Uzaktan Erişim Programıyla Yapılan Banka Transferlerinde Bankanın Sorumluluğu ve Banka Kayıtları

Uzaktan erişim programı kullanılarak gerçekleştirilen banka transferlerinde sonucun tek belirleyicisi, işlemin müşterinin kayıtlı telefonundan yapılması veya doğru şifreyle onaylanmış görünmesi değildir. İncelenmesi gereken temel mesele; her transferin gerçekten hesap sahibinin iradesine dayanıp dayanmadığı, kimlik doğrulama ve işlem güvenliği kontrollerinin nasıl çalıştığı, işlem örüntüsünün olağan dışı olup olmadığı ve bankanın riskli işlemleri izleme yükümlülüğünü yerine getirip getirmediğidir.

Buna karşılık müşterinin dolandırıcının yönlendirmesiyle uzaktan erişim yazılımı kurması, erişim kimliğini paylaşması veya güvenlik bilgilerini üçüncü kişilere vermesi de hukuken önemsiz değildir. Bu davranışlar somut olayın özelliklerine göre ağır ihmal olarak değerlendirilebilir. Ancak müşteri kusurunun bulunması, bankanın elektronik bankacılık güvenliği ve olağan dışı işlem takibi bakımından ayrıca incelenmesine engel değildir. Aynı olayda hem müşteri hem banka yönünden kusur değerlendirmesi yapılması mümkündür.

Uzaktan erişim programıyla banka dolandırıcılığı nasıl gerçekleşir?

Uzaktan erişim veya ekran paylaşımı yazılımları, kullanıcının telefonuna ya da bilgisayarına başka bir cihazdan erişilmesini ve bazı durumlarda cihazın uzaktan kontrol edilmesini sağlar. Dolandırıcılık senaryolarında kişi çoğu kez kendisini banka çalışanı, teknik destek görevlisi, yatırım danışmanı veya başka bir güvenilir kişi gibi tanıtan fail tarafından yönlendirilir. Mağdurdan bir uygulama indirmesi, uygulamadaki bağlantı veya erişim kodunu paylaşması ve bankacılık uygulamasını açması istenir.

Bu yöntemin delil bakımından önemli özelliği şudur: Saldırgan bankacılık uygulamasını mağdurun kendi cihazı üzerinden kontrol edebilir. Bu nedenle bankanın kayıtlarında yabancı bir cihazdan giriş yapılmamış olması veya işlemlerin müşterinin daha önce kullandığı telefondan gerçekleştirilmiş görünmesi, tek başına işlemleri müşterinin yaptığı sonucunu doğurmaz. Aynı şekilde IP adresi, cihaz eşleşmesi veya doğru parola kullanılması da tek başına yeterli değildir; oturumun ve her bir transferin bütün işlem akışı birlikte değerlendirilmelidir.

Transferin “yetkilendirilmiş” olup olmadığı neden ilk sorudur?

6493 sayılı Kanun kapsamında bankalar ödeme hizmeti sağlayıcısıdır. Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmeliğin 52. maddesine göre bir ödeme işlemi, gönderenin ödeme hizmeti sağlayıcısıyla kararlaştırılan yöntem ve prosedüre uygun biçimde onay vermesiyle yetkilendirilmiş sayılır. Kararlaştırılan yönteme uygun olarak onaylanmayan işlem ise yetkilendirilmemiş işlemdir.

Bu nedenle uzaktan erişim olayları tek bir kategoriye konulamaz. Failin cihazı uzaktan kontrol ederek alıcıyı tanımladığı, tutarı girdiği ve transferi müşterinin gerçek işlem iradesi olmadan sonuçlandırdığı senaryo ile müşterinin hileli anlatıma inanmasına rağmen bankanın gösterdiği alıcı ve tutar bilgilerini görerek transferi bizzat onayladığı senaryo aynı değildir. İkinci durumda işlemin ödeme hizmetleri hukuku bakımından “yetkilendirilmiş” sayılıp sayılmayacağı, kullanılan onay mekanizmasının ve somut işlem akışının ayrıntılarına göre belirlenir.

Bu ayrım, “dolandırıldım” iddiasını önemsiz hâle getirmez. Hileli yönlendirme ceza hukuku bakımından ayrıca değerlendirilir; bankanın güvenlik, izleme ve kayıt yükümlülükleri de bağımsız olarak incelenir. Ancak bankadan iade talebinin hukuki temelini doğru kurabilmek için önce hangi transferlerin gerçekten müşteri onayına dayandığının teknik kayıtlarla ortaya konulması gerekir.

Yetkilendirilmemiş işlemde ispat yükü kime aittir?

Ödeme Hizmetleri Yönetmeliğinin 54. maddesi bu konuda özel bir ispat kuralı getirir. Müşteri bir ödeme işlemini yetkilendirmediğini veya işlemin doğru gerçekleşmediğini ileri sürdüğünde; işlemin müşteri tarafından onaylandığını, doğru kaydedildiğini, hesaplara işlendiğini ve ödeme hizmetindeki teknik arıza veya sorundan etkilenmediğini ispat yükümlülüğü ödeme hizmeti sağlayıcısına aittir.

Aynı maddeye göre müşteri, yetkilendirmediği veya hatalı gerçekleşmiş işlemi öğrendiği andan itibaren gecikmeksizin bildirim yaparak düzeltme isteyebilir. Düzeltme talebi kural olarak işlemin gerçekleşmesinden itibaren en geç on üç ay içinde yapılır. Bu süre, bankaya bildirim ve ödeme işleminin düzeltilmesi rejimine ilişkindir; olası dava veya diğer başvuru süreleriyle aynı kavram değildir.

İşlemin müşteri tarafından yetkilendirilmeden gerçekleştiği ispatlanırsa, Yönetmelik ödeme hizmeti sağlayıcısına işlem tutarını iade etme veya borçlandırılan ödeme hesabını eski durumuna getirme yükümlülüğü öngörür. Bununla birlikte müşterinin ödeme aracını hileli kullanması veya güvenlik yükümlülüklerini kasten ya da ağır ihmalle ihlal etmesi hâlinde sorumluluk değerlendirmesi değişir. Uzaktan erişim programının kurulması ve güvenlik bilgilerinin paylaşılması bu nedenle dosyanın kritik olgularındandır.

Bankanın elektronik bankacılık güvenliği bakımından hangi yükümlülükleri vardır?

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, uzaktan erişim dolandırıcılığı bakımından özellikle kimlik doğrulama, işlem güvenliği, iz kayıtları ve riskli işlemlerin takibi yönünden önem taşır.

Kimlik doğrulama ve mobil cihaz güvenliği

Yönetmeliğin 34. maddesi, elektronik bankacılık hizmetlerinde kural olarak birbirinden bağımsız en az iki bileşenli kimlik doğrulamayı esas alır. Ayrıca bankaların müşterilere günlük işlem limitleri, güvenli alıcı listeleri ve benzeri ilave güvenlik önlemleri sunmasını düzenler. Aynı maddenin mobil cihazlara ilişkin hükümleri, bankacılık uygulamalarının kullandığı hassas verilerin diğer uygulama ve süreçlerce erişilemez olmasını sağlayacak önlemleri ve mobil cihazın ele geçirilmesi ya da güvenilirliğinin bozulması gibi riskleri azaltmaya yönelik günün teknolojisine uygun kontrolleri öngörür.

Bu düzenleme, bankanın her uzaktan erişim uygulamasını mutlaka ve her koşulda tespit etmek zorunda olduğu şeklinde yorumlanmamalıdır. Hukuki incelemede asıl mesele, bankanın yürürlükteki güvenlik yükümlülüklerine uygun kontroller kurup kurmadığı ve somut olayda bu kontrollerin ne şekilde çalıştığıdır.

İnkâr edilemezlik ve güvenilir iz kayıtları

Yönetmeliğin 35. maddesine göre banka, elektronik bankacılık işlemlerinde hem banka hem müşteri yönünden inkâr edilemezliği ve sorumluluk atamayı mümkün kılacak teknikler kullanmalı; bu tekniklerin ürettiği iz kayıtları güvenilir delil elde etmeye elverişli olmalıdır. Bu nedenle “sistemde işlem başarılı görünüyor” şeklindeki genel bir kayıt, uyuşmazlığın tamamını açıklamak için çoğu zaman yeterli değildir. İşlem bazlı ve oturum bazlı kayıtların incelenmesi gerekir.

Olağan dışı ve dolandırıcılık riski taşıyan işlemlerin takibi

Yönetmeliğin 36. maddesi bankalara elektronik bankacılık hizmetlerinde olağan dışı, sahtekârlık amaçlı veya dolandırıcılık riski taşıyan işlemleri tespit ve önlemeye yönelik işlem takip mekanizmaları kurma yükümlülüğü getirir. Düzenlemede; bilinen dolandırıcılık yöntemleri, işlemin tutarı, müşterinin konumu, normal dışı ödeme veya fon transferi davranışları, ele geçirilmiş kimlik doğrulama unsurları ve kimlik doğrulama oturumunda zararlı yazılım bulunabileceğini gösteren belirtiler izlenecek risk unsurları arasında sayılır.

Banka ayrıca riskli işlemleri filtreleyerek değerlendirmeli ve riskli işlem tespit edildiğinde müşterinin uygun yöntemlerle en kısa sürede uyarılmasını sağlamalıdır. Uzaktan erişim dolandırıcılığında art arda yeni alıcılara transfer yapılması, kısa sürede varlık bozulması ve para çıkışı, müşterinin alışılmış davranışından belirgin sapma veya aynı oturumda olağan dışı sayıda işlem yapılması bu bakımdan bilirkişi incelemesinde önem kazanabilir.

Uzaktan erişim programını müşterinin kurması bankanın sorumluluğunu ortadan kaldırır mı?

Hayır; bu olgu tek başına otomatik bir sonuç doğurmaz. Müşterinin dolandırıcının talimatıyla yazılım kurması, erişim kodu veya bankacılık güvenlik bilgilerini paylaşması ağır ihmal tartışmasını güçlendirebilir. Buna karşılık bankanın olağan dışı işlemleri izleme, riskli işlem örüntülerini değerlendirme, güvenilir iz kayıtları oluşturma ve elektronik bankacılık güvenliğini sağlama yükümlülükleri ayrıca incelenir.

Bu yaklaşımın güncel bir örneği Yargıtay 11. Hukuk Dairesinin 2 Ekim 2025 tarihli, E. 2025/724, K. 2025/5873 sayılı kararıdır. Karara konu olayda müşteri, kendisini banka görevlisi olarak tanıtan kişinin yönlendirmesiyle telefonuna uzaktan erişim programı yüklemiş ve erişim bilgisini paylaşmıştır. Aynı cihaz üzerinden altın bozma işlemleri ile kısa süre içinde birden fazla havale gerçekleştirilmiştir.

İlk derece mahkemesi müşterinin davranışını ağır ihmal olarak değerlendirirken, bankanın da kısa sürede gerçekleşen olağan dışı işlem zincirini Yönetmeliğin 36. maddesi kapsamında algılayıp önlem alması gerektiği sonucuna varmıştır. Somut olayda müşteriye yüzde 60, bankaya yüzde 40 kusur verilmiş; istinaf kararı Yargıtay tarafından onanmıştır. Bu oranlar genel bir kural değildir. Kararın önemi, uzaktan erişim yazılımının kurulmuş olmasının bankanın işlem izleme yükümlülüğünü kendiliğinden ortadan kaldırmadığını göstermesidir.

İşlemlerin müşterinin kendi telefonundan yapılması neyi ispatlar?

Müşterinin kayıtlı cihazıyla işlem yapılması önemli bir teknik veridir; ancak uzaktan erişim senaryosunda tek başına fiili kullanıcıyı göstermez. Saldırgan, mağdurun telefonunu uzaktan kontrol ederek bankacılık uygulamasını yine aynı cihaz üzerinde kullanabilir. Bu nedenle cihaz kaydı, IP ve telefon numarası ile birlikte uzaktan erişim yazılımının kurulum zamanı, uygulama kullanım kayıtları, ekran paylaşımı veya erişim izinleri, bankacılık oturum zamanı ve transferlerin sırası karşılaştırılmalıdır.

Özellikle yeni bir alıcı tanımlanması, güvenli alıcı eklenmesi, işlem limitinin değiştirilmesi, mevduat veya yatırım varlığının bozulması ve hemen ardından para transferi yapılması gibi işlemlerin aynı oturumda veya çok kısa aralıklarla gerçekleşmesi önemlidir. Banka kayıtlarında bu adımlar ayrı ayrı görünüyorsa, sadece son para transferine bakılması olayın teknik bütünlüğünü kaçırabilir.

Uzaktan erişim dolandırıcılığında hangi banka kayıtları istenmelidir?

Her banka aynı veri alanlarını aynı adla tutmayabilir. Bu nedenle uyuşmazlıkta talep, yalnızca “IP kayıtları” gibi tek bir veri başlığına sıkıştırılmamalıdır. Mahkeme ve bilirkişi incelemesinde bankanın olay tarihindeki elektronik bankacılık mimarisine göre hangi iz kayıtlarını tuttuğu, risk motorunun hangi sinyalleri değerlendirdiği ve hangi uyarıların üretildiği somutlaştırılmalıdır.

Telefon veya bilgisayar üzerindeki hangi deliller korunmalıdır?

Banka kayıtları kadar mağdurun cihazındaki teknik veriler de önemlidir. Uzaktan erişim uygulamasının adı, kurulum ve kaldırılma zamanı, uygulama mağazası geçmişi, uygulamaya verilen ekran paylaşımı veya erişilebilirlik izinleri, faille yapılan telefon görüşmeleri, SMS ve mesajlaşmalar, uygulamada görünen erişim kimliği, varsa ekran görüntüleri ve banka bildirimleri korunmalıdır.

Olaydan hemen sonra cihazı fabrika ayarlarına döndürmek, bazı teknik izlerin kaybolmasına neden olabilir. Güvenlik riski devam ediyorsa bankacılık erişiminin temiz bir cihazdan kapatılması veya şifrelerin değiştirilmesi gerekir; ancak delil niteliği taşıyabilecek cihaz verilerinin mümkün olduğunca korunması ayrıca değerlendirilmelidir. Ceza soruşturması yönünden genel delil ve başvuru adımları için dolandırıcılık mağduru için hukuki yol haritası ayrıca incelenebilir.

Bankaya bildirim yapılırken nelere dikkat edilmelidir?

İlk bildirimde işlemlerin yetkilendirilmediği açıkça belirtilmeli; işlem tarihi, saat, tutar, alıcı hesap ve mümkünse işlem numaraları tek tek listelenmelidir. Yalnızca çağrı merkezine sözlü bildirimle yetinmek yerine, bankanın sağladığı yazılı veya uzaktan iletişim kanalı üzerinden kayıt oluşturmak ispat bakımından yararlıdır. Ödeme Hizmetleri Yönetmeliği de bildirimlerin yazılı veya uzaktan iletişim aracıyla yapılmasını ve bunlara ilişkin kayıtların saklanmasını esas alır.

Bildirimde elektronik bankacılık erişiminin ve ilgili ödeme araçlarının güvenli hâle getirilmesi, henüz sonuçlanmamış işlemler varsa durdurulması, transferlerin geri çağrılması veya alıcı banka nezdinde mümkün olan koruyucu işlemlerin değerlendirilmesi istenebilir. Bununla birlikte para iadesinin mümkün olup olmadığı işlem türüne, paranın alıcı hesaptaki durumuna, bankalar arası süreçlere ve somut olayın zamanlamasına bağlıdır.

Banka uyuşmazlığında bilirkişi incelemesi nasıl yapılmalıdır?

Sağlıklı bir bilirkişi incelemesi, sadece “şifre doğru girilmiştir” veya “işlem müşterinin cihazından yapılmıştır” tespitleriyle sınırlı kalmamalıdır. İnceleme; bankacılık ve bilgi sistemleri boyutunu birlikte değerlendirmeli, işlem akışını saniye veya dakika düzeyinde kronolojik olarak kurmalı ve her adımın hangi doğrulama unsuruyla tamamlandığını göstermelidir.

Özellikle şu soruların yanıtlanması gerekir: Uzaktan erişim uygulaması olay sırasında aktif miydi? Bankacılık uygulaması aynı oturumda mı kullanıldı? Yeni alıcı veya limit değişikliği yapıldı mı? Transferler müşterinin geçmiş işlem davranışından sapıyor muydu? Bankanın risk izleme sistemi herhangi bir alarm üretti mi? Ürettiyse banka ne yaptı? Müşteriye hangi içerikte ve ne zaman bildirim gönderildi? Banka kayıtları, cihaz kayıtları ve telekomünikasyon verileri birbiriyle uyumlu mu?

Ceza soruşturması ile bankadan para iadesi talebi aynı süreç midir?

Hayır. Failin dolandırıcılık veya başka bir bilişim suçu işleyip işlemediğine ilişkin ceza soruşturması ile bankanın ödeme hizmetleri ve elektronik bankacılık mevzuatından doğan sorumluluğu farklı hukuki sorulardır. Ceza dosyasındaki telefon, IP, hesap hareketi ve cihaz incelemeleri hukuk uyuşmazlığında delil değeri taşıyabilir; ancak ceza soruşturmasının varlığı bankadan otomatik iade sonucu doğurmaz.

Aynı şekilde bankaya karşı tüketici veya hukuk yoluna başvurulması da fail hakkında ceza soruşturmasının yerine geçmez. Uygulamada iki sürecin delil ihtiyaçları kesiştiği için banka kayıtlarının, savcılık yazışmalarının ve cihaz incelemelerinin birbirini tamamlayacak şekilde takip edilmesi önem taşır.

Bankaya karşı hangi başvuru yolu kullanılabilir?

Hesap sahibi gerçek kişi işlemi ticari veya mesleki olmayan amaçla yapmışsa uyuşmazlık tüketici işlemi niteliği taşıyabilir. 6502 sayılı Tüketicinin Korunması Hakkında Kanunun 73. maddesi tüketici işlemlerinden doğan davalarda tüketici mahkemelerini görevli kılar. 73/A maddesi ise tüketici mahkemesinde görülecek uyuşmazlıklarda, kanundaki istisnalar saklı kalmak üzere, dava öncesi arabuluculuğu dava şartı olarak düzenler.

2026 yılı için değeri 186.000 TL’nin altında bulunan tüketici uyuşmazlıklarında tüketici hakem heyetine başvuru yapılması gerekir. Bu parasal sınır yıllık olarak değiştiğinden, başvuru tarihinde güncel tutar yeniden kontrol edilmelidir. Tüketici hakem heyetinin görev alanı dışında kalan ve tüketici mahkemesinde görülecek uyuşmazlıklarda dava şartı arabuluculuk gündeme gelir. Ticari veya mesleki amaçla kullanılan hesaplarda ise görevli merci ve dava şartları tüketici hukukundan farklı belirlenebilir.

Uzaktan erişim dolandırıcılığında sık yapılan hukuki hatalar

• Sadece IP kaydına odaklanmak: Uzaktan erişimde fail mağdurun kendi cihazını kontrol edebileceği için IP ve cihaz kaydı tek başına yeterli değildir.
• Doğru OTP veya mobil onayı kesin irade kanıtı saymak: Hangi işlem için, hangi ekranda ve kimin fiili kontrolü altında onay verildiği ayrıca incelenmelidir.
• Uzaktan erişim programının kurulmasını bankayı tamamen sorumsuz kılan olgu saymak: Müşteri kusuru ile bankanın işlem izleme ve güvenlik yükümlülükleri ayrı ayrı değerlendirilir.
• Yalnız para transferi dekontlarını saklamak: Uygulama kurulumu, arama kayıtları, mesajlar, banka bildirimleri ve oturum kayıtları olayın nasıl gerçekleştiğini gösterebilir.
• Bankaya geç bildirim yapmak: Öğrenilen yetkisiz veya hatalı işlemin gecikmeksizin bankaya bildirilmesi gerekir; ayrıca Yönetmelikte on üç aylık düzeltme talebi süresi bulunmaktadır.
• Ceza şikâyetini para iadesiyle aynı şey sanmak: Failin cezai sorumluluğu ile bankanın özel hukuk ve ödeme hizmetleri sorumluluğu ayrı değerlendirilir.

Sıkça Sorulan Sorular

Uzaktan erişim programını ben yüklediysem bankadan hiçbir şey talep edemez miyim?

Programı müşterinin yüklemiş olması ve erişim bilgilerini paylaşması kusur değerlendirmesinde önemlidir ve somut olayda ağır ihmal kabul edilebilir. Ancak bu durum bankanın güvenlik ve olağan dışı işlem takibi yükümlülüklerini kendiliğinden ortadan kaldırmaz. Her iki tarafın davranışı birlikte incelenir.

Transfer benim telefonumdan yapılmışsa banka sorumlu olmaz mı?

Hayır, tek başına bu kayıt kesin sonuç doğurmaz. Uzaktan erişim yazılımında saldırgan mağdurun kendi telefonunu kontrol edebilir. Cihaz kaydı; oturum, doğrulama, risk izleme ve cihaz üzerindeki uzaktan erişim delilleriyle birlikte değerlendirilmelidir.

Doğru şifre veya doğrulama kodu kullanılması işlemi mutlaka yetkili hâle getirir mi?

Tek başına doğru şifre veya kod kullanılması her uyuşmazlığı çözmez. Ödeme işleminin mutabık kalınan yönteme uygun olarak gerçekten müşteri tarafından onaylanıp onaylanmadığı, onayın hangi işlem için verildiği ve fiili cihaz kontrolünün kimde olduğu incelenmelidir.

Bankaya ne kadar sürede bildirim ve düzeltme talebi yapılmalıdır?

Müşteri, yetkilendirmediği veya hatalı gerçekleşen işlemi öğrendiği anda gecikmeksizin ödeme hizmeti sağlayıcısına bildirim yapmalıdır. Ödeme Hizmetleri Yönetmeliğinde düzeltme talebi için kural olarak işlem tarihinden itibaren on üç aylık üst süre öngörülür. Dava, arabuluculuk veya diğer başvuru süreleri ayrıca değerlendirilmelidir.

Hangi kayıtlar en önemli delildir?

Tek bir kayıt yerine işlem zinciri önemlidir. Oturum logları, cihaz ve IP verileri, işlem doğrulama kayıtları, yeni alıcı ve limit değişiklikleri, risk izleme alarmları, müşteri bildirimleri, çağrı merkezi kayıtları ve cihaz üzerindeki uzaktan erişim izleri birlikte incelenmelidir.

Yargıtay uzaktan erişim olaylarında bankayı her zaman kusurlu mu buluyor?

Hayır. Kusur oranı ve sorumluluk somut olayın özelliklerine göre belirlenir. 2 Ekim 2025 tarihli Yargıtay 11. Hukuk Dairesi kararında hem müşterinin ağır ihmali hem bankanın olağan dışı işlem takibindeki ihmali birlikte değerlendirilmiştir; karardaki kusur oranı başka dosyalara otomatik olarak uygulanamaz.

Sonuç

Uzaktan erişim programıyla yapılan banka transferlerinde hukuki değerlendirme, “telefon müşterinin telefonu mu?” veya “şifre doğru mu?” sorularıyla sınırlı tutulamaz. Önce her transferin gerçekten yetkilendirilip yetkilendirilmediği, ardından müşterinin güvenlik yükümlülükleri ve bankanın kimlik doğrulama, mobil cihaz güvenliği, güvenilir iz kaydı ve olağan dışı işlem takibi yükümlülükleri birlikte incelenmelidir.

Bu tür dosyalarda en güçlü değerlendirme, banka kayıtları ile cihaz incelemesini aynı zaman çizelgesinde birleştiren değerlendirmedir. Uzaktan erişim yazılımının ne zaman kurulduğu, bankacılık oturumunun ne zaman açıldığı, hangi ayarların değiştirildiği, hangi transferlerin hangi doğrulama yöntemiyle yapıldığı ve bankanın risk sisteminin ne tepki verdiği ortaya konulmadan yalnız sonuç kaydına bakılarak sağlıklı hukuki sonuca varılması güçtür.

Bu makale genel bilgilendirme amacıyla hazırlanmış olup hukuki danışmanlık niteliği taşımaz. Somut hukuki sorunlarınız için bir avukata danışmanız gerekir.

Yazar: Av Batuhan Can ZANBAK   Yayınlanma Tarihi: 17.08.2026   Son Güncellenme Tarihi: 17.08.2026