SIM Kart Değişikliği Sonrası Yetkisiz Mobil Bankacılık İşlemi

SIM kart değişikliğinden sonra mobil bankacılık üzerinden para transferi yapılması, özellikle değişikliğin hesap sahibinin bilgisi dışında gerçekleştiği olaylarda, yalnızca “şifre doğru girildi” veya “SMS kodu kullanıldı” denilerek açıklanabilecek bir uyuşmazlık değildir. Hukuki değerlendirmede SIM değişikliğinin zamanı, bankanın bu değişikliği ne zaman tespit ettiği, mobil uygulamanın yeniden etkinleştirilip etkinleştirilmediği, hangi kimlik doğrulama unsurlarının kullanıldığı, varsa blokenin nasıl kaldırıldığı ve para transferlerinin olağan işlem davranışıyla uyumlu olup olmadığı birlikte incelenir.

Güncel düzenlemeler, bankalara elektronik bankacılıkta kimlik doğrulama, SIM değişikliğini tespit etme, riskli işlemleri izleme ve güvenilir iz kayıtları oluşturma yönünde somut yükümlülükler getirir. Yetkilendirilmemiş ödeme iddiasında ise işlemin gerçekten müşteri tarafından onaylanıp onaylanmadığı ayrı bir ispat sorunudur. Bu nedenle uyuşmazlığın merkezinde çoğu zaman banka dekontundan çok, banka logları, uygulama aktivasyon kayıtları, çağrı merkezi kayıtları ve GSM operatörünün SIM değişikliği belgeleri yer alır.

SIM Kart Değişikliği Sonrası Yetkisiz Banka İşleminde İlk Olarak Neye Bakılır?

İlk inceleme, işlemlerin kronolojisini çıkarmakla başlamalıdır. SIM kartın ne zaman değiştirildiği, bankanın SIM değişikliği bilgisini hangi anda aldığı, internet veya mobil bankacılık parolasının ne zaman değiştirildiği, yeni bir cihazın uygulamaya tanımlanıp tanımlanmadığı, SIM blokesinin bulunup bulunmadığı ve para transferlerinin hangi zaman aralığında gerçekleştiği aynı çizelgede görülmelidir.

Örneğin SIM değişikliğini kısa süre içinde parola sıfırlama, mobil uygulamanın yeniden aktifleştirilmesi, daha önce para gönderilmemiş bir alıcının tanımlanması ve yüksek tutarlı transferlerin izlemesi, işlemlerin birbirinden bağımsız değil tek bir olay zinciri içinde değerlendirilmesini gerektirebilir. Buna karşılık müşterinin daha önce kullandığı cihaz, olağan alıcı ve olağan işlem düzeni gibi olgular farklı bir değerlendirmeye yol açabilir. Dolayısıyla tek bir kayıt, kural olarak bütün uyuşmazlığı açıklamaz.

SIM Kart Değişikliğinde 90 Günlük Bankacılık Güvenlik Kuralı Nedir?

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik m.34, elektronik bankacılıkta kimlik doğrulama ve işlem güvenliğinin temel çerçevesini düzenler. Kural olarak bankanın, birbirinden bağımsız en az iki bileşene dayanan kimlik doğrulama mekanizması uygulaması gerekir.

SIM kart değişikliği bakımından m.34/8 daha özel bir güvenlik kuralı getirir. Banka, SIM kartını değiştiren veya numara taşıma yoluyla mobil işletmecisini değiştiren müşterilerini, Türkiye’de yerleşik mobil işletmecilerle gerekli entegrasyonu sağlayarak SMS OTP göndermeden önce belirlemelidir. Değişiklik teyit edilmediği sürece, değişiklik tarihinden itibaren 90 gün boyunca SIM karta dayalı unsur kimlik doğrulama unsuru olarak kullanılamaz.

Bu hüküm “SIM kart değiştiğinde mobil bankacılık 90 gün boyunca tamamen kapatılır” anlamına gelmez. Düzenleme, teyit edilmemiş değişiklik sonrasında SIM karta dayalı unsurun kimlik doğrulamada kullanılmasını sınırlar. Mevzuata uygun başka doğrulama yöntemleriyle işlem yapılabilmesi ayrı bir konudur. Ayrıca değişiklik teyit edilirken iki bileşenli kimlik doğrulama kullanılmaksızın gerçekleştirilen işlemlerin müşteri tarafından yapıldığını ispat yükü bankaya aittir.

SMS veya OTP Kullanılması İşlemin Müşteriye Ait Olduğunu Kanıtlar mı?

Hayır. SMS veya OTP’nin teknik olarak doğru kullanılmış olması, tek başına işlemin hesap sahibi tarafından iradi biçimde yetkilendirildiğini göstermez. Özellikle SIM değişikliği saldırısında tartışmanın kendisi, doğrulama kodunun gerçek müşterinin kontrolündeki hatta mı yoksa üçüncü kişinin ele geçirdiği yeni SIM karta mı ulaştığıdır.

Ayrıca Yönetmelik m.34/7 uyarınca, mobil bankacılık uygulamasını yükleyip aktifleştirmiş müşteriler bakımından oturum açma veya oturum içindeki bir işlemin doğrulanması için SMS OTP’nin kimlik doğrulama unsuru olarak kullanılması kural olarak yasaktır. İlk kurulum, aktifleştirme, yeniden aktifleştirme veya uygulamanın kullanılamadığı durumlara ilişkin istisnalar vardır. Somut olayda bu nedenle yalnız “SMS gönderildi” bilgisi değil, SMS’in hangi işlem aşamasında ve hangi hukuki istisnaya dayanılarak kullanıldığı belirlenmelidir.

Yetkisiz Mobil Bankacılık İşleminde İspat Yükü Kimdedir?

Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik m.54, yetkilendirilmemiş ödeme işlemleri bakımından özel hükümler içerir. Müşteri bir ödeme işlemini yetkilendirmediğini ileri sürdüğünde, işlemin müşteri tarafından onaylandığını, doğru şekilde kaydedilip hesaplara işlendiğini ve sunulan hizmetlerdeki teknik bir arıza veya sorundan etkilenmediğini ispat yükümlülüğü ödeme hizmeti sağlayıcısına aittir.

Bu kural, müşterinin hiçbir yükümlülüğünün bulunmadığı anlamına gelmez. Müşterinin ödeme aracını hileli kullanması veya güvenlik yükümlülüklerini kasten ya da ağır ihmalle ihlal etmesi, zararın paylaşımını veya sorumluluğu değiştirebilir. Bu nedenle “şifre üçüncü kişinin eline geçti” tespiti ile “müşteri ağır ihmallidir” sonucu aynı şey değildir; ağır ihmal iddiasının somut olayın delilleriyle değerlendirilmesi gerekir.

Bir başka önemli ayrım ticari hesaplardır. Yönetmeliğin m.72 hükmü, müşterinin tüketici olmadığı ödeme işlemlerinde m.54’ün bazı hükümlerinin sözleşmeyle uygulanmamasına veya farklı uygulanmasına izin verir. Bu nedenle bireysel tüketici hesabındaki ödeme hizmetleri ispat rejimi, şirket veya mesleki amaçlı hesaba otomatik olarak taşınmamalıdır. Buna karşılık BDDK Yönetmeliği m.34/8’de SIM değişikliğinin teyidi sırasında iki bileşenli doğrulama kullanılmadan yapılan işlemler için öngörülen banka ispat yükümlülüğü ayrıca incelenmelidir.

Banka Kayıtlarında Hangi Veriler İncelenmelidir?

Bu uyuşmazlıklarda “banka kayıtları” tek bir log dosyasından ibaret değildir. Bankanın olayın tamamını yeniden kurmaya elverişli kayıtları ve doğrulama zinciri incelenmelidir. Özellikle şu kayıt grupları önem taşır:

• SIM değişikliğinin banka sisteminde tespit edildiği tarih ve saat ile bu tespitin kaynağı,
• mobil bankacılık uygulamasının ilk aktivasyon veya yeniden aktivasyon kayıtları,
• parola sıfırlama, cihaz eşleştirme ve güvenlik ayarı değişikliği kayıtları,
• kullanılan kimlik doğrulama bileşenleri ve OTP’nin hangi işlem için üretildiği,
• SIM blokesi konulmuşsa blokenin hangi yöntemle ve hangi doğrulamayla kaldırıldığı,
• çağrı merkezi görüşme ve ses kayıtları,
• oturum, cihaz ve mevcutsa IP/konum gibi teknik kayıtlar,
• alıcı tanımlama, transfer tutarı ve işlem zamanlaması,
• fraud/risk takip sisteminin ürettiği uyarılar ve bankanın bu uyarılar üzerine aldığı aksiyonlar.

BDDK Yönetmeliği m.13, bilgi sistemlerinde işlem ve olaylara ilişkin etkin bir iz kayıt mekanizması kurulmasını zorunlu tutar. İz kaydının sistemi, tarih-saat-zaman dilimini, yapılan işlem veya değişikliği ve ilişkili tekil kullanıcıyı ya da sistemi gösterebilmesi gerekir. Güvenlik olaylarının sonradan incelenmesine ve güvenilir delil elde edilmesine imkân vermesi de zorunludur. Aynı maddede sayılan belirli kritik iz kayıtları için asgari beş yıllık saklama süresi öngörülmüştür. Ancak bu, bankadaki her tür verinin istisnasız beş yıl saklandığı anlamına gelmez; talep edilecek kayıt türü somutlaştırılmalıdır.

Bankanın Fraud ve Risk İzleme Yükümlülüğü Neden Önemlidir?

BDDK Yönetmeliği m.36, bankanın olağan dışı, sahtekârlık amaçlı veya dolandırıcılık riski bulunan elektronik bankacılık işlemlerini tespit edip önlemeye yönelik takip mekanizmaları kurmasını öngörür. İşlem tutarı, olağan dışı ödeme veya fon transferi davranışı, ele geçirilmiş kimlik doğrulama unsurları ve belirli oturum riskleri bu mekanizmanın dikkate alabileceği unsurlar arasındadır.

Bu nedenle uyuşmazlık sadece “doğru parola girildi mi?” sorusuna indirgenemez. SIM değişikliğinin hemen ardından şifre sıfırlanması, yeni cihazdan giriş, yeni alıcıya yüksek tutarlı transfer ve kısa zaman içinde tekrarlanan işlemler gibi göstergelerin bankanın risk mekanizmalarında nasıl işlendiği araştırılmalıdır. Riskli işlemin tespiti hâlinde müşterinin uygun yöntemlerle en kısa sürede uyarılması da Yönetmelikte düzenlenmiştir.

GSM Operatöründen Hangi SIM Değişikliği Kayıtları İstenebilir?

SIM değişikliğinin hesap sahibinin talebiyle mi yoksa sahte kimlik veya başka bir yöntemle üçüncü kişi tarafından mı gerçekleştirildiği, banka uyuşmazlığından bağımsız bir delil alanıdır. Elektronik Haberleşme Sektöründe Başvuru Sahibinin Kimliğinin Doğrulanma Süreci Hakkında Yönetmelik, elektronik ortamda düzenlenen SIM değişikliği başvurularında kimlik doğrulama ve işlem belgesi süreçlerini düzenler.

Bu kapsamda SIM değişiklik tarihi ve saati, başvurunun kanalı, işlem belgesi, uygulanan kimlik doğrulama yöntemi ve ilgili doğrulama kayıtları önem taşıyabilir. Yönetmeliğin m.11 hükmü, kendi kapsamındaki işlemlerde ispat yükünü işletmeci veya hizmet sağlayıcıya yükler. Ancak bu Yönetmeliğin 1 Mart 2022 tarihinde yürürlüğe girdiği unutulmamalıdır. Daha eski bir SIM değişikliği olayına bugünkü hükümler geriye yürütülerek uygulanmamalı; olay tarihinde yürürlükte bulunan düzenlemeler ayrıca belirlenmelidir.

Yetkisiz İşlem Bankaya Ne Zaman Bildirilmelidir?

Ödeme Hizmetleri Yönetmeliği m.54’e göre müşteri, yetkilendirmediği veya hatalı gerçekleştirildiğini düşündüğü ödeme işlemini öğrendiğinde gecikmeksizin ödeme hizmeti sağlayıcısına bildirmelidir. Düzeltme talebi kural olarak işlem tarihinden itibaren en geç on üç ay içinde yapılır. Bu nedenle “nasıl olsa 13 ay var” yaklaşımı doğru değildir; hüküm hem öğrenmeden sonra gecikmeksizin bildirim yükünü hem de kural olarak azami süreyi birlikte düzenler.

Ödeme hizmetiyle ilgili şikâyet ve itirazların, Yönetmelik m.74/1 uyarınca başvuru tarihinden itibaren yirmi gün içinde kanıtlanabilir ve gerekçeli şekilde cevaplandırılması gerekir. Başvuruda “işlem bana ait değildir” demekle yetinmek yerine SIM değişikliğinin bilginiz dışında olduğu, hangi işlemlere itiraz edildiği, varsa hattın kullanılamadığı zaman aralığı ve bankadan hangi kayıtların korunmasının istendiği açıkça yazılmalıdır.

Ceza Şikâyeti ile Bankadan Para İadesi Aynı Süreç midir?

Hayır. Yetkisiz SIM değişikliği ve banka hesabına erişim, olayın yöntemine göre ceza soruşturmasına konu olabilecek fiiller içerebilir. Ancak Cumhuriyet Başsavcılığına yapılan şikâyet, bankanın özel hukuk veya ödeme hizmetleri kaynaklı sorumluluğunun yerine geçmez; aynı şekilde ceza soruşturması açılması paranın bankaca otomatik olarak iade edileceği anlamına gelmez.

Ceza soruşturmasında failin belirlenmesi, SIM değişikliği işleminin kim tarafından yapıldığı, paranın hangi hesaplara aktarıldığı ve dijital izlerin tespiti önem taşırken; banka uyuşmazlığında kimlik doğrulama zinciri, güvenlik tedbirleri, müşteri onayı, risk izleme ve zarar öne çıkar. Genel şikâyet ve delil toplama süreci için dolandırıcılık mağdurunun hukuki yol haritası ayrıca incelenebilir.

Yargıtay SIM Kart Değişikliği Sonrası Banka İşlemlerini Nasıl Değerlendiriyor?

Yargıtay 11. Hukuk Dairesinin 23.10.2023 tarihli, E.2022/2636, K.2023/6087 sayılı kararında; üçüncü kişilerin davacı adına çıkarttıkları SIM kartı kullanarak internet şifresini yenilemesi, daha önce transfer yapılmamış hesaplara yüksek tutarlı işlemler gerçekleştirilmesi ve bu hareketlerin olağan dışı niteliği değerlendirilmiştir. Bankanın gerekli özen ve güvenlik tedbirlerini almadığı, davacının ise kusursuz olduğu yönündeki bölge adliye mahkemesi kararı onanmıştır.

Yargıtay 11. Hukuk Dairesinin 16.05.2024 tarihli, E.2023/343, K.2024/4029 sayılı kararında ise SIM değişikliği sonrasında bankacılık blokelerinin çağrı merkezi üzerinden kaldırılması ve arayan kişinin bazı doğrulama sorularına hatalı cevaplar vermesine rağmen sürecin devam etmesi önem taşımıştır. Yargıtay, bankaların sorumluluğunu kabul eden hükmü esas yönünden yerinde görmüştür.

Bu kararların olay tarihleri güncel BDDK Yönetmeliği m.34/8’in yürürlüğünden öncedir. Bu nedenle kararlar bugünkü 90 günlük SIM kuralının doğrudan uygulaması gibi sunulmamalıdır. İçtihatların güncel uyuşmazlıklara katkısı; bankanın güven kurumu niteliği, olağan dışı işlem dizisinin değerlendirilmesi, kimlik doğrulamadaki özen ve müşteri kusurunun somut delille ortaya konulması bakımındandır.

SIM Kart Değişikliği Sonrası Uyuşmazlıkta Hukuki Yol Nasıl Belirlenir?

İlk aşamada bankaya yapılacak itirazın ve delil muhafaza taleplerinin kayıtlı şekilde iletilmesi önemlidir. Bunun yanında GSM operatörüne SIM değişikliğine ilişkin başvuru ve doğrulama kayıtlarının sorulması, ceza soruşturması gerektiren bir fiil varsa adli başvurunun yapılması ve banka hesap hareketlerinin eksiksiz saklanması gerekir.

Uyuşmazlığın hangi yargı yolunda görüleceği ise hesap sahibinin sıfatına ve işlemin niteliğine bağlıdır. Bireysel tüketici işlemlerinde 6502 sayılı Tüketicinin Korunması Hakkında Kanun çerçevesinde tüketici hakem heyeti, tüketici mahkemesi ve dava şartı arabuluculuk hükümleri somut uyuşmazlığın değeri ve türüne göre değerlendirilir. Ticari veya mesleki amaçlı hesaplarda ise görev, dava şartı ve sözleşme hükümleri ayrıca incelenmelidir.

Sonuç: Yetkisiz İşlemde En Önemli Delil İşlem Zinciridir

SIM kart değişikliği sonrası yetkisiz mobil bankacılık işleminde sonuç, yalnızca SMS’in hangi numaraya gönderildiğine veya parolanın doğru girildiğine bakılarak belirlenemez. SIM değişikliği, banka entegrasyon kaydı, mobil uygulama aktivasyonu, parola değişikliği, bloke kaldırma, yeni cihaz ve alıcı kayıtları, transferler ile fraud uyarıları kronolojik olarak birlikte değerlendirilmelidir.

Güncel bankacılık düzenlemeleri SIM değişikliği bakımından özel güvenlik kuralları içerdiği gibi, yetkilendirilmemiş işlemlerde ispat yüküne ilişkin hükümler de getirir. Buna karşılık müşterinin tüketici olup olmadığı, olayın tarihi, kullanılan doğrulama yöntemi ve varsa ağır ihmal iddiası sonucu değiştirebilir. Bu nedenle somut olayın banka ve GSM kayıtları üzerinden teknik ve hukuki olarak birlikte incelenmesi gerekir.

Sık Sorulan Sorular

SIM kart değişince banka 90 gün boyunca mobil bankacılığı tamamen kapatmak zorunda mı?

Hayır. Güncel BDDK düzenlemesi, değişiklik teyit edilmedikçe 90 gün boyunca SIM karta dayalı unsurun kimlik doğrulama unsuru olarak kullanılmasını sınırlar. Bütün elektronik bankacılık hizmetlerinin 90 gün tamamen kapatılmasını öngören genel bir kural değildir.

SMS doğrulama kodunun doğru girilmiş olması bankayı sorumluluktan kurtarır mı?

Tek başına kurtarmaz. Kodun hangi aşamada kullanıldığı, SIM değişikliğinin bankaca tespit edilip edilmediği, kullanılan diğer doğrulama unsurları ve işlemin müşteri tarafından gerçekten yetkilendirilip yetkilendirilmediği birlikte değerlendirilir.

Banka log kayıtlarını kaç yıl saklar?

BDDK Yönetmeliği m.13, maddede sayılan belirli kritik iz kayıtlarının asgari beş yıl saklanmasını öngörür. Her tür banka verisi için otomatik ve tek tip beş yıllık saklama sonucu çıkarılmamalıdır.

GSM operatörü de sorumlu olabilir mi?

SIM değişikliği gerçek abonenin talebi olmadan, kimlik doğrulama veya işlem güvenliği eksikliği nedeniyle yapılmışsa GSM işletmecisinin sorumluluğu ayrıca gündeme gelebilir. Bu ihtimal, bankanın kendi güvenlik ve ispat yükümlülüklerinin de ayrıca incelenmesine engel değildir.

Bu makale genel bilgilendirme amacıyla hazırlanmış olup hukuki danışmanlık niteliği taşımaz. Somut hukuki sorunlarınız için bir avukata danışmanız gerekir.

Yazar: Av Batuhan Can ZANBAK   Yayınlanma Tarihi: 17.08.2026   Son Güncellenme Tarihi: 17.08.2026