Phishing Oltalama Hukuk Rehberi 2026 | TCK 158, Banka Sorumluluğu ve Tazminat

Phishing (Oltalama) Suçu ve Hukuki Çerçeve

Phishing, kullanıcıyı sahte web sitesi veya e-posta ile aldatarak kimlik bilgilerini ele geçirme yöntemidir. Türk hukukunda 5237 sayılı TCK m.158/1-f nitelikli dolandırıcılık (bilişim sistemlerinin araç olarak kullanılması), m.243 (bilişim sistemine girme), m.245 (banka veya kredi kartlarının kötüye kullanılması) ve m.142/2-e (hırsızlık – bilişim sistemleri kullanılarak) hükümleri uygulanır. Yargıtay 6. CD ve 11. CD içtihatları phishing fiilini m.158/1-f kapsamında değerlendirmektedir.

Mağdur Şikayeti ve Banka Sorumluluğu

Phishing mağduru derhal: bankayı bilgilendirmeli (5464 sayılı Banka Kartları ve Kredi Kartları Kanunu m.12 kapsamında 24 saat içinde bildirim), Cumhuriyet Başsavcılığına şikayet, BTK’ya bildirim, KVK Kuruluna şikayet (kişisel veri ihlali yönüyle) yapmalıdır. Banka kullanıcı kusursuz ise zararı karşılar; ancak şifre paylaşımı, sahte siteye veri girme gibi durumlar müterafık kusur olarak değerlendirilir (TBK m.52). Yargıtay 11. HD bu meselede dengeyi gözeten içtihatlar oluşturmuştur.

Tazminat Davası ve İspat Yükü

Mağdur banka aleyhine TBK m.49 haksız fiil ve TTK hükümleri kapsamında tazminat talep edebilir. İspat yükü kural olarak mağdurda olsa da ispat kolaylığı (HMK m.190) çerçevesinde banka iç kontrol ve güvenlik tedbirlerini ispat etmekle yükümlüdür. EFT/havale işlemlerinde sahte IP, anormal cihaz, anormal saat tespiti banka risk sisteminin görevidir. Yargıtay 11. HD davalarında 3D Secure, 2FA bulunmayan işlemler için banka sorumluluğu daha kolay kabul edilmiştir.

Korunma ve Önleyici Tedbirler

Mağdur olmamak için: e-posta gönderici alan adı kontrolü, URL kontrolü (https + alan adı eşleşmesi), şifre yöneticisi kullanımı, 2FA aktivasyonu (SMS yerine TOTP/donanım anahtar), banka resmi uygulaması üzerinden işlem, antivirüs ve EDR yazılımı, şüpheli mailden gelen linklere tıklamama, KVKK m.12 veri güvenliği önlemleri. Kurumsal mağdurlar için DMARC, SPF, DKIM e-posta güvenlik standartları zorunludur.

Hukuki Süreç ve Yapılması Gerekenler

Phishing mağdurunun yol haritası: 1) Banka ofis saatlerimizde hattını arama, 2) Hesap dondurma talebi, 3) Sahte mail/SMS’in ekran görüntüsü, gönderici bilgisi, 4) Cumhuriyet Başsavcılığına şikayet (CMK m.158), 5) Banka Hakem Heyetine başvuru (TBB), 6) Tüketici Hakem Heyeti veya Tüketici Mahkemesinde dava (6502 SK m.66 ve devamı), 7) Sigorta poliçesi varsa hasar bildirimi. Sürecin 24 saat içinde başlatılması delil korunması açısından kritiktir.