Bir mudinin vadeli, döviz ve altın hesapları tek bir gün içinde, birkaç saat arayla internet bankacılığı üzerinden bozdurulur; adına kredi çekilir ve tüm para üç EFT ile bir şirket hesabına gönderilir. Banka, işlemlerin müşteri numarası, şifre ve kayıtlı telefona gelen tek kullanımlık SMS şifreleriyle, yani 3D Secure benzeri iki aşamalı doğrulamayla yapıldığını savunur. İlk derece mahkemesi kusurun %80’ini müşteriye, bölge adliye mahkemesi ise tamamını bankaya yükler. Yargıtay Hukuk Genel Kurulu ise sonuçtan önce yönteme bakar: kusur oranı bilirkişi raporu dışına çıkılarak, yeni bir rapor alınmadan değiştirilemez.
Karar Arama sayfasında “kredi kartı 3D Secure” araması yapan okuyucular bu karara, bankanın “işlemler 3D Secure ve SMS şifreleriyle yapıldı” savunmasının hukuk davasında nasıl değerlendirildiğini gösterdiği için ulaşmaktadır. Yargıtay Hukuk Genel Kurulu, 13.05.2026 tarihli ve E.2025/279, K.2026/321 sayılı kararıyla bölge adliye mahkemesinin direnme kararını oy birliğiyle ve kesin olarak bozmuştur.
🏦 Bir günde boşaltılan hesaplar ve rızasız kredi
Davacı vekilinin anlatımına göre davacı, hesabını internet bankacılığına açtırmamıştır. 16.03.2018 tarihinde saat 10:22 ile 14:52 arasında, bilinmeyen kişiler internet bankacılığı üzerinden davacının vadeli dolar, vadeli TL, vadesiz TL, ek hesap ve altın hesaplarındaki varlıkları Türk Lirası’na çevirerek vadesiz hesaba aktarmış, davacı adına kredi çekmiş ve bu paraları üç ayrı EFT ile bir teknoloji şirketinin hesabına göndermiştir.
Davacı olaydan 29.03.2018 tarihinde tesadüfen haberdar olduğunu, ertesi gün suç duyurusunda bulunduğunu, yaklaşık 148.885,30 TL değerindeki varlığını kaybettiğini ve rızası dışında çekilen kredi ile bağlı hayat sigortası nedeniyle bankaya 59.071,12 TL borçlandırıldığını ileri sürmüştür. Davada 25.097,27 USD’nin, TL hesaplarındaki 28.640,10 TL’nin, ek hesaptan alınan 801,37 TL’nin ve 130 gram altının iadesi ile kredi ve sigorta borcundan dolayı borçlu olmadığının tespiti istenmiştir.
🔐 Bankanın savunması: şifreler, SMS ve IVN onayı
Davalı banka; işlemlerin yalnızca müşterinin bilebileceği bilgiler ve “3D Secure” şifreleriyle yapılabileceğini, girişin müşteri numarası, şifre ve kayıtlı telefona gönderilen tek kullanımlık SMS şifresiyle (SMS OTP) yapıldığını savunmuştur. Bankaya göre SMS’lerde şifrenin banka personeli dâhil kimseyle paylaşılmaması gerektiği açıkça yazılıydı; şifre değişikliği talebi ve SIM kart değişikliği kaydı yoktu; para transferleri güvenlik kontrolüne takılmış, müşterinin kayıtlı numarasına interaktif sesli mesaj (IVN) araması yapılmış ve işlemler teyit edilmişti.
Bilirkişi raporlarına yansıyan teknik tablo ise şöyledir: işlemler davacının bankacılık bilgileri ve SMS ile gönderilen tek kullanımlık şifrelerle yapılmış, bu bilgilerin nasıl elde edildiği tespit edilememiştir; işlemlerin yapıldığı IP adresi davacıya değil üçüncü bir kişiye aittir; operatör SMS’lerin hatta ulaştığını bildirmiştir; IVN aramalarına ait ses kaydı yoktur ve onay, kimlik doğrulanmadan tuşlama yöntemiyle alınmıştır; kullanılan kredi için ayrıca onay alındığına dair bilgi bulunmamaktadır.
⚖️ %80-%20’den %100’e: mahkemelerin kararları
- İlk derece (03.11.2020): Zarar 184.731,72 TL olarak belirlenmiştir. Bankanın işlemleri yüksek riskli görerek ilave teyit önlemlerine başvurmadığı ve IVN onayının ispatlanamadığı gerekçesiyle banka %20, şifre ve güvenlik bilgilerini koruyamayan davacı %80 kusurlu bulunmuş; dava kısmen kabul edilmiştir.
- İstinaf (29.09.2022): Ankara Bölge Adliye Mahkemesi 21. Hukuk Dairesi; bankaların güven kurumu olduğunu ve en hafif kusurlarından sorumlu tutulduklarını, IP adresinin davacıyla ilgisinin gösterilemediğini, davacının şifreleri paylaştığına dair delil bulunmadığını, SMS’lerin telefonda görünmemesinin zararlı bir yazılımdan kaynaklanabileceğini ve IVN ses kayıtlarının sunulmadığını belirterek kusurun tamamını bankaya yüklemiş, davayı tümüyle kabul etmiştir.
- Özel Daire bozması (26.06.2024): Yargıtay 11. Hukuk Dairesi (E.2023/2669, K.2024/5234); raporlar eksik veya hatalı görülüyorsa yeni bir heyetten rapor alınması gerektiğini, yeni delil girmeden mevcut raporların ve müterafik kusura dayalı ilk derece kararının aksine karar verilemeyeceğini belirterek kararı bozmuştur.
- Direnme: Bölge adliye mahkemesi, bankanın davacıya yüklenebilecek bir kusuru ispatlayamadığını, bu nedenle müterafik kusur incelemesine gerek olmadığını belirterek önceki kararında direnmiştir.
- HGK (13.05.2026): Direnme kararı oy birliğiyle ve kesin olarak bozulmuştur.
🧩 HGK: bankanın ve müşterinin yükümlülükleri
HGK önce internet bankacılığında tarafların yükümlülüklerini ortaya koymuştur. Kararın bu bölümü, benzer davalarda kullanılabilecek genel ilkeleri içerir:
- Bankanın yükümlülüğü: İnternet bankacılığı hizmetini bankalar sunduğuna göre sistemin güvenliğine ilişkin tüm tedbirleri almak ve sistem eksikliklerini gidermek bankaya düşer. Tebliğ’in 26/2. maddesi bankanın sıra dışı ve şüpheli işlemleri tespit için takip mekanizmaları kurmasını, 27/4. maddesi ise müşterinin “bildiği” ve “sahip olduğu” gibi birbirinden bağımsız en az iki bileşenli kimlik doğrulamayı öngörür. HGK’ya göre bunlar asgari standarttır; bankalar hâlin icabına göre daha üst düzey önlemler alabilir.
- Usulsüz çekilen paranın niteliği: Bankalar mevduatı aynen veya misli ile iade etmekle yükümlü olduğundan usulsüz işlemle çekilen paralar doğrudan bankanın zararıdır; mevduat sahibinin bankaya karşı alacağı devam eder.
- Müşterinin yükümlülüğü: Müşteri de kullanıcı adı, şifre ve diğer bilgilerinin üçüncü kişilerin eline geçmesini önleyecek tedbirleri almak ve cihazlarına başkalarının ulaşmaması için azami özeni göstermekle yükümlüdür; bu yükümlülük ihlal edilirse sonucuna kusuru oranında katlanır.
- İspat yükü: Müşterinin kusuru TBK 52 uyarınca müterafik kusur olarak değerlendirilebilir. Banka, TBK 112 gereğince sözleşmeden doğan yükümlülüğü yerine getirememesinde kusursuz olduğunu ve ayrıca müşterinin müterafik kusurunu ispatla yükümlüdür. Mevduat sahibinin el ve işbirliği veya kusuru ispatlanırsa, bu kusura isabet eden kısım iade edilmez.
HGK, aynı ilkelerin 17.09.2025 tarihli ve 2025/525 sayılı kararında da vurgulandığını belirtmiştir. O karar için internet bankacılığı dolandırıcılığında banka sorumluluğu – Yargıtay HGK 2025/525 yazısına; yetkisiz hatta gönderilen SMS ile kredi kullandırılması için yetkisiz hatta SMS ile kredi – İstanbul BAM 13. HD 2026/1167 yazısına bakılabilir.
🔍 Kusur oranı ve bilirkişi raporu
Uyuşmazlığın düğüm noktası, kusurun kimde olduğu değil, kusurun nasıl belirleneceğidir. HGK’nın değerlendirmesi şöyle özetlenebilir:
- HMK 266’ya göre çözümü hukuk dışında özel veya teknik bilgi gerektiren hâllerde bilirkişiye başvurulur. İnternet bankacılığı işlemlerinin nasıl gerçekleştiği, şifrelerin nasıl ele geçirildiği ve bankanın güvenlik süreçlerinin yeterliliği bu niteliktedir.
- HMK 282’ye göre hâkim bilirkişi görüşünü diğer delillerle birlikte serbestçe değerlendirir; ancak bu takdir, hâkimin teknik konularda kendi yorumuyla hüküm kurabileceği anlamına gelmez.
- Rapor eksik, belirsiz veya çelişkiliyse HMK 281/2 uyarınca ek rapor alınır ya da HMK 281/3 uyarınca yeni bilirkişi heyetiyle tekrar inceleme yaptırılır. 6754 sayılı Bilirkişilik Kanunu’nun 3. maddesi de bilirkişinin hukuki nitelendirme yapamayacağını ve aynı konuda bir kez rapor alınmasının esas olduğunu düzenler.
- Bölge adliye mahkemesi, mevcut raporları yeterli görmemişse yeni bir bilirkişi heyetinden rapor almalıydı. Yeni rapor alınmadan resen yeni bir kusur değerlendirmesiyle hüküm kurulması hem hatalıdır hem de tarafların rapora itiraz hakkını ortadan kaldırır.
Dosyadaki raporlar da tutarlı bir tablo sunmamaktadır: birinci ek raporda davacının %20, bankanın %80 kusurlu olduğu belirtilmiş; üçüncü ek raporda kusur takdirinin mahkemeye ait olduğu ifade edilmiş; dördüncü ek rapor ise ilk derece mahkemesinin davacı %80, banka %20 yönündeki kanaatine göre düzenlenmiştir. HGK sonucunda bölge adliye mahkemesinin, yeni bir rapor alarak olayın gerçekleşmesinde ve zararın doğmasında hangi tarafın kusurlu olduğunu veya kusurun paylaştırılıp paylaştırılamayacağını belirlemesi gerektiğine karar vermiştir. Dosya HMK 373/2 uyarınca bölge adliye mahkemesine gönderilmiştir. HMK 373/7’ye göre HGK’nın kararına uymak zorunludur.
Karar bankanın veya müşterinin kusur oranını belirlemiş değildir; yalnızca bu oranın hangi usulle belirlenmesi gerektiğini göstermektedir. Nihai sonuç, alınacak yeni bilirkişi raporuna ve bölge adliye mahkemesinin değerlendirmesine bağlıdır.
🆕 Mevzuat notu
HGK, olay tarihinde (2018) yürürlükte olan ve 14.09.2007 tarihli Resmî Gazete’de yayımlanan Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ’i uygulamıştır. Bankaların bilgi sistemleri ve elektronik bankacılık hizmetleri bugün, 15.03.2020 tarihli Resmî Gazete’de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik ile düzenlenmektedir. Daha yeni tarihli işlemlerde güncel düzenlemenin dikkate alınması gerekir.
🙋 Sorular ve cevaplar
Kredi kartı 3D Secure veya SMS şifresiyle yapılan işlemde banka sorumlu olur mu?
İnternet bankacılığı dolandırıcılığında ispat yükü kimdedir?
Mahkeme bilirkişi raporundaki kusur oranını değiştirebilir mi?
Rızam dışında çekilen kredi için borçlu olmadığımın tespiti istenebilir mi?
IVN (sesli yanıt) aramasıyla alınan onay yeterli midir?
Detaylı bilgi ve hukuki destek için Savun Hukuk & Danışmanlık ile iletişime geçebilirsiniz. İletişim bilgilerine iletişim sayfasından, diğer kararlara Emsal Kararlar arşivinden ulaşılabilir.
Bu yazı genel bilgilendirme amacı taşır; içerik, Yargıtay Hukuk Genel Kurulunun Yargıtay Karar Arama sisteminde yayımlanan kararından derlenmiştir. Tarafların kimliği kaynakta anonimdir. Kararda yer alan tarih ve tutarlar ilgili dosyaya özgüdür. Mevzuata ilişkin açıklamalar bilgi amacıyla eklenmiştir. Farklı olgulara sahip dosyalarda farklı sonuçlara ulaşılabilir. Yazı esas alınarak yapılan başvuru, dava ve savunmalardan Savun Hukuk sorumlu tutulamaz.
