Dijital Dolandırıcılık ve IBAN Kiralama Tehlikesi

1. BÖLÜM: IBAN KULLANDIRANLARIN VE HESAP SAHİPLERİNİN CEZA SORUMLULUĞU

Dijitalleşen finans dünyasında IBAN numarası, bir bireyin finansal kimliğinin dijital mührü niteliğindedir. Yargıtay’ın son dönemdeki istikrarlı içtihatları, bu mührün "güven" veya "ihmal" neticesinde üçüncü kişilere teslim edilmesini, ağır ceza mahkemelerinde TCK m.158/1-f (Bilişim Sistemlerinin Araç Olarak Kullanılması Suretiyle Nitelikli Dolandırıcılık) suçunun doğrudan veya dolaylı bir parçası olarak değerlendirmektedir.

1.1. "Bilmiyordum" Savunması ve "Hayatın Olağan Akışı" İlkesi

Dolandırıcılık dosyalarında sanıkların en sık başvurduğu savunma; banka kartının kaybolduğu, çalındığı veya şifresinin bir şekilde başkaları tarafından öğrenildiğidir. Ancak Yargıtay, bu savunmaları "soyut bir iddia" olmaktan çıkarıp teknik verilerle test etmektedir.

Yargıtay 2. Ceza Dairesi'nin E. 2022/10796, K. 2025/3904,  04.03.2025 tarihli kararı, bu konudaki ispat standartlarını en üst seviyeye taşımıştır. Karara konu olayda; bir mağdur banka personeli olduğunu iddia eden kişilerce aranmış, SMS şifreleri ele geçirilmiş ve parası sanığın hesabına aktarılmıştır. Sanık, "Kartımı kaybetmiştim, şifresi de üzerine yazılıydı, hesabımda zaten 50 TL vardı, bu yüzden iptal ettirmedim" savunmasını yapmıştır.

Yargıtay bu durumda mahkemelere şu "maddi gerçeklik" denetimini yapma talimatı vermiştir:

• HTS ve Baz İstasyonu Analizi: Sanığın suç tarihinde ve paranın ATM’den çekildiği anda nerede olduğunun, kullandığı telefonun hangi baz istasyonundan sinyal verdiğinin tespiti zorunludur.
• IP Numarası Takibi: İnternet bankacılığına giriş yapılan cihazın IP adresinin sanıkla veya suç ortağı olabilecek kişilerle bağlantısı araştırılmalıdır.
• ATM Kamera Görüntüleri: Parayı çeken kişi sanık değilse bile, o kişinin sanıkla olan illiyet bağı (tanışıklık, akrabalık vb.) "kuşkuya yer bırakmayacak şekilde" aydınlatılmalıdır.

1.2. Sosyal Medya "Havale" Tuzakları ve Şans Oyunları Bağlantısı

Günümüzde dolandırıcılar, ele geçirdikleri sosyal medya hesapları üzerinden "Hesabıma para gelecek, senin IBAN'ını verebilir misin?" diyerek masum kullanıcıları suçun "para toplama" aşamasına dahil etmektedir.

Yargıtay 8. Ceza Dairesi'nin E. 2024/152, K. 2024/7551, 09.10.2024 tarihli güncel kararı, bu zincirleme eylemin hukuki sonucunu netleştirmiştir. Facebook üzerinden bir arkadaşının ricasıyla kart bilgilerini paylaşan mağdurların altın hesapları bozdurulmuş ve paralar sanığın Nesine (Elektronik Şans Oyunları) üyelik hesabına aktarılmıştır. Sanık her ne kadar "kartımı arkadaşıma verdim" dese de, Yargıtay; paranın sanığın şahsi üyelik hesabına gelmesi ve bu hesabın sanığın kontrolünde olması nedeniyle eylemi Nitelikli Dolandırıcılık kapsamında görmüştür. Kararda, banka kartının arkadaşa verilmiş olmasının, paranın sanığın şans oyunu hesabına aktarılması gerçeğini ortadan kaldırmadığı vurgulanmıştır.

1.3. E-Ticaret Dolandırıcılığı ve "Askerlik Arkadaşı" Savunması

İkinci el satış siteleri (Sahibinden, Gittigidiyor vb.) üzerinden yapılan sahte ilanlarda, paranın aktarıldığı IBAN sahipleri genellikle "kartımı askerdeki arkadaşıma/koğuş arkadaşıma verdim" savunmasına sığınmaktadır.

Yargıtay 11. Ceza Dairesi'nin E. 2021/19977, K. 2025/5788, T. 12.05.2025 ve E. 2021/30184, K. 2024/2238, T. 27.02.2024 tarihli kararları bu savunmaların doğruluğunun nasıl denetlenmesi gerektiğini belirlemiştir:

• Hesap Hareketlerinin Zamanlaması: Paranın sanığın hesabına yatmasından sadece 5 dakika sonra ATM'den çekilmesi, suçun profesyonel bir organizasyon olduğunu gösterir. Sanığın "parayı şubeden çektim" deyip paranın ATM'den çekildiğinin saptanması savunmayı çürütmektedir.
• Tanık Beyanları ve Şube Kayıtları: Eğer sanık kartını bir arkadaşına verdiğini iddia ediyorsa, Yargıtay bu arkadaşın tanık olarak dinlenmesini, sanığın o tarihte gerçekten askerde olup olmadığının ve ilgili banka şubesinde işlem yapıp yapmadığının araştırılmasını bozma nedeni saymaktadır.
• Hesap Açılış/Kapanış Tarihleri: Suçtan hemen önce açılan ve suçtan hemen sonra kapatılan hesaplar, dolandırıcılık kastının en güçlü delili olarak kabul edilmektedir.

1.4. Hukuki Sonuç: Fail mi, Yardım Eden mi?

Yargıtay uygulamalarında, IBAN'ını kullandıran kişi eğer suçun işleneceğini biliyor veya öngörüyor ise (olası kast), suçun asli faili olarak cezalandırılmaktadır. Eğer sadece ihmal veya ağır kusur söz konusu ise, eylem TCK m.39 uyarınca "Suça Yardım Etme" kapsamında değerlendirilerek cezada indirim yapılabilmektedir. Ancak her iki durumda da sanık, adli sicilinde "Nitelikli Dolandırıcılık" lekesiyle karşı karşıya kalmaktadır.

Özetle; Birine IBAN vermek, sadece bir numara paylaşmak değil; o kişinin işleyebileceği tüm finansal suçların sorumluluğuna ortak olmaktır. Yargı, "güvendim" veya "kartım kayboldu" şeklindeki soyut beyanları, HTS ve IP gibi somut dijital izlerle doğrulanmadığı sürece kabul etmemektedir.

2. BÖLÜM: İNTERNET BANKACILIĞI MAĞDURİYETLERİ VE BANKANIN SORUMLULUĞU

Dijital dolandırıcılık vakalarında hukuk sistemi sadece failin peşine düşmekle kalmaz; aynı zamanda "mevduatın güvenliği" ilkesi gereği bankanın sorumluluğunu da masaya yatırır. Türk hukukunda bankalar, birer "güven kurumu" olarak kabul edilir. Bu statü, bankaların sadece kendi sistemlerini korumasını değil, aynı zamanda müşterilerinin basiretli birer tacir gibi korunmasını da gerektirir.

2.1. Olağan Dışı İşlemlerin Takibi: Bankanın "Filtreleme" Yükümlülüğü

Güncel yargı kararlarında bankanın sorumluluğu, sadece şifrenin ele geçirilip geçirilmediğiyle sınırlı tutulmamaktadır. Yargıtay 11. Hukuk Dairesi'nin 02.10.2025 tarihli ve 2025/724 E. sayılı kararı, bu konuda bir "milat" niteliğindedir.

• Olayın Teknik Boyutu: Mağdur, telefonuna uzaktan erişim programı ([...]Support) indirerek ID şifresini dolandırıcılarla paylaşmıştır. Dolandırıcılar, mağdurun altın hesabından peş peşe 7 küçük işlem, ardından 129 gram ve 54 gramlık iki büyük altın satışı yapmış ve parayı 8 ayrı havale ile başka hesaplara aktarmıştır.
• Hukuki Dayanak (Yönetmelik m.36): Kararda, Bankacılık Bilgi Sistemleri ve Elektronik Banka Hizmetleri Hakkında Yönetmelik’in 36. maddesine atıf yapılmıştır. Bu maddeye göre bankalar; "olağan dışı, sahtekarlık amaçlı veya dolandırıcılık riski bulunan işlemleri tespit etmeye yönelik işlem takip mekanizmaları" kurmak zorundadır.
• Kusur Analizi: Yargıtay, müşteriyi şifresini paylaştığı için %60 oranında ağır ihmalli bulurken; bankayı, kısa sürede yapılan bu kadar çok ve yüksek tutarlı işlemi "şüpheli" olarak algılayıp bloke koymadığı için %40 oranında kusurlu bulmuştur. Yani banka, "müşteri şifresini verdi, benim suçum yok" diyerek sorumluluktan tamamen kurtulamamaktadır.

2.2. Bankanın Objektif Sorumluluğu ve İspat Külfeti

Yargıtay’ın yerleşik içtihadına göre, bankada açılan bir mevduat hesabı ile banka o paranın mülkiyetini kazanır ancak parayı iade etme yükümlülüğü altına girer. Dolayısıyla, usulsüz bir işlemle çekilen para aslında "müşterinin parası" değil, "bankanın parası"dır.

Yargıtay 11. Hukuk Dairesi'nin E. 2022/5883, K. 2023/2292 13.04.2023 tarihli kararı, bu ilkeyi şu şekilde detaylandırmaktadır:

• Mevduatın Korunması: Usulsüz işlemlerle çekilen paralar doğrudan doğruya bankanın zararıdır. Müşterinin bankaya karşı olan alacağı, usulsüz işlemle sona ermez.
• İspat Yükü Bankadadır: Eğer banka, müşterinin "müterafık kusuru" (ortak kusuru) olduğunu iddia ediyorsa, bunu somut delillerle ispatlamalıdır. Örneğin, müşterinin OTP (tek kullanımlık şifre) cihazını veya şifresini kasten veya ağır ihmal ile üçüncü kişilere verdiğini ispat külfeti bankanın üzerindedir.
• Sistem Güvenliği: Banka, kullanılan güvenlik cihazlarının (OTP vb.) bertaraf edilip edilemeyeceğini, sistemde bir açık olup olmadığını "adli bilişim uzmanı bilirkişiler" aracılığıyla kanıtlamak zorundadır. Sadece "bizim sistemimiz güvenli" demek yeterli bir savunma değildir.

2.3. E-Ticaret ve Havale Trafiğinde "Maddi Gerçek" Arayışı

Dolandırıcılık eylemi internet siteleri (Gittigidiyor, Sahibinden vb.) üzerinden yapıldığında, banka kayıtları adli makamlar için "en güçlü delil" haline gelir. Yargıtay 11. Ceza Dairesi'nin E. 2021/19977, K. 2025/5788, 12.05.2025 tarihli kararı, banka kayıtlarının nasıl incelenmesi gerektiğini madde madde sıralamıştır:

1. Hesap Açılış/Kapanış Zamanlaması: Suç konusu paranın yatırıldığı hesap ne zaman açılmış? Suçtan hemen sonra kapatılmış mı? (Bu, dolandırıcılık kastının en büyük göstergesidir.)
2. IP Adresi Takibi: Paranın transfer edildiği veya internet bankacılığına giriş yapıldığı andaki IP adresleri kime ait?
3. ATM Güvenlik Kameraları: Paranın çekildiği ATM’nin kamera görüntüleri, sanığın "kartımı arkadaşıma verdim" savunmasını çürütmek için hayati önemdedir.
4. Üyelik Bilgileri: İnternet sitesindeki sahte ilanı veren kişi ile paranın yattığı IBAN sahibinin dijital izleri (e-posta, telefon, IP) arasındaki örtüşme.

2.4. Sonuç: Banka ve Müşteri Arasındaki "Özen" Dengesi

Yargıtay kararlarının ortak paydası şudur: Dijital bankacılıkta kusur, "paylaşılan bir yükümlülüktür". Müşteri şifresini korumakla yükümlüdür; ancak banka da müşterisinin şifresini çaldırabileceği ihtimaline karşı "teknolojik bir koruma kalkanı" (yapay zeka tabanlı şüpheli işlem filtreleri) oluşturmak zorundadır.

Eğer banka;

• Ardışık işlemleri durdurmamışsa,
• Müşterinin alışılagelmiş işlem limitlerinin çok üzerine çıkılmasına izin vermişse,
• Veya sahte bankacı aramalarına karşı yeterli uyarı mekanizması kurmamışsa, oluşan zararın önemli bir kısmını (genellikle %40 ile %100 arasında değişen oranlarda) tazmin etmekle yükümlü kalacaktır.

3. BÖLÜM: SOSYAL MEDYA VE KİŞİSEL VERİLERİN KORUNMASI: DİJİTAL KİMLİK HAKKI

Yargıtay’ın son dönem kararları, sosyal medya üzerindeki her türlü "izinsiz" paylaşımın ağır hapis cezalarıyla sonuçlanabileceğini göstermektedir.

3.1. Sahte Hesap Açma ve TCK m.136 Ayrımı

Bir başkasının adı, soyadı ve fotoğraflarıyla sahte (fake) profil oluşturmak, dijital dünyada en sık karşılanan ihlallerden biridir. Ancak bu eylemin hangi suç kapsamına gireceği uzun süre tartışma konusu olmuştur.

Yargıtay 8. Ceza Dairesi’nin E. 2020/11243, K. 2023/118, 18.01.2023 tarihli kararı, bu konudaki kafa karışıklığını gidermiştir. Karara konu olayda; sanık, mağdurun fotoğraflarını kullanarak sahte bir Facebook hesabı açmış ve mağdurun arkadaşlarıyla cinsel içerikli yazışmalar yapmıştır. Yerel mahkeme bunu "Bilişim sistemindeki verileri bozma/değiştirme" (TCK m.244/2) olarak nitelendirse de, Yargıtay bu kararı bozmuştur.

• Hukuki Gerekçe: Mağdurun o platformda zaten bir hesabı yoksa, fail "var olan bir veriyi" değiştirmemiş, sıfırdan hukuka aykırı bir veri alanı oluşturmuştur. Bu nedenle eylem, TCK m.136 uyarınca "Kişisel Verileri Hukuka Aykırı Olarak Ele Geçirmek veya Yaymak" suçunu oluşturur. Bu suçun cezası ise 2 yıldan 4 yıla kadar hapis cezasıdır.

3.2. "Zaten Herkese Açıktı" Savunmasının Çöküşü

Birçok kullanıcı, "O kişi fotoğrafını zaten Instagram’da herkese açık paylaşmış, ben de alıp başka yerde paylaştım, suç değil" şeklinde yanlış bir algıya sahiptir. Yargıtay 12. Ceza Dairesi’nin E. 2022/3240, K. 2024/809, 26.02.2024 tarihli kararı, bu algıyı hukuken yerle bir etmiştir.

• Olay: Müşteki, metroda yaşadığı bir olayı Twitter hesabından paylaşmıştır. Şüpheli ise bu tweeti ve müştekinin profil fotoğraflarını alarak Ekşi Sözlük’te müşteki adına bir başlık açmış ve fotoğrafları orada izinsiz yayınlamıştır.
• Yargıtay Kararı: Kişinin verisini bir platformda kendi rızasıyla paylaşmış olması, bu verinin "anonim" hale geldiği veya herkes tarafından her yerde kullanılabileceği anlamına gelmez. Verinin, paylaşıldığı platformun dışına çıkarılarak başka bir mecrada (Ekşi Sözlük vb.) rızasız yayınlanması, kişisel verilerin korunması hakkının ihlalidir ve TCK 136 kapsamında cezalandırılmalıdır.

3.3. "Hesabım Çalındı" Savunması ve İspat Yükü

Suç teşkil eden paylaşımlar (hakaret, dolandırıcılık, veri yayma) yapan kişilerin en yaygın savunması "Hesabım hacklendi, ben yapmadım" şeklindedir. Ancak yargı artık bu savunmayı sadece beyan olarak kabul etmemektedir.

Yargıtay 16. Ceza Dairesi E. 2020/5022, K. 2020/4894, T. 24.09.2020 kararında bu tür durumlarda sanığın savunmasını şu kriterlerle test etmektedir:

• Adli Müracaat: Hesap çalındığı iddia edilen tarihte, sanığın bilişim yoluyla dolandırıcılık veya hesabın ele geçirilmesine ilişkin savcılığa veya emniyete bir başvurusu var mı?
• HTS ve IP Kayıtları: Suç teşkil eden paylaşımın yapıldığı andaki IP adresi ile sanığın kullandığı cihazların ve baz istasyonu (HTS) kayıtlarının uyumu nedir?
• Kullanıcı Alışkanlıkları: Hesabın künye bilgileri (okuduğu okul, memleketi, arkadaş listesi) sanıkla ne kadar örtüşüyor? Eğer sanık hesabının çalındığını iddia edip hiçbir hukuki girişimde bulunmamışsa, Yargıtay bu savunmayı "suçtan kurtulmaya yönelik" geçersiz bir beyan olarak kabul etmektedir.

3.4. Zincirleme Suçlar: Sisteme Girme ve Veri İhlali

Bazı durumlarda fail, sadece sahte hesap açmakla kalmaz; mağdurun mevcut hesaplarının şifresini kırarak içeri sızar. Yargıtay 12. Ceza Dairesi’nin E. 2013/11510, K. 2014/2982, T. 10.02.2014 kararı, bu durumu çok yönlü ele almıştır.

• Eğer bir kişinin e-posta şifresini kırıp içine girerseniz, bu "Bilişim Sistemine Girme" (TCK 243) suçunu oluşturur.
• Buradan aldığınız düğün fotoğraflarını veya telefon numaralarını sosyal medyada paylaşırsanız, ayrıca "Özel Hayatın Gizliliğini İhlal" (TCK 134) ve "Verileri Yayma" (TCK 136) suçlarından da sorumlu tutulursunuz.

Özetle; Sosyal medya üzerinden birinin fotoğrafını paylaşmak, adına başlık açmak veya "şaka" amaçlı sahte profil oluşturmak, Türk yargısı önünde ciddi birer ceza davası konusudur. Dijital dünyada "paylaş" butonuna basmadan önce, o verinin mülkiyetinin ve rızasının kime ait olduğunu düşünmek hukuki bir zorunluluktur.

ÖZET VE HAYATİ ÖNERİLER

Dijital çağda hukuk, sadece fiziksel eylemlerimizi değil, dijital ayak izlerimizi de en ince ayrıntısına kadar takip etmektedir. Güncel Yargıtay kararları ışığında şu üç temel kuralı unutmamalısınız:

1. IBAN’ınız Sizin Dijital Kimliğinizdir: Birine IBAN numaranızı veya banka kartınızı vermek, o kişinin işleyebileceği tüm suçlara (dolandırıcılık, kara para aklama vb.) ortak olmak riskini taşır. Yargıtay, "yardım etmek için verdim" savunmasını HTS ve IP kayıtları ile doğrulanmadığı sürece kabul etmemektedir.
2. Banka Sizin Sadece Kasanız Değil, Koruyucunuzdur: Dolandırılmış olsanız ve şifrenizi kaptırsanız dahi, bankanın "olağan dışı" işlemleri durdurma yükümlülüğü vardır. Zararınızın bir kısmını (örneğin %40) bankadan talep etme hakkınız saklıdır.
3. Dijital Mahremiyet Mutlaktır: Birinin fotoğrafının internette "herkese açık" olması, onu alıp başka bir yerde paylaşma hakkı vermez. Bu eylem sizi 2 yıldan 4 yıla kadar hapis cezası ile karşı karşıya bırakabilir.

SIKÇA SORULAN SORULAR (SSS)

1. Arkadaşımın ricasıyla IBAN’ımı ona kullandırdım, gelen para dolandırıcılık parasıymış. Suçlu sayılır mıyım? Evet, sayılma ihtimaliniz çok yüksektir. Yargıtay, banka hesabının başkasına kullandırılmasını hayatın olağan akışına aykırı bulur. Eğer para sizin hesabınıza gelmişse ve siz bunu çekip başkasına vermişseniz, "Nitelikli Dolandırıcılık" suçundan sanık olarak yargılanırsınız.

2. Banka şifremi dolandırıcılara kendi elimle verdim. Yine de bankadan paramı isteyebilir miyim? Evet, kısmen isteyebilirsiniz. Yargıtay 11. Hukuk Dairesi, şifresini veren müşteriyi "ağır ihmalli" bulsa da, bankanın peş peşe yapılan şüpheli işlemleri (örneğin 8 ayrı havale) durdurmamasını kusur saymakta ve zararın bir kısmının (genellikle %40) banka tarafından ödenmesine karar vermektedir.

3. "Hesabım hacklendi, o paylaşımı ben yapmadım" demek beni kurtarır mı? Sadece bu beyan yeterli değildir. Yargıtay; suç duyurusunda bulunup bulunmadığınıza, paylaşım anındaki IP adresinize ve HTS (baz istasyonu) kayıtlarınıza bakar. Eğer bu veriler sizinle eşleşiyorsa, savunmanız geçersiz sayılır.

4. Birinin fotoğrafını Instagram’dan alıp Ekşi Sözlük veya başka bir sitede paylaşmak suç mu? Kesinlikle suçtur. Fotoğraf o platformda kamuya açık olsa bile, kişinin rızası dışında başka bir platforma taşınması "Kişisel Verileri Hukuka Aykırı Yayma" (TCK 136) suçunu oluşturur.

5. Sahte (Fake) hesap açıp bir başkasıymış gibi davranmanın cezası nedir? Başkasına ait isim ve fotoğraflarla hesap açmak TCK m.136 kapsamında değerlendirilir ve 2 yıldan 4 yıla kadar hapis cezası öngörülür. Eğer bu hesap üzerinden birileriyle yazışıp mağduru zor durumda bırakırsanız ceza daha da ağırlaşabilir.

6. Banka, hesabındaki parayı koruyamayan müşterisine karşı neden sorumlu tutuluyor? Çünkü bankalar "güven kurumu"dur. Mevduat bankaya yatırıldığı anda mülkiyeti bankaya geçer; banka o parayı her türlü siber saldırıya ve olağan dışı işleme karşı korumakla "objektif" olarak sorumludur.

7. Dolandırıcılar telefonuma uzaktan erişim programı (AnyDesk, TeamViewer vb.) indirmemi sağladı. Bankanın burada suçu var mı? Eğer dolandırıcılar bu program vasıtasıyla hesabınızda sizin normal alışkanlıklarınızın dışında, kısa sürede çok sayıda işlem yapmışsa banka suçludur. Bankacılık Yönetmeliği m.36 uyarınca bankanın bu "olağan dışı" trafiği fark edip bloke koyması gerekirdi.

8. IBAN dolandırıcılığında "para 5 dakika sonra başka bir ATM'den çekilmiş" olması ne anlama gelir? Yargıtay için bu, suçun profesyonel bir organizasyon olduğunun ve sanığın savunmasının (örneğin "kartımı kaybetmiştim") hayatın olağan akışına aykırı olduğunun en güçlü delilidir.

9. İnternetten bir ürün aldım, para gönderdim ama ürün gelmedi. Ne yapmalıyım? Derhal savcılığa suç duyurusunda bulunmalı ve paranın yattığı IBAN sahibinin bilgilerini sunmalısınız. Bu eylem "Bilişim Sistemlerinin Araç Olarak Kullanılması Suretiyle Dolandırıcılık" suçuna girer ve ağır cezası vardır.

10. Banka, şüpheli işlemleri takip etmek zorunda mı? Bunun yasal bir dayanağı var mı? Evet, zorunda. "Bankacılık Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik"in 36. maddesi, bankalara dolandırıcılık riskini önleyici takip mekanizmaları kurma yükümlülüğü getirmiştir. Kurmayan banka tazminat öder