Dolandırıcılık dosyalarında paranın izi çoğu zaman bir banka hesabında başlar. Peki hesap sahibinin rızası dışında yapılan havalelerde zarar kime aittir? Yargıtay Hukuk Genel Kurulu, 17.09.2025 tarihli ve E.2024/304, K.2025/525 sayılı kararında bu soruya bankanın ağırlaştırılmış sorumluluğu üzerinden cevap vermiş; müşterinin müterafik kusurunu ispat yükünün bankada olduğunu vurgulamıştır.
Kararın değeri yalnızca sonucunda değil, ispat yükünü nasıl dağıttığındadır: banka şüpheli işlemi kendisi tespit etmiş, müşteriyi aramış, ulaşamamış ve yine de işleme onay vermiştir.
📱 Dosyaya yansıyan olay
Karara göre mudinin davalı banka nezdinde vadeli TL ve döviz hesabı bulunmakta, internet bankacılığı da kullanılmaktadır. 11.07.2018 tarihinde mobil internet kanalıyla hesaplar kontrol edildiğinde bakiyenin bulunmadığı fark edilmiş; şube kayıtlarından paranın hiç tanınmayan iki ayrı şirkete mobil bankacılık yoluyla havale edildiği tespit edilmiştir.
Havale işlemleri, kullanıcı kodu, statik şifre ve bankanın sistemde kayıtlı telefona gönderdiği tek kullanımlık şifre ile gerçekleştirilmiştir. Ancak dosyada, mudinin cep telefonunun olay tarihinde başka bir numaraya yönlendirildiği ve SMS almasının engellendiği sabittir. Bilirkişiler, bu yönlendirmenin telefona yüklenen zararlı bir yazılım eliyle yapılmış olabileceğini belirtmiştir.
Dava, TL hesabı yönünden 5.000,00 TL ve döviz hesabı yönünden 1.000,00 USD ile açılmış, ıslahla 30.000,00 TL ve 8.883,02 USD’ye yükseltilmiştir.
⚖️ Derece mahkemeleri ve direnme süreci
Ankara 5. Tüketici Mahkemesi, bankanın işlemleri olağan dışı bulduğunu ve teyit almak istediğini, telefon yönlendirmesi nedeniyle teyit alınamamasına rağmen işleme izin verdiğini tespit ederek bankayı %80, mudiyi %20 kusurlu saymış ve davayı kısmen kabul etmiştir.
Ankara Bölge Adliye Mahkemesi 21. Hukuk Dairesi, davacı lehine istinaf başvurusunu kabul ederek davanın tümden kabulüne hükmetmiştir. Yargıtay 11. Hukuk Dairesi 14.03.2023 tarihli kararıyla, mudinin kişisel bilgilerini koruma konusunda özen göstermediği gerekçesiyle kararı bozmuş; Bölge Adliye Mahkemesi ise zararlı yazılım engelleyici program yüklemenin tüketiciler için yasal ya da sözleşmesel bir zorunluluk olmadığını belirterek direnmiştir.
Dosya böylece Hukuk Genel Kuruluna gelmiş; uyuşmazlık, mudinin kişisel bilgilerini ve telefonunu koruma konusunda gereken özeni gösterip göstermediği, dolayısıyla müterafik kusurunun bulunup bulunmadığı noktasında toplanmıştır.
🏦 Banka neden “güven kurumu” sayılıyor?
Kurul kararında bankaların özel yasa ile kurulan, kendilerine alanlarında imtiyazlar tanınan ve topladıkları mevduatı sahteciliklere karşı özenle korumak zorunda olan kuruluşlar olduğu belirtilmiştir. Bu nitelik, bankanın sorumluluğunun özel güven sebebiyle ağırlaştırılmasını gerektirir.
Karara göre bankalar ağırlaştırılmış sorumluluğun gereği olarak objektif özen yükümlülüğü altındadır ve hafif kusurlarından dahi sorumludur. 6098 sayılı TBK’nın 115/3 ve 116/3. maddeleri gereğince bankanın hafif kusurundan doğan sorumluluğunu kaldıran sözleşme hükümleri geçersizdir.
Kararda mevduat sözleşmesinin tüketim ödüncü ile usulsüz tevdi niteliklerini taşıyan kendine özgü bir sözleşme olduğu, bu nedenle bankadan usulsüz işlemle çekilen paraların doğrudan doğruya bankanın zararı niteliğinde olduğu ve mevduat sahibinin bankaya karşı alacağının aynen devam ettiği vurgulanmıştır.
🧩 Müterafik kusuru kim ispat eder?
Kararın uygulamadaki en belirleyici cümlesi ispat yüküne ilişkindir. Kurul, bankanın sözleşmeden doğan yükümlülüğünü yerine getirememesinde kusurlu olmadığını 6098 sayılı TBK’nın 112. maddesi gereğince ispat etmek durumunda olduğunu; ayrıca müşterisinin müterafik kusurunu da ispat etmekle yükümlü bulunduğunu belirtmiştir.
Mevduat sahibinin usulsüz işlemin gerçekleşmesinde el ve işbirliği veya kusuru ispatlanırsa 6098 sayılı TBK’nın 52. maddesi çerçevesinde müterafik kusurdan söz edilebilir ve bu kusura isabet eden kısım mudiye iade edilmez. İspat gerçekleşmediğinde ise indirim yapılamaz.
🔍 BDDK Tebliği’nin 26/2 ve 27. maddeleri
Kararda, Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ’in 26/2. maddesi uyarınca bankanın internet bankacılığı faaliyetleri kapsamında gerçekleşen sıra dışı ve şüpheli işlemleri tespit etmek için takip mekanizmaları kurmakla yükümlü olduğu aktarılmıştır. Aynı Tebliğ’in 27/4. maddesi, kimlik doğrulama mekanizmasının birbirinden bağımsız en az iki bileşenden oluşmasını öngörmektedir.
Kurula göre bu düzenlemeler asgari güvenlik standardını belirler; hâlin icabına göre bankaların bu standardın üzerine çıkarak elektronik imza, yüz tanıma, kimlik okutma gibi gelişmiş önlemleri almasının önünde bir engel yoktur.
Somut olayda banka sıra dışı işlemi tespit etmiş, müşteriye ulaşamamış ve yalnızca işlemlerin yapıldığına dair bilgi maili göndermekle yetinmiştir. Kararda, müşterinin cevap vermemesinin dahi olağan dışı sayılması ve güvenlik kontrol prosedürünün işletilerek işlemin durdurulması gerektiği belirtilmiştir.
📌 Kurulun vardığı sonuç
Kurul, mudinin telefonuna yüklenen zararlı bir yazılımın erişimi engellediği yönündeki kabulün dahi bilirkişilerce somut verilerle kesin olarak ortaya konulamadığını; dolayısıyla mudinin müterafik kusurunun banka tarafından ispat edilemediğini tespit etmiştir.
Bu nedenle Bölge Adliye Mahkemesinin direnme kararı usul ve yasaya uygun bulunmuş; diğer temyiz itirazlarının incelenmesi için dosyanın Yargıtay 11. Hukuk Dairesine gönderilmesine, 17.09.2025 tarihinde oy çokluğuyla karar verilmiştir. Karara, mudinin de ihmali bulunduğu ve %80-%20 kusur dağılımının esas alınması gerektiği yönünde karşı oy yazılmıştır.
Aynı çerçevenin uygulandığı bir başka dosya için serideki sahte imzalı havale talimatı kararı ile dolandırıcılıkla giden paranın blokesine ilişkin karar incelenebilir.
Bu karara konu türden bir uyuşmazlık hakkında detaylı bilgi ve hukuki destek için Savun Hukuk & Danışmanlık ile iletişime geçebilirsiniz. Serideki diğer kararlar Emsal Kararlar bölümünde yer almaktadır.
❓ Sıkça Sorulan Sorular
İşlemin doğru şifreyle yapılmış olması bankayı sorumluluktan kurtarır mı?
Kararda, işlemlerin kullanıcı kodu, statik şifre ve tek kullanımlık SMS şifresiyle yapılmış olmasının tek başına yeterli görülmediği; bankanın sıra dışı işlemi tespit ettikten sonra güvenlik kontrol sürecini işletmesi gerektiği belirtilmiştir.
Müterafik kusur ne anlama geliyor?
Kararda müterafik kusur, mevduat sahibinin usulsüz işlemin gerçekleşmesinde el ve işbirliği veya kusuru bulunması hâli olarak tanımlanmıştır. İspatlandığı takdirde bu kusura isabet eden kısım mudiye iade edilmez; ispat yükü ise bankaya aittir.
Telefona zararlı yazılım yüklenmesi mudinin kusuru sayıldı mı?
Hayır. Kurul, zararlı yazılımın erişimi engellediği yönündeki kabulün bilirkişilerce somut verilerle kesin olarak ortaya konulamadığını belirterek müterafik kusurun ispat edilemediği sonucuna varmıştır. Bölge Adliye Mahkemesi ayrıca koruyucu program yüklemenin yasal bir zorunluluk olmadığını vurgulamıştır.
Karar dosyayı kesin olarak sonuçlandırdı mı?
Hayır. Direnme kararı uygun bulunmuş, ancak davalı vekilinin Özel Dairece incelenmemiş diğer temyiz itirazlarının değerlendirilmesi için dosya Yargıtay 11. Hukuk Dairesine gönderilmiştir.
Bu yazıda yer alan bilgiler genel bilgilendirme amacı taşır; karar özeti ilgili Yargıtay Hukuk Genel Kurulu kararının yayımlanmış metninden aktarılmıştır ve her somut olay kendi delilleriyle değerlendirilir. Yazı kullanılarak yapılan başvuru, dava ve savunmalardan Savun Hukuk sorumlu tutulamaz.
