SIM Swap ve Mobil İmza Dolandırıcılığı: Operatör ve Banka Sorumluluğu
Kısaca
- SIM swap, dolandırıcının sahte kimlikle abonenin hattını kendi eline geçirmesi ve bankanın gönderdiği tek kullanımlık şifreyi (OTP) yakalamasıdır. Hat ele geçtiğinde iki aşamalı doğrulamanın “sahip olunan” bileşeni çöker.
- Yargıtay 11. Hukuk Dairesinin yerleşik içtihadına göre, bu tür dolandırıcılıklarda bankalar yanında kimlik doğrulamada gerekli özeni göstermeyen GSM şirketleri de sorumludur.
- SIM kart değişikliğini yapan bayi/abone merkezi, operatörün ifa yardımcısıdır; bayilik sözleşmesi üçüncü kişileri bağlamaz.
- Operatörün görevi, içeriği ne olursa olsun aboneye gönderilen kısa mesajı yetkisiz kişiye değil gerçek aboneye iletmektir.
- Kusur dağılımı olaya göre değişir: uygulamada %75 operatör / %25 banka, bazı dosyalarda operatör ve bayinin fail ile birlikte tam kusurlu sayılıp zarardan eşit sorumlu tutulduğu görülmektedir.
- Sahte kimliğin iğfal (aldatma) kabiliyeti bulunduğunu ispat yükü operatördedir; “aslı görülmüştür” kaydı bulunmayan fotokopiyle işlem yapılması kusur sayılmaktadır.
- Mobil imza devredeyse ayrıca 5070 sayılı Kanun m.13 uygulanır: elektronik sertifika hizmet sağlayıcısı kusursuzluğunu ispat edemezse sorumludur ve sorumluluğunu sınırlayan şartlar geçersizdir.
Telefonunuzun çekmediğini fark ediyorsunuz. Birkaç saat sonra bankadan gelen bildirimlerle hesabınızın boşaltıldığını öğreniyorsunuz. Araştırdığınızda, hattınızın “kaybedildiği” gerekçesiyle bir bayiden yeniden çıkarıldığını görüyorsunuz.
Bu senaryo — uluslararası literatürde SIM swap olarak anılan yöntem — Türkiye’de yaklaşık on beş yıldır mahkeme kararlarına konu olmakta ve bu süre içinde oldukça yerleşik bir sorumluluk rejimi doğmuştur. Bu yazıda, GSM operatörünün ve bankanın sorumluluğunun hukuki temelini, kusur dağılımının nasıl belirlendiğini ve mağdurun izlemesi gereken yolu mahkeme kararlarıyla ele alıyoruz.
Teknik akış: zincir nerede kırılıyor?
Bankacılık mevzuatı, internet bankacılığında iki bileşenli kimlik doğrulama öngörür. Bankalarda bilgi sistemleri yönetimine ilişkin düzenlemelerde bu bileşenler; müşterinin bildiği (parola), sahip olduğu (tek kullanımlık parola üretim cihazı, kısa mesajla gönderilen tek kullanımlık parola) ve biyometrik bir karakteristiği olan unsur sınıflarından farklı ikisi olarak tanımlanır.
| Adım | Ne oluyor? | Hangi güvenlik katmanı çöküyor? |
|---|---|---|
| 1 | Kullanıcı adı ve parola ele geçiriliyor (oltalama, veri sızıntısı, sosyal mühendislik) | “Bilinen” bileşen |
| 2 | Sahte kimlikle bayiden SIM kart yenileniyor veya hat taşınıyor | Abonelik kimlik doğrulaması |
| 3 | Yeni SIM aktive ediliyor; gerçek abonenin hattı kapanıyor | — |
| 4 | Banka OTP’yi yeni SIM’e gönderiyor | “Sahip olunan” bileşen |
| 5 | Havale/EFT yapılıp para çekiliyor | — |
Görüldüğü gibi zincirin kırıldığı yer ikinci adımdır. Mahkemelerin sorumluluk analizi de tam buraya odaklanır: SIM kart değişikliği usulüne uygun yapılsaydı, dolandırıcı OTP’yi alamayacak ve işlem gerçekleşmeyecekti. Bu, hukuken uygun illiyet bağıdır.
Operatörün sorumluluğunun hukuki temeli
1. Güven kurumu ve objektif özen
Mahkemeler, GSM şirketlerinin de aynen bankalar gibi devletten aldıkları özel imtiyaz ve lisansa istinaden faaliyette bulunduklarını, bir anlamda kamu hizmeti verdiklerini ve bu nedenle işlemlerinde diğer tacirlerden daha fazla özen göstermek zorunda olduklarını kabul etmektedir. TTK m.18/2’deki basiretli iş adamı ölçütü, imtiyazlı bir işletme için daha ağır bir standart doğurur.
2. Bayi = ifa yardımcısı
Uygulamada operatörler, “SIM kart değişikliğini bayi yaptı, bizim sorumluluğumuz yok” savunmasında bulunur. Mahkemeler bunu kabul etmez: yetkilendirilmiş abone merkezi/bayi, operatörün ifa yardımcısıdır; ayrıca değişikliği onaylayıp hattı derhâl aktif hâle getiren de operatörün kendisidir. Bayilik sözleşmesi ise üçüncü kişileri bağlamaz.
3. Somut özen ölçütleri
Kararlarda operatöre kusur atfedilirken tekrar eden olgular şunlardır:
- Nüfus cüzdanı aslının görülmemesi, fotokopide “aslı görülmüştür” kaydının bulunmaması,
- Abonelik sözleşmesindeki imza ile başvurudaki imzanın uyuşmaması,
- Kimlik belgesindeki fotoğrafın farklı olması veya teşhise elverişsiz olması,
- Kısa aralıklarla farklı tarihli kimlik belgeleriyle birden fazla SIM değişikliği yapılması,
- Bu uyumsuzluklara rağmen “abone isteği” denilerek işlemin tamamlanması,
- Bayilerin denetlenmemesi ve merkezî sistemde suistimali engelleyecek kontrol kurulmaması.
4. İspat yükü
Kullanılan sahte kimliğin iğfal (aldatma) kabiliyetinin bulunduğunu, yani basit bir incelemeyle sahteliğin anlaşılamayacağını ispat yükü operatördedir. Bu ispat edilemezse özen yükümlülüğünün ihlal edildiği kabul edilir.
Bankanın sorumluluğu ve kusur dağılımı
Banka tarafında çerçeve, internet bankacılığı dosyalarındaki genel çerçevedir: banka bir güven kurumudur, objektif özen yükümlülüğü altındadır ve hafif kusurundan dahi sorumludur; mevduatı iade yükümlülüğü üçüncü kişilerin eylemiyle ortadan kalkmaz.
| Dosya tipi | Kusur dağılımı örneği |
|---|---|
| Bayide açık usulsüzlük, bankanın güvenlik önlemleri dönemin standartlarının altında | %75 operatör / %25 banka |
| Bankanın güvenlik önlemleri dönemin standartlarına uygun, kusur operatör ve bayide | Operatör ve bayi, haksız fiil faili ile birlikte tam kusurlu; aralarında ayrıştırma yapılamadığından eşit sorumluluk |
| Banka ile abone arasında hattın bankacılık işlemlerinde kullanılacağına dair düzenleme yokluğu, biyometrik/mobil imza kullanılmaması | Bankanın müterafik kusuru gündeme gelir |
Müteselsil sorumluluk ve rücu: TBK m.61 uyarınca birden çok kişi birlikte bir zarara sebebiyet verirse veya aynı zarardan çeşitli sebeplerle sorumlu olurlarsa müteselsil sorumluluk hükümleri uygulanır. TBK m.167 uyarınca kendisine düşen paydan fazla ifada bulunan borçlu, fazla ödediği miktarı diğer borçlulardan isteyebilir; ancak her bir borçluya ancak payı oranında rücu edebilir. Uygulamada banka, müşterisine ödediği tazminatı bu yolla operatöre rücu etmektedir.
Mobil imza devredeyse: 5070 sayılı Kanun
SIM swap yalnızca OTP’yi değil, hatta bağlı mobil imzayı da hedef alabilir. Mobil imza, nitelikli elektronik sertifikaya dayandığında elle atılan imza ile aynı hukuki sonucu doğurur; bu nedenle ele geçirilmesi hâlinde sonuçlar çok daha ağırdır.
5070 sayılı Elektronik İmza Kanunu m.13: “Elektronik sertifika hizmet sağlayıcısı, bu Kanun veya bu Kanuna dayanılarak çıkarılan yönetmelik hükümlerinin ihlâli suretiyle üçüncü kişilere verdiği zararları tazminle yükümlüdür. Elektronik sertifika hizmet sağlayıcısı kusursuzluğunu ispat ettiği takdirde tazminat ödeme yükümlülüğü doğmaz.” Aynı madde uyarınca sağlayıcı, ihlalin istihdam ettiği kişilerin davranışına dayanması hâlinde de sorumludur ve bu sorumluluktan kurtuluş kanıtı getirerek kurtulamaz. Ayrıca sorumluluğu ortadan kaldıran veya sınırlandıran her türlü şart geçersizdir ve sağlayıcı sertifika malî sorumluluk sigortası yaptırmak zorundadır.
Buradaki ispat yükü dağılımı, mağdur açısından genel haksız fiil rejiminden daha elverişlidir: zararı ve ihlali gösterdikten sonra kusursuzluğunu ispat yükü sertifika hizmet sağlayıcısına geçer.
Ne yapmalı? Adım adım
- Hat kesildiği anda operatörü arayın ve kayda geçirtin. “Hattım çekmiyor” değil, “hattımda yetkisiz SIM değişikliği yapılmış olabilir, derhâl kapatılmasını talep ediyorum” deyin; çağrı saatini ve referans numarasını not edin.
- Bankayı arayıp tüm kanalları kapattırın. İnternet ve mobil bankacılık erişimini, kartları ve varsa mobil imzayı bloke ettirin.
- Aynı gün savcılığa şikâyette bulunun. Paranın gittiği IBAN ve tutarları yazın; CMK m.128/A kapsamında hesapların askıya alınmasını ve suça konu menfaate elkonulmasını talep edin.
- Operatörden yazılı olarak belge isteyin. SIM değişikliği talep formu, ibraz edilen kimlik belgesinin fotokopisi, işlemi yapan bayi bilgisi, işlem tarih-saati ve aktivasyon zamanı. Bu belgeler dosyanın merkezidir.
- Bankadan teknik kayıt isteyin. İşlem IP’si, cihaz kimliği, OTP’nin gönderildiği numara ve saat, riskli işlem kontrollerinin çalışıp çalışmadığı.
- Kimlik belgesini karşılaştırın. Fotoğraf, imza, seri/cilt numarası ve düzenleme tarihi kendi kimliğinizle örtüşüyor mu? “Aslı görülmüştür” kaydı var mı? Bu karşılaştırma, operatörün kusurunu doğrudan ortaya koyar.
- Davayı doğru kurun. Zarar gören abone bankaya karşı; müşterisine ödeme yapan banka ise operatöre karşı rücuen tazminat davası açar. İki dosyanın birlikte takip edilmesi gerekir.
- Ceza dosyasını hukuk davasına sunun. Failin mahkûmiyeti hâlinde, fiilin hukuka aykırılığını ve illiyet bağını saptayan maddi olaya ilişkin kabul hukuk hâkimini bağlar.
- Zamanaşımını kaçırmayın. Haksız fiil sorumluluğunda TBK m.72’deki süreler; rücu ilişkisinde ise ödeme tarihi esas alınır. Süreler dosyanın başında hesaplanmalıdır.
Mahkemeler ne diyor?
İstanbul Bölge Adliye Mahkemesi 4. Hukuk Dairesi, E. 2025/3169, K. 2026/2475, 13.05.2026
“Aslı görülmüştür” kaydı bulunmayan fotokopiyle SIM değişikliği operatörün kusurudur. Banka, müşterisine mahkeme kararıyla ödemek zorunda kaldığı 455.620,59 TL’yi GSM şirketinden rücuen istemiştir. Bilirkişi incelemesinde, aynı abone adına bir ay arayla iki kez SIM kart değişikliği yapıldığı ve bu iki işlemde iki farklı tarihli nüfus cüzdanı fotokopisinin kullanıldığı belirlenmiştir. Karara göre bu durum “bunlardan birisinin sahte veya geçersiz olabileceğini hemen ilk anda akla getirmektedir”; nitekim fotokopilerden birinde “aslı görülmüştür” damgası bulunurken diğerinde bulunmadığı, ayrıca abonelik sözleşmesi ekindeki kimlik fotoğrafının değişiklik sırasında sunulanla aynı olmadığı tespit edilmiştir. Sonuç: “aslı ibraz edilmediği halde hem sahte hem de geçersiz kimlik fotokopisi ile sim kart değişikliği yapıldığını göstermektedir. Bu ise davalı şirketin kusuru olarak kabul edilmesi gereken bir işlemdir.” Kararda ayrıca, kısa mesajla tek kullanımlık parola gönderiminin ilgili dönem mevzuatında tanımlı bir kimlik doğrulama bileşeni olduğu vurgulanmıştır. Davalı operatörün istinaf başvurusu oybirliğiyle esastan reddedilmiş, rücu alacağına hükmeden ilk derece kararı korunmuştur.
İstanbul Bölge Adliye Mahkemesi 3. Hukuk Dairesi, E. 2024/955, K. 2025/1851, 09.07.2025
Operatör ve bayi, haksız fiil faili ile birlikte tam kusurludur. Banka müşterisinin hattına ait SIM kart iki kez değiştirilmiş, gelen tek kullanımlık şifre ile 23.000 TL havale edilmiş ve para çekilmiştir. Daire, alınan bilirkişi raporlarına dayanarak “sim kart değişimi ile gerçekleşen banka zararı arasında doğrudan teknik bir illiyet bağı bulunmaktadır” tespitini yapmış; olay tarihi itibarıyla bankanın güvenlik önlemlerinin dönemin sektörel normlarına uygun olduğunu, buna karşılık “işlemde kullanılan sahte kimlik belgesinin iğfal kabiliyetinin bulunduğu hususunun davalılar tarafından ispat edilemediği”ni belirlemiştir. Karara göre bayinin kimlik kontrolü yapmaması hâlinde “operatör de ifa yardımcısının kusurundan dolayı sorumluluk altına girebilir”. Daire, TBK m.61’e dayanarak operatör ile bayinin haksız fiil faili ile birlikte tam kusurlu olduklarını, aralarında kusur ayrıştırması yapılamayacağını ve zarardan eşit oranda sorumlu olduklarını kabul ederek ilk derece kararını kaldırmış; failden 45.570,10 TL, operatör ve bayiden ise tekerrüre sebebiyet vermemek kaydıyla 22.785,05 TL’nin tahsiline oybirliğiyle ve kesin olarak karar vermiştir.
İstanbul Bölge Adliye Mahkemesi 13. Hukuk Dairesi, E. 2023/117, K. 2023/352, 02.03.2023
Operatör ağır ve asli, banka tali kusurludur; zararın artmasına yol açan banka TBK m.52 ile cezalandırılır. Banka müşterisinin SIM kartının kopyalanması sonucu hesabından 80.000 TL havale edilmiş; müşteriye ödenen tutar faiz ve giderlerle 172.962,26 TL’ye ulaşmıştır. Daire, bilirkişi tespitlerine dayanarak; abone merkezinde yeni SIM kart “gerçek hat abonesinin kimlik fotokopisini sunan yetkisiz kişiye verilmemiş olsaydı” işlem onay şifresinin dolandırıcıların eline geçmeyeceğini, dolayısıyla “davalının ifa yardımcısı sayılan abone merkezinin kimlik kontrolündeki eylemi ile ortaya çıkan zarar arasında illiyet bağının bulunduğunu” ve SIM değişikliğini onaylayıp hattı aktif hâle getirenin de operatör olduğunu belirtmiştir. Karara göre “GSM operatörünün görevinin içeriği ne olursa olsun gönderilen kısa mesajı (SMS) yetkisiz bir kişiye değil, gerçek GSM hattı abonesine iletmek olduğu” gözetildiğinde operatör ağır ve asli kusurlu (%75), banka ise gerekli tedbirleri almadığı için tali kusurludur (%25). Daire ayrıca, bankanın müşterisinin zararını zamanında gidermeyerek kendi zararının artmasına yol açtığını tespit ederek TBK m.52 uyarınca gerçek zararı 80.000 TL olarak belirlemiş ve davanın kısmen kabulüyle 60.000 TL’ye kesin olarak hükmetmiştir.
Diyarbakır Asliye Ticaret Mahkemesi, E. 2025/906, K. 2026/467, 29.04.2026
SIM swap artık kripto varlıkları da hedefliyor; operatör ve platform birlikte sorumlu. Davacının hattına ait SIM kart yetkisiz biçimde değiştirilmiş ve kripto varlık platformundaki hesabından tüm varlıklar çekilmiştir. Mahkeme iki ayrı sorumluluk halkası kurmuştur. Operatör bakımından; SIM kart gibi kritik değişikliklerde “talepte bulunan kişinin abonelik sözleşmesinin gerçek tarafı olup olmadığını tespit etmek açısından başkaca güvenlik tedbirlerini alması gerektiği halde” bayi tarafından nüfus cüzdanı aslının görülüp görülmediğinin ve ıslak imzalı talebin kimlik kartı okutularak alınıp alınmadığının belli olmadığı; bayinin kusurlu olduğu ve “yetkili bayi ve satıcısının eylem ve işlemlerinden yasa gereğince” operatörün de sorumlu bulunduğu tespit edilmiştir. Platform bakımından ise; hesaba “tamamen yeni bir cihaz ve yeni bir IP üzerinden giriş yapıldıktan çok kısa bir süre sonra hesaptaki tüm varlıkların çekilmek istenmesinin riskli bir anomali (şüpheli işlem) olarak tespit edip güvenlik blokesi koyamaması” nedeniyle risk tespit mekanizmalarının yetersiz kaldığı belirlenmiştir. Mahkeme davanın kabulüne ve 293.635,98 TL’nin davalılardan müştereken ve müteselsilen tahsiline karar vermiştir.
Bu dört karar birlikte okunduğunda, SIM swap dosyalarının yirmi yıllık bir içtihat birikimi üzerine oturduğu ve bu birikimin üç sabit ilkeye indirgenebileceği görülür.
Birinci ilke — illiyet bağı teknik olarak kurulur. Dört kararda da aynı mantık yürütülür: SIM değişikliği yapılmasaydı OTP dolandırıcının eline geçmeyecek, dolayısıyla işlem gerçekleşmeyecekti. Bu, operatörün savunmasında sıkça ileri sürülen “biz sadece SMS altyapısı sağlıyoruz, internet bankacılığıyla ilgimiz yok” argümanını daha baştan geçersiz kılar. Mahkemelerin ifadesiyle operatörün görevi, içeriği ne olursa olsun mesajı gerçek aboneye iletmektir; mesajın bankacılık işlemine ilişkin olması bu görevi değiştirmez, yalnızca ihlalin sonucunu ağırlaştırır.
İkinci ilke — bayi savunması işlemez. Operatörler düzenli olarak “işlemi bağımsız bir bayi yaptı” savunmasına başvurur. Kararlar bunu iki gerekçeyle reddeder: bayi ifa yardımcısıdır ve bayilik sözleşmesi üçüncü kişileri bağlamaz; ayrıca değişikliği onaylayıp hattı aktif eden operatörün kendi sistemidir. 09.07.2025 tarihli karar bunu bir adım öteye taşıyıp operatöre bayilerini denetleme ve sistemini suistimalleri engelleyecek şekilde kurma yükümlülüğü yükler.
Üçüncü ilke — ispat yükü operatördedir. Belirleyici soru, kullanılan sahte kimliğin basit bir incelemeyle fark edilip edilemeyeceğidir ve bunu ispat yükü operatöre aittir. 13.05.2026 tarihli karar, bu ispatın pratikte nasıl çöktüğünü çok somut biçimde gösterir: bir ay arayla iki farklı tarihli kimlik fotokopisi, birinde “aslı görülmüştür” kaydının bulunmaması ve fotoğraf uyumsuzluğu. Bu tür bir dosyada operatörün kusursuzluk savunması ayakta kalmaz.
Kusur dağılımı ise sabit değildir ve olayın tarihi ile bankanın o tarihteki güvenlik standardına bağlıdır. Eski tarihli olaylarda banka, yeterli güvenlik önlemi almadan internet bankacılığını kullanıma açmış olması nedeniyle tali kusurlu sayılmakta ve tipik dağılım %75 operatör / %25 banka olmaktadır. Buna karşılık 09.07.2025 tarihli kararda bankanın önlemlerinin dönemin normlarına uygun bulunması, kusurun tamamen operatör, bayi ve fail üzerinde toplanması sonucunu doğurmuştur. Savunma ve talep bu nedenle olay tarihindeki sektörel standart üzerinden kurulmalıdır.
Son olarak 29.04.2026 tarihli karar, tehdidin evrildiğini göstermesi bakımından önemlidir: SIM swap artık yalnızca banka hesaplarını değil kripto varlık hesaplarını da hedeflemekte ve sorumluluk zinciri operatörden platforma uzanmaktadır. Karar, platformdan da bankalarınkine benzer bir anomali tespit yükümlülüğü beklemekte — yeni cihaz ve yeni IP’den girişin hemen ardından bakiyenin tamamının çekilmek istenmesini, güvenlik blokesi konulmasını gerektiren şüpheli işlem saymaktadır. Bu, kripto platformları bakımından önümüzdeki dönemin ana tartışma başlığı olacaktır.
Sık yapılan hatalar
| Hata | Sonucu | Doğrusu |
|---|---|---|
| Hat kesildiğinde sadece “arıza” sanıp beklemek | Dolandırıcıya saatler kazandırılır | Hattın çekmemesi ani ve açıklanamazsa derhâl operatör ve banka aranmalıdır |
| Operatörden SIM değişikliği belgelerini istememek | Kusur somutlaştırılamaz | Talep formu, ibraz edilen kimlik fotokopisi, bayi bilgisi ve aktivasyon saati yazılı olarak istenmelidir |
| Yalnızca bankaya dava açıp operatörü dışarıda bırakmak | Asli kusurlu taraf dosyada yer almaz | Zarar gören abone bankaya, ödeme yapan banka operatöre rücu eder; iki dosya birlikte takip edilmelidir |
| “Bayi yaptı” savunmasını kabul etmek | Operatörün sorumluluğu tartışılmadan kalır | Bayi ifa yardımcısıdır; bayilik sözleşmesi üçüncü kişileri bağlamaz |
| Kimlik belgesi karşılaştırması yapmamak | İğfal kabiliyeti tartışması boşa çıkar | Fotoğraf, imza, seri numarası ve düzenleme tarihi kendi kimliğinizle karşılaştırılmalıdır |
| Banka olarak müşteri zararını geciktirmek | TBK m.52 uyarınca tazminat indirilebilir | Zarar zamanında giderilip kusur oranında rücu edilmelidir |
SIM swap (SIM kart kopyalama) nedir?
Dolandırıcının, sahte kimlik veya belge kullanarak abonenin GSM hattına ait SIM kartı yenilettirmesi ya da hattı taşıtmasıdır. Yeni SIM aktive edildiğinde gerçek abonenin hattı kapanır ve bankaların gönderdiği tek kullanımlık şifreler dolandırıcının eline geçer. Böylece internet bankacılığındaki iki bileşenli doğrulamanın “sahip olunan” bileşeni devre dışı kalır.
GSM operatörü sorumlu tutulabilir mi?
Evet. Yargıtay 11. Hukuk Dairesinin yerleşik içtihatlarına göre, SIM kart kopyalama ya da yedekleme suretiyle yapılan dolandırıcılıklar nedeniyle oluşan zararlardan bankalar yanında kimlik doğrulama hususunda gerekli özeni göstermeyen GSM şirketleri de sorumludur. GSM şirketleri de bankalar gibi imtiyaz ve lisansla faaliyet gösterdiğinden daha ağır bir özen standardına tabidir.
Operatör “işlemi bayi yaptı” derse ne olur?
Bu savunma kabul edilmemektedir. Yetkilendirilmiş abone merkezi/bayi operatörün ifa yardımcısıdır; ayrıca SIM değişikliğini onaylayıp hattı derhâl aktif hâle getiren operatörün kendisidir. Bayilik sözleşmesi de üçüncü kişileri bağlamaz. Operatörün ayrıca bayilerini denetleme ve sistemini suistimalleri engelleyecek şekilde kurma yükümlülüğü vardır.
Kusur oranları nasıl belirleniyor?
Olayın tarihine ve tarafların o tarihteki güvenlik uygulamalarına göre değişir. Bankanın güvenlik önlemlerinin yetersiz kaldığı dosyalarda tipik dağılım %75 operatör / %25 banka olmaktadır. Bankanın önlemlerinin dönemin sektörel normlarına uygun bulunduğu dosyalarda ise operatör ve bayi, haksız fiil faili ile birlikte tam kusurlu sayılıp zarardan eşit oranda sorumlu tutulabilmektedir.
Sahte kimliğin fark edilemeyeceğini operatör ileri sürebilir mi?
Sürebilir, ancak ispat yükü operatördedir. Kullanılan sahte kimlik belgesinin iğfal (aldatma) kabiliyetinin bulunduğu, yani basit bir incelemeyle sahteliğinin anlaşılamayacağı ispat edilemezse özen yükümlülüğünün ihlal edildiği kabul edilir. Fotokopide “aslı görülmüştür” kaydının bulunmaması, fotoğraf ve imza uyumsuzluğu gibi olgular bu savunmayı çürütür.
Kime karşı dava açmalıyım?
Zarar gören abone, mevduatı iade yükümlülüğü bulunan bankaya karşı dava açar. Müşterisine ödeme yapan banka ise TBK m.167 uyarınca GSM operatörüne rücuen tazminat davası açar. Dolandırıcılığı gerçekleştiren kişi haksız fiil faili olarak ayrıca sorumludur. TBK m.61 uyarınca aynı zarardan çeşitli sebeplerle sorumlu olanlar hakkında müteselsil sorumluluk hükümleri uygulanır.
Kripto hesabım SIM swap ile boşaltıldı; platform sorumlu mu?
Bir yerel mahkeme kararında, hesaba tamamen yeni bir cihaz ve yeni bir IP üzerinden giriş yapıldıktan kısa süre sonra tüm varlıkların çekilmek istenmesinin riskli bir anomali (şüpheli işlem) olarak tespit edilip güvenlik blokesi konulamaması nedeniyle kripto varlık platformunun da GSM şirketiyle birlikte müştereken ve müteselsilen sorumlu tutulduğu görülmektedir. Ayrıca 6362 sayılı Kanun m.35/C uyarınca platformların sorumluluğunu sınırlandıran sözleşme şartları geçersizdir.
Mobil imzam kullanılarak işlem yapıldıysa ne olur?
5070 sayılı Elektronik İmza Kanunu m.13 uyarınca elektronik sertifika hizmet sağlayıcısı, Kanun veya yönetmelik hükümlerinin ihlali suretiyle üçüncü kişilere verdiği zararları tazminle yükümlüdür ve kusursuzluğunu ispat edemezse sorumluluktan kurtulamaz. İhlal, istihdam ettiği kişilerin davranışına dayansa bile kurtuluş kanıtı getirilemez. Sorumluluğu kaldıran veya sınırlandıran her türlü şart geçersizdir.
Banka müşterisinin zararını geciktirirse bir sonucu olur mu?
Evet. Bir Bölge Adliye Mahkemesi kararında, sorumluluğunu kabul etmeyip müşterisinin zararını zamanında gidermeyen ve böylece kendi zararının da artmasına yol açan banka bakımından TBK m.52 uygulanmış; gerçek zarar, faiz ve giderlerle şişmiş tutar yerine asıl zarar üzerinden belirlenerek rücu talebi bu ölçüde sınırlandırılmıştır.
Kendimi nasıl korurum?
Operatörünüzden hat üzerinde işlem kısıtı/güvenlik şifresi tanımlanmasını isteyebilir, SIM değişikliği ve hat taşıma taleplerinde ek doğrulama talep edebilirsiniz. Bankacılıkta SMS yerine uygulama tabanlı doğrulama veya mobil imza gibi ek katmanlar tercih edilmeli, hattın aniden çekmemesi hâlinde vakit kaybetmeden operatör ve banka aranmalıdır.
İlgili mevzuat
- 6098 sayılı Türk Borçlar Kanunu m.49-50 (haksız fiil ve ispat), m.52 (zararın artmasında zarar görenin etkisi), m.61 (müteselsil sorumluluk), m.66 (adam çalıştıranın sorumluluğu), m.72 (zamanaşımı), m.112 (borcun ifa edilmemesi), m.116 (ifa yardımcısının fiilinden sorumluluk), m.167 (rücu)
- 6102 sayılı Türk Ticaret Kanunu m.18/2 (basiretli iş adamı gibi hareket etme)
- 5411 sayılı Bankacılık Kanunu m.61 (mevduatın iadesi)
- 5070 sayılı Elektronik İmza Kanunu m.5 (imzanın hukuki sonucu), m.13 (hukuki sorumluluk)
- 5809 sayılı Elektronik Haberleşme Kanunu ve BTK’nın abonelik ile tüketici haklarına ilişkin düzenlemeleri
- Bankaların bilgi sistemleri yönetimine ilişkin düzenlemeler (iki bileşenli kimlik doğrulama)
- 5237 sayılı Türk Ceza Kanunu m.142/2-e, m.158/1-f, m.245; 5271 sayılı Ceza Muhakemesi Kanunu m.128/A
İlgili diğer yazılarımız için oltalama (phishing) dolandırıcılığı, bilişim sistemlerinin kullanılması suretiyle hırsızlık, kripto varlık hizmet sağlayıcıları ve MASAK blokesi ve banka hesabına elkoyma başlıklarına bakabilirsiniz.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş veya tavsiye niteliği taşımaz. SIM swap dosyalarında sonuç, işlem belgelerine, olay tarihindeki güvenlik standartlarına ve bilirkişi incelemesine göre değişir. Somut durumunuz için dosyanızın bir avukat tarafından incelenmesi gerekir.