TCK m.158/1-f, bilişim sistemi, banka veya kredi kurumu araç olduğunda nitelikli dolandırıcılık suçudur (3-10 yıl + adli para). En sık 5 senaryo: phishing, BEC, IBAN sahteciliği, deepfake voice, kart kopyalama.
5 saldırı senaryosu
- Phishing: Sahte bankalı SMS/e-posta ile kullanıcı şifresi/OTP toplama.
- BEC (Business Email Compromise): Yöneticinin e-postası taklit edilerek ödeme yönlendirme.
- IBAN sahteciliği: Fatura PDF değiştirme; ödeme farklı IBAN'a yönlendirme.
- Deepfake voice: AI ile yöneticinin sesi taklit edilerek banka çağrısında transfer onayı.
- Kart kopyalama: Skimmer veya web uygulamasında kart bilgisi çalma.
Mağdur tarafı stratejisi
- İlk 1 saat: Bankayı arayıp transferi geri çağırma talebi (chargeback).
- SS hash zinciri + mesaj/e-posta orijinal header alma.
- Cumhuriyet savcılığına şikâyet (TCK m.158/1-f, MASAK gerekirse).
- BTK + KVKK paralel başvuru.
- Adli bilişim raporu (cihaz imajı, mail header, IP coğrafyası).
Fail savunma stratejisi
- "Bilinçli aldatma" iddiasına karşı: kullanıcı talimatıyla çalışma savunması (mali kurye savunması).
- Kasıt yokluğu: birden fazla taraf zincirinde "ben de aldatıldım" savunması.
- Gönüllü iade + etkin pişmanlık (TCK m.168 paralel).
Bankaya ne zamana kadar transferi geri çağırma talebi yapılır?
Pratik olarak 1-3 saat içinde; bankalar arası mutabakat süresi geçtikten sonra tahsilat zor. TCMB chargeback prosedürüyle 60 gün.
"Mali kurye" iddiası nasıl çürütülür?
Kurye olduğu iddia edilen kişinin: (a) Whatsapp grup mesajları, (b) ödeme talimatına dair e-posta zinciri, (c) suç organize ile bağlantı tespiti. CMK m.134 ile cihaz inceleme + adli bilişim raporu.
BEC saldırısında müşteri sorumlu mu?
Genelde değil, ancak iç kontrol eksikliği (örn. IBAN değişikliğini telefonla teyit etmeme) müşterek kusur olarak değerlendirilebilir.
Yurt dışına aktarılan para nasıl tahsil edilir?
MLAT (Mutual Legal Assistance Treaty) prosedürüyle Cumhuriyet Başsavcılığı. AB ülkeleri 6-18 ay; ABD daha hızlı (Mutual Legal Assistance Treaty US-Türkiye).
Sigorta kapsamında mı?
Cyber sigorta poliçesi varsa kısmen evet; kapsam BEC, ransomware, veri ihlali. KOBİ sigortaları cyber genelde dışlama klozu içerir.
İlgili mevzuat
- TCK m.243 — Bilişim sistemine girme (1-3 yıl + adli para).
- TCK m.244 — Sistem işleyişini engelleme/bozma (1-5 yıl).
- TCK m.245 — Banka/kredi kartı sahteciliği (3-6 yıl).
- TCK m.158/1-f — Bilişim sistemi/banka/kredi kurumu araç olduğunda nitelikli dolandırıcılık (3-10 yıl).
- CMK m.134 — Bilgisayar arama, kopyalama, el koyma.
2026 Ekleme: TCK m.158/4 ve Dijital Hesaplar
Bilişim yoluyla işlenen dolandırıcılıkta paranın aktarıldığı hesabın sahibi çoğu zaman organizasyonun dışındaki bir kişidir. 7589 sayılı Kanun m.13 (16/7/2026; RG 31/7/2026) ile TCK m.158’e eklenen dördüncü fıkra tam bu konumu düzenler:
TCK m.158/4: “Bu madde ile 157 nci maddede yer alan suçlara iştirakin, kendisine veya başkasına haksız bir menfaat sağlamak amacıyla kendisine veya başkasına ait banka veya kredi kartı gibi ödeme araçlarını ya da banka, aracı kurum, ödeme hizmeti sağlayıcıları veya kripto varlık hizmet sağlayıcıları nezdinde bulunan hesabın kullanılmasını sağlayan zorunlu bilgileri veya araçları başkasına vermek fiiliyle sınırlı olması halinde verilecek ceza yarı oranında indirilir.”
Fıkranın dijital boyutu bakımından iki nokta önemlidir:
- Kapsam: banka ve kredi kartının yanında aracı kurum, ödeme hizmeti sağlayıcıları ve kripto varlık hizmet sağlayıcıları nezdindeki hesaplar açıkça sayılmıştır. Elektronik cüzdan ve kripto borsası hesapları da bu kapsamda değerlendirilir.
- “Zorunlu bilgi veya araç”: yalnızca kart numarası değil, hesabın kullanılmasını sağlayan şifre, tek kullanımlık kod veya cihaz gibi unsurların verilmesi de fıkra kapsamında ele alınır.
Savunmada belirleyici olan, katkının bu fiille sınırlı kalıp kalmadığıdır; paranın çekilmesine veya yönlendirilmesine katılım varsa indirim uygulanmaz.