Phishing Dolandırıcılığında Hukuki Süreç

Phishing (“oltalama”); banka, kamu kurumu, kripto borsa, kargo şirketi, e-Devlet veya tanıdık görünümlü bir gönderici tarafından gönderildiği zannedilen sahte e-posta, SMS veya sesli arama ile mağdurun kimlik bilgisi, şifre, banka kartı bilgisi ya da OTP kodunu vermesinin sağlandığı bilişim sistemi dolandırıcılığı türüdür. Bu sayfa; phishing tipolojileri (e-posta, SMS/smishing, sesli/vishing, QR code/quishing), sahte alan adı tespiti, TCK m.158/1-f, m.243, m.244, m.135-138 hükümlerini ve hukuki yol haritasını derler.

Phishing Türleri

  • E-posta Phishing: Banka, e-Devlet, vergi dairesi, kargo şirketi görünümlü sahte e-postalar; içinde sahte siteye yönlendiren bağlantı.
  • Spear Phishing: Hedef kişiye özel olarak hazırlanmış, kişisel bilgileri içeren kişiselleştirilmiş saldırı.
  • Smishing (SMS Phishing): “Kargo gönderiniz teslim alınamadı, ödeme yapın”, “SGK prim borcu”, “Banka kartınız bloke edildi” türü SMS’ler.
  • Vishing (Voice Phishing): Sesli arama ile “Banka güvenlik birimi”, “Polis”, “Savcılık” görünümünde aramalar; OTP veya kart bilgisi talep edilir.
  • Quishing (QR Code Phishing): Restoran menü, otopark ödeme, kargo takip için kullanılan QR kodların sahte sitelere yönlendirmesi.
  • Whaling: Yöneticiler, CEO, CFO gibi yüksek mevkili kişileri hedefleyen phishing.
  • Clone Phishing: Gerçek e-postanın birebir kopyası; sadece bağlantı sahte siteye yönlendirilir.
  • Pharming: DNS cache poisoning yoluyla gerçek alan adı yazılsa bile sahte siteye yönlendirme.

Sahte Site Tespit Yöntemleri

  1. Alan adının doğru yazıldığını kontrol et (örn. ornekbanka.com vs ornekbanlka.com, ornekborsa.com vs ornekborsaa.com).
  2. SSL sertifikasını kontrol et — Issued To, Issuer, Valid From bilgileri.
  3. WHOIS sorgusu — domain yaşı çok yeni (1-12 ay) ise şüpheli.
  4. URL’de gerçek alan adının “subdomain” gibi gizlenmiş olup olmadığını kontrol et (örn. paypal.com.fake-site.tr).
  5. Sayfanın HTTPS’siz veya Let’s Encrypt sertifikalı olması.
  6. Bağlantı üstüne fareyi getirerek gerçek hedefi gör (mouseover preview).
  7. E-posta header analizinde “From”, “Return-Path”, “Received” alanlarının tutarlılığı.
  8. SPF, DKIM, DMARC doğrulamaları.

Mevzuat

  • TCK m.158/1-f bilişim sistemi aracılığıyla nitelikli dolandırıcılık.
  • TCK m.243 bilişim sistemine girme (toplanan şifrelerle gerçek sisteme yetkisiz erişim).
  • TCK m.244 sistemin işleyişini engelleme/veri değiştirme.
  • TCK m.245, m.245A banka kartı kötüye kullanma + yasak cihaz/program.
  • TCK m.135-138 kişisel verilerin hukuka aykırı işlenmesi.
  • TCK m.155 güveni kötüye kullanma.
  • TCK m.204 resmi belgede sahtecilik (sahte vergi/SGK belgeleri).
  • Phishing sitesine ilişkin URL ve ekran görüntüleri korunur; platforma bildirim ve suç şikâyeti değerlendirilir. 5651 m.9 iptal edildiğinden bu hükme dayanılarak genel erişim engeli başvurusu yapılamaz.
  • 6698 sayılı KVKK ihlal bildirimi.

Konuyla İlgili Resmi Karar Bağlantıları

TCK m.243 — Bilişim Sistemine Girme

BirimEsas / KararTarihAçıklamaBağlantı
Yargıtay 11. CD(karar metni)04.12.2025TCK 243 — bilişim sistemine girme
Yargıtay 12. CD(karar metni)24.11.2025TCK 243 — bilişim sistemine girme
Yargıtay 12. CD(karar metni)20.11.2025TCK 243 — bilişim sistemine girme

Kripto / BAM Kararları

BirimEsas / KararTarihAçıklamaBağlantı

P2P / Sahte Dekont

BirimEsas / KararTarihAçıklamaBağlantı

İlgili İçerikler

Sıkça Sorulan Sorular

Phishing e-postası gerçek mi nasıl anlarım?

Gönderen adresinin “From” alanına bakın (cevap = “Reply-To” alanı farklı olabilir). Bağlantı üzerine fareyi getirerek gerçek hedefi görün. Acil aksiyon veya tehdit içeren ifadeler, yazım hataları phishing göstergesidir. Şüpheli durumda kurum web sitesinden bağımsız doğrulama yapın.

Güncel durum notu: 5651 sayılı Kanunun 9 uncu maddesi, Anayasa Mahkemesince 11/10/2023 tarihli kararla iptal edilmiştir. Kişilik hakkı ihlali nedeniyle artık m.9 üzerinden sulh ceza hâkimliğine başvurulamaz. Yürürlükteki yollar şunlardır: özel hayatın gizliliği için 5651 m.9/A (Siber Güvenlik Başkanlığına doğrudan başvuru), kişilik hakkı ihlali için TMK m.24-25 ve HMK m.389 vd. uyarınca hukuk mahkemesinde ihtiyati tedbir, sosyal ağ sağlayıcıya doğrudan başvuru için ise 5651 Ek m.4.

Phishing’e düştüm, ne yapmalıyım?

Derhal banka şifresini değiştirin, kart bilgisi verdiyseniz kartı iptal ettirin. Banka chargeback başlatın. Cumhuriyet Başsavcılığı’na yazılı şikayet (TCK m.158/1-f + 243 + 244) yapın. KVKK’ya kişisel veri ihlali bildirimi yapın.

Sahte sitenin erişimi nasıl engellenir?

Phishing içerikte alan adı, URL, IP ve ekran görüntüsü gibi deliller korunarak platforma bildirim ve suç şikâyeti değerlendirilir. Kişilik hakkı ihlali varsa TMK m.24-25 ve HMK m.389 vd. kapsamında hukuk mahkemesi tedbiri istenebilir. 5651 m.8/A yalnız maddede sayılan özel sebepler ve karar mercii koşullarıyla uygulanır.

WhatsApp’tan gelen smishing mesajını nasıl raporlayabilirim?

Mesaja uzun basın → “Raporla” seçeneği. Paralel olarak ekran görüntüsü ile birlikte İhbarweb.org.tr’ye bildirimde bulunun. Cumhuriyet Başsavcılığı’na yazılı şikayet eklenebilir.

Vishing (telefon araması) için ne yapmalıyım?

Telefon numarasını kaydedip BTK’ya 130 numaralı şikayet hattından bildirin. Görüşme kayıt edilebiliyorsa kayıt savcılık dosyasına eklenir. Telefonu kapatıp arayanı geri arayıp doğrulayın.

QR code phishing (quishing) için tedbir nedir?

Bilinmeyen QR kodları taramayın. Tarama sonrası açılan URL’i kontrol edin. Şüpheli URL’ye giriş yapmayın. Açılan sayfada bilgi vermeyin.

Bankam sorumluluğu kabul ediyor mu?

Bankanın chargeback prosedürü ve veri koruma yükümlülükleri çerçevesinde; bankanın yeterli koruyucu önlem almadığı, müşteriye uyarı yapmadığı durumlarda kısmi sorumluluğu tartışılabilir.

KVKK’ya nasıl başvurulur?

kvkk.gov.tr → “Veri İhlali Bildirimi” / “Şikayet Başvurusu” formundan veya yazılı dilekçe ile KVKK Başkanlığı’na (Çankaya/Ankara) başvuru yapılır.

Phishing saldırısı için tazminat alabilir miyim?

6098 sayılı TBK m.49 (haksız fiil) ve 6502 sayılı TKHK m.13-14 (ayıplı hizmet) çerçevesinde maddi ve manevi tazminat talep edilebilir. Tüketici işleminden doğan uyuşmazlıklarda Tüketici Mahkemesi, diğer hâllerde Asliye Hukuk Mahkemesi görevlidir.

Yurt dışındaki phishing failini bulabilir miyim?

Çoğu phishing operasyonu yurt dışından yürütülür. WHOIS bilgisi, IP analizi, fon aktarılan hesap ve cüzdan üzerinden iz sürülür. MLAT ve Budapeşte Siber Suç Sözleşmesi çerçevesinde uluslararası işbirliği yapılır.

Yasal Uyarı

Bu sayfa; 1136 sayılı Avukatlık Kanunu m.55 ile Türkiye Barolar Birliği Reklam Yasağı Yönetmeliği’ne uygun şekilde yalnızca genel hukuki bilgilendirme amacıyla hazırlanmıştır.



Sıkça Sorulan Sorular

bu hukuki konuda avukatlık ücretleri ne kadar?

bu hukuki konuda avukatlık hizmetlerinde ücret; davanın türü, karmaşıklığı, süresi ve müvekkilin talebine göre değişmektedir. Avukatlık Asgari Ücret Tarifesi referans alınır. İletişime geçin iletişim sayfamızdan randevu alabilirsiniz.

bu hukuki konuda avukatlık davası ne kadar sürer?

Davanın süresi mahkemenin yoğunluğu, delil durumu ve karşı tarafın savunmasına göre değişir.

Online danışmanlık veriyor musunuz?

Online görüşme talepleri için telefon veya WhatsApp üzerinden bilgi alabilirsiniz.

Av. Bilal Alyar | İletişim & Randevu | İstanbul Bilişim Avukatı | Google İşletme Profili

0534 636 19 19 WhatsApp @alyarhukuk alyarlaw@gmail.com