Bölge Adliye Mahkemesi 2026/1414 E. 2026/1710 K.

T.C.

İSTANBUL

BÖLGE ADLİYE MAHKEMESİ

12. HUKUK DAİRESİ

DOSYA NO:2026/1414

KARAR NO:2026/1710

T Ü R K M İ L L E T İ A D I N A

İ S T İ N A F K A R A R I

İNCELENEN KARARIN

MAHKEMESİ:İSTANBUL 7. ASLİYE TİCARET MAHKEMESİ

TARİHİ:23/06/2026

NUMARASI:2024/519 Esas - 2026/437 Karar

DAVA:Tazminat

DAVA TARİHİ :28/08/2024

İSTİNAF KARAR TARİHİ:15/10/2026

Davanın kısmen kabulüne ilişkin kararın davacı vekili tarafından istinaf edilmesi üzerine dosya kapsamı incelenip gereği görüşülüp düşünüldü;

DAVA:Davacı vekili; müvekkili şirketin, davalı ... ... Şubesinde ticari hesap sahibi olduğunu, 21.03.2023 tarihinde saat 17:00 sularında müvekkili şirketin merkezi ... Beyoğlu/ İstanbul adresinde kurulu bulunan ... veya ... santral numaralarından birinin çalması üzerine şirketin pazarlama biriminde çalışan ...'nun telefona cevap verdiğini, hattın ucundaki genç bir erkek sesi ... Genel Müdürlüğünden aradığını, şirket müdürü ... bey ile görüşmek istediğini söyleyince ... telefonu müvekkili şirketin müdürü ...'e verdiğini, telefondaki kişinin ... genel merkezden aradığını bildirdiğini, bankanın ticari müşterilerine sunduğu online hizmetlerde bazı değişiklikler olduğunu, yeni online sistemde hesap işletim ücreti, EFT ve havale ücreti, ticari kredi kartları için kart aidatı gibi ücretlerin artık olmadığını, ancak aktivasyon sağlayabilmek için cep telefonuna gönderilen şifreyi söylemesini istediğini, ... gelen şifreyi telefonun diğer ucundaki kişiye söylemiş ve bu kişi de aktivasyonun başarıyla gerçekleştirildiğini bildirdiğini, akabinde bu kişi ...'e kredi kartı limitini yükseltmek isteyip istemediğini sorduğunu, ...'ün de "Bir miktar yükseltelim." diye cevap verdiğini, telefondaki şahıs geriye dönük olarak 3 yıllık hesap işletim ücreti ve kredi kartı aidatlarını geri alabileceğini ve bunun için şubeye gitmesi gerektiğini söyleyerek telefonu kapattığını, ... telefonu kapattıktan sonra cep telefonuna EFT yapılmıştır şeklinde bir mesaj olduğunu görmüş ve hemen davalı bankanın müşteri hizmetler telefonunu aradığını, müşteri hizmetleriyle yaptığı görüşme sonucu hesabı hemen internet işlemlerine kapatan ... kendisine onay kodu gelmeden EFT yapılmasının mümkün olmadığını, buna rağmen nasıl EFT yapıldığını anlamadığını müşteri temsilcisine ilettiğini, müşteri temsilcisinin EFT yapıldıktan sonra paranın geri alınamayacağını bildirdiğini ve gerekli hukuki yollara başvurması gerektiğini belirttiğini, davalı banka tarafından, hesapta bulunan paranın güvenliğinin tam olarak sağlanamadığı ve kötü niyetli kişilerin işlemlerine karşı korunamadığını ileri sürerek 100.000-TL zararın işlemin yapıldığı günden itibaren işleyecek ticari temerrüt faiziyle birlikte davalıdan tahsiline karar verilmesini talep etmiştir.

CEVAP:Davalı vekili;dava konusu işlem bedellerini ödemekle yükümlü olan şahıs, işlemin alacaklısı konumundaki ... olduğunu, davacı şirket yetkilisi kendi rızası ile bankacılık işlem şifresini üçüncü şahıslarla paylaşmış olup, hesabından çıkışı yapılan bedelin ...'ın hesabına EFT yolu ile aktarıldığını, davanın kusuru bulunmayan bankaya değil, işlemin alıcı tarafı olan ...'a yöneltilmesi gerekirken bankaya yöneltilmesinin hukuka aykırı olduğunu, bu nedenle davanın husumet yokluğu nedeniyle reddine karar verilmesini ve ...'a ihbarını, Esasa ilişkin olarak; davacı yan dava konusu işlemlere, internet bankacılığı şifresini bankanın tüm uyarılarına rağmen kötü niyetli üçüncü şahıslarla paylaşması neticesinde salt kendi kusurlu davranışı ile sebep olduğunu, banka SMS ile şifresini paylaşmaması gerektiğini bildirmiş, ancak davacının buna rağmen şifresini üçüncü kişilerle paylaştığını, dolayısı ile somut olayda müvekkili bankanın kusur ve sorumluluğundan bahsedilemeyeceğini, müvekkili bankanın internet sitesinde güvenlik linki altında dolandırıcılık yöntemleri açıkça izah olunmuş ve davacının alması gereken tüm önlemler ile güvenlik programları ücretsiz olarak hizmetine sunulduğunu, davanın, dava konusu işlemlerin alıcı tarafı olan ... aleyhine açılması gerekirken kusuru bulunmayan müvekkili banka aleyhine açılmış olması nedeniyle haksız davanın husumet yokluğu nedeni ile reddine, davacının haksız ve salt kendi kusuru ile neden olduğu kötü niyetli davasının esastan reddine karar verilmesini talep etmiştir.

İLK DERECE MAHKEME KARARI:Mahkemece; davacı şirket yetkilisinin telefonla aranarak sosyal mühendislik yöntemiyle dolandırılması sonucu uğradığı zararın tazmini talebine ilişkin olduğu ,davacı şirket adına ... ... Şubesinde kayıtlı ... IBAN numaralı vadesiz ticari hesaptan 21.03.2023 tarihinde saat 17:15:04'te 100.000-TL tutarında giden EFT işlemi gerçekleştirildiği, işlem ... Kurumsal kanalı üzerinden yapıldığı,02.03.2026 tanzim tarihli bilirkişi heyet raporunda yapılan incelemede davalı bankanın olayla ilgili kusur oranının %75 olarak tespit edildiği, bu oranın belirlenmesinde 5 adet kusurlu davranış değerlendirildiği, "Birinci kritik kusur, daha önce hiçbir para transferi yapılmamış ...'a yeni mobil bankacılık aktivasyonunun hemen ardından 100.000-TL tutarında EFT gerçekleştirilmesinde bankanın ekstra doğrulama mekanizması işletmemesi, ikinci kritik kusur, yüksek riskli işlem için ... doğrulama mekanizmasının devreye alınmamış olması, üçüncü kritik kusur, ... metninin müşteriyi yanıltıcı nitelikte olması, dördüncü kritik kusur, ... izleme sisteminin bilinen dolandırıcılık kalıbına rağmen alarm üretmemesi,yüksek önem derecesindeki beşinci kusur, mobil bankacılık aktivasyonu sırasında ... kontrolünün yapılmamış olması" şeklinde değerlendirildiği, davalı bankanın kusuru oranında zarardan sorumlu olduğunun belirlendiği, davacının kusur oranının %25, davalı bankanın %75 olarak değerlendirilmesinin somut olaya uygun bulunduğu gerekçesiyle davanın kısmen kabulü ile, 75.000-TL'nin 21.03.2023 tarihinden itibaren işleyecek ticari temerrüt faizi ile birlikte davalıdan alınarak davacıya verilmesine, fazla talebin reddine karar verilmiştir.

İSTİNAF SEBEPLERİ:Davalı banka vekili; davacının dava dilekçesinde açıkça "o sırada müvekkil şirket müdürünün kullandığı ... ... numaralı telefona "Tek kullanimlik sifreniz:...olup sadece 3 dakika icin ... uygulamasına giriste gecerlidir.Guvenliginiz icin sifrenizi kimseyle paylasmayiniz. ..." şeklinde bir mesaj gönderildiği, ... gelen şifreyi telefonun diğer ucundaki kişiye söylemiş ve bu kişi de aktivasyonun başarıyla gerçekleştirildiğini bildirmiştir.” şeklinde ikrar edildiğini, dava konusu olayda, ikna yoluyla dolandırıcılık olduğundan davacı müşterinin cihaz kimliği çalınmış olup, aktivasyon yapıldığını, davacı yan, hem parola hem de smsi de verdiğinden, iki faktörlü doğrulama olmasına rağmen işlemler gerçekleştirildiğini, davacının sadece hattının takılı olduğu telefonda aktivasyon yapması gibi bir zorunluluğu olmadığını, zorunlu olan bir güvenlik önlemi olmadığını, bu önlem ile birlikte, davacı hatsız bir cihazda aktivasyon yapmak istediğinde bankacılık üzerinden işlem yapamıyor olacağını, ... dışında alternatif olarak müvekkil bankanın aldığı çeşitli güvenlik önlemleri olduğunu, (Bilgilendirme smsleri, cihaz aktivasyon gösterimi, giriş saat ve gün kısıtları, alıcı hesap kısıtları vb.) parola ve SMS şifre bilgisinin sorumluluğunun davacıya ait olduğunu, alınan diğer önlemlerin (...,...) davacı tarafından onaylanacağını, davacı yan, bu bilgileri çaldırsa dahi gerekli bilgilendirmelerin telefonuna gönderildiğini hükme esas alınan ek raporda, müvekkil bankanın ... (SIM kart) kontrolü yapmadığını, ... (sesli yanıt) doğrulaması kullanmadığı gibi farazi varsayımlarla bankaya kusur izafe edildiğini, müvekkil bankanın, BDDK'nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik hükümlerine uygun olarak iki bileşenli kimlik doğrulama sistemini (parola ve SMS şifresi) eksiksiz olarak işlettiğini"dava konusu işlemlerin davacının şifreleri girmek suretiyle gerçekleştirilip gerçekleştirilmediği hususunun açıklığa kavuşturulmadığı" ve "davalı bankanın internet bankacılığı/bankacılık sistemi ile ilgili alınabilecek tüm önleyici tedbirleri alıp almadığı, yazılımda herhangi bir güvenlik açığı bulunup bulunmadığı" hususlarının eksiksiz tespiti için dosyanın yeni bir bilirkişi heyetine tevdii gerekmesine rağmen mahkemece eksik incelemeye dayalı rapora istinaden hüküm verildiğini ileri sürerek kararın kaldırılmasına davanın reddine karar verilmesini talep etmiştir.

GEREKÇE:Dava, davacının davalı bankada bulunan mevduat hesabından rızası dışında yapılan EFT nedeniyle oluşan borçtan davacının davalıya borçlu olmadığının tespiti istemine ilişkindir.Bankalar, kendilerine yatırılan paraları mudilere istendiğinde veya belli bir vadede ayni veya misli olarak iade etmekle yükümlüdür. Bu tanımlamaya göre mevduat, ödünç ile usulsüz tevdi sözleşmelerinin niteliklerini taşıyan kendine özgü bir sözleşmedir. TBK'nın 386. maddesi uyarınca, ödünç alan akdin sonunda ödünç verilen parayı eğer kararlaştırılmışsa faizi ile iadeye mecburdur. TBK'nın 570. maddesi uyarınca usulsüz tevdide paranın nefi ve hasarı mutlak şekilde saklayana geçtiği için saklayan bu parayı kendi yararına kullanabilir. Usulsüz işlemle çekilen paralar aslında doğrudan doğruya bankanın zararı niteliğinde olup, mevduat sahibinin bankaya karşı alacağı aynen devam etmektedir. Usulsüz işlemlerin gerçekleşmesinde, ispatlandığı takdirde mevduat sahibinin kusurundan söz edilebilir ve banka bu kusur oranı üzerinden hesap sahibinin alacağından mahsup talebinde bulunabilir. Hesap sahibinin zararın meydana gelmesinde kusuru bulunduğunu ispat yükü davalı bankadadır. (Yargıtay 11. HD'nin 2016/8635Esas, 2018/179Karar sayılı,10/01/2018 tarihli ilamı).Mobil bankacılık sistemini kurup hizmete sunan banka, mudinin kastı, kötüniyeti ve suç sayılır eylemini kanıtlayamadığı sürece kendisine emanet edilen paradan güven kuruluşu vasfı nedeniyle sorumludur. Bu sorumluluk, olağan sebep sorumluluğu mahiyetinde olmakla, banka gerekli özeni göstermiş olsa bile zararın gerçekleşeceğini ispat etmesi halinde, sorumluluktan kurtulabilir. İnternet bankacılığını müşterilerine özendiren bankaların, mevduatı koruma özel yükümlülüğü gereğince; sistemde işlem yapanın gerçek müşteri olup olmadığını belirleme yönünde, gelişen dolandırıcılık yöntemlerine karşı, bunları önleyici gerekli altyapıyı sağlayarak güvenlik önlemlerini almak zorundadır. İnternet bankacılığı ile yapılan işlemlerde şubede yapılan işlemler gibi mevduat, bankanın kontrol ve sorumluluğundadır.15.03.2020 tarihi ve 31069 sayılı RG’de yayımlanan “Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik”in “İşlemlerin Takibi” başlıklı 36. maddesinde; Banka, elektronik bankacılık hizmetleri kapsamında gerçekleşen olağan dışı, sahtekârlık amaçlı veya dolandırıcılık riski bulunan işlemleri tespit etmeye ve bunları önlemeye yönelik işlem takip mekanizmaları kurar. İşlem takip mekanizması kapsamında uygun olan durumlarda asgari olarak aşağıdaki risk unsurları takip edilir: a) Finansal sonuç doğuran işlemlere yönelik bilinen dolandırıcılık yöntemleri, b)Gerçekleştirilen her bir bankacılık işleminin tutarı ve bu tutarlara göre müşterinin konum bilgisi de kullanılarak normal dışı bir ödeme, fon transferi ya da davranış deseni gösterip göstermediği, c) Kaybolmuş, çalınmış ya da yetkisiz kişilerce ele geçirilmiş kimlik doğrulama unsurlarının listesi, ç) Her bir kimlik doğrulama oturumuna yönelik olarak zararlı yazılımların bulaşmış olabileceğini gösteren belirtiler. (2) Banka, riskli işlemleri filtreleyerek değerlendirir ve bu filtrelere takılan müşterileri daha yakından takip eder. Riskli işlemlerin gerçekleştirildiğinin tespit edilmesi halinde banka, telefon ya da kısa mesaj gibi uygun yöntemlerle müşterilerin en kısa sürede uyarılmasını sağlar." şeklindedir.Mahkemece hükme esas alınan ek bilirkişi raporunda; "21.03.2023 tarihinde iki ayrı kanaldan mobil bankacılık sistemine giriş yapıldığını, saat 17.06 da açılan oturumun "... ..." olarak kayıtlara geçtiği, sosyal mühendislik yöntemiyle davacıdan ele geçirilen tek kullanımlık şifre ile mobil bankacılık sisteminin ilk kez aktive edildiğini doğruladığını, saat 17.06-17:15 arası dokuz dakikalık sürede yoğun bir keşif aktivitesi saptandığını, "tüm hesaplar" sorgusu 9 kez, hesap hareketleri sorgusunun dört kez tekrar edildiği,saat 17.15 de EFT yapılıp 17.21 e kadar yeniden hesap sorgulamaları yapıldığı, log kayıtlarında işlemi gerçekleştiren cihaza ilişkin marka, model, işletim sistemi, ...numarası, root veya jailbreak durumu ve cihaz kimliği gibi tanımlayıcı bilgilerin bulunmadığı, davalı banka tarafından dört kez SMS gönderildiği, ilk iki mesajın ... şifreleriyle ilgili olduğu ve üçüncü mesaj ... bankacılık uygulamasına yeni bir aktivasyon girişi yapıldığını bildiren güvenlik uyarısı olduğu, bu mesajda işlem müşteriye ait değil ise bankanın... güvenlik şubesinin aranması gerektiğinin bildirildiği, dördüncü mesajın EFT gönderimi bildirimi olduğu, bankanın ... mesajları sonucunda SMS üzerinden bilgilendirme yaptığı, ancak bu bildirimler pasif nitelikte olup ancak kullanıcının kendi insiyatifiyle harekete geçmesini gerektiren tek yönlü uyarılardan ibaret olduğunu, aktivasyon arkasından yüksek tutarlı işlemlerde aktif doğrulama mekanizması işletilmediği, mobil bankacılık aktivasyonunun davacının bankada kayıtlı telefon numarasına ait sim kartın takılı olmadığı farklı bir cihazdan gerçekleştirildiği, log kayıtlarında aktivasyonu yapan cihazın ... İP adresli ... mobil hattı üzerinden bağlandığı, davacının bankada kayıtlı hattı ise ... hattı olduğu, ... kontrolü yapılsaydı aktivasyon yapan cihaz ile müşterinin kayıtlı hattının farklı olduğunun anlaşılacağı ve bu durumun ... mekanizmasını tetikleyeceği, olayda davacı şirket yetkilisinin tek kullanımlık şifreyi paylaşarak olaya zemin hazırladığı, bankaların BE-BS Yönetmeliğinin 36 madde çerçevesinde olağandışı ve riskli işlemleri tespite yarar takip mekanizmaları kurması gerektiği, SMS bildiriminin bu yükümlülüğün yerine getirildiği anlamına gelmediği, somut olayda mevcut müşteri adına yeni mobil aktivasyonu yapılmasının hemen ardından daha evvel işlem yapılmamış bir alıcıya yüksek miktarda para transferi yapılmasının sosyal mühendislik temelli riskli işlem zinciri olarak değerlendirildiği, bu riskli işlemin izlendiğine dair kayıt bulunmadığı, pasif nitelikte SMS gönderilmesinin yönetmelikte ki aktif izleme ve önleme yükümlülüğünü karşılamadığı, davacının bankanın hiç bir zaman müşterisinden şifre istemeyeceği kuralını gözardı eden davacının olaya zemin hazırladığı, davalının ise mobil bankacılık aktivasyonu farklı bir hattan yapıldığı ... kontrolü yapılsaydı operatör uyumsuzluğunun tespit edilebileceği, daha önce para transferi yapılmamış kişiye yüksek miktarda gönderim yapıldığı halde SMS uyarısı yapılmadığı,yüksek riskli işlemler için ... doğrulamasının devreye alınması gerektiği,bu halde davacının hattı dolandırıcı ile meşgul olduğundan işlemin ... araması yapıldığında hat meşgul sinyali alınarak işlemin bloke edilebileceği, ... metninde ".. uygulamasında geçerlidir "ibaresi kullanılmış olup bu ifade mobil bankacılık aktivasyonu değil olağan bir oturum açma işlemini çağrıştırdığını, müşterinin yeterli bilgilendirilmesini engellediğini, yönetmeliğin 34.7 maddesi mobil bankacılık uygulamalarını aktifleştirmiş müşterilerin güvenilir cihazlardan yapılan işlemlerde SMS ile ... gönderilmesi gerekmediği, ancak yönetmeliğin 39.4 maddesinde tek bileşenli kimlik doğrulamasının daha önce tanımlanmış güvenli alıcılar listesine yapılan transferlerde yeterli kabul edildiğini düzenlediğini, alıcı ...'a daha evvel hiç bir transfer yapılmamış olması güvenli alıcı listesinde olmadığını gösterdiğini, yönetmeliğin 36.1-a maddesi finansal sonuç doğuran işlemlere yönelik bilinen dolandırıcılık yöntemlerinin banka tarafından takip edilmesini zorunlu kıldığını yüksek önem derecesinde beş kritik kusur nedeniyle davalı bankanın kusur oranının %75, davacı şirketin %25 oranda kabul edilebileceği yolunda rapor sunulmuştur.Geliştirilen dolandırıcılık yöntemlerine karşı mevduatın korunması yükümlülüğü davalı bankaya aittir. Davalının sistemde işlem yapanın gerçek müşteri olmadığını tespit edememesi davalının kusurunu teşkil etmektedir. Davacının kişisel kullanımında olan cep telefonunu ve şifreleri korumakta özen yükümlülüğü olağan önlemlerden ibaret olup davacının şifreleri verdiği, bu suretle sisteme girilmesini sağladığı belirlenmekte ise de, mobil aktivasyonun davacının kayıtlı hattı ve cihazı dışında başka bir cihazdan ve hattan yapıldığı halde ek güvenlik önlemleri kullanılmadığı farklı bir cihazdan ve hattan yapılan aktivasyondan hemen sonra yüksek miktarda güvenli alıcı listesinde olmayan birine yüksek miktarda EFT işleminde davalı bankanın daha kusurlu olduğunun kabulünde isabetsizlik bulunmamıştır. Davacı mudinin limitini aşan yüksek düzeyde teknoloji ve siber güvenlik önlemleri alamayacağı gözönünde bulundurulmalıdır.Açıklanan nedenlerle; davacı şirketin olağan güvenlik önlemlerini gözardı ettiği sisteme girilmesine zemin hazırladığı ancak, takiben yapılan işlemlerde dolandırılık örüntüsü gözüktüğü,bankaca yüksek riskli işlemin tesbit edilmesinin teknik olarak mümkün olduğu hüküm için yeterli bilirkişi raporunda bilimsel olarak açıklandığı ,davalı bankanın aktif olarak takip ve önleme önlemleri almadığı belirlenmekle somut olaya uygun şekilde belirlenen kusur oranına göre davalı bankanın sorumlu tutulmasında isabetsizlik görülmemiş davalı vekilinin istinaf başvurusunun esastan reddine karar verilmiştir.

HÜKÜM:Yukarıda açıklanan nedenlerle:Davalı vekilinin istinaf başvurusunun HMK'nın 353(1)b-1 maddesi uyarınca ESASTAN REDDİNE,Alınması gereken 5.123,25-TL istinaf karar harcından peşin yatırılan 1.281-TL harcın mahsubu ile kalan 3.842,25-TL harcın davalıdan alınarak Hazine'ye gelir kaydına,Davalı tarafından yapılan giderlerin kendisi üzerinde bırakılmasına, davacı tarafından yapılan 60-TL istinaf yargı giderinin davalıdan alınarak davacıya verilmesine,Dosya üzerinde yapılan inceleme sonunda HMK'nın 362(1)-a maddesi uyarınca kesin olmak üzere oy birliği ile karar verildi.15/10/2026