E-SIM Dolandırıcılığı Sonucu Mobil Bankacılık Hesabının Ele Geçirilmesi
Güncelleme tarihi: 3 gün önce
E-SIM dolandırıcılığında saldırganın amacı çoğu zaman mağdurun telefon hattını kendi cihazında aktif hale getirerek SMS doğrulamalarını, banka bildirimlerini veya hesap kurtarma mesajlarını ele geçirmektir. Hat kontrolünün kaybedilmesinden sonra mobil bankacılık hesabına giriş yapılması, para transferi, kredi veya kart işlemleri gibi farklı sonuçlar ortaya çıkabilir. Hukuki açıdan olay yalnız “telefon hattı çalındı” şeklinde değerlendirilmez; elektronik haberleşme hizmetinin güvenliği, bankanın kimlik doğrulama yükümlülükleri, yetkilendirilmemiş ödeme işlemleri ve ceza soruşturmasında paranın izlenmesi ayrı başlıklardır. En kritik unsur hızdır: hat çekmemeye başladığında, bankadan bilinmeyen giriş bildirimi geldiğinde veya e-SIM değişikliği öğrenildiğinde operatöre ve bankaya gecikmeden bildirim yapılması, hesapların güvenliğinin sağlanması ve delillerin korunması gerekir.
E-SIM dolandırıcılığı nasıl anlaşılabilir?
Telefon hattının sebepsiz biçimde servis dışı kalması, operatörden e-SIM veya SIM değişikliği bildirimi gelmesi, bankadan tanınmayan cihaz girişi uyarısı alınması, mobil bankacılık şifresinin değişmesi veya bilinmeyen para transferleri görülmesi birlikte değerlendirilmelidir. Tek bir ağ kesintisi dolandırıcılık anlamına gelmez; ancak hat kaybı ile finansal hesap hareketi aynı zaman aralığında gerçekleşiyorsa hızlı kontrol gerekir.
İlk olarak GSM operatöründe ne yapılmalı?
Yetkisiz e-SIM aktivasyonu şüphesi varsa hat sahibinin operatörle hemen iletişime geçerek hattın ve aktif SIM/e-SIM profilinin durumunu öğrenmesi, yetkisiz profilin kapatılmasını istemesi ve hattı yeniden güvenli hale getirmesi gerekir. İşlemin hangi tarih-saatte, hangi kanal üzerinden ve hangi kimlik doğrulama yöntemiyle yapıldığına ilişkin kayıtların korunması da sonraki hukuki süreç bakımından önemlidir.
Operatörden hangi kayıtlar istenebilir?
E-SIM aktivasyon veya SIM değişiklik tarihi, işlemin yapıldığı kanal, başvuru kaydı, kullanılan kimlik doğrulama yöntemi, varsa mağaza/uzaktan işlem bilgisi ve hattın önceki-yeni profil durumuna ilişkin kayıtlar uyuşmazlıkta önem taşıyabilir. Kişi erişebildiği müşteri işlem kayıtlarını talep edebilir; ceza soruşturmasında daha ayrıntılı teknik kayıtlar savcılık tarafından da istenebilir.
Bankaya ne zaman bildirim yapılmalıdır?
Şüpheli işlem fark edildiği anda bankaya gecikmeden bildirim yapılmalıdır. Mobil bankacılık erişimi, kartlar ve para transferi yetkileri güvenli hale getirilmeli; tanınmayan işlemler açıkça yetkisiz işlem olarak bildirilmelidir. Bankayla yapılan görüşmenin kayıt numarası, başvuru tarihi ve verilen cevap saklanmalıdır. Yalnız telefonu yeniden aktive etmek finansal hesap riskini ortadan kaldırmaz.
Yetkilendirilmemiş ödeme işlemine itiraz süresi nedir?
Ödeme hizmetleri mevzuatında müşteri, yetkilendirmediği veya hatalı gerçekleştirilen ödeme işlemini öğrendiği andan itibaren ödeme hizmeti sağlayıcısına gecikmeksizin bildirim yaparak düzeltme isteyebilir. Güncel düzenlemede bu talep her hâlükârda işlemin gerçekleşmesinden itibaren 13 ay içinde yapılmalıdır. Ancak olay öğrenilir öğrenilmez başvurmak delil ve para takibi bakımından çok daha önemlidir; 13 ay beklenebilecek normal başvuru süresi gibi görülmemelidir.
Banka “SMS doğrulaması yapıldı” diyerek sorumluluktan çıkar mı?
Tek başına SMS veya mobil onay kaydı her olayda uyuşmazlığı bitirmez. Tartışılması gereken konu, işlemi gerçekten hesap sahibinin yetkilendirip yetkilendirmediği ve bankanın mevzuat ile sözleşmede öngörülen güvenli kimlik doğrulama tedbirlerini uygulayıp uygulamadığıdır. E-SIM ele geçirilmişse doğrulama mesajının saldırganın kontrolündeki hatta gitmiş olması mümkündür. Banka işlem ve cihaz kayıtları, IP/oturum bilgileri ve kimlik doğrulama zinciri birlikte incelenmelidir.
Müşterinin kusuru bankanın sorumluluğunu etkiler mi?
Evet. Ödeme mevzuatı, ödeme aracının hileli kullanılması veya müşterinin güvenlik yükümlülüklerini kasten ya da ağır ihmalle ihlal etmesi gibi durumları ayrıca değerlendirir. Şifrelerin paylaşılması, doğrulama kodlarının bilinçli verilmesi veya bankanın açık güvenlik uyarılarının ağır biçimde ihlal edilmesi sorumluluk dağılımını etkileyebilir. Ancak her oltalama veya e-SIM olayı otomatik olarak “müşteri ağır kusurlu” kabul edilemez; olayın somut koşulları incelenmelidir.
E-SIM işlemi için operatörün sorumluluğu doğabilir mi?
Yetkisiz e-SIM işlemi operatörün kimlik doğrulama veya güvenlik sürecindeki eksiklikten kaynaklanmışsa, elektronik haberleşme hizmeti bakımından operatörün sorumluluğu da tartışılabilir. İşlemin mağdurun gerçek talebi olmadan nasıl onaylandığı, kimlik kontrolünün nasıl yapıldığı ve güvenlik prosedürlerinin uygulanıp uygulanmadığı belirlenmelidir. Banka ve operatör sorumluluğu birbirini dışlayan tek seçenekler değildir; olayda birden fazla hizmet sağlayıcının kusuru bulunabilir.
Savcılığa şikâyet ne zaman yapılmalıdır?
Hat ele geçirilmesi ve finansal işlem şüphesi varsa deliller toplandıktan sonra gereksiz gecikme olmadan Cumhuriyet Başsavcılığına veya kolluğa başvuru yapılabilir. Şikâyette olayın tarih sırası, telefon hattı değişikliği, banka girişleri, para transferleri, alıcı hesaplar ve bankayla yapılan bildirimler açıkça gösterilmelidir. Hangi suç tipinin oluştuğuna ilişkin nihai nitelendirme soruşturma makamlarınca somut fiile göre yapılır.
CMK 128/A neden e-SIM dolandırıcılığında önemlidir?
24 Aralık 2025 tarihli 7571 sayılı Kanunla CMK’ya eklenen 128/A maddesi, belirli bilişim ve dolandırıcılık suçlarında suçta kullanılan hesapların hızla askıya alınabilmesi için özel bir mekanizma getirmiştir. Nitelikli hırsızlığın bilişim sistemiyle işlenmesi, TCK m.158/1-f ve l kapsamındaki nitelikli dolandırıcılık ile banka veya kredi kartlarının kötüye kullanılması şüphesinde finansal kurumlar ilgili hesapları 48 saate kadar askıya alabilir.
48 saatlik hesap askıya alma nasıl işler?
CMK m.128/A kapsamında banka, ödeme hizmeti sağlayıcısı veya kripto varlık hizmet sağlayıcısı suçta kullanılan hesabı 48 saate kadar askıya alabilir ve durumu hesap hareketleriyle birlikte derhal Cumhuriyet Başsavcılığına bildirir. Bu süre içinde suça konu menfaat üzerinde hâkim kararı veya gecikmesinde sakınca bulunan durumda savcı emriyle el koyma kararı verilebilir. Bu mekanizma özellikle paranın birkaç hesap üzerinden hızlıca aktarılmaya çalışıldığı olaylarda önem taşır.
Para başka bankaya aktarılmışsa iz sürülebilir mi?
CMK m.128/A, askıya alma tamamlanmadan suça konu menfaatin başka bir mali kuruma gönderildiğinin anlaşılması halinde bu bilginin sonraki kuruma gecikmeksizin bildirilmesini de düzenler. Bu nedenle şikâyette yalnız ilk alıcı IBAN değil, banka hareketlerinde görülebilen sonraki transferler ve işlem saatleri de eksiksiz sunulmalıdır. Mağdurun kendi başına hesap zincirini çözmeye çalışması yerine resmi kayıtların savcılıkça temini daha güvenlidir.
Suça konu para mağdura soruşturma aşamasında geri verilebilir mi?
CMK m.128/A, el konulan suça konu menfaatin suçtan zarar gören mağdura ait olduğunun anlaşılması halinde soruşturma veya kovuşturma sırasında sahibine iade edilebilmesini düzenler. Bu nedenle ceza dosyasında paranın tespit ve el koyma süreci yalnız failin cezalandırılması açısından değil, mağdurun parasının geri alınması bakımından da önem taşıyabilir.
Bankaya yapılan itiraz ile savcılık şikâyeti aynı şey midir?
Hayır. Bankaya yapılan yetkisiz işlem itirazı ödeme hizmeti ve sözleşme ilişkisi bakımından para iadesi ve bankanın sorumluluğuna yöneliktir. Savcılık şikâyeti ise suçun faillerinin ve para hareketlerinin araştırılmasını amaçlar. Biri diğerinin yerine geçmez. Aynı olayda banka, operatör, savcılık ve gerektiğinde tüketici veya hukuk uyuşmazlığı yolları paralel biçimde gündeme gelebilir.
Mobil bankacılık hesabından kredi çekilmişse ne yapılmalı?
Mağdurun iradesi dışında kredi veya ek hesap işlemi yapılmışsa yalnız para transferlerine değil kredi sözleşmesinin ve dijital onayın nasıl kurulduğuna da itiraz edilmelidir. Bankadan sözleşme, cihaz ve oturum kayıtları, kimlik doğrulama aşamaları ve paranın hangi hesaba aktarıldığı talep edilebilir. Kredi borcunun otomatik olarak mağdurun üzerinde kalıp kalmayacağı, bankanın ve müşterinin kusuru ile yetkilendirme sürecine göre değerlendirilir.
Kredi kartı işlemleri de yapılmışsa süreç farklı mıdır?
Kart işlemleri bakımından 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu ve ilgili kart sözleşmesi hükümleri ayrıca gündeme gelir. Kartın fiziken kullanılmaması, dijital cüzdana eklenmesi veya kart bilgilerinin ele geçirilmesi olayın ispat biçimini etkileyebilir. Her işlem türü için tarih, işyeri, doğrulama yöntemi ve itiraz kaydı ayrı tutulmalıdır.
BTK veya tüketici başvurusu yapılabilir mi?
GSM operatörünün e-SIM işlemiyle ilgili uyuşmazlık elektronik haberleşme mevzuatı ve tüketici hukuku boyutu taşıyabilir. Operatörün kendi şikâyet kanalı kullanıldıktan sonra uyuşmazlığın niteliğine göre BTK tüketici şikâyet sistemi veya tüketici hakem heyeti/mahkemesi gibi yollar değerlendirilebilir. Banka uyuşmazlığında ise bankanın iç itiraz süreci ve ilgili finansal uyuşmazlık mekanizmaları ayrıca incelenmelidir.
Manevi tazminat talep edilebilir mi?
Hesabın ele geçirilmesi, uzun süre finansal erişimin kaybedilmesi veya kişisel verilerin kötüye kullanılması tek başına otomatik manevi tazminat doğurmaz. Hukuka aykırı eylem, kusur, kişilik hakkı ihlali ve olayın ağırlığı somut biçimde değerlendirilmelidir. Maddi zarar, banka ve operatör sorumluluğu ile manevi zarar talepleri birbirinden ayrı kurulmalıdır.
Kişisel veri ihlali boyutu var mıdır?
Yetkisiz e-SIM aktivasyonu sırasında kimlik ve iletişim verilerinin hukuka aykırı kullanılması veya hizmet sağlayıcı sisteminden sızması halinde kişisel verilerin korunması boyutu da gündeme gelebilir. Ancak verinin saldırgan tarafından başka kaynaktan ele geçirilmesi ile veri sorumlusunun güvenlik yükümlülüğünü ihlal etmesi aynı değildir. Veri ihlali iddiası somut kaynağa ve kayıtlarına dayanmalıdır.
Hangi deliller hemen saklanmalıdır?
Telefonun servis dışı kaldığı saat, operatör mesajları, e-SIM aktivasyon bildirimi, banka giriş uyarıları, para transfer dekontları, kredi/kart işlemleri, çağrı merkezi kayıt numaraları, şifre değişikliği mesajları, e-posta bildirimleri ve savcılık başvuru numarası saklanmalıdır. Ekran görüntülerinin yanında banka hesap ekstresi ve operatör kayıtları gibi doğrulanabilir belgeler temin edilmelidir.
Telefon yeniden çalışınca deliller silinmeli mi?
Hayır. Şifreler ve güvenlik ayarları derhal değiştirilmeli ancak olayın tarihini gösteren mesaj, e-posta ve işlem kayıtları mümkün olduğunca korunmalıdır. Banka veya operatörden gelen güvenlik bildirimlerini temizlemek yerine kopyalarını güvenli biçimde saklamak soruşturma ve tazminat uyuşmazlığında faydalı olabilir.
Olay kronolojisi neden önemlidir?
E-SIM aktivasyon saati, hattın kesildiği an, ilk banka girişi, para transferi ve mağdurun bankaya yaptığı bildirim dakikalarla birbirini takip edebilir. Sorumluluk değerlendirmesinde kimin ne zaman bildirim aldığı ve ne kadar sürede önlem aldığı önemlidir. Bu yüzden olaylar mümkünse tarih-saat sırasıyla tek tabloda gösterilmelidir.
Sık yapılan hatalar
En sık hata yalnız GSM hattını geri alıp banka işlemlerini kontrol etmemektir. Diğer hatalar bankaya sözlü bildirim yapıp kayıt numarası almamak, yetkisiz işlemler için yazılı itiraz oluşturmamak, alıcı hesap bilgilerini şikâyete eklememek, bütün sorumluluğun otomatik olarak bankada veya operatörde olduğunu varsaymak ve yeni CMK m.128/A’nın hızlı hesap askıya alma imkanını gözden kaçırmaktır.
Banka yetkisiz işlem itirazını reddederse ne yapılabilir?
Bankanın ret cevabı mutlaka gerekçesiyle incelenmelidir. Banka işlemin güçlü kimlik doğrulamayla yapıldığını, müşteri cihazından geldiğini veya güvenlik bilgilerinin müşteri tarafından paylaşıldığını ileri sürebilir. Buna karşılık e-SIM değişikliğinin tam zamanı, yeni cihaz kaydı, oturum ve IP verileri, yüksek riskli işlem kontrolleri ve bankanın güvenlik uyarıları olay kronolojisiyle karşılaştırılmalıdır. Ret cevabına karşı bankanın iç itiraz mekanizması, ilgili finansal uyuşmazlık yolları ve şartları varsa tüketici mahkemesi veya diğer görevli mahkeme değerlendirilebilir.
Para kripto varlık hesabına veya başka ödeme kuruluşuna aktarılmışsa ne olur?
Suça konu para klasik banka hesabından ödeme kuruluşuna veya kripto varlık hizmet sağlayıcısına aktarılmış olabilir. CMK m.128/A yalnız bankaları değil ödeme hizmeti sağlayıcıları ve kripto varlık hizmet sağlayıcılarını da kapsar. Bu nedenle işlem zincirindeki kurum adları, hesap bilgileri, transfer saatleri ve varsa işlem referans numaraları şikâyete eklenmelidir. Para zincirinin sonraki aşaması resmi kurum kayıtlarıyla araştırılmalıdır.
Tazminat talebi hazırlanırken zarar nasıl gösterilir?
Maddi zarar yalnız hesaptan çıkan ana para olmayabilir. Yetkisiz kredi nedeniyle ödenen faiz, kart borcu, işlem masrafı veya hesap blokesi nedeniyle doğduğu ileri sürülen başka zararlar varsa bunların nedensellik bağı ve belgeleri ayrı ayrı gösterilmelidir. Talep, olayla bağlantısı kurulmamış tahmini zararlarla şişirilmemelidir. Banka veya operatör kusuru ileri sürülüyorsa hangi güvenlik aşamasında ihlal bulunduğu somut kayıtlarla açıklanmalıdır.
Olaydan sonra aynı telefon numarasını kullanmaya devam etmek riskli midir?
Hat yeniden gerçek sahibinin kontrolüne alındıktan sonra asıl mesele numaranın kendisinden çok hesap güvenliğinin yeniden kurulmasıdır. Banka, e-posta, sosyal medya ve diğer kritik hesapların parolaları değiştirilmeli; açık oturumlar kapatılmalı; kurtarma telefonu ve e-posta bilgileri kontrol edilmelidir. Ancak güvenlik işlemleri yapılırken olaya ilişkin SMS, e-posta ve bildirim kayıtları tamamen silinmemeli, delil kopyaları önceden saklanmalıdır.
Sık Sorulan Sorular
E-SIM dolandırıcılığında ilk ne yapılmalı?
Operatöre ve bankaya derhal bildirim yapılmalı, hat ve finansal hesap erişimi güvenli hale getirilmeli, yetkisiz işlemler yazılı olarak itiraz edilmeli ve deliller korunmalıdır.
Yetkisiz banka işlemine ne kadar sürede itiraz edilir?
İşlem öğrenildiğinde gecikmeksizin bildirim yapılmalıdır. Ödeme hizmetleri mevzuatında düzeltme talebi için işlemin gerçekleşmesinden itibaren 13 aylık üst süre de bulunmaktadır.
Dolandırıcılık hesabı hemen bloke edilebilir mi?
CMK m.128/A kapsamındaki belirli bilişim ve dolandırıcılık suçlarında banka veya diğer mali kurum suçta kullanılan hesabı 48 saate kadar askıya alabilir ve savcılığa bildirir.
Banka parayı iade etmek zorunda mı?
İşlemin gerçekten yetkisiz olup olmadığı, bankanın güvenlik ve kimlik doğrulama yükümlülükleri ile müşterinin kastı veya ağır ihmali somut olayda incelenir. Her olayda otomatik iade veya otomatik müşteri sorumluluğu sonucu yoktur.
Sonuç
E-SIM dolandırıcılığında başarı büyük ölçüde ilk saatlerde atılan adımlara bağlıdır. Hat kontrolü kaybedildiğinde operatör ve banka gecikmeden bilgilendirilmeli, yetkisiz ödeme işlemleri yazılı olarak itiraz edilmeli ve işlem kayıtları korunmalıdır. Ceza soruşturmasında 25 Aralık 2025’te yürürlüğe giren CMK m.128/A, belirli bilişim ve dolandırıcılık suçlarında suçta kullanılan hesapların 48 saate kadar askıya alınmasını ve suça konu menfaat üzerinde hızlı el koyma uygulanmasını mümkün kılar. Banka ve operatörün sorumluluğu ise güvenlik yükümlülükleri, kimlik doğrulama süreci, müşterinin davranışı ve olay kronolojisine göre ayrı ayrı değerlendirilmelidir.
Bu metin genel hukuki bilgilendirme amacı taşır. Uygulanacak hüküm ve başvuru süreleri, somut olayın özellikleri ile yürürlükteki mevzuata göre değerlendirilmelidir.
Yorumlar