Hesabımdan Param Gitti Ama Bu İşlemi Ben Yapmadım: Yetkisiz Mobil Bankacılık İşlemlerinde Sorumluluk

TL;DR: Türk hukukunda bir banka hesabına yatırılan paranın mülkiyeti bankaya geçer; banka, TBK m. 561 vd. kapsamındaki usulsüz tevdi ilişkisi gereği, müşterinin talebi üzerine eş değerini iade etmekle koşulsuz olarak yükümlüdür. Bir müşterinin mobil/internet bankacılığı üzerinden bilgisi ve rızası dışında gerçekleştirilen bir EFT/FAST işlemi "yetkilendirilmemiş ödeme işlemi" sayılır ve 6493 sayılı Kanun m. 54 uyarınca banka bu tutarı derhal iade etmekle yükümlüdür; iade ancak müşterinin kastı veya güvenlik bilgilerini korumada ağır kusuru ispatlanırsa reddedilebilir ve bu ispat yükü bankadadır. Yargıtay'ın yerleşik ve güncel içtihadına göre, bir müşterinin sofistike bir oltalama (phishing^?) sitesine veya sahte banka SMS'ine kanması tek başına ağır kusur^? sayılmaz, hafif kusur olarak değerlendirilir; banka güven kurumu sıfatıyla ileri düzey güvenlik önlemleri almakla yükümlü olduğundan, müşterinin hafif kusuru bankayı sorumluluktan kurtarmaz. Kart işlemlerinde ise ayrı bir rejim olan 5464 sayılı Kanun uygulanır ve bildirim öncesi 24 saatlik sorumluluk 150 TL ile sınırlıdır; bu, 6493 sayılı Kanun kapsamındaki hesap tabanlı işlemlerin sorumluluk sınırından farklı ve ayrı bir rejimdir.

Yazar: Avukat Yusuf KILIÇKAN | Tarih: 27 Eylül 2026

Banka Mevduatının Hukuki Niteliği

Türk hukukunda bir hesaba yatırılan para, TBK m. 561 vd.'daki usulsüz tevdi hükümleri ve tüketim ödünçü (karz) esasları çerçevesinde düzenlenir. Banka, belirli banknotların saklayıcısı değildir; para üzerindeki mülkiyeti ve kullanım hakkını tam olarak devralır, buna karşılık müşterinin talebi üzerine aynı tutarı koşulsuz olarak iade etme borç altına girer. 5411 sayılı Bankacılık Kanunu m. 76 uyarınca bankalar, devletin verdiği bir lisansla faaliyet gösteren ve kamu güvenine dayalı kurumlardır; Yargıtay istikrarlı olarak bankaları birer "güven kurumu" olarak nitelendirmektedir. Bu nedenle üçüncü bir dolandırıcı tarafından mobil veya internet bankacılığı üzerinden çalınan para, hukuken müşterinin değil, artık bankanın kendi varlığıdır; siber saldırı, oltalama altyapısı, oturum ele geçirme ve güvenlik açıklarının riski, kural olarak bankanın üzerindedir.

Yasal Çerçeve: 6493 Sayılı Kanun ve İlgili Düzenleme

Ödeme hizmetlerine ilişkin güncel düzenleme uyarınca bir ödeme işlemi, gönderenin ödeme hizmeti sağlayıcısıyla kararlaştırılan yöntemle onay verdiği ölçüde yetkilendirilmiş sayılır; kararlaştırılan yönteme uygun olarak onaylanmayan bir işlem yetkilendirilmemiş işlem olarak nitelendirilir. Burada önemli bir ayrım yapılmalıdır: kimlik doğrulama (authentication) ile yetkilendirme (authorization) aynı şey değildir. Bir işlemde teknik olarak bir parola, OTP/SMS kodu veya mobil uygulama kullanılmış olması, müşterinin bu işlemi bizzat ve bilerek yetkilendirdiği anlamına otomatik olarak gelmez; bu ayrım özellikle oltalama, SIM değişikliği, zararlı yazılım, uzaktan erişim ve sosyal mühendislik vakalarında belirleyicidir.

İspat Yükü: Yetkilendirmeyi Kanıtlamak Bankanın Sorumluluğundadır

Ödeme hizmetleri düzenlemesindeki en kritik hüküm, müşterinin tamamlanan bir ödeme işleminin yetkilendirilmediğini ileri sürmesi hâlinde, ödeme hizmeti sağlayıcısının; işlemin müşteri tarafından yetkilendirildiğini, doğru kaydedildiğini, hesaplara doğru işlendiğini ve sağlayıcının sistemlerindeki teknik bir arıza veya benzer bir sorundan etkilenmediğini ispatlaması gerektiğidir. Bu nedenle aslında sorulması gereken soru "SMS doğrulaması yapıldı mı" değil, "banka, müşterinin bu işlemi gerçekten yetkilendirdiğini ve işlemin teknik olarak güvenli ve düzgün işleyen bir yetkilendirme sürecinden geçtiğini ispatlayabiliyor mu" sorusudur. Bu hukuki mimari, başvuru sahibi lehine hukuk sistemi içindeki en güçlü araca dayanak oluşturur; zira genel ispat yükü kurallarının aksine burada müşteri değil banka ispat yükü altındadır.

Yargıtay'ın Ağır Kusur Standardı

Türk hukukundaki mobil bankacılık dolanıcılığı uyuşmazlıklarının merkezinde, hafif kusur (hafif ihmal) ile ağır kusur arasındaki ayrım yer alır. Yargıtay Hukuk Genel Kurulunun 21.11.2012 tarihli, E. 2012/11-550, K. 2012/820 sayılı kararında, şifre bilgilerinin üçüncü kişilerin eline geçmesi sonucu gerçekleşen internet bankacılığı dolanıcılığında, bankanın parayı müşteriye iade etmekle sorumlu olduğu ve şifre bilgilerinin üçüncü kişilerce ele geçirilmesini önleyecek güvenlik mekanizmasını oluşturması gerektiği hükme bağlanmıştır. Aynı Kurulun 22.11.2018 tarihli, E. 2017/2224, K. 2018/1753 sayılı kararında, müşterinin hesabından internet bankacılığı aracılığıyla 9.788 TL'nin başka bir hesaba EFT ile aktarıldığı olayda, bankaların elektronik bankacılıkta da nesnel özen yükümlülüğü altında olduğu ve müşteri kusurunun ancak somut olarak ispatlanması hâlinde dikkate alınabileceği vurgulanmıştır. Kurulun 16.06.2020 tarihli, E. 2017/19-3092, K. 2020/400 sayılı kararı da internet bankacılığı dolandırıcılığı davalarında ispat yükünün dağılımına ilişkin aynı yöndeki ilkeleri teyit etmiştir. Bu içtihat çizgisinden çıkan sonuç, bir müşterinin sofistike bir sahte banka SMS'ine veya oltalama sitesine kanmasının tek başına ağır kusur sayılmadığı, bunun hafif kusur olarak değerlendirildiğidir; banka ileri düzey güvenlik önlemleri, anormal işlem tespiti ve davranışsal dolandırıcılık izleme sistemleri kurmakla yükümlü olduğundan, müşterinin hafif kusuru bankanın güçlü iade yükümlülüğünü ortadan kaldırmaz.

Uzaktan Erişim Yazılımlarıyla Dolandırıcılık

Dolandırıcıların müşteriyi "müşteri desteği" veya "güvenlik güncellemesi" bahanesiyle AnyDesk, TeamViewer gibi bir ekran paylaşım yazılımı yüklemeye ikna ettiği vakalarda, mahkemeler müşterinin dinamik OTP'yi bizzat girip belirli bir transferi bilerek yetkilendirip yetkilendirmediğini, yoksa dolandırıcının uzaktan erişim yoluyla işlemleri kendisinin fiilen gerçekleştirip gerçekleştirmediğini ayrıca değerlendirir. İkinci durumda bankalar, bilinmeyen IP adreslerinden anormal girişleri, eş zamanlı cihaz değişikliklerini ve ani yüksek hacimli dışa transferleri tespit edecek dolandırıcılık izleme sistemlerini kuramadıkları gerekçesiyle sorumlu tutulabilmektedir.

Bankanın Bağımsız Denetim Yükümlülüğü

BDDK'nın bankaların bilgi sistemleri ve elektronik bankacılık hizmetlerine ilişkin düzenlemesi, bankalara önemli teknik ve idari yükümlülükler getirmektedir. Buna göre elektronik bankacılık hizmetlerinde kural olarak en az iki bağımsız kimlik doğrulama bileşeni aranmakta; bankaların inkar edilemezliği sağlayabilen ve güvenilir delil üretebilen işlem kayıtları tutması gerekmektedir. Düzenleme ayrıca bankaların; bilinen dolandırıcılık yöntemlerini, işlem tutarlarını, alışılmadık ödeme/transfer örüntülerini, konum bilgisini, tehlikeye atılmış kimlik doğrulama unsurlarını ve kimlik doğrulama süresince zararlı yazılım belirtilerini kapsayan işlem izleme mekanizmaları kurmasını zorunlu kılmaktadır. Riskli işlemler tespit edildiğinde bankanın bunları daha yakından izlemesi ve müşteriye uygun araçlarla uyarı vermesi gerekmektedir. Bu çerçeve, "müşteri şifreyi girdi, o hâlde banka sorumlu değildir" şeklindeki bir savunmayı ciddi ölçüde zayıflatmaktadır. Mobil bankacılığın kendine özgü güvenlik kuralları da ayrıca düzenlenmiş olup, tehlikeye atılmış cihazlar veya işletim sistemlerinden kaynaklanan riskler bu çerçevede değerlendirilir.

SIM Kart Kopyalama (SIM Swap) Dolandırıcılığı

Dolandırıcıların, sahte kimlik belgeleri veya ele geçirilmiş bayi erişimi kullanarak mağdurun SIM kartının bir kopyasını alarak dinamik SMS doğrulama kodlarını ele geçirdiği vakalarda, hem GSM operatörü hem de banka müteselsilen sorumlu tutulabilir. GSM operatörü, SIM değişikliği talep eden kişinin kimliğini titizlikle doğrulamaması nedeniyle; banka ise SIM kart değişikliğini mobil şebeke arayüzü üzerinden tespit edip, kişisel olarak veya biyometrik doğrulamayla teyit edilene kadar dinamik finansal işlem şifrelerinin iletimine otomatik bir elektronik güvenlik bloğu koyma yönündeki düzenleyici yükümlülüğü nedeniyle sorumlu tutulabilmektedir.

Hesap Tabanlı İşlemler ile Kart İşlemleri Karıştırılmamalı

Bu alanda birbirinden ayrı iki rejim vardır ve bu ayrım makale/danışma açısından önemlidir. Hesap tabanlı ödeme işlemlerinde (EFT, FAST, havale) esas alınan çerçeve 6493 sayılı Kanun ve ilgili ödeme hizmetleri düzenlemesidir; burada müşterinin güvenlik bilgilerini korumada ağır kusuru veya kastı bulunmadıkça, bildirim öncesi 24 saatlik dönemdeki sorumluluğu ikincil mevzuatla belirlenen bir üst sınırla sınırlandırılmaktadır; bu sınır zaman zaman güncellenmektedir. Kart işlemlerinde ise 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu uygulanır; m. 12 uyarınca kartın veya kart bilgilerinin kaybolması/çalınması hâlinde, bildirim öncesi 24 saatlik dönemdeki hukuka aykırı kullanımdan kart hamilinin sorumluluğu 150 TL ile sınırlıdır; bu sınır, ağır kusur veya kast bulunmadıkça ve bildirim yapılmışsa uygulanır. Bu iki ayrı rakam ve rejim birbirine karıştırılmamalıdır; hangi rejimin uygulanacağı işlemin niteliğine (hesaptan doğrudan transfer mi, kart üzerinden işlem mi) göre belirlenir. Kredi kartı hesap özetindeki işleme itiraz için kart hamilinin son ödeme tarihinden itibaren on gün içinde itiraz etmesi öngörülmüş olmakla birlikte, bu süre içinde itiraz edilmemiş olması genel hukuk kuralları uyarınca dava açma hakkını ortadan kaldırmaz.

"Chargeback" Her Yetkisiz İşlem İçin Kullanılacak Doğru Terim Değildir

Chargeback (harcama itirazı) mekanizması, esas olarak kart ödeme ağı (Visa, Mastercard, Troy) kuralları çerçevesindeki anlaşmazlıklara özgüdür; yetkisiz kredi/banka kartı alışverişi, kartın fiziken bulunmadığı işlemler ve belirli e-ticaret uyuşmazlıkları için uygundur. Buna karşılık bir mevduat/ödeme hesabından yapılan yetkisiz bir EFT, FAST veya havale, bir "chargeback" olarak değil, doğrudan 6493 sayılı Kanun kapsamındaki yetkisiz ödeme işlemi hükümleri çerçevesinde değerlendirilmelidir; bu terminolojik ayrım danışmanlık ve dilekçe hazırlama aşamasında önemlidir.

Mağdurun İzlemesi Gereken Adımlar

İlk aşamada bankanın müşteri hizmetleri hattı arandık derhal aranarak dijital kanallar, mobil bankacılık uygulaması, kart ve açık kredi hatlarının dondurulması talep edilmeli, işlem referans numaraları ve alıcı IBAN/isim bilgileri istenmelidir. İkinci aşamada, işlemin yetkilendirilmediği ve güvenlik bilgilerinin bilerek paylaşılmadığı açıkça belirtilerek, 6493 sayılı Kanun m. 54'e açıkça atıfla, KEP, noter veya imzalı elden teslim yoluyla yazılı bir itiraz dilekçesi bankaya iletilmelidir. Üçüncü aşamada, somut olaya göre bilişim sistemleri aracılığıyla nitelikli dolandırıcılık, bilişim sistemine hukuka aykırı erişim/veri aktarımı veya banka/kredi kartlarının kötüye kullanılması suçlarına ilişkin olarak Cumhuriyet Başsavcılığına suç duyurusunda bulunulmalı, CMK m. 128 ve MASAK aracılığıyla alıcı hesaplarına ivedilikle el koyma/dondurma talep edilmelidir. Dördüncü aşamada, bankadan tatmin edici bir yanıt alınamazsa, Türkiye Bankalar Birliği Bireysel Müşteri Hakem Heyetine ücretsiz başvuru yapılabilir; heyet kararları, yıllık olarak güncellenen belirli bir parasal sınıra kadar banka açısından bağlayıcıdır.

Görevli Mahkeme ve Usul

Gerçek kişi tüketiciler bakımından, kişisel ve ticari olmayan amaçla kurulan bankacılık sözleşmeleri 6502 sayılı Tüketicinin Korunması Hakkında Kanun anlamında tüketici işlemi sayılır ve m. 73/A uyarınca dava açılmadan önce arabuluculuğa başvuru dava şartıdır; son tutanak olmaksızın açılan davalar usulden reddedilir. Talep tutarı, Ticaret Bakanlığınca yıllık olarak belirlenen eşiğin altındaysa il/ilçe Tüketici Hakem Heyetine doğrudan başvuru zorunlu olup, bu eşiği aşan taleplerde arabuluculuk sonrası Tüketici Mahkemesinde dava açılır; bu parasal eşikler her yıl güncellendiğinden somut başvuru öncesinde güncel tutarın Ticaret Bakanlığı'ndan teyit edilmesi önemlidir. Ticari işletmeler ve şahıs işletmeleri bakımından ise 6102 sayılı Türk Ticaret Kanunu uygulanır, görevli mahkeme asliye ticaret mahkemesi olup m. 5/A uyarınca dava şartı ticari arabuluculuk aranmaktadır. Yargıtay'ın yaklaşımına göre, bankalar ticari müşterilerine karşı "basiretli tacir" standardını ileri sürse dahi, bankanın dijital ödeme kanallarının yapısal güvenliğine ilişkin temel kusursuz sorumluluğu ticari hesaplar bakımından da geçerliliğini korumaktadır.

Faiz Hangi Tarihten İşler?

Banka, geçersiz bir işlemle müşteri parasını hukuka aykırı olarak elinde bulundurduğundan veya haksız biçimde hesaptan düştüğünden, faiz dava tarihinden değil, hesabın borçlandırıldığı yetkisiz işlem tarihinden itibaren işlemeye başlar. Ticari hesaplarda ticari temerrüt faizi (avans faizi), bireysel tüketici hesaplarında ise yasal faiz uygulanır.

Sosyal Mühendislik ile Gönüllü Onay Arasındaki İnce Çizgi

Uygulamada iki farklı senaryo birbirinden ayrılmalıdır. Birincisinde müşteri işlemi hiç yetkilendirmemiştir (çalınan bilgilerle, kötü amaçlı yazılımla veya SIM manipülasyonuyla yapılan işlemler). İkincisinde ise müşteri sistemle bizzat etkileşime girmiş, ancak bunu bir dolandırıcının kendisini kandırması nedeniyle yapmıştır; örneğin banka çalışanı gibi davranan bir kişinin, hesabı "korumak" amacıyla yapılmış gibi gösterilen bir işlemi onaylamasını istediği durumlar. Bu ikinci senaryoda hukuki değerlendirme daha karmaşık hâle gelebilir, zira müşterinin teknik olarak yetkilendirme sürecini bizzat yerine getirdiği ileri sürülebilir; ancak burada da asıl hukuki soru, ödemenin hukuki anlamda gerçekten yetkilendirilip yetkilendirilmediği ve ilgili kanuni/sözleşmesel kuralların ortaya çıkan riski nasıl paylaştırdığıdır.

Delil

Yetkisiz bankacılık davaları çoğu zaman salt bir hesap ekstresi anlaşmazlığından çok, dijital kimlik doğrulamaya ilişkin bir delil uyuşmazlığıdır. İlgili deliller arasında banka sistem denetim kayıtları, giriş zaman damgaları, IP adresleri, cihaz tanımlayıcıları, OTP üretim ve doğrulama kayıtları, SMS teslim kayıtları, SIM değişikliği bilgileri, çağrı merkezi kayıtları, işlem risk skorları, dolandırıcılık izleme uyarıları ve güvenlik bloğu serbest bırakma kayıtları sayılabilir. BDDK düzenlemesinin bankalardan sorumluluk tayin edebilecek ve güvenilir delil üretebilecek elektronik bankacılık teknikleri ve denetim izleri tutmasını açıkça talep etmesi, davada bu kayıtların mahkemeden talep edilmesi için güçlü bir hukuki dayanak oluşturmaktadır.

Ceza Soruşturması ile Bankaya Karşı Hukuk Davası Birbirinden Ayrıdır

Ceza soruşturması, faillerin kimliğinin, paranın hangi hesaplara ve telefon numaralarına yönlendirildiğinin ve dijital delil zincirinin ortaya çıkarılması bakımından önemli olsa da, bankaya karşı açılacak iade/tazminat davasından hukuken ayrı bir süreçtir. Mağdur, ceza soruşturmasının sonucunu beklemeden bankaya karşı hukuki talebini ayrıca ileri sürebilir ve sürmelidir.

Sonuç

"Hesabımdan param gitti ama ben bu işlemi yapmadım" sorusunun Türk hukukundaki cevabı, işlemin teknik olarak müşterinin kimlik bilgileriyle gerçekleştirilip gerçekleştirilmediğinden çok daha karmaşık bir dizi sorunun cevabına bağlıdır: ödeme gerçekten yetkilendirildi mi, banka bu yetkilendirmeyi ispatlayabiliyor mu, bankanın kimlik doğrulama ve dolandırıcılık tespiti yükümlülükleri yerine getirildi mi, müşterinin güvenlik bilgileri tehlikeye atılmış mı, müşteri hafif mi yoksa ağır mı kusurlu, müşteri bankaya ne zaman bildirimde bulundu, işlem kart mı yoksa hesap tabanlı mı ve bankanın bilgi sistemlerinde hangi deliller mevcut. Bu çok boyutlu değerlendirme, 6493 ve 5464 sayılı kanunları, BDDK elektronik bankacılık mevzuatını, Yargıtay içtihadını ve tüketici uyuşmazlık mekanizmalarını tek bir hukuki rejimmiş gibi ele almadan, her birini kendi yerinde değerlendirmeyi gerektirir.

Avukat Yusuf KILIÇKAN

27 Eylül 2026

Sıkça Sorulan Sorular

1. Hesabımdan bilgim dışında para çekilirse banka bunu otomatik olarak iade etmek zorunda mıdır?

Evet, 6493 sayılı Kanun m. 54 uyarınca banka yetkisiz işlem tutarını derhal iade etmekle yükümlüdür; iadeyi ancak müşterinin kastı veya ağır kusuru ispatlanırsa reddedebilir.

2. SMS/OTP ile onaylanan bir işlem otomatik olarak yetkilendirilmiş sayılır mı?

Hayır, kimlik doğrulama ile yetkilendirme aynı şey değildir; teknik doğrulama yapılmış olsa dahi müşterinin işlemi bilerek onayladığı ayrıca ispatlanmalıdır ve bu ispat yükü bankadadır.

3. Sahte bir banka SMS'ine veya oltalama sitesine kandım, bu ağır kusur sayılır mı?

Yargıtay yerleşik uygulamasına göre sofistike bir oltalamaya kanmak kural olarak hafif kusur sayılır; bu, bankanın güçlü iade yükümlülüğünü ortadan kaldırmaz.

4. SIM kartım kopyalandı ve param çalındı, kime karşı dava açabilirim?

Hem GSM operatörü hem de banka, somut olayın özelliklerine göre müteselsilen sorumlu tutulabilir.

5. Kredi kartı ile hesaptan yapılan EFT'nin sorumluluk rejimi aynı mıdır?

Hayır, kart işlemleri 5464 sayılı Kanuna (bildirim öncesi 150 TL sınırı), hesap tabanlı EFT/FAST işlemleri ise 6493 sayılı Kanuna tabidir; bu iki rejim ve sınır birbirinden farklıdır.

6. İlk yapmam gereken şey nedir?

Derhal bankayı arayarak dijital kanalları dondurmak, ardından yazılı bir yetkisiz işlem itirazı sunmak ve ayrıca suç duyurusunda bulunmaktır.

7. Banka talebimi reddederse nereye başvurabilirim?

Türkiye Bankalar Birliği Bireysel Müşteri Hakem Heyetine ücretsiz başvurulabilir; belirli bir tutarın üstündeki veya reddedilen taleplerde tüketici arabuluculuğu ve ardından tüketici hakem heyeti veya tüketici mahkemesi yolu izlenir.

8. Ceza soruşturması sonuçlanmadan bankaya dava açabilir miyim?

Evet, ceza soruşturması ile bankaya karşı açılacak hukuk davası birbirinden bağımsızdır.

9. Faiz hangi tarihten işler?

Dava tarihinden değil, hesabın yetkisiz işlemle borçlandırıldığı tarihten itibaren işler.

10. Ticari hesaplar da aynı korumadan yararlanır mı?

Evet, bankanın dijital kanallarının yapısal güvenliğine ilişkin temel sorumluluğu ticari hesaplar için de geçerliliğini korur; ancak usul (asliye ticaret mahkemesi, ticari arabuluculuk) farklıdır.

Yazar Hakkında

Av. Yusuf Kılıçkan | Avukat & Hukuki Danışman

Serbest avukatlık ve hukuki danışmanlık faaliyetlerini sürdürmektedir. Mesleki çalışmalarında geleneksel dava süreçleri, sözleşme tasarımı ve uyuşmazlık çözümü ile yapay zekâ ve bilişim hukuku gibi gelişen alanları bütüncül bir yaklaşımla ele almaktadır. Yayınlarında, yerel yüksek yargı içtihatları ile küresel regülasyonları analitik, veri temelli ve sistematik bir yöntemle incelemektedir. Hukuki yazılarına yusufkilickan.av.tr adresinden ulaşabilirsiniz.

📧 av.yusufkilickan@gmail.com

Yasal Uyarı

Bu yazı yalnızca genel bilgilendirme amacıyla hazırlanmıştır, hukuki danışmanlık niteliği taşımaz. 6493 sayılı Kanun, 5464 sayılı Kanun, BDDK düzenlemeleri ve ilgili Yargıtay içtihatlarına ilişkin bilgiler güncel kaynaklara dayanmakta olup, parasal eşikler yıllık olarak güncellendiğinden somut bir başvuru öncesinde güncel tutarların teyit edilmesi ve bir avukata danışılması önerilir.