Hesaptan İzinsiz Para Çekilmesi: Banka Ne Zaman Sorumludur?

Sabah uyanıp banka uygulamasına girdiğinde hesabının boşaltıldığını gören kişi, çoğu zaman paranın geri alınıp alınamayacağını ve bankanın sorumlu olup olmadığını merak eder. İnternet bankacılığına yetkisiz giriş, kart bilgilerinin kopyalanması, sahte SIM kart çıkarılarak doğrulama kodlarının ele geçirilmesi veya çağrı merkezi üzerinden kimlik doğrulamanın aşılması gibi yöntemlerle hesaplardan izinsiz para transferi yapılabilmektedir. Yargıtay, bu tür olaylarda bankanın güvenli bir sistem kurma ve işletme yükümlülüğü bulunduğunu, bu yükümlülüğü yerine getirdiğini ispat edemeyen bankanın müşterinin zararından sorumlu olduğunu kabul etmektedir. Bu yazıda bankanın sorumluluğunun dayanağı, müşterinin kusurunun etkisi, olayın hemen ardından yapılması gerekenler ve başvuru yolları anlatılmaktadır.

Kanun metni

Hesaptan izinsiz para çekilmesinin yaygın yöntemleri

Uygulamada en sık karşılaşılan yöntemler şunlardır:

• Oltalama (phishing): Bankanın sitesine benzeyen sahte bir siteye yönlendirilen müşterinin şifre ve doğrulama kodları ele geçirilir.
• SIM kart değişikliği: Müşteri adına sahte belgelerle yeni SIM kart çıkarılır ve bankanın gönderdiği tek kullanımlık şifreler dolandırıcının telefonuna gelir.
• Çağrı merkezi zafiyeti: Dolandırıcı, müşterinin bazı kişisel bilgilerini kullanarak çağrı merkezinden şifre sıfırlatır veya yeni cihaz tanımlatır.
• Kart kopyalama: ATM veya POS cihazına yerleştirilen düzenekle kart bilgileri ve şifre kopyalanır.
• Zararlı yazılım: Telefona yüklenen uygulama aracılığıyla ekran ve mesajlar izlenir.

Bu yöntemlerin bir kısmında müşterinin hiçbir kusuru yoktur; bir kısmında ise müşterinin dikkatsizliği olaya katkıda bulunmuştur. Bankanın sorumluluğunun kapsamı da bu ayrıma göre belirlenir.

Bankanın sorumluluğunun dayanağı

Banka, hesap sahibinin parasını muhafaza eden ve onun talimatlarını yerine getiren bir hizmet sağlayıcıdır. Bankacılık sözleşmeleri 6502 sayılı Kanun’un 3. maddesinde açıkça tüketici işlemleri arasında sayılmıştır. Banka, 6102 sayılı Türk Ticaret Kanunu uyarınca basiretli bir tacir gibi davranmak zorundadır. Bu özen yükümlülüğü, internet ve mobil bankacılık sistemlerinin güvenli şekilde kurulmasını, kimlik doğrulama süreçlerinin dolandırıcılığa karşı dirençli olmasını ve müşterinin alışılmış işlem profiline uymayan hareketlerin tespit edilmesini kapsar.

Bankacılık Düzenleme ve Denetleme Kurumunun (BDDK) Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği de bankalara elektronik bankacılıkta birbirinden bağımsız en az iki bileşenden oluşan kimlik doğrulama, işlem izleme ve müşteriyi bilgilendirme yükümlülükleri getirir. Yargıtay’ın yerleşik yaklaşımına göre banka, güvenlik önlemlerini eksiksiz aldığını ve zararın tamamen müşterinin kusurundan kaynaklandığını ispat etmedikçe izinsiz işlemlerden doğan zararı karşılamakla yükümlüdür. Bu yaklaşımda ispat yükü bankaya yüklenir; müşterinin bankanın kusurunu ayrıntılı biçimde kanıtlaması beklenmez.

Yargıtay 11. Hukuk Dairesinin 2024 tarihli kararı

Yargıtay 11. Hukuk Dairesinin 24.06.2024 tarihli, 2023/3330 Esas ve 2024/5094 Karar sayılı kararına konu olayda, davacının bilgisi dışında çağrı merkezi aracılığıyla internet bankacılığı erişimi açılmış ve hesabından 328.509,41 TL başka hesaplara aktarılmıştır. Konya 2. Tüketici Mahkemesi, bankanın çağrı merkezindeki kimlik doğrulama sürecinde zafiyet bulunduğunu ve bankanın güvenlik yükümlülüğünü yerine getirdiğini ispat edemediğini belirleyerek davayı kabul etmiştir. Yargıtay, bankanın sorumluluğuna ilişkin bu değerlendirmeyi yerinde bularak kararı onamıştır.

Karar, dolandırıcının bankanın kendi sistemindeki bir açıktan yararlanması hâlinde zararın müşteriye yüklenemeyeceğini göstermesi bakımından önemlidir. Benzer şekilde müşterinin bilgisi dışında SIM kart değiştirilmesi sonucu doğrulama kodlarının ele geçirildiği olaylarda da bankanın yeni SIM kart sonrası işlemleri ek kontrole tabi tutup tutmadığı, olağandışı tutar ve alıcılara yapılan transferlerde uyarı mekanizmasının çalışıp çalışmadığı incelenir.

Müşterinin kusuru ve tazminattan indirim

Bankanın sorumluluğu sınırsız değildir. Müşteri; şifresini, doğrulama kodunu veya kart bilgilerini telefonda kendini banka görevlisi olarak tanıtan birine kendisi vermişse, sahte bir uygulamayı bilerek yüklemişse veya şifresini kart üzerine yazmışsa, zararın doğmasında müşterinin de kusuru bulunur. Bu durumda Türk Borçlar Kanunu m. 52 uyarınca müterafik kusur nedeniyle tazminattan indirim yapılabilir. Müşterinin kusuru ağır ve bankanın kusuru yoksa banka sorumluluktan tamamen kurtulabilir.

Mahkemeler bu değerlendirmede bankanın da önlem alıp almadığına bakar. Müşteri doğrulama kodunu paylaşmış olsa bile, banka çok kısa süre içinde müşterinin hiç işlem yapmadığı hesaplara alışılmışın çok üzerinde transferlere izin vermişse, bankanın da kusurlu olduğu kabul edilerek sorumluluk paylaştırılabilir.

Kart kaybolduğunda veya çalındığında ise 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu ile 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun kapsamında özel kurallar uygulanır. Kart sahibinin bildirimden önceki kısa süre içinde yapılan kullanımlardan sorumluluğu sınırlıdır; bildirimden sonra yapılan işlemlerden ise sorumlu tutulmaz. Kart sahibinin ağır ihmali veya kastı hâlinde bu sınır uygulanmaz. Sorumluluk tutarının ayrıntısı kart sözleşmesinde yazılıdır.

Olayın hemen ardından yapılması gerekenler

Zamanında yapılan işlemler, hem paranın izinin sürülmesini hem de bankanın sorumluluğunun ispatını kolaylaştırır:

1. Bankayı derhâl aramak: Kartların, internet ve mobil bankacılığın bloke edilmesi istenmeli; görüşmenin tarihi, saati ve görüşmeci bilgisi not edilmelidir.
2. İşlem dökümünü almak: İzinsiz işlemlerin tarihi, saati, tutarı ve alıcı hesap bilgileri kayıt altına alınmalıdır.
3. Suç duyurusu: Cumhuriyet başsavcılığına veya kolluğa başvurularak suç duyurusunda bulunulmalıdır. Savcılık, paranın aktarıldığı hesaplara bloke konulmasını isteyebilir.
4. Bankaya yazılı itiraz: İşlemlerin müşterinin iradesi dışında yapıldığı, bankanın güvenlik yükümlülüğünü yerine getirmediği ve zararın iadesi talebi yazılı olarak veya noter aracılığıyla bildirilmelidir.
5. Operatöre başvuru: SIM kart değişikliği varsa GSM operatöründen işlem kayıtları ve hangi belgeyle yeni kart çıkarıldığı bilgisi istenmelidir.

Kart bilgileriyle yapılan izinsiz alışverişlerde, kart sahibinin bankaya harcama itirazında (chargeback) bulunması da mümkündür. İtiraz ne kadar erken yapılırsa sonuç alma ihtimali o kadar yüksektir.

Ceza soruşturması ile tazminat talebinin ilişkisi

Hesaptan izinsiz para çekilmesi, çoğu durumda bilişim sistemleri, banka veya kredi kurumlarının araç olarak kullanılması suretiyle nitelikli dolandırıcılık suçunu oluşturur. Bu suç hakkında Banka veya Kredi Kurumlarının Araç Olarak Kullanılmasıyla Dolandırıcılık (TCK 158/1-f) ve 2026 Değişikliği yazımızda ayrıntılı bilgi bulunmaktadır. Kart bilgilerinin kopyalanarak kullanılması ise “Banka veya Kredi Kartlarının Kötüye Kullanılması (TCK m. 245)” kapsamında değerlendirilebilir. Paranın aktarıldığı hesabın sahibi, hesabını başkasına kullandırmışsa ayrıca sorumlu tutulabilir; bu konu Banka Hesabını (IBAN) Başkasına Kullandırmanın Cezası yazımızda ele alınmıştır.

Ceza soruşturmasının sonucunu beklemek, bankaya karşı tazminat talebi için zorunlu değildir. Bankanın sorumluluğu sözleşmeden doğar ve faillerin yakalanıp yakalanmamasından bağımsızdır. Bununla birlikte soruşturma dosyasındaki bilirkişi raporları, IP kayıtları ve hesap hareketleri hukuk davasında önemli delil olarak kullanılabilir.

Başvuru yolları

Bankanın yazılı itirazı reddetmesi veya sessiz kalması hâlinde, 2026 yılında değeri 186.000 TL’nin altındaki uyuşmazlıklarda tüketici hakem heyetine başvurulur. Bu sınırın üzerindeki uyuşmazlıklarda önce arabulucuya başvurmak zorunludur; anlaşma sağlanamazsa tüketici mahkemesinde dava açılır. Arabuluculuk süreci Tüketici Davalarında Zorunlu Arabuluculuk: Dava Açmadan Önce Yapılması Gerekenler yazımızda anlatılmıştır. Tüketicinin açtığı davalar harçtan muaftır (TKHK m. 73/2).

Davada bankadan; internet bankacılığı giriş kayıtları, IP adresleri, cihaz tanımlama kayıtları, gönderilen doğrulama mesajlarının içeriği ve çağrı merkezi ses kayıtları istenmelidir. Bilişim alanında uzman bilirkişi incelemesi, bankanın güvenlik önlemlerinin yeterliliğini ortaya koyar. Talep edilen tutar, izinsiz çekilen para ile işlemin yapıldığı tarihten itibaren işleyecek faizdir.

Önleyici tedbirler

Bankalar, doğrulama kodu ve şifreyi telefonla hiçbir zaman istemez. Bankadan geldiği iddia edilen bağlantılara tıklanmaması, uygulamaların yalnızca resmî mağazalardan indirilmesi, mobil bankacılıkta günlük transfer limitlerinin düşük tutulması ve telefon hattının aniden çekmemesi hâlinde operatörün hemen aranması, izinsiz işlem riskini önemli ölçüde azaltır.

Örnek olay

Bir emekli öğretmenin telefon hattı, kendisinin bilgisi dışında başka bir ilde sahte kimlikle yeni SIM kart çıkarılarak devre dışı bırakılır. Aynı gece dolandırıcılar, yeni hatta gelen doğrulama kodlarıyla internet bankacılığına yeni cihaz tanımlar ve hesaptaki 410.000 TL’yi dört farklı hesaba aktarır. Öğretmen sabah telefonunun çekmediğini fark eder, bankayı arayarak hesabını bloke ettirir, savcılığa suç duyurusunda bulunur ve bankaya noter aracılığıyla ihtarname gönderir. Banka, işlemlerin doğru şifre ve doğrulama koduyla yapıldığını belirterek talebi reddeder. Öğretmen arabuluculuk sonrasında tüketici mahkemesinde dava açar. Bilirkişi, bankanın yeni SIM kart değişikliğini ve ilk kez tanımlanan cihazdan gece saatlerinde yapılan olağandışı transferleri tespit edecek bir kontrol mekanizması uygulamadığını belirler. Müşterinin herhangi bir bilgiyi paylaşmadığı da anlaşılınca mahkeme, bankanın zararın tamamından faiziyle birlikte sorumlu olduğuna karar verebilir.

Güncel Yargıtay kararları

Bankanın objektif özen yükümlülüğü

Hukuk Genel Kurulu, internet bankacılığında bankanın özen yükümlülüğünü geniş yorumlamaktadır. Müşterinin işlemlerini internet üzerinden yapması, bankanın mevduatı koruma yükümlülüğünü ortadan kaldırmaz ve sorumluluğunu hafifletmez. Banka, sistemini güncel teknolojiye uygun tutmak, şüpheli girişimleri anında engelleyecek mekanizmalar kurmak ve usulsüz işlemde müşteriyi hemen bilgilendirmek zorundadır.

Doğrulama kodunun başka telefona yönlendirilmesi

Yargıtay 11. Hukuk Dairesi, dolandırıcılık yoluyla müşterinin telefonuna gelmesi gereken tek kullanımlık şifrenin başka bir telefona yönlendirildiği olayda müşteriyi müterafik kusurlu saymamıştır. Şifrenin müşterinin kusuruyla üçüncü kişinin eline geçtiğini ispat yükü bankadadır ve banka bunu kanıtlayamamıştır (Yargıtay 11. Hukuk Dairesi, E. 2021/4893, K. 2023/1538, T. 14.03.2023).

Müşterinin kendi özen borcu

Hukuk Genel Kurulu’nun 2026 tarihli bir kararı ise madalyonun öbür yüzünü ortaya koymaktadır. Müşteri de şifre, kullanıcı adı ve cihaz güvenliği konusunda azami özen göstermekle yükümlüdür. Bu yükümlülüğü ihlal eden müşteri, zarara kusuru oranında katlanır.

Bu kararlar birlikte okunduğunda, davanın sonucunu çoğu zaman bilirkişinin iki sorusu belirler: Banka güvenlik önlemlerini eksiksiz almış mıdır ve şifre müşterinin kusuruyla mı ele geçirilmiştir? Tam kusur, oransal indirim veya bankanın tam sorumluluğu bu cevaplara göre şekillenir.

Uygulamada sık yapılan hatalar

• Bankaya yazılı başvuru yapmadan yalnızca çağrı merkezini aramakla yetinmek. İtirazın tarihi ve içeriği ispatlanabilir olmalıdır.
• Suç duyurusunu geciktirmek. Savcılık dosyasındaki IP, hat ve hesap sahipliği bilgileri hukuk davasında da en güçlü delillerdir.
• Davada bankadan log kayıtlarını, doğrulama mesajlarının içeriğini ve çağrı merkezi ses kayıtlarını istememek. Bu belgeler olmadan bilişim bilirkişisi bankanın güvenlik önlemlerini değerlendiremez.
• Dolandırıcıya kodu bizzat okuduğu hâlde kusursuz olduğunu ileri sürmek. Bu durumda tam ret yerine oransal indirim savunması üzerinde durulmalıdır.
• Paranın aktarıldığı hesap sahiplerini hiç hasım göstermemek. Banka davasının yanında bu kişilere karşı sebepsiz zenginleşme veya haksız fiil talebi de değerlendirilmelidir.

Sıkça sorulan sorular

Sonuç

Hesaptan izinsiz para çekilmesinde bankanın sorumluluğu, güvenli bir sistem kurma ve işletme yükümlülüğüne dayanır. Banka bu yükümlülüğü yerine getirdiğini ispat edemezse zararı karşılamak zorundadır; müşterinin kusuru varsa tazminat indirilebilir. Olayın ardından bankanın derhâl aranması, suç duyurusunda bulunulması ve bankaya yazılı itiraz yapılması hakların korunması için gereklidir. Yüksek tutarlı olaylarda bilirkişi incelemesi ve bankadan alınacak teknik kayıtlar davanın sonucunu belirler.

Mevzuat: 6502 sayılı Tüketicinin Korunması Hakkında Kanun · 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu.

Bu yazı, 12 Kasım 2026 tarihi itibarıyla yürürlükte bulunan mevzuata göre hazırlanmıştır. Genel bilgilendirme amaçlıdır; somut durum için hukuki destek alınmalıdır.