Phishing Nedir? Oltalama Yöntemiyle Dolandırılan Mağdurların Yasal Hakları Nelerdir?

Günümüz dijital dünyasında internet bankacılığı ve mobil uygulamalar hayatımızı büyük ölçüde kolaylaştırsa da siber dolandırıcıların da yeni avlanma sahası haline gelmiştir. Son yıllarda adliyelere intikal eden siber suçların başında, tamamen kullanıcıların saflığından, panik halinden veya dikkatsizliğinden faydalanan dijital tuzaklar gelmektedir. Telefonunuza "Kargonuz adres yetersizliği nedeniyle teslim edilemedi, güncellemek için tıklayın" ya da "Banka hesabınızda şüpheli işlem tespit edildi, acil giriş yapın" şeklinde gelen acil durum içerikli sahte mesajlar bu tuzakların en somut örnekleridir. İnternet dünyasında ve siber hukukta sıkça aratılan phishing nedir sorusu, resmi kurumların ve bankaların web sitelerini birebir kopyalayarak şifrelerinizi, kart bilgilerinizi ele geçiren siber hırsızlık (oltalama) yöntemini ve bu yolla hesabı boşaltılan mağdurların bankalara karşı yasal hak arama süreçlerini ifade eder.

Yargıtay’ın en güncel içtihatları ve Türk Borçlar Kanunu hükümleri çerçevesinde; phishing yönteminin işleyişini, bankaların bu dolandırıcılıktaki yasal sorumluluk sınırlarını ve çalınan parayı geri alma yollarını inceliyoruz.

1. Phishing (Oltalama) Nedir ve Nasıl Uygulanır?

Hukuki ve teknik tanımıyla phishing; kötü niyetli üçüncü kişilerin, meşru ve resmi kurumları (özellikle bankaları, kargo şirketlerini veya e-devlet kapısını) taklit ederek kullanıcıların gizli/hassas bilgilerini ele geçirmek amacıyla uyguladıkları siber bir dolandırıcılık türüdür. Siber korsanlar bu yöntemde dijital sistemlerin açıklarından ziyade, doğrudan insan psikolojisini hedef alan "sosyal mühendislik" taktiklerini kullanırlar.

Yargıtay kararlarına göre oltalama saldırıları çoğunlukla şu iki yöntemle icra edilmektedir:

• Sahte Linkler ve Web Sayfaları: Kullanıcılara bankadan veya güvenilir bir kurumdan geliyormuş izlenimi veren sahte SMS ve e-postalar gönderilir. Bu iletilerdeki linklere tıklayan kullanıcılar, bankanın resmi internet şubesi arayüzünü birebir kopyalayan sahte (klon) sitelere yönlendirilerek giriş şifrelerini kendi elleriyle dolandırıcılara teslim ederler (Yargıtay 17. Ceza Dairesi, E. 2020/1675, K. 2020/3121).

• Casus Yazılımlar (Trojan): Gönderilen sahte linklere tıklanmasıyla kullanıcının cep telefonuna veya bilgisayarına arka planda gizlice casus yazılımlar indirilir. Bu virüsler, bankadan gelen tek kullanımlık onay şifre mesajlarını (SMS) doğrudan dolandırıcıların ekranına aktararak hesabın saniyeler içinde boşaltılmasına neden olur (Yargıtay 2. Ceza Dairesi, E. 2024/16586, K. 2025/2135).

2. Oltalama Mağdurlarının Hakları ve Bankaların Sorumluluğu

Hesabından phishing yöntemiyle bilgisi ve rızası dışında para transferi yapılan bir mağdur, "Parayı kendi elimle gönderdim/şifreyi ben kaptırdım" diyerek hakkından vazgeçmek zorunda değildir. Yargıtay, bankaları sıradan birer ticari işletme olarak değil, topluma güven veren "güven kurumları" olarak nitelendirir ve çok ağır bir sorumluluk yükler:

• Mevduatı Koruma Yükümlülüğü: Yargıtay’ın yerleşik kararlarına göre, usulsüz işlemlerle internet bankacılığından çekilen paralar doğrudan doğruya bankanın zararı niteliğindedir. Dolandırıcılık eylemi aslında müşteriye değil, bankanın güvenlik sistemine karşı gerçekleştirilmiştir. Bu nedenle mevduat sahibinin bankadaki alacağı aynen devam eder ve banka bu parayı müşteriye iade etmek zorundadır (Yargıtay 11. Hukuk Dairesi, E. 2011/4104, K. 2012/11588).

• Hafif Kusurdan Bile Sorumluluk: Bankalar, birer güven kuruluşu olarak internet bankacılığı sistemindeki güvenlik açıklarını kapatmak, gelişen oltalama yöntemlerine karşı dinamik engelleme altyapıları sağlamakla yükümlüdür. Banka, en hafif kusur veya ihmalinden dahi doğrudan sorumlu tutulur.

• İspat Yükü Bankadadır: Hesaptan çekilen paradan kurtulmak isteyen banka, dolandırıcılık olayında müşterinin "kasıtlı davrandığını", "kötü niyetli olduğunu" veya "ağır kusurlu" (şifresini bilerek paylaştığını) ispat etmek zorundadır. Banka müşterinin ağır kusurunu somut delillerle kanıtlayamadığı sürece zararın tamamını ödemekle yükümlüdür.

• Ortak (Müterafik) Kusur Durumu: Eğer mağdur, kişisel şifrelerini koruma konusunda hiçbir özen göstermemiş, gelen şifre mesajlarındaki "Bu şifreyi kimseyle paylaşmayın" uyarılarını tamamen göz ardı etmişse, mahkemelerce taraflar arasında bir kusur paylaşımı (müterafik kusur) yapılabilmekte ve zararın bir kısmı müşterinin üzerinde bırakılabilmektedir.

3. Cezai Nitelendirme ve Açılacak Davalar

Oltalama yöntemiyle haksız kazanç elde eden siber dolandırıcılara karşı süreç sadece hukuk mahkemeleriyle sınırlı kalmaz; olay aynı zamanda çok ağır hapis cezaları barındıran bir ceza davasının konusudur.

• Suç Duyurusu ve Ağır Ceza Boyutu: Phishing eylemleri, Türk Ceza Kanunu kapsamında "Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle nitelikli dolandırıcılık" (TCK m. 158/1-f) veya "Bilişim sistemine girme ve hırsızlık" (TCK m. 142/2-e) suçlarını oluşturur (Yargıtay 17. Ceza Dairesi, E. 2020/1675, K. 2020/3121). Bu suçlar şikayete tabi olmayıp kamu adına Ağır Ceza Mahkemelerinde yargılanır.

• Tazminat Davaları: Parası çalınan mağdurlar, suç duyurusunun yanı sıra, bankaya karşı Asliye Ticaret Mahkemesinde doğrudan tazminat veya icra takibine "itirazın iptali" davası açarak paranın faiziyle birlikte iadesini talep etme hakkına sahiptir.

Özetle;

Phishing nedir sorusunun yasal cevabı, bankanın korumakla yükümlü olduğu dijital sistemlerin siber korsanlarca aşılmasıdır. İnternet üzerinden bir oltalama tuzağına düşüp paranızı kaybettiyseniz, panik yapmadan derhal bankanızla iletişime geçerek hesapları bloke ettirmeli, savcılığa suç duyurusunda bulunmalı ve Yargıtay’ın bankalara yüklediği "objektif özen yükümlülüğü" ilkesine dayanarak paranızın iadesi için hukuki süreci başlatmalısınız.