapılan para transferi işleminin, kendisini banka görevlisi olarak tanıtan dolandırıcının yönlendirmesi ile davacının çalışanı ve yeğeni olan kişinin banka sisteminde kayıtlı telefonuna gönderilen SMS şifreleri girilerek gerçekleştirildiği davacının da kabulündedir.

Bilirkişi raporunda da açıklandığı üzere davacının kişisel bilgilerinin ele geçirilmesinde, truva yazılımlar, keylogger, sahte site, sahte e-posta gibi bir çok yöntem kullanılması mümkün olup, bu bilgileri koruma yükümlülüğü davacıya aittir.

Dava konusu edilen para transferi, tamamen davacının banka sistemine kayıtlı cep telefonuna gönderilen şifrelerin davacının yeğeni tarafından girilmesi suretiyle gerçekleştirilmiş olduğundan, burada zararın oluşumunda davalı bankanın özen yükümlülüğünü yerine getirmediğinden söz edilmesi mümkün değildir.

Davalı banka çalışanlarının görevlerinin gerektirdiği özen ve dikkati gösterdikleri, kasıt ve ihmal şeklinde kusurlarının bulunmadığı, olaydan davalı bankanın sorumlu tutulması ve davalıya hafif kusur dahi izafe edilmesi mümkün olmayıp, davacının çalışanının ağır kusuru, zararın oluşumunda davalı bankanın özen sorumluluğundaki illiyet bağını kesecek ağırlıktadır.

(Yargıtay 11. Hukuk Dairesinin 2020/5339 esas 2022/2236 karar sayılı, 2014/11979 esas 2015/3382 karar sayılı, 2015/7897 esas 2016/3670 karar sayılı ilamı, 2008/10406 esas 2010/2306 karar sayılı ilamı). Bu nedenle mahkemece davanın reddine karar verilmesinde bir isabetsizlik görülmemiştir. Açıklanan nedenlerle, davacı vekilinin istinaf başvurusunun HMK'nın 353(1)b-1 maddesi uyarınca esastan reddine karar verilmiştir.