Şirket hesabından yurt dışına yapılan yüksek tutarlı döviz transferleri, yıllardır aynı yolla, yani şirket yetkilisinin e-posta adresinden bankaya gönderilen talimatlarla yürütülüyorsa ve bir gün bu e-posta hesabı dolandırıcıların eline geçerse, ortaya çıkan zarar kimde kalır? Bankanın sahte talimatları fark etmesi mi beklenir, yoksa e-posta güvenliği tamamen hesap sahibinin sorumluluk alanında mıdır?
Yargıtay 11. Hukuk Dairesi, 24.12.2025 tarihli ve E.2025/2503, K.2025/7768 sayılı kararıyla, ele geçirilen kurumsal e-posta adreslerinden gönderilen sahte talimatlarla yapılan 13 SWIFT transferi nedeniyle bankadan yaklaşık 10,67 milyon euro tazminat isteyen şirketin davasını reddeden Bölge Adliye Mahkemesi kararını duruşmalı inceleme sonunda oy birliğiyle onamıştır. Derece mahkemelerine göre bankaya hafif kusur dahi yüklenemez; hesap sahibi şirketin e-posta güvenliğindeki ağır ihmali, illiyet bağını kesecek ağırlıktadır.
📨 Üç ayda 13 transfer: olayın akışı
Kararda aktarılan olgulara göre davacı, tıbbi malzeme ve ilaç pazarlama ve dağıtımı alanında faaliyet gösteren bir şirkettir. Şirket, 19.01.2012 tarihinde davalı bankayla bankacılık hizmet sözleşmeleri imzalamış ve ihracat bedellerinin tedarikçilere ödenmesi amacıyla bir mevduat hesabı açtırmıştır. Taraflar arasında yerleşen işleyiş şöyledir:
- Şirket yetkilisi veya çalışanının e-posta adresinden bankaya transfer talebi gönderilir; e-postanın ekinde yazılı ve imzalı talimat ile lehtara ilişkin fatura bulunur.
- Banka personeli imza, fatura ve tutar uyumunu kontrol eder; işlem, bankanın yaptırımlar biriminin incelemesinden geçer.
- Transfer gerçekleşince oluşan SWIFT mesajı ve dönemsel hesap ekstreleri şirketin aynı kurumsal e-posta adreslerine gönderilir.
Şirket, bir havale için hesapta yeterli bakiye bulunmaması üzerine yaptığı araştırmada, 16.08.2017–10.11.2017 tarihleri arasında bilgisi ve onayı olmadan 13 ayrı işlemle toplam 11.231.683,28 euro aktarıldığını öğrenmiştir. Bu transferlerden birine konu para, üçüncü kişiler tarafından çekilmeden el konularak kurtarılmış; şirket kalan 10.672.991,28 euro için bankaya karşı tazminat davası açmıştır.
Bankanın teftiş kurulu raporunda, transfer yazışmalarının önce başlık (header) bilgileri değiştirilmemiş gerçek e-postalarla başladığı, belirli bir noktadan sonra yazışma zincirinin devamı gibi görünen, ancak başlık bilgileri değiştirilmiş e-postalarla sürdürüldüğü tespit edilmiştir. Olayla ilgili olarak havaleleri alan kişiler hakkında ağır ceza mahkemesinde dolandırıcılık suçundan kamu davası açıldığı, banka mensuplarından yargılanan bulunmadığı da kararda yer almaktadır.
⚖️ Şirket ne istedi, banka nasıl savundu?
Davacı şirket, 10.672.991,28 euronun 18.12.2017 temerrüt tarihinden itibaren aynı döviz cinsi üzerinden işleyecek en yüksek ticari temerrüt faiziyle tahsilini talep etmiştir. Şirketin başlıca iddiaları şunlardır:
- Talimatların ve eklerinin basit bir incelemeyle bile sahte olduklarının anlaşılabileceği,
- Çok kısa sürede, çok yüksek bedelli 13 havalenin bankanın şüphesini çekmesi gerektiği,
- Önceki yıllarda ödemelerin yalnızca hesap açılışında bildirilen 7 tedarikçiye yapıldığı, bankanın açık teyit almadan ödeme yapmaması gerektiği.
Davalı banka ise e-postayla talimat verilmesinin şirketin kendi tercihi olduğunu, her transferde yerleşik prosedürün aynen uygulandığını, 13 işleme ait SWIFT mesajlarının ve aynı dönemde üç ayrı hesap ekstresinin şirketin e-posta adreslerine gönderildiğini savunmuştur. Bankaya göre şirket, yaklaşık üç ay boyunca bu bildirimleri kontrol etmemiş; aynı dönemde aynı yolla yapılan iki transfere ise hiç itiraz etmemiştir. Banka ayrıca her işlem için müşteriden ayrıca teyit alma zorunluluğu bulunmadığını ileri sürmüştür.
🏛️ İlk derece ve istinaf kararlarının dayanakları
İlk derece mahkemesi, 04.03.2022 tarihli bilirkişi raporunu esas alarak davayı reddetmiştir. Gerekçenin öne çıkan noktaları şunlardır:
- 7 tedarikçi sınırlaması ispatlanamadı: Taraflar arasında transferleri 7 firma ile sınırlayan bir sözleşme hükmü veya açık talimat bulunmadığı, havaleler arasındaki şirket bağlantılarının bankaca bilinmesinin beklenemeyeceği kabul edilmiştir.
- Aynı prosedür, aynı kanal: Toplam 64 havalenin yalnızca 13’üne itiraz edildiği, itirazlı işlemlerde de itirazsız işlemlerdeki prosedürün uygulandığı belirlenmiştir.
- Sızıntı bankanın alanında değil: E-posta hesapları, bankanın korumakla yükümlü olduğu bir alana müdahaleyle değil, şirketin kendi sunucusuna yetkisiz erişimle ele geçirilmiştir.
- Basiretli tacir yükümlülüğü: Şirketin yaklaşık üç ay boyunca kendi e-posta hesabı üzerinden bankayla sahte yazışmalar yürütüldüğünü fark etmemesi, yüksek tutarlı transferler için kolayca ele geçirilebilecek e-posta kanalını kendi iradesiyle tercih etmesi ağır ihmal olarak değerlendirilmiştir.
- Makul süre: Banka, itirazlı havaleleri en geç bir gün içinde SWIFT mesajlarıyla bildirmiş; paralar alıcılar tarafından bir süre sonra çekilmiştir. Mahkemeye göre şirket e-postalarını veya hesaplarını kontrol etseydi paralara çekilmeden el konulabilecekti.
Bölge Adliye Mahkemesi 12. Hukuk Dairesi (2022/1728 E., 2025/311 K.) de istinaf başvurusunu esastan reddetmiştir. İstinaf gerekçesinde özellikle şu tespitler yer almaktadır: Sahte talimatlardaki imzalarla itirazsız talimatlardaki imzalar arasında çıplak gözle ayırt edilebilecek bir fark bulunmamaktadır; talimatlar aynı e-posta adreslerinden gelmiştir ve aynı dönemde gerçek talimatlar da bulunduğundan hangisinin sahte olduğunun anlaşılması mümkün değildir. Bu nedenle alıcıların farklı firmalar olması veya işlem sıklığı gibi hususların bankanın dikkatini çekmemesi banka kusuru olarak değerlendirilmemiş; bankaya hafif kusur dahi yüklenemeyeceği, e-posta adreslerinin dolandırıcılık faillerince ele geçirilmesinin bankanın özen sorumluluğundaki illiyet bağını kesecek ağırlıkta olduğu sonucuna varılmıştır.
🔎 Yargıtay’ın onama kararı
Davacı vekilinin duruşmalı temyiz istemi üzerine Yargıtay 11. Hukuk Dairesi 23.12.2025 günü tarafların vekillerini dinlemiş, kararı ertesi gün vermiştir. Daire uyuşmazlığı, “davacının e-posta hesapları ele geçirilerek verilen para transfer talimatları ile davalı banka nezdindeki hesabından üçüncü kişi ve şirketlerin hesaplarına yapılan SWIFT işlemleri sonucunda uğranılan zararın davalı bankadan tahsili istemi” olarak nitelendirmiştir.
Daire, ilk derece mahkemesi kararında bir isabetsizlik olmadığı ve istinaf başvurusunun HMK m.353/1-b(1) uyarınca esastan reddinin usul ve yasaya uygun olduğu gerekçesiyle Bölge Adliye Mahkemesi kararını HMK m.370/1 uyarınca oy birliğiyle ve kesin olarak onamıştır. Davacı aleyhine 40.000,00 TL duruşma vekâlet ücretine de hükmedilmiştir.
🧭 Bankanın özen yükümlülüğü ve illiyet bağının kesilmesi
Bankaların müşterilerinin hesaplarını korurken yüksek bir özen göstermesi gerektiği, Yargıtay uygulamasında yerleşik bir ilkedir. Bu kararı ilginç kılan, söz konusu ilkenin reddedilmemesi, ancak somut olayda zarara yol açan asıl sebebin hesap sahibinin kendi alanında doğmuş olmasıdır. Kararın mantığı şu adımlarla özetlenebilir:
- Kanalı seçen taraf: Yüksek tutarlı döviz transferlerinin e-postayla talimat üzerinden yürütülmesi, bankanın telkiniyle değil, şirketin kendi tercihiyle yerleşmiştir.
- Ayırt edilemezlik: Sahte talimatlar aynı adreslerden, aynı biçimde, imzası çıplak gözle ayırt edilemeyen belgelerle gelmiştir. Banka, aynı dönemde gelen gerçek ve sahte talimatları birbirinden ayıracak bir işarete sahip değildir.
- Bildirimlerin muhatabı: Banka, her transferden sonra SWIFT mesajını ve hesap ekstrelerini göndermiş; ancak bu bildirimler de ele geçirilmiş adreslere ulaştığı için şirket tarafından görülmemiştir.
- Sonuç: Derece mahkemeleri, bankanın özenle hareket ettiğini, zararın doğumunda belirleyici olanın şirketin e-posta güvenliğindeki ağır ihmal olduğunu kabul etmiştir. Bu nedenle bankaya kısmi sorumluluk (müterafik kusur üzerinden paylaştırma) dahi yüklenmemiştir.
Kararda doğrudan madde numarası anılmamakla birlikte, zarar görenin zararın doğmasında veya artmasında etkili olduğu hâllerde hâkime tazminatı indirme ya da tamamen kaldırma yetkisi veren kural TBK m.52’de yer almaktadır. Tacirin ticaretine ait bütün faaliyetlerinde basiretli bir iş adamı gibi hareket etmesi gerektiği ise TTK m.18/2’de düzenlenmiştir. Derece mahkemelerinin “basiretli tacir” vurgusu bu ölçüte dayanmaktadır.
🧩 Sahte imzalı talimat davalarından farkı
Bankanın sahte talimatla yaptığı ödemelerden sorumluluğu serinin önceki yazılarında farklı açılardan ele alınmıştır. Sahte imzalı havale talimatına ilişkin kararda tartışma, bankanın imza incelemesinde gösterdiği özen üzerinde yoğunlaşıyordu. İnternet bankacılığı dolandırıcılığına ilişkin HGK kararında ise bankanın kendi sistemine ilişkin güvenlik yükümlülükleri öne çıkmaktaydı.
Bu kararda ise durum farklıdır:
- Sahtecilik, bankanın imza kontrolüyle yakalayabileceği bir belge düzeyinde değil, müşterinin iletişim kanalının tamamen ele geçirilmesi düzeyindedir.
- Saldırı, bankanın sistemine değil, müşterinin kendi sunucusu ve e-posta hesaplarına yönelmiştir.
- Müşteri bir tüketici değil, basiretli davranma yükümlülüğü bulunan bir tacirdir.
- Aynı dönemde gerçek talimatlar da aynı kanaldan gelmeye devam etmiş, bu da sahte olanların seçilmesini imkânsız hâle getirmiştir.
Bu nedenle karar, “bankaya gelen her sahte talimatta banka sorumludur” şeklinde genellenemeyeceği gibi, “e-posta hesabı ele geçirilen müşteri her durumda zararına katlanır” şeklinde de okunmamalıdır. Sonucu belirleyen, somut olaydaki ayırt edilemezlik, iletişim kanalının seçimi, bildirimlerin gönderildiği adres ve hesap sahibinin tacir sıfatıdır. Bu olgulardan biri farklı olduğunda, örneğin talimatlarda çıplak gözle fark edilebilecek bir tutarsızlık bulunduğunda veya banka kendi sisteminde bir güvenlik açığına yol açtığında değerlendirme de değişebilir.
Detaylı bilgi ve hukuki destek için Savun Hukuk & Danışmanlık ile iletişime geçebilirsiniz. İletişim bilgileri iletişim sayfasında, serideki diğer kararlar ise Emsal Kararlar bölümünde yer almaktadır.
❓ Merak edilenler
Bu kararda banka neden hiç sorumlu tutulmadı?
Derece mahkemeleri, sahte talimatların şirketin gerçek e-posta adreslerinden, gerçek talimatlarla ayırt edilemeyecek biçimde ve çıplak gözle fark edilemeyen imzalarla geldiğini kabul etmiştir. E-posta hesaplarının şirketin kendi sunucusu üzerinden ele geçirilmesi ve şirketin yaklaşık üç ay boyunca durumu fark etmemesi, bankanın özen sorumluluğundaki illiyet bağını kesecek ağırlıkta görülmüştür. Yargıtay 11. Hukuk Dairesi bu değerlendirmeyi onamıştır.
Kısa sürede yapılan yüksek tutarlı transferler bankanın dikkatini çekmeli değil miydi?
Davacı bu yönde görüş bildirmiştir. İstinaf mahkemesi ise aynı dönemde aynı e-posta adresinden gerçek transfer talimatlarının da geldiğini, bu nedenle alıcıların farklı olması veya işlem sıklığı gibi hususların bankanın dikkatini çekmemesinin kusur sayılamayacağını belirtmiştir. Transferleri 7 tedarikçiyle sınırlayan bir sözleşme hükmü veya açık talimat da ispatlanamamıştır.
Paraları alanlar hakkındaki ceza davası hukuk davasını bekletti mi?
Hayır. İlk derece mahkemesi, ceza davasında banka mensuplarından yargılanan bulunmadığını, şüphelilerin havaleleri alan kişiler olduğunu ve hukuk davasının bankanın kusuruna dayandığını belirterek ceza dosyasını bekletici mesele yapmamıştır. Ceza dosyasındaki iddianame ise e-posta şifrelerinin ele geçirildiğine ilişkin tespitleriyle istinaf gerekçesinde değerlendirilmiştir.
Karar bireysel müşteriler için de aynı sonucu doğurur mu?
Karar, yüksek tutarlı transferlerini kendi tercihiyle e-posta talimatıyla yürüten ve basiretli tacir gibi davranma yükümlülüğü bulunan bir şirkete ilişkindir. Tüketici konumundaki bireysel müşterilerin, özellikle bankanın kendi dijital kanallarında yaşanan dolandırıcılık olaylarında, farklı ölçütlerle değerlendirildiği kararlar da bulunmaktadır. Her olay; iletişim kanalı, talimatların ayırt edilebilirliği ve tarafların kusur durumuna göre ayrıca incelenir.
Bu yazıda yer alan bilgiler genel bilgilendirme amacı taşır; karar özeti Yargıtay 11. Hukuk Dairesinin yayımlanmış, oy birliğiyle verilmiş onama kararından ve kararda aktarılan derece mahkemesi gerekçelerinden derlenmiştir. Kararda anılmayan kanun maddeleri yalnızca genel çerçeveyi açıklamak amacıyla yazıya eklenmiştir. Her uyuşmazlık kendi olgu ve delil durumuna göre değerlendirilir. Yazı kullanılarak yapılan başvuru ve işlemlerden Savun Hukuk sorumlu tutulamaz.
