Sahte Banka SMS/Mesaj Dolandırıcılığı (Smishing) 2026
Smishing (SMS phishing); banka, kargo şirketi, e-Devlet ya da vergi dairesi adına gelmiş gibi görünen SMS, MMS veya RCS mesajlarıyla mağdurun sahte bir siteye yönlendirilmesi ve oturum bilgilerinin çalınması saldırısıdır. “Hesabınızda şüpheli işlem var, doğrulamak için tıklayın”, “kargonuz için adres güncelleyin” başlıklı mesajlar tipik örneklerdir.
Smishing’in Aşamaları
- Sızdırılmış telefon numarası listelerinin saldırgana ulaşması.
- SMS gönderim altyapısı (yurt dışı SMS gateway, sahte alfanumerik gönderici adı) üzerinden mesajların yollanması.
- Sahte web sayfasında parola, OTP ve kart bilgilerinin girilmesi.
- Saldırganın sahte siteye girilen bilgileri gerçek banka uygulamasında kullanarak işlem yapması.
- Fonun yurtdışı IBAN ya da kripto adresine aktarılması.
Hukuki Nitelendirme
Olay TCK m.158/1-f (bilişim sistemi araç kılınarak nitelikli dolandırıcılık) ve TCK m.245 (banka veya kredi kartlarının kötüye kullanılması) yönünden incelenir. TCK m.158/1-f hâlinde hapis cezası 4 yıldan 10 yıla kadardır; adli para cezası suçtan elde edilen menfaatin iki katından az olamaz. Banka, anormal işlem tespit etme yükümlülüğüne aykırı davrandığı tespit edilirse müteselsil sorumluluğu doğabilir.
Mağdurun İlk Adımları
- Bankayı hemen müşteri hizmetleri hattı üzerinden arayarak kartı ve dijital bankacılık erişimini kapattırın.
- Banka kanalları üzerinden işlem itirazı (chargeback için) açın.
- Sahte mesaj ve sahte URL’yi ekran görüntüsü ile saklayın.
- İl Emniyet Müdürlüğü Siber Şubesi’ne ya da savcılığa şikâyet sunun.
- Sahte SMS gönderici hattını ilgili elektronik haberleşme işletmecisine ve yetkili kurumun ihbar kanalına bildirin.
Banka Sorumluluğu
Bankaların güvenli kimlik doğrulama ve işlem izleme yükümlülükleri ilgili ödeme hizmetleri ve bilgi sistemleri düzenlemelerinde yer alır; yükümlülüğün somut kapsamı olaya göre incelenir. Yetkisiz ödeme işlemlerinde bankanın ve kullanıcının sorumluluğu, ödeme hizmetlerine ve tüketici mevzuatına göre somut olayda belirlenir; kullanıcının kusuru ile bankanın güvenlik ve bildirim yükümlülüklerine uyup uymadığı birlikte incelenir.
Sıkça Sorulan Sorular
OTP’yi sahte siteye girdim, banka karşılar mı?
Kullanıcının tek kullanımlık şifreyi paylaşmış olması, sorumluluğun belirlenmesinde değerlendirilen unsurlardan biridir. Ancak bankanın uyarı ve güvenlik sistemlerinin işlemediği ileri sürülüyorsa bu husus bilirkişi incelemesiyle ele alınır.
Para yurtdışına gitti, recall mümkün mü?
Banka SWIFT recall (MT192) talebi gönderir. Karşı banka fonu çekmediyse iade ihtimali artar.
Sahte SMS gönderen kim, tespit edilebilir mi?
SMS gönderim kayıtları işletmeci ve hizmet sağlayıcılar nezdinde tutulur; adli süreçte savcılık talebiyle istenebilir. Adli süreçte gönderici altyapısı tespit edilebilir; ancak yurtdışı kaynaklı gateway’ler için süreç daha uzundur.