SIM Kart Değişikliği Nedeniyle Banka Sorumluluğu (Telefon Mobil Bankacılık Dolandırıcılığı): Yargıtay Kararları Işığında Değerlendirme
1. Giriş
Bankacılık işlemlerinde mobil bankacılık ve SMS doğrulama kodları temel kimlik doğrulama araçlarından biri hâline gelmiştir. Bu sistemde SIM kart değişikliği (SIM swap) nedeniyle müşterinin cep telefonu hattının kontrolünün üçüncü kişilere geçmesi, özellikle mobil bankacılık şifrelerinin ele geçirilmesi, hesap boşaltılması gibi ağır zararlara yol açmaktadır.
Bu çalışmada, SIM kart değişikliğine bağlı banka sorumluluğu, Yargıtay’ın yerleşik içtihatları çerçevesinde incelenecek ve sorumluluğun hukuki dayanakları değerlendirilecektir.
2. Hukuki Çerçeve
2.1. Bankanın Özen Borcu
6098 sayılı Türk Borçlar Kanunu m. 506 ve devamı uyarınca bankalar bir “uzman tacir” olarak üst düzey özen borcu altındadır.
Bankacılık Kanunu m. 4 ve m. 38 uyarınca bankalar, müşteri bilgilerinin korunması ve güvenliğin sağlanması konusunda azami dikkat göstermekle yükümlüdür.
2.2. Güvenli Kimlik Doğrulama Yükümlülüğü
Elektronik bankacılık işlemlerinde bankanın sorumluluğu; kimlik doğrulama, şifre güvenliği, şüpheli işlem alarm sistemleri ve SIM kart değişikliği uyarı sistemi yönlerinden değerlendirilir.
Bankaların, SIM kart değişikliğini fark ettiklerinde müşteriyi uyarma, şüpheli oturumları engelleme ve ek doğrulama adımları isteme yükümlülüğü bulunmaktadır.
3. SIM Kart Değişikliği Dolandırıcılığı (SIM Swap Fraud)
SIM kart değişikliği dolandırıcılığı; üçüncü kişilerin GSM operatörüne sahte belgelerle başvurarak, mağdurun hattını kendi üzerlerine almaları ve SMS doğrulama kodlarına erişmeleriyle gerçekleşir.
Bu yöntemle:
Mobil bankacılık şifresi sıfırlanabilir,
Hesaplara giriş yapılabilir,
EFT/havale ile hesap boşaltılabilir.
Dolayısıyla hem GSM operatörünün hem de bankanın güvenlik mekanizmalarının incelenmesi gereklidir.
4. Yargıtay’ın SIM Kart Değişikliği Konusundaki Yaklaşımı
Yargıtay, son yıllarda verdiği birçok kararda SIM kart değişikliğine bağlı hesap boşaltma olaylarında bankaların kusurlu olduğuna hükmetmiştir. İçtihatlar incelendiğinde bazı temel ilkeler ortaya çıkmaktadır.
4.1. Yargıtay’a Göre Banka “En Üst Düzey Özen” Borcu Altındadır
Yargıtay daireleri, SIM kart değişikliği gibi olağanüstü risklerde bankanın, basit özen değil, üstün özen (profesyonel özen) göstermek zorunda olduğunu vurgular.
Kararlarda öne çıkan noktalar:
Banka yüksek güvenlikli kimlik doğrulama sistemleri kurmalıdır.
SIM kart değişikliği bankaya bildirilmese bile, bankanın bu değişikliği tespit edecek teknik altyapısı bulunmalıdır.
Kısa sürede yapılan olağandışı transferleri algılayıp müşteriyi uyarmalıdır.
4.2. SIM Kart Değişikliği Bankaya Ait Sistemlerce Fark Edilebilecek Bir Risk Olarak Kabul Edilmektedir
Yargıtay’ın birçok kararında şu prensip tekrar edilmiştir:
“SIM kart değişikliği yapılması banka için öngörülebilir bir risktir.”
Bu nedenle banka, SIM kart değişikliğinden sonra yapılan şüpheli işlemleri engellemek zorundadır.
Örnek ilkeler:
Müşterinin bağış, ticari işlem, fatura ödeme geçmişi bulunmazken kısa sürede yüksek meblağlı EFT yapılması şüpheli işlemdir.
Banka, SIM değişikliğinden sonra geçici bloke koymalı veya ek doğrulama istemelidir.
Şifre sıfırlama talebi, SIM değişikliğinden hemen sonra yapılıyorsa, bankanın alarm sistemi çalışmalıdır.
4.3. Yargıtay’a Göre Zararın Kusur Oranı Gerekmedikçe Müşteriye Yüklenemez
Yargıtay kararlarında, müşteri tarafından ağır bir ihmal olmadıkça, sorumluluğun bankaya ait olacağı belirtilmiştir.
Müşterinin kusurlu sayılmadığı durumlar:
Kimlik bilgileri üçüncü kişilerce yasa dışı yollarla elde edilmişse,
Müşteri hiçbir şifresini kimseyle paylaşmamışsa,
Hattın kendisinden habersiz şekilde üçüncü kişiye geçirildiği ispatlanmışsa.
Bu hâllerde Yargıtay bankanın kusur oranını genellikle yüksek kabul etmektedir.
4.4. Yargıtay’ın Sonuçları
Yargıtay genel olarak şu sonuca ulaşmaktadır:
SIM kart değişikliği sonrası yapılan usulsüz işlemler bankanın güvenlik açığından kaynaklanıyorsa banka sorumludur.
Bankanın müşteriyi bilgilendirmemesi sorumluluğu artırır.
Müşterinin ağır ihmali yoksa zararın tamamı banka tarafından karşılanır.
5. Bankanın Sorumluluğunun Belirlenmesinde Dikkate Alınan Kriterler
5.1. Bilgilendirme yükümlülüğü yerine getirildi mi?
SIM kart değişikliği sonrası SMS, arama veya e-posta ile müşteriye uyarı yapılması gerekir.
5.2. Şüpheli işlem analizi yapıldı mı?
Alışılmadık transfer tutarları, fatura ödeme geçmişinden farklı işlemler, kısa sürede çoklu şifre denemeleri vb. durumlar kontrol edilmelidir.
5.3. Çok faktörlü kimlik doğrulama uygulandı mı?
Ek doğrulama adımları sunulmamışsa, banka kusurlu kabul edilir.
5.4. Banka gerekli teknik altyapıyı kurmuş mu?
SIM swap tespit sistemi bankacılık sektöründe artık standart olarak kabul edilmektedir.
6. Uygulamada Hak Arama Süreci
6.1. İtiraz ve başvuru yolları
Bankaya yazılı başvuru
Müşteri şikayet birimi
Türkiye Bankalar Birliği Bireysel Müşteri Hakem Heyeti
Tüketici Mahkemesi veya Asliye Ticaret Mahkemesi (duruma göre)
6.2. Deliller
Telefon hattı değişim kayıtları
Mobil bankacılık giriş logları
SMS gönderim/sıfırlama kodu kayıtları
Banka işlem dökümleri
Uzman bilirkişi raporu
7. Sonuç
Yargıtay’ın son yıllardaki kararları, SIM kart değişikliği nedeniyle yapılan usulsüz bankacılık işlemlerinde bankanın sorumluluğunu genişleten bir yönde gelişmiştir.
Yargıtay’ın yaklaşımı özetle:
SIM kart değişikliği öngörülebilir bir risktir.
Banka, yüksek güvenlik standartlarını sağlamak zorundadır.
Müşterinin ağır kusuru yoksa zarar banka tarafından karşılanır.
Bu içtihatlar, hem bankaların teknik altyapılarını güçlendirmeleri hem de tüketicilerin korunması açısından büyük önem taşımaktadır.
Örnek karar: Yargıtay 11. Hukuk Dairesi 2020/5620 E. – 2022/2858 K. Kararı
⚖️ Karar Özeti
Somut olayda, banka müşterisine ait SIM kartın “sahte kimlik kullanılarak kopyalanması” yoluyla ele geçirildiği; ardından internet bankacılığı kullanıcı kodu / şifre bilgileri girilerek ve değiştirilen SIM karta gelen tek kullanımlık onay-şifresi ile banka hesabından usulsüz para transferi ve zarar doğduğu tespit edilmiştir.
Mahkeme (Yargıtay), bankanın sadece kullanıcının şifresine değil, SIM kart ve hat güvenliğine bağlı riskleri öngörmesi; SMS doğrulama gibi yöntemlerin tek başına yeterli olmaması gerçeğini dikkate alması gerektiğini belirtmiştir. Bu bağlamda banka “özen borcunu” yerine getirmemiş sayılmıştır.
Bununla birlikte, zarar yalnızca banka kaynaklı değil: SIM kart değişikliğini yapan GSM operatörü/ bayi gibi üçüncü kişiler de kusurlu bulunmuş; bu üçüncü tarafın kusurunun bankadan daha ağır olduğu belirtilerek sorumluluk paylaşımı yapılmıştır.
Yargıtay, bu nedenle davalı üçüncü tarafın (örneğin GSM operatörü veya bayi) % 75 oranında kusurlu olduğu sonucuna varmıştır. Bankanın ise tali kusurlu görülmüştür; eşit sorumluluk yüklemesi isabetli görülmemiştir.
Karar, bankaların hat sahibinin hattı üzerinden SMS ile gönderilen onay kodu sistemini kullanırken — SIM değişikliği, hat devri gibi olağanüstü riskleri gözeterek — gerekli tedbirleri almak, şüpheli işlemleri analiz etmek ve kurum içi “dolandırıcılık/ risk izleme sistemi” kurmak zorunda olduklarını net biçimde ortaya koymaktadır.
