İnternet bankacılığında bankanın kusursuz güven sorumluluğu

T.C.
İSTANBUL
BÖLGE ADLİYE MAHKEMESİ
12. HUKUK DAİRESİ

DOSYA NO 2022/1024

KARAR NO 2025/364

TÜRK MİLLETİ ADINA

İSTİNAF KARARI

İNCELENEN KARARIN

MAHKEMESİ İSTANBUL ANADOLU 3. ASLİYE TİCARET MAHKEMESİ

TARİHİ 15/02/2022

NUMARASI 2017/1239 Esas - 2022/128 Karar

DAVA

Alacak

İSTİNAF KARAR TARİHİ 10/03/2025

Davanın kabulüne ilişkin kararın davalı vekili tarafından istinaf edilmesi üzerine düzenlenen rapor ve dosya kapsamı incelenip gereği görüşülüp düşünüldü;

DAVA

Davacı vekili; müvekkili şirketin davalı bankanın ... Şubesinde bulunan hesabından 25.03.2015 tarihinde saat 10:45'de bilgisi ve onayı dışında ... adlı şahsın ... Bankası ... Şubesinde bulunan hesabına 180.000-TL EFT yapıldığını, olayın aynı gün fark edilerek bankanın olaydan haberdar edildiğini, hırsızlık olayı ile ilgili olarak aynı gün İstanbul Anadolu C Başsavcılığı'na şikayette bulunulduğunu, İstanbul Anadolu 33. Asliye Ceza Mahkemesi'nin 2016/403 Esas sayılı dosyasında yapılan yargılama sonucu mahkemenin 19.01.2017 tarih ve 2017/51 Karar sayılı kararı ile sanık ...'in cezalandırılmasına karar verildiğini, olayda müvekkilinin kusuru bulunmadığını, davalı Banka'nın bu tür olaylara karşı gerekli donanımı bulundurmaması ve önlemleri almaması sebebiyle kusurlu olduğunu, usulsüz işlemle çekilen paranın davalı bankanın zararı niteliğinde olduğunu belirterek 180.000-TL alacağın olay tarihinden itibaren işleyecek reeskont avans faizi ile birlikte davalıdan tahsiline karar verilmesini talep etmiştir.

CEVAP

Davalı vekili; davanın hırsızlık suçundan mahkum edilen ...'e karşı açılması gerektiğini, internet üzerinden bankacılık işlemlerinin yapılması için gerekli şifreler ve ... (...)'nın davacı şirkete verildiğini, müşterinin internet hesabından işlem yapmak istediğinde sırası ile "müşteri numarası- parola olarak müşterinin belirlediği şifre-internet şifre numarası-cep telefonuna SMS ile gelen tek kullanımlık şifrenin" sisteme girilmesi gerektiğini, işbu bilgilerden herhangi birinin 3 defa yanlış girilmesi durumunda sistemin otomatik olarak kilitlendiğini, işlem gününde davacı şirketin güvenliğinin tek kullanımlık şifre üreten ... cihazı ile sağlanması sebebiyle işlem ile ilgili olarak telefona SMS şifresi gönderilmediğini, davacı şirketin şifre üreten SMS cihazına sahip çıkamaması sebebiyle dava konusu olayın gerçekleştiğini, ...

cihazı olmadan EFT yapılmasının mümkün olmadığını, davacının işlemler için üst sınır koyabilecek iken koymadığını, müvekkili bankanın gerekli tüm tedbirleri aldığını, müşterinin şifreleri, üçüncü kişiler ile paylaşmaması gerektiğini, sorumlulukları bulunmadığını belirterek davanın reddine karar verilmesini talep etmiştir.

İLK DERECE MAHKEME KARARI

Mahkemece; davacının davalı bankadaki hesabından, 25.03.2015 günü saat 10:45'te şirket yetkililerinin bilgisi ve rızası dışında, dava dışı ... tarafından bilişim sistemleri kullanılarak bir şekilde hesaba girilip ilgilinin hesabına 180.000-TL aktarıldığı, bu kişinin parayı şubeden çektiği, geriye kalan miktarı kendisine ait başka hesaplara aktardığı, daha sonra bu para ile yüklü miktarda döviz aldığı, ...'in bu eylemi sebebiyle mahkumiyetine karar verildiği, dava konusu işlemin, davacıya ait paranın, davalı bankaya karşı gerçekleştirilen sahtecilik işlemleri neticesinde, internet bankacılığı yolu ile hesaptan para aktarımı şeklinde gerçekleşmiş olup, bu durumun davalı bankayı aldığı mevduatı iade etme yükümlülüğünden kurtarmayacağı gibi, ispat yükü kendisinde olan davalı bankanın davacıların şifre ve parolasının davacının kusuru ile ele geçirildiğini de kanıtlayamadığından davacının meydana gelen zararda müterafik kusurunun bulunmadığı, dava konusu EFT işlemi tarihi itibariyle ...

cihazının ürettiği şifre bertaraf edilip bu cihazın ürettiği şifreye ihtiyaç duyulmadan EFT işleminin yapılıp yapılamayacağı, şifrelerin davacının kusuru ile ele geçirilip geçirilmediği ve dolayısıyla davacının bir müterafik kusurunun bulunup bulunmadığının görevlendirilen bilirkişilerce değerlendirilmesi istenmiş olup incelenen kayıtlar neticesi bu hususlarda somut bir tespitte bulunulamadığı, netice olarak usulsüz işlemle çekilen paraların doğrudan doğruya bankanın zararı niteliğinde olduğu, mevduat sahibinin bankaya karşı alacağının aynen devam ettiği gerekçesiyle davanın kabulüne karar verilmiştir.

İSTİNAF SEBEPLERİ

Davalı vekili; alınan ilk iki raporda müvekkiline kusur verilmediğini, son raporda ise karşılıklı kusur verildiğini, her üç raporda da davacının kusurlu kabul edildiğini, bilirkişi raporlarına aykırı kararın hatalı olduğunu,somut olayda ... cihazının davacıya teslim edildiği hususunda ihtilaf bulunmadığını, davacının ... cihazını koruyamadığını, davacıya ait statik kişisel bilgilerin davacının bilgisayarından elektronik ortamda ele geçirilerek hacking yöntemlerinden biri kullanılarak EFT işlemi yapıldığını, kullandığı bilgisayarın güvenliğini sağlama yükümlülüğünün davacı üzerinde olduğunu, tek kullanımlık şifrenin ... cihazı tarafından üretildiğini ve bu cihazın davacının elinde olduğunu, davacının ...

cihazını tercih etmesi nedeniyle davacıya SMS şifresi gönderilmediğini, davacının para transferi yapıldıktan sonra güvenlik aracını SMS şifre olarak değiştirdiğini, dekont niteliğinde harddiskte bulunan dosyanın tarihinin incelenmesi gerektiğini,dosya tarihinin olay tarihli olması halinde dolandırıcılık olayının şirket içinden işbirliği ile yapılmış olabileceği ihtimalinden bilirkişi raporunda bahsedildiğini, davacının güvenlik önlemlerini alıp almadığı hususunda bilgisayarında inceleme yaptırılmadığını, müterafik kusurun araştırılması gerektiğini belirterek kararın kaldırılmasını talep etmiştir.

GEREKÇE

Dava, davacının davalı banka nezdinde ki hesabında bulunan paranın, internet bankacılığı yoluyla rızası dışında üçüncü kişilerin hesabına havale edilmesi nedeniyle oluşan zararın tazmini istemine ilişkindir. İnternet ve mobil bankacılık sistemini kurup hizmete sunan banka, mudinin kastı, kötüniyeti ve suç sayılır eylemini kanıtlayamadığı sürece kendisine emanet edilen paradan (ve diğer yatırım araçlarından) güven kuruluşu vasfı nedeniyle sorumludur. Bu sorumluluk, olağan sebep sorumluluğu mahiyetinde olmakla, banka gerekli özeni göstermiş olsa bile zararın gerçekleşeceğini ispat etmesi halinde, sorumluluktan kurtulabilir. Dava hesap sahibinin zararın meydana gelmesinde kusurunun bulunduğunu ispat yükü davalı bankadadır (Yargıtay 11.

HD 10/01/2018 tarihli 2016/8635 esas - 2018/179 karar sayılı ilamı). İnternet bankacılığını müşterilerine özendiren bankaların, internet bankacılığı işlemlerinde işlem yapanın gerçek müşteri olup olmadığını belirleme yönünde, gelişen dolandırıcılık yöntemlerine karşı, önleyici gerekli altyapıyı sağlayarak güvenli önlemlerini almak zorundadır (Yargıtay 11. HD 09/09/2019 tarih ve 2018/3563 esas 2019/5115 karar sayılı ilamı). İnternet bankacılığı ile yapılan işlemlerde şubeden yapılan işlemlerde olduğu gibi mevduat, bankanın kontrol ve sorumluluğundadır.Nitekim olay tarihinden sonra yürürlüğe giren, somut olayda uygulanması söz konusu olmasa da mevcut uygulamadaki aksaklıklar gözetilerek düzenlenen, 15.03.2020 tarihli RG'de yayımlanan BBS ve EBHH Yönetmeliğin 34(15).

maddesinde; "Banka, akıllı telefonlar gibi birden fazla kimlik doğrulama bileşeninin bankaya iletilmesinde kullanılan mobil cihazlar üzerindeki bankacılık uygulamalarının kullandığı hassas verilerin, aynı mobil cihaz üzerindeki diğer uygulamalar...tarafından erişilemez olmasını sağlayacak önlemler alır. Banka, mobil cihazların kaybolması ya da çalınması halinde bunlar üzerindeki hassas verilerin yetkisiz kişilerce erişilemez olmasını sağlamak ve mobil cihazların ele geçirilmesi, güvenilirliğinin bozulması, işletim sistemi yazılımının kırılması veya değiştirilmesi gibi hallerden kaynaklanacak risklerin azaltılması amacıyla günün teknolojisine uygun kontroller tesis etmekle yükümlüdür." denilmiştir.

Kimlik doğrulamaya dair bu madde ile ilgili olarak BDDK tarafından yapılan açıklamada "mobil bankacılık uygulamasının ilk kurulumu, aktifleştirilmesi, yeniden aktifleştirilmesi ya da uygulamanın kullanılamaz olması durumları haricinde, mobil bankacılık uygulamasını yükleyerek aktifleştiren müşterilere, oturum açma ya da oturumun devamında herhangi bir işlemin doğrulanması için hiçbir şekilde SMS ile ... ya da “doğrulama kodu” gönderilmesi mümkün bulunmamakta olup, SMS ile yapılacak bu tür bildirimlere, yalnızca bu hükümlerde belirtilen istisnai durumlarda başvurulması ve bunun rutin bir uygulama haline getirilmemesi gerekmektedir. Çünkü SMS ile gönderilen ... ya da doğrulama kodunun, aynı mobil cihaz üzerinde yüklü diğer uygulamalar tarafından okunmayacağı, üçüncü bir tarafa (örn.

bir saldırgana) yönlendirilmeyeceğinin garantisi bulunmadığı gibi, mobil cihaz üzerindeki “SMS mesajlaşma uygulaması” bankanın kendi kontrolünde olan bir mobil uygulama niteliğinde de bulunmadığı için, müşteriye SMS ile gönderilecek ... ya da doğrulama kodunun güvenilirliği konusunda da yeterli güvence sağlanamayabileceği tabiidir." denilmiştir. Somut olayda; davacının davalı banka nezdindeki hesabına 25/03/2015 tarihinde bilgi ve rızası dışında girilerek ... isimli kişinin hesabına 180.000-TL EFT işlemi yapıldığı, davacının işlem tarihinde bankaca kendisine verilen tek kullanımlık şifre üreten ... cihazını kullandığı ihtilaf dışı olup uyuşmazlık, davacının banka hesabındaki paranın EFT işlemi yapılarak üçüncü kişilere aktarılmasında davalı bankanın kusurunun bulunup bulunmadığından kaynaklanmaktadır.Yapılan bilirkişi inlemesinde davacı şirketin bilgisayarında olay tarihinde antivirüs programı ile güvenlik duvarı bulunmadığı tespit edilmiş ise de bu husus bankanın, işlem güvenliğinin sağlanması hususundaki sorumluluğunu ortadan kaldırmamaktadır.

Davalı banka, davacıya ... cihazı teslim edildiğini ve şifrenin ... cihazı ile üretildiğini, ... cihazı ile şifrenin korunmasının davacının sorumluluğunda olduğunu ileri sürmekte ise de davacının internet bankacılığı hesabına dava konusu şüpheli işlemin gerçekleştirilmesi için girilirken erişimin ... cihazının ürettiği şifre ile sağlandığına ilişkin bir beyanda bulunmadığı gibi bu yönde yapılan bir tespit de bulunmamaktadır.Davalı bankanın, sisteme ulaşan kişinin gerçek müşteri olup olmadığının belirlenmesi konusunda kötüniyetli kişilerin yeni dolandırıcılık yöntemleri geliştirdiklerini dikkate alarak değişen yöntemlere göre gereken güvenlik önlemlerini alması gerekmektedir. Ceza davasında şüpheli işlemi yapan kişiye mahkumiyet kararı verilmiş olup davacı tarafın şüpheli kişilerle iş birliği içinde bulunduğuna dair bir delil bulunmamaktadır.

Banka, objektif özen sorumluluğunu bir gereği olarak en hafif kusurundan dahi sorumlu olup bankaca ilave güvenlik önlemlerinin alınmaması nedeniyle davacıya müterafik kusur atfı da mümkün görülmediğinden mahkemece davanın kabulüne dair verilen kararda bir isabetsizlik bulunmamaktadır. Açıklanan nedenlerle; mahkemece davanın kabulüne dair verilen kararda bir isabetsizlik bulunmadığından, davalı vekilinin yerinde görülmeyen istinaf başvurusunun esastan reddine karar verilmiştir.

HÜKÜM

Yukarıda açıklanan nedenlerle:Davalı vekilinin istinaf başvurusunun HMK'nın 353(1)b-1 maddesi uyarınca ESASTAN REDDİNE,Alınması gereken 12.295,80-TL istinaf karar harcından peşin yatırılan 3.073,95-TL harcın mahsubu ile kalan 9.221,85-TL harcın davalıdan alınarak Hazine'ye gelir kaydına,Davalı tarafından yapılan giderlerin üzerinde bırakılmasına,Dosya üzerinde yapılan inceleme sonunda HMK 362(1)-a maddesi uyarınca kesin olmak üzere oy birliği ile karar verildi. 10/03/2025