Yargıtay İçtihatları Işığında Değerlendirmelerimiz: Hesabınızdaki Para Çalındıysa, Dolandırıldıysanız Banka Sorumlu mu?
Bir sabah uyandığınızda hesabınızda tek kuruş kalmamış olsun. Dolandırıcılar çoktan gitmiş, para uçmuş. Bankanız ise size şunu söylüyor: "Şifreniz başkasına geçmiş, sorumluluk size ait."Peki bu gerçekten doğru mu? Yargıtay 11. Hukuk Dairesi'nin 2026 yılına kadar yerleşik hâle gelen emsal kararları, bu soruya son derece net bir yanıt veriyor: Hayır. Kural olarak sorumluluk bankaya aittir.
Banka dolandırıcılığı davalarında mağdurların önündeki en büyük engel, bankaların standart savunma kalkanıdır: sözleşmedeki küçük punto sorumsuzluk maddeleri ve "şifreyi siz verdiniz" argümanı. Oysa Yargıtay, bu savunmayı defalarca yerle bir etmiştir. Bankalar, Türk hukukunda sıradan bir ticari işletme değil; toplumun güvenine dayalı, özel bir özen yükümlülüğü altındaki "güven kurumu" olarak tanımlanmaktadır. Bu ayrım, pratikte her şeyi değiştiriyor.
Yargıtay 11. HD'nin Temel Yaklaşımı: "Zarar Bankanındır"
Yargıtay 11. Hukuk Dairesi, bu alanda belki de en çarpıcı tespitini şu ilkeyle ortaya koymuştur: Hesabınızdan usulsüz yollarla çekilen para, hukuken bankanın zararıdır ; sizin değil.
Bu ilkenin hukuki temeli, 6098 sayılı Türk Borçlar Kanunu'nun 570. maddesinde düzenlenen usulsüz tevdihükmüdür. Bankaya yatırılan paranın mülkiyeti, o an itibarıyla bankaya geçer. Banka bu parayı kullanma, işletme ve başkasına kredi olarak verme hakkını elde eder; ama karşılığında mislen iade etme riskini de üstlenir. Daire, bu ilkeyi 28.10.2010 tarihli ve 2009/4962 E. sayılı kararından bu yana istikrarlı biçimde uygulamaktadır. Yani dolandırıcılar hesabınızı boşalttığında, teknik olarak bankanın kasasından çıkmış bir para söz konusudur. Banka size, "Paranı çaldırdın"diyemez; aksine, "Kendi paramı koruyamadım"sorumluluğunu üstlenmek zorundadır.
Hukuk Genel Kurulu da 21.11.2012 tarihinde bu ilkeyi teyit etmiş; mevduat sahibinin bankaya karşı alacağının usulsüz işlemlerden etkilenmeyeceğini, alacağın aynen devam ettiğini hükme bağlamıştır.
İspat Yükü Bankadadır: "Şifrenizi Siz Verdiniz" Yetmez
Banka dolandırıcılığı davalarının seyrini belirleyen en kritik nokta, ispat yükünün kime ait olduğudur. Yargıtay 11. HD, 16.12.2014 tarihli ve 2014/13736 E. sayılı kararında bunu tartışmasız netlikte ortaya koymuştur:
Müşterinin şifreyi kasten paylaştığını, kötü niyetle hareket ettiğini veya ağır ihmal gösterdiğini ispat etmek bankanın görevidir.
Bankanın soyut "şifre güvenliği müşteriye aittir" savunması, Yargıtay nezdinde hiçbir şekilde yeterli görülmemektedir. Banka, somut delillerle müşterinin kastını ya da suç teşkil eden eylemini kanıtlamak zorundadır. Kanıtlayamazsa sorumluluktan kurtulamaz. Bu, hukuki açıdan son derece anlamlı bir yük dağılımıdır; zira dijital ortamdaki dolandırıcılık yöntemleri o denli sofistike bir hal almıştır ki mağdurların büyük çoğunluğu neyin nasıl gerçekleştiğini bile anlayamadan saldırıya uğramaktadır.
Sözleşmedeki Sorumsuzluk Maddeleri Geçersizdir
"Ama sözleşmede imzanız var"argümanına gelelim. Bankaların müşteri sözleşmelerine serpiştirilmiş, çoğu zaman küçük puntolarla yazılmış şu tür maddeler hukuki geçerlilikten yoksundur:
"Şifre kullanımından doğan tüm sorumluluk müşteriye aittir."
6098 sayılı Türk Borçlar Kanunu'nun 115/3. maddesi, uzmanlık gerektiren hizmetlerde —bankacılık bu kapsama açıkça girmektedir— hizmet sağlayıcının hafif kusurdan dahi muaf tutulmasını öngören sözleşme hükümlerini kesin hükümsüz saymaktadır. Yani imzalamış olmanız fark etmez. O madde, kanun önünde yok hükmündedir.
Bu nokta, özellikle hukuki sürecin başında kaygıya kapılan mağdurlar için belirleyici bir rahatlama noktasıdır. "Sözleşmeyi okumadan imzaladım, mahkemede tutunamam" endişesi, bu içtihat sayesinde büyük ölçüde anlamsız kalmaktadır.
Teknolojik Güvenlik: Banka Ne Yapmak Zorundaydı?
Yargıtay 11. HD, 09.09.2019 tarihli ve 2018/3563 E. sayılı kararında bankacılık hizmetlerinde teknolojik güvenlik yükümlülüğünü açıkça çerçevelemiştir. Buna göre bankalar, internet bankacılığı ve mobil bankacılık hizmetlerini sunarken gelişen dolandırıcılık yöntemlerine karşı proaktif önleyici altyapı kurmak zorundadır. Bu yükümlülük şu somut mekanizmaları kapsar:
- İki bileşenli kimlik doğrulama (2FA): Kullanıcı adı ve şifrenin ötesinde ek doğrulama katmanı.
- Tek kullanımlık şifre (OTP): Her işlem için farklı, kısa ömürlü doğrulama kodu.
- Şüpheli işlem izleme (fraud monitoring): Müşterinin alışılagelmiş davranış profilinden sapan işlemlerin otomatik tespiti ve blokajı.
- SIM kart değişikliği takibi: Mobil operatörlerle entegrasyon yoluyla sahte kimlikle gerçekleştirilen SIM değişikliklerinin erken fark edilmesi.
Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'in 34, 36 ve 38. maddeleri bu mekanizmaların kurulmasını açıkça zorunlu kılmaktadır. Banka bu sistemleri kurmamış ya da işletmemişse, sistem aşıldığında sorumluluğu doğrudan üstlenmek durumundadır.
Yargıtay 11. HD, 28.10.2013 tarihli kararında bunu daha da ileri taşımıştır: Banka, zararlı işlemi engelleyecek teknolojik imkâna sahip olmasına rağmen bunu kullanmayıp güvenliği müşterinin takdirine bırakmışsa, bu durum başlı başına ağır kusur teşkil etmektedir.
SIM Kart Dolandırıcılığı: Yargıtay'ın Kritik Kararı
Son yıllarda özellikle yaygınlaşan bir dolandırıcılık yöntemi olan SIM kart değiştirme saldırıları —teknik adıyla SIM swapping— Yargıtay 11. HD'nin radarındaki en önemli konulardan biri hâline gelmiştir.
Senaryo şöyle işliyor: Dolandırıcı, sahte kimlikle GSM operatörüne başvuruyor; mağdurun hattını kendi SIM kartına aktarıyor. Artık banka OTP mesajları doğrudan dolandırıcının eline geçiyor. Hesap dakikalar içinde boşaltılıyor.
Yargıtay 11. HD, 25.02.2013 tarihli ve 2012/4002 E. sayılı kararında bu senaryoda bankanın sorumluluğunu net biçimde belirlemiştir: Bankanın, mobil operatörle entegrasyon sağlayarak SIM değişikliğini tespit etmesi ve bu değişikliğin ardından yapılan OTP doğrulamalarını geçersiz sayması gerekmektedir. Bunu yapmayan banka, güvenlik altyapısındaki bu boşluktan sorumludur.
Buradaki hukuki mantık son derece sağlamdır: Güvenlik zinciri, en zayıf halkası kadar güçlüdür. OTP sistemini kurmak yetmez; bu sistemi aşmaya yönelik bir kanalın varlığını bilmek ve kapatmak da bankanın görevidir.
Müterafik Kusur: Müşteri de Hatalıysa Ne Olur?
Her dava aynı değildir. Müşterinin de zararın oluşmasında payı olduğu durumlar mevcuttur ve Yargıtay bu gerçeği görmezden gelmez. Şifresini telefonda soran birine söyleyen, kimlik bilgilerini bir e-posta formuna giren ya da kendisine gelen sahte SMS'e tıklayan müşteri, belirli ölçüde kusurlu kabul edilebilir.
Yargıtay 11. HD, 26.09.2017 tarihli ve 2016/2153 E. sayılı kararında bu durumu müterafik kusur (birlikte kusur) ilkesiyle ele almıştır. Pratikte mahkemeler, somut olayın özelliklerine göre müşteri lehine %20 ile %50 arasında indirim oranı takdir edebilmektedir. Ancak kritik nokta şudur: Bankanın sistem güvenliğinde açık varsa, müşteri kusurlu olsa dahi banka sorumluluğu devam eder. İndirim yapılır ama banka yükümlülükten kaçamaz.
Bununla birlikte Yargıtay, bankanın sorumlu tutulmayacağı istisnai bir durumu da belirlemiştir: Müşterinin kendisini savcı ya da emniyet görevlisi olarak tanıtan kişilere inanarak bankadaki parasını bizzat çekip teslim etmesi. Bu hâlde banka sisteminde herhangi bir açık bulunmadığından, 03.11.2022 tarihli ve 2021/3824 E. sayılı kararda banka sorumluluğu reddedilmiştir. Zira bu senaryoda banka değil, müşteri işlemi bizzat gerçekleştirmiştir.
Bilirkişi İncelemesi: Davayı Kazandıran ya da Kaybettiren Unsur
Bu davalarda teknik bilirkişi raporu, çoğunlukla sonucu belirleyen en kritik unsurdur. Yargıtay 11. HD, 21.11.2011 tarihli kararında eksik bilirkişi incelemesini doğrudan bozma nedeni saymıştır.
Bilirkişi heyetinin raporunda yanıtlaması gereken temel sorular şunlardır:
- Banka, olayın yaşandığı tarihte BDDK düzenlemelerine uygun güvenlik altyapısını kurmuş muydu?
- Dolandırıcılık yöntemi (phishing, SIM swapping, Truva atı, keylogger) ne şekilde işledi?
- Bankanın proaktif izleme sistemleri bu işlemi tespit etmeli miydi?
- İşlem müşterinin alışılagelmiş davranış profiliyle uyuşuyor muydu? (Gece saati, farklı IP, olağandışı tutar)
Bu soruların yanıtları, hem kusurun kime ait olduğunu hem de müterafik kusur oranını somut biçimde ortaya koyar. Davayı soyut iddialar üzerine değil, teknik gerçekler üzerine inşa etmek; mahkeme nezdinde hem güvenilirlik hem de ikna ediciliği maksimuma taşır.
2026'da Öne Çıkan Güncel Gelişmeler
Yargısal süreçler durağan kalmıyor; dolandırıcılık yöntemleri evrildiğinde içtihatlar da buna ayak uydurmak zorunda kalıyor.
İsim-IBAN uyuşmazlığı: İstanbul Anadolu 9. Asliye Ticaret Mahkemesi'nin 19.11.2025 tarihli kararında, bankanın alıcı adı ile IBAN'ın uyuşmadığını kontrol etmeden yüksek tutarlı transferi gerçekleştirmesi, özen yükümlülüğünün açık bir ihlali olarak değerlendirilmiştir. Bu karar, özellikle kurumsal hesaplara yönelik Business Email Compromise—iş e-postası sahteciliği— saldırılarında kritik bir emsal oluşturmaktadır.
Yapay zeka destekli dolandırıcılık: Deepfake ses ve görüntü teknolojisiyle gerçekleştirilen kimlik taklidi vakalarında bankanın sorumluluk sınırı, henüz Yargıtay düzeyinde kesin bir içtihada kavuşmamıştır. Ancak var olan ilkeler çerçevesinde değerlendirildiğinde, bankanın bu tür gelişmiş saldırılara karşı savunma mekanizmaları geliştirme yükümlülüğünün devam edeceği öngörülmektedir.
Kripto varlık transferleri: Banka hesabından kripto borsalarına yapılan ani ve yüksek tutarlı transferlerde bankanın şüpheli işlem tespit yükümlülüğünün kapsamı da tartışmalı olmaya devam etmektedir.
Sıkça Sorulan Sorular
Banka dolandırıcılığına uğradım, bankaya dava açabilir miyim? Evet. Yargıtay 11. HD'nin yerleşik içtihatları, usulsüz işlemler nedeniyle uğranılan zararların bankadan talep edilebileceğini açıkça ortaya koymaktadır. Bankanın güvenlik sistemlerindeki eksiklik veya proaktif izleme yükümlülüğünü yerine getirmemesi dayanağınızı oluşturabilir.
Şifreyi kendim söylediysem dava açamaz mıyım? Açabilirsiniz. Müşterinin kısmen kusurlu olduğu durumlarda tam tazminat yerine indirimli tazminata hükmedilebilir; ancak bankanın güvenlik sisteminde açık varsa sorumluluktan tamamen kurtulamaz.
Bankadaki sözleşmede tüm sorumluluğun bende olduğu yazıyor. Bu geçerli mi? Hayır. TBK m. 115/3 uyarınca bankacılık gibi uzmanlık gerektiren hizmetlerde, hizmet sağlayıcıyı hafif kusurdan bile muaf tutan sözleşme hükümleri kesin olarak geçersizdir.
Dava açmak için ne kadar sürem var? Banka dolandırıcılığından kaynaklanan tazminat davalarında genel zamanaşımı süreleri uygulanır. Ancak her davanın koşulları farklıdır; kesin süre hesabı için hukuki danışmanlık almak kritik önem taşır.
Polise şikâyet yeterli mi, ayrıca bankaya karşı dava açmak gerekiyor mu? Ceza şikâyeti ve hukuk davası birbirinden bağımsız süreçlerdir. Ceza davası failin cezalandırılmasını hedefler; zararınızı geri almanın yolu ise bankaya karşı açılacak hukuk davasından geçer.
SIM kartım çalındı ve hesabım boşaltıldı. Banka sorumlu mu? Yargıtay 11. HD'nin yerleşik içtihadına göre evet. Banka, SIM kart değişikliklerini operatörlerle entegrasyon yoluyla takip etmek ve değişikliğin ardından yapılan OTP işlemlerine şüpheyle yaklaşmakla yükümlüdür.
Sonuç: Hakkınızı Aramaktan Çekinmeyin
"Dava uzun sürer, bankaya karşı kazanılmaz" önyargısı, mağdurların en büyük düşmanıdır. Oysa Yargıtay 11. Hukuk Dairesi'nin onlarca yıl içinde inşa ettiği bu içtihat mimarisi, tam da bu önyargıyı yıkmak için vardır.
Bankaların güven kurumu sıfatı boş bir söylem değildir. Arkasında somut hukuki yükümlülükler, kesin içtihatlar ve işleyen bir yargısal denetim mekanizması bulunmaktadır. Hesabınızdan para çalındığında bankanın ilk refleksi sizi suçlamak olabilir; ama hukuki gerçek çoğunlukla farklı bir tabloyu işaret eder.
Dolandırıcılık mağdurlarına verdiğim hukuki danışmanlık süreçlerinde sıklıkla şunu görüyorum: Mağdurlar haklarını bildiklerinde, bankaların tutumu da değişiyor. Bilgi, bu davalarda en güçlü kozdur.
Banka dolandırıcılığına uğradıysanız, ilk 24 saat içinde hem bankaya yazılı başvuru yapın hem de hukuki destek alın. Zamanlama kritiktir; bankanın parayı dondurma imkânı varken harekete geçmemesi, onun sorumluluğunu daha da pekiştirir.
Hakkını aramayana hak verilmez. Bu, hukuk dünyasında da geçerliliğini hiç yitirmeyen bir gerçektir.
Av. Ahmet Karaca | Banka Hukuku, Finans Hukuku ve Bilişim Hukuku
