Sahte bağlantı ya da taklit ekran yoluyla banka bilgilerinin ele geçirildiği phishing olaylarında iki ayrı dosya doğar ve bunlar farklı mahkemelerde yürür. Türk Ceza Kanununun bilişim sistemlerine ilişkin hükümleri, 5651 sayılı Kanun ve KVKK ekseninde, tazminat talebinin hangi hatta kurulacağı aşağıda ele alınmaktadır.
İki Dosya, İki Farklı Mahkeme
Fiili gerçekleştiren kişilere yönelik şikâyet, cumhuriyet başsavcılığına yapılır ve yargılama suçun işlendiği yer ceza mahkemesinde görülür. Paranın iadesine yönelik talep ise ayrı bir hukuk uyuşmazlığıdır: müşteri sıfatı tüketici ise tüketici mahkemesi, ticari bir hesap söz konusuysa asliye ticaret mahkemesi devreye girer. Ceza dosyasının sonucunun beklenmesi çoğu zaman zorunlu değildir; ancak ceza dosyasındaki tespitler hukuk davasında güçlü delil işlevi görür.
Banka Sorumluluğunu Kurmak
Tazminat talebinin merkezinde, işlemin gerçekleştiği sistemin güvenliğine ilişkin yükümlülük yer alır. Alışılmış kullanım düzeninin dışına çıkan yüksek tutarlı transferlerin ek doğrulamaya tabi tutulup tutulmadığı, cihaz ve konum bilgisinde ani değişiklik olup olmadığı ve müşterinin ihbarından sonra ne kadar sürede işlem yapıldığı ayrı ayrı sorulur. Müşterinin kendi kusuru bulunduğu iddiası gündeme geldiğinde, bilgi paylaşımının nasıl gerçekleştiği somut olarak ortaya konmalıdır.
Dijital Delili Kaybetmemek
- Sahte bağlantının tam adresi, gönderen numarası veya e-posta başlık bilgilerinin kaydedilmesi
- Ekran görüntülerinin tarih ve saat görünecek şekilde alınması
- Bankaya yapılan ilk ihbarın saatinin ve kanalının belgelenmesi
- Alıcı hesap bilgilerinin savcılığa iletilerek fon takibinin talep edilmesi
- Verilerin sızdığı kanal bir kurumsal sistemse ilgili ihlal bildiriminin ayrıca takip edilmesi
Erişimi engellenmesi gereken bir taklit site söz konusuysa, bunun ayrı bir usulle hâkimlikten talep edileceği ve tazminat dosyasından bağımsız yürüdüğü de planlamaya dâhil edilmelidir.
Sulh Teklifi ve Dava Kararı
Kimi dosyalarda banka, inceleme sonucunda tutarın bir bölümünü iade etmeyi teklif eder. Zararın belgelenebilir olduğu ve sistemsel bir eksiklik açıkça gösterilebildiği hâllerde kısmi iadeyi kabul etmek, kalan kısımdan feragat sonucunu doğurabileceği için dikkatle değerlendirilmelidir. Buna karşılık işlem tamamen müşterinin paylaşımıyla gerçekleşmişse ve ihbar gecikmişse, dava riskinin gerçekçi biçimde tartılması gerekir.
Son Not
Bu tür dosyalarda ilk saatlerde yapılanlar sonucu belirler. Yukarıdaki genel çerçeve, olayın kendi kayıtlarıyla birlikte hukuki destek eşliğinde değerlendirilmelidir.