İnternet bankacılığı dolandırıcılığında bankanın sorumluluğu

T.C.
İSTANBUL
BÖLGE ADLİYE MAHKEMESİ
12. HUKUK DAİRESİ

DOSYA NO 2021/987

KARAR NO 2023/1855

TÜRK MİLLETİ ADINA

İSTİNAF KARARI

İNCELENEN KARARIN

MAHKEMESİ İSTANBUL 5. ASLİYE TİCARET MAHKEMESİ

TARİHİ 13/10/2020

NUMARASI 2018/307 Esas - 2020/556 Karar

DAVA

İtirazın İptali (Bankacılık İşlemlerinden Kaynaklanan)

İSTİNAF KARAR TARİHİ 27/11/2023

Davanın reddine ilişkin kararın, davacı vekili tarafından istinaf edilmesi üzerine düzenlenen rapor ve dosya kapsamı incelenip gereği görüşülüp düşünüldü;

DAVA

Davacı vekili, müvekkilinin davalı bankanın Kadıköy Bahariye şubesinde hesabının bulunduğunu, 07/11/2017 saat 16:58'de müvekkilinin bilgisi haricinde dava dışı ... isimli şahsın ... Bankası hesabına internet bankacılığı yoluyla 38.000-TL EFT yapıldığını, müvekkilinin bu işlemi bir gün sonra 08/11/2017'de banka şubesinde cüzdan yazdırma işlemi sırasında öğrendiğini; müvekkilinin banka hesabına ilişkin internet bankacılığı işlemlerini sisteme kayıtlı ... numaralı cep telefonundan yaptığını, olay günü EFT işleminin yapıldığı saatlerde cep telefonu kapalı olduğundan internet bankacılığına giriş yapılmadığını; söz konusu işlem için müvekkili aranmışsa bile telefonun kapalı olması nedeniyle başka bir numaradan arama işlemi yapılarak teyit alınması gerektiğini;

işlemin farklı bir IP numarası üzerinden yapılmasına rağmen banka sistemlerinin uyarı vermediğini; davalının tüm tedbirleri alması gerekirken almadığını; müvekkilinin şikayeti üzerine başlatılan İstanbul Anadolu Başsavcılığı'nın 2017/183469 sayılı dosyasındaki soruşturmanın devam ettiğini; müvekkilinin uğradığı zararın giderilmesi için davalı aleyhine İstanbul ... İcra Dairesi'nin ... E. sayılı dosyasıyla 38.000-TL asıl alacak ve 1.126,73-TL işlemiş faiz olmak üzere toplam 39.126,73-TL talepli ilamsız icra takibinin başlatıldığını, davalının takibe haksız olarak itiraz ettiğini ileri sürerek, davaya konu icra takibine davalının vaki itirazının iptaline ve alacağın %20'sinden az olmamak kaydıyla icra inkar tazminatına karar verilmesini talep etmiştir.

CEVAP

Davalı vekili, müvekkili bankanın sisteminin son derece güvenli olduğunu, işlem sebebiyle kusur ve sorumluluğun tamamen davacıda olduğunu, davacı şirket yetkilisinin bankaya hitaben sunduğu harcama itiraz yazısında, " ...07.11.2017 tarihinde saat 16:00 civarında internet bankacılığında sorun oluştu ekran ve cep telefonum arızaya geçti konunun sistemsel bir durum olduğunu düşünüp erteledik..." şeklinde beyanda bulunduğunu, kullanılan cep telefonunda virüs-zararlı yazılım bulunduğunun açık olduğunu, internet bankacılığı kullanıcısının kendi virüs koruma sistemini tedarik etmek ve gerekli korumayı sağlamakla, şüpheli ve zararlı yazılım içerebilecek linkleri açmamakla yükümlü bulunduğunu, dolayısıyla zararın da davacının cep telefonunda bulunan zararlı yazılım sebebiyle meydana geldiğini;

işlemde kullanılmış şifrelerin banka sisteminden temin edilmediğini, şifrelerin kötüniyetli kişilerin eline geçtiğini, davacının imzalanan sözleşme ve uyarılara rağmen kullanıcı kodu ile şifresini koruyamadığından zarara da kendisinin katlanacağını ve bu nedenlerle icra takibine itiraz edildiğini belirterek, davanın reddine karar verilmesini istemiştir.

İLK DERECE MAHKEME KARARI

Mahkemece, davacının hesabından para aktarılan dava dışı kişinin yargılandığı ceza davasında bilişim sistemlerinin kullanılması suretiyle hırsızlık yapmak suçundan dolayı hapis cezası ile cezalandırıldığı; taraflar arasında bireysel internet şubesi taahhüdünün imzalandığı, internet bankacılığı hesabından işlem yapılabilmesi için öncelikle kullanıcının müşteri numarasıyla girmesi, sonrasında ise kendisine tanımlı şifresini doğru girmesiyle ancak hesaba ulaşmasının ve bankacılık işlemi yapmasının mümkün olduğu, işlem yapıldıktan sonra ise hesap sahibinin sisteme kayıtlı GSM hattına banka tarafından işleme dair onayının alınması bakımından şifre-onay kodu gönderildiği, somut olayda davacının müşteri numarası, internet bankacılığı kullanım şifresi, ayrıca cep telefonuna gelen onay şifresinin dava dışı şahıs tarafından bilinerek kullanılmasında ve bunun sonucunda da davacının zararının oluşmasında davalı bankanın kusur ve ihmalinden bahsedilemeyeceği ve davacının bu bilgileri korumada gerekli tedbir ve özeni göstermeyerek zararının meydana gelmesinde kusurlu olduğu gerekçesiyle, davanın reddine karar verilmiştir.

İSTİNAF SEBEPLERİ

Davacı vekili, davaya konu müvekkilinin bilgisi dışında internet bankacılığı üzerinden yapılmış işlemle 38.000-TL'nin hesabına gönderilen dava dışı şahsın 4 yıl 2 ay hapis cezasına çarptırıldığını; işlemin yapıldığı sırada cep telefonunun kapalı olduğunun ve davalı banka tarafından 14 kez aranmasına rağmen cevap alınamadığı ortada iken işlemin tamamlanmaması gerektiğini; yine farklı bir IP numarası üzerinden yapılan işlem için banka tarafından ek bir teyit alınmadığını, bunun da davalının gerekli tedbirleri almadığını gösterdiğini; davalının gönderildiğini iddia ettiği SMS'lerin hiç birisinin cep telefonuna ulaşmadığını; yargılama aşamasında alınan 1. bilirkişi raporunda izafe edilebilecek kusur oranının müvekkili için 1/3, davalı için ise 2/3 olmasına rağmen, 2.

bilirkişi raporunda tüm kusurun müvekkilinde bulunduğunun söylendiğini, raporlar arasındaki bu çelişkinin giderilmeden yazılı şekilde karar verilmesinin doğru olmadığını; davalının alması gereken güvenlik tedbirlerini almaması sebebiyle müvekkilinin uğradığı zararın tazmin edilmesi gerektiğini ve bu amaçla başlatılan icra takibine yapılan itirazın haksız olduğunu belirterek,kararın kaldırılarak davanın kabulüne ve icra inkar tazminatına hükmedilmesini istemiştir.

GEREKÇE

Dava, davacının davalı bankada bulunan mevduat hesabından internet bankacılığı kullanılarak usulsüz şekilde üçüncü kişiye havale yapılması nedeniyle bankanın sorumluluğuna istinaden uğranılan zararın tazmini için başlatılan icra takibine vaki itirazın iptali istemine ilişkindir.Bankalar, kendilerine yatırılan paraları mudilere istendiğinde veya belli bir vadede ayni veya misli olarak iade etmekle yükümlüdür. Bu tanımlamaya göre mevduat, ödünç ile usulsüz tevdi sözleşmelerinin niteliklerini taşıyan kendine özgü bir sözleşmedir. 6098 sayılı TBK'nın 386. (818 sayılı BK'nın 306.) maddesi uyarınca ödünç alan, akdin sonunda ödünç verilen parayı eğer kararlaştırılmışsa faizi ile iadeye mecburdur. TBK'nın 570.

maddesi uyarınca usulsuz tevdide paranın yararı ve hasarı mutlak şekilde saklayana geçtiği için saklayan bu parayı kendi yararına kullanabilir. Bu açıdan değerlendirildiğinde, usulsüz işlemle çekilen paralar aslında doğrudan doğruya bankanın zararı niteliğinde olup, mevduat sahibinin bankaya karşı alacağı aynen devam etmektedir. İnternet ve mobil bankacılık sistemini kurup hizmete sunan banka, mudinin kastı, kötüniyeti ve suç sayılır eylemini kanıtlayamadığı sürece kendisine emanet edilen paradan güven kuruluşu vasfı nedeniyle sorumludur. Bu sorumluluk, olağan sebep sorumluluğu mahiyetinde olmakla, banka gerekli özeni göstermiş olsa bile zararın gerçekleşeceğini ispat etmesi halinde, sorumluluktan kurtulabilir.

Davacının zararın meydana gelmesinde kusurunun bulunduğunu ispat yükü davalı bankadadır (Yargıtay 11. HD'nin 2016/8635 E., 2018/179 K. sayılı ve 10/01/2018 tarihli ilamı). İnternet bankacılığını müşterilerine özendiren bankaların, kendilerine emanet edilen mevduatı koruma özel yükümlülüğü gereğince; internet bankacılığı işlemlerinde işlem yapanın gerçek müşteri olup olmadığını belirleme yönünde, gelişen dolandırıcılık yöntemlerine karşı, bunları önleyici gerekli altyapıyı sağlayarak güvenli önlemlerini almak zorundadır (Yargıtay 11. HD'nin 2018/3563 E., 2019/5115 K. sayılı ve 09/09/2019 tarihli ilamı). İnternet bankacılığı ile yapılan işlemlerde şubeden yapılan işlemlerde olduğu gibi mevduat, bankanın kontrol ve sorumluluğundadır.

Bu durumda banka, sözleşmeden doğan yükümlülüğünü yerine getirememesinde kusurlu olmadığını TBK’nın 112. maddesi gereğince ispat etmek durumunda olup, ayrıca müşterisinin müterafik kusurunu da ispat etmekle yükümlüdür (Yasaman, Hamdi: Banka Hukuku, İstanbul 2013, C.II, s.105). Nitekim olay tarihinden sonra yürürlüğe giren somut olayda uygulanması söz konusu olmasa da mevcut uygulamalardaki aksaklıklar gözetilerek düzenlenen, BDDK tarafından 15/03/2020 tarihli RG'de yayımlanan "Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliğin" 4. maddesinde, banka yönetim kurulunun, bilgi sistemlerinin yönetimini kurumsal yönetim uygulamalarının bir parçası olarak ele almakla, bilgi sistemlerinin doğru yönetimi için gerekli finansman ve insan kaynağını tahsis etmekle, bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliğini sağlamak amacıyla bilgi sistemleri üzerinde etkin kontrollerin tesis edilmesini sağlamakla ve gelişen yeni teknolojileri de göz önünde bulundurarak bilgi sistemlerinin kullanımından kaynaklanan risklerin yönetilmesi için etkin bir gözetim yürütmekle sorumlu olduğu;

5. maddesinde, bankanın, bilgi sistemlerinin kullanımından kaynaklanan riskleri yönetmek ve bilgi varlıklarını korumak amacıyla uygulanması gereken usul ve esaslar ile tesis edilmesi gereken kontrolleri tarif eden bilgi sistemleri politika, prosedür ve süreç dokümanlarını oluşturacağı;

7. maddesinde, bankanın, bankacılık faaliyetlerinde bilgi teknolojilerini kullanıyor olmasından kaynaklanan riskleri analiz etmek, azaltmak, takip etmek ve raporlamak üzere bir bilgi sistemleri risk yönetim süreci tesis edeceği;

11. maddesinde, bankanın, bilgi varlıklarına olan erişimlerin, görevler ayrılığı prensibine göre belirlenmiş ve kullanıcıların sorumluluğu gereği kendileri için tanımlanan erişim kontrolleri uyarınca, ilişkili bilgi varlığının güvenlik sınıfına uygun bir kimlik doğrulama yöntemiyle gerçekleştirilmesini sağlamakla yükümlü olduğu;

14. maddesinde, gerek kendi kurumsal ağı gerek dış ağlardan gelebilecek tehditler için gerekli ağ güvenlik kontrol sistemlerini tesis edeceği, güvenlik önlemlerinin tesis edilmesinde, bir güvenlik katmanının aşılması halinde diğer güvenlik katmanının devreye girdiği katmanlı güvenlik mimarisinin esas alınacağı;

15. maddesinde, masaüstü, dizüstü, mobil cihazlar ve sunucuları üzerindeki işletim sistemi, veritabanları ve uygulamalar ile güvenlik duvarları, yönlendirici ve anahtarlama cihazları gibi ağ cihazları için sıkılaştırılmış ve test edilmiş güvenli standart konfigürasyon bilgilerini oluşturacağı;

16. maddesinde, bankacılık faaliyetlerini kesintiye uğratacak veya önemli ölçüde olumsuz etkileyecek durumların ortaya çıkma olasılığını azaltmak için sistem, yazılım ve cihazlardaki güvenlik açıklarını hızlı ve etkin bir şekilde ele alacak bir güvenlik açıkları ve yama yönetim süreci tesis edileceği ve 18. maddesinde, siber olaylardan sonra bankacılık faaliyetlerini en az etkileyecek şekilde ve mümkün olan en kısa sürede bilgi sistemleri hizmetlerini normal işleyişine döndürmek üzere, gerçekleşen siber olayların ele alınmasına ve takibine yönelik siber olay yönetimi ve siber olaylara müdahale süreci oluşturacağı; hususları hüküm altına alınmıştır. Davaya konu para gönderme işlemine ilişkin olarak, davacının bilgisi ve onayı dışında hesabından 38.000-TL'nin gönderildiği hesap sahibi dava dışı ...'ın, davacının şikayeti üzerine başlatılmış ceza soruşturması sonucunda İstanbul Anadolu 30.

Asliye Ceza Mahkemesi'nin 2018/863 E., 2019/319 K. sayılı ve 09/04/2019 tarihli kararıyla bilişim sistemlerinin kullanılması suretiyle hırsızlık suçundan dolayı nihai olarak 4 yıl 2 ay hapis cezası ile cezalandırıldığı, bu karara karşı yapılan istinaf başvurusunun İstanbul Bölge Adliye Mahkemesi'nin 2019/2181 E., 2020/1245 K. sayılı ve 16/06/2020 tarihli ilamıyla esastan reddine kesin olarak karar verildiği görülmüştür.Tüm bu açıklamalar ışığında somut olaya bakıldığında, gerek ceza dosyası, gerekse İlk Derece Mahkemesi'nce yaptırılan bilirkişi incelemeleri ile sabit olduğu üzere davacının kullandığı, banka hesabında tanımlı ... numaralı cep telefonuna 07/11/2017 tarihi saat 16 sıralarında harici bir kaynaktan gönderilmiş davalı banka uygulamasının güncellenmesi mesajını içeren SMS'teki linkin açılması sonucunda internet tarayıcısı üzerinden virüs dosyasının cep telefonuna yüklendiği ve telefon cihazına erişimin engellendiği, söz konusu virüs içerikli dosyaların cep telefonundaki bütün uygulama dosyalarına erişim sağlayarak kullanıcıya ait tüm bilgi ve şifreleri topladığı, bu kapsamda saat 16:18:57'de davacıya ait olmayan bir IP adresinden davacının internet bankacılığı sistemine giriş yapıldığı, EFT işleminin gerçekleştirilmesi için gereken ve banka tarafından gönderilen SMS'te bildirilen şifrenin girilmesiyle 16:22:09'da dava dışı şahsın hesabına 38.000-TL'nin EFT ile geçtiği, saat 16:28:51'de sistemden çıkıldığı, paranın 16:58'de dava dışı şahıs tarafından hesabından çekildiği, işlemden sonra saat 16:34-16:45 arasında söz konusu cep telefonu numarasının banka tarafından 3 kez aranmasına rağmen çağrının cevaplanmadığı ve bunun üzerine saat 16:45:55'te davalı bankanın kullandığı ...

isimli servis tarafından söz konusu işlemin bildirildiği ancak davacının telefon cihazına erişimi mevcut olmadığından bu bilgilendirmelerin davacıya ulaşmadığı; dolayısıyla davacıya ait davalı banka nezdinde bulunan hesabından 07/11/2017'de yapılan para transferinin davacının kullandığı cep telefonu kullanılarak yapılmadığının tespit edildiği, cep telefonuna yüklenen virüs içerikli dosyalar vasıtasıyla davacının kullandığı cep telefonuna gönderilen tek kullanımlık SMS şifresinin 3. kişilerin eline geçtiği ve bu sayede davacının bilgisi dışında para transferi işlemlerinin gerçekleştirildiği tespit edilmiştir. Davalı banka kendi üzerinde bulunan ispat yükü uyarınca davacıya gönderdiği tek kullanımlık şifre ve parolanın davacının kusuru ile ele geçirildiğini, davacının el ve işbirliğini veya davacının gerekli uyarılara uyması halinde davaya konu sahtecilik işleminin gerçekleşmeyeceğini kanıtlayamamıştır.

Yaptığı işin niteliğine göre diğer tacirlerden daha dikkatli ve basiretli davranması gereken davalı bankanın, hesap ve şifre bilgilerinin kötüniyetli üçüncü kişilerce ele geçirilmesini önleyecek ve işlem yapanın gerçek müşteri olup olmadığını tesbite yarayacak güvenlik mekanizmasını oluşturması gerekmektedir. Bu bağlamda davalı bankanın ileri derecede güvenlik sağlayan, elektronik imza, akıllı anahtar gibi kötü niyetli üçüncü kişilerce davacı hesabına girilmesini önleyen zorunlu tedbirleri almadığı gibi, söz konusu işlemlerin şüpheli olarak tespitini sağlayacak bir mekanizma oluşturmadığı da anlaşılmakla, davacının hesabındaki paranın üçüncü kişilerin hesabına aktarılmasından kaynaklanan sorumluluğun davalı bankaya ait olduğunun kabulü gerekmektedir.

Ayrıca alacak likit ve davalı da itirazında haksız olduğundan, davacı yararına icra inkar tazminatına hükmedilmesi gerekmektedir.Paranın çekildiği tarih itibariyle davacı faiz talebine hak kazandığından takip tarihine kadar talep olunan tutarda işlemiş faiz tahakkuk ettiği hesaplanmıştır.Açıklanan nedenlerle, davanın kabulüne karar verilmesi gerekirken reddine karar verilmesi hatalı ise de, yapılan hata/eksiklik yeniden yargılama yapılmasını gerektirmediğinden, davacı vekilinin istinaf başvurusunun kabulü ile kararın kaldırılmasına ve yeniden hüküm verilerek "davanın kabulüne" karar verilmiştir.

HÜKÜM

Yukarıda açıklanan nedenlerle: Davacı vekilinin istinaf başvurusunun kabulüne, İstanbul 5. Asliye Ticaret Mahkemesi'nin 2018/307 Esas - 2020/556 Karar sayılı 13/10/2020 tarihli kararının, HMK m.353(1)b-2 gereği KALDIRILMASINA; "Davanın kabulüne; İstanbul ... İcra Dairesi'nin ... Esas sayılı takip dosyasına yaptığı itirazın 39.126,73-TL üzerinden iptaline,asıl alacak 38.000-TL'ye takip tarihinden itibaren değişen oranlarda avans faizi işletilerek takibin devamına,%20 oranda hesaplanan 7.825,34-TL icra inkar tazminatının davalıdan alınarak davacıya ödenmesine,"İlk derece mahkemesine ilişkin olarak; "Alınması gereken 2.672,74-TL karar harcından davacı tarafından mahkeme veznesine yatırılan 472,56-TL ile icra veznesine yatırılan 195,63-TL olmak üzere toplam 668,19-TL harcın mahsubu ile kalan 2.004,55‬-TL'nin davalıdan alınarak hazineye gelir kaydına,Davacı tarafından yatırılan toplam 704,09‬-TL harcın davalıdan alınarak davacıya verilmesine,Davacı tarafından yapılan 3.200-TL bilirkişi ücreti ve 187,30-TL posta masrafı olmak üzere toplam 3.387,30-TL yargı giderinin davalıdan alınarak davacıya verilmesine, Davalı tarafından yapılan giderlerin üzerinde bırakılmasına,Davacı lehine takdir olunan 17.900-TL vekalet ücretinin davalıdan alınarak davacıya verilmesine,Talep halinde kullanılmayan gider avansının yatıran tarafa iadesine,"Davacı tarafından yatırılan 59,30-TL peşin istinaf karar harcının istek halinde kendisine iadesine,Davacı tarafından yapılan 70,90-TL istinaf yargı giderinin davalıdan alınarak davacıya verilmesine, davalı tarafından yapılan giderlerin üzerinde bırakılmasına, Dosya üzerinde yapılan inceleme sonunda HMK'nın 362(1)-a maddesi uyarınca kesin olmak üzere oy birliği ile karar verildi.27/11/2023