Çalınan Kredi Kartı İşlemlerinde Hukuki Sorumluluk: Banka mı, Kart Sahibi mi Öder? Yargıtay Kararlarıyla Rehber
Son güncelleme: 14.10.2026 · Yazar: Av. Coşkun Genç, İstanbul Bilişim Suçu Avukatı
Kısa cevap: Çalınan kredi kartıyla veya kart bilgileriyle yapılan işlemlerde zarar kendiliğinden kart sahibine kalmaz. Yargıtay Hukuk Genel Kurulu'na göre bankalar güven kurumu oldukları için en hafif kusurlarından dahi sorumludur. Kart sahibinin kusuru yoksa kötüye kullanım riskini kartı veren kuruluş taşır. Buna karşılık şifresini veya SMS kodunu üçüncü kişiyle paylaşan, bildirimi geciktiren kart sahibi ağır ihmal nedeniyle zararın tamamına ya da bir kısmına katlanabilir. Sorumluluk her olayda bankanın güvenlik önlemleri ile kart sahibinin davranışı karşılaştırılarak, çoğu zaman bilirkişi incelemesiyle belirlenir. Fail hakkında ayrıca TCK 245 kapsamında ceza soruşturması yürütülür.
Çalınan Kartla Yapılan Harcamayı Kim Öder?
Bu soruya kanun, sözleşme ve içtihat birlikte cevap verir. 5464 sayılı Kanun kart sahibine kartı ve şifreleri koruma, çalınmayı derhal bildirme yükümlülüğü yükler. Buna karşılık bankaya da güvenli bir sistem kurma, olağan dışı işlemleri izleme ve müşterisini koruma borcu düşer. İlk saatlerde yapılması gereken bildirim ve itiraz adımlarını Kart Bilgilerim Çalındı: İlk 24 Saatte Ne Yapmalıyım? yazımızda anlattık. Bu yazıda ise zarar ortaya çıktıktan sonra kimin, hangi ölçüde sorumlu olduğunu ele alıyoruz.
5464 sayılı Banka Kartları ve Kredi Kartları Kanunu – Madde 15
Madde 15 – Kart kullanımına ilişkin yükümlülükler
Kart kullanımından doğan sorumluluk, sözleşme imzalandığı ve kartın zilyetliğine geçtiği veya fizikî varlığı bulunmayan kart numarasının öğrenildiği andan itibaren, kart hamiline aittir.
Kartın imza hanesinin kart hamili tarafından imzalanmış olması zorunludur. Üye işyerinin talep etmesi durumunda kart hamili, kartın kullanımı sırasında kimlik belgesi ibraz etmek zorundadır.
Bu Kanunun 20 nci maddesi uyarınca harcama belgesi düzenlenmeksizin çeşitli iletişim araçları yoluyla veya sipariş formu vasıtasıyla yapılan mal ve hizmet alımlarındaki hukuka aykırı kullanımlardan kaynaklanan zararlardan kart hamili sorumlu tutulamaz.
Üçüncü fıkra uygulamada sıkça gözden kaçar: harcama belgesi düzenlenmeden, telefonla veya sipariş formuyla yapılan hukuka aykırı işlemlerden kart hamili sorumlu tutulamaz. Bildirim öncesindeki 24 saat için öngörülen 150 TL'lik sınır ise 5464 m.12'de düzenlenmiştir ve ilk 24 saat yazımızda birebir yer almaktadır.
Banka Hangi Durumda Hafif Kusurundan Dahi Sorumludur?
Yargıtay Hukuk Genel Kurulu, minibüste cüzdanı çalınan ve bunu dakikalar içinde bildiren kart sahibine, bildirimden dört dakika önce sahte imzayla yapılan harcamada kusur yüklenemeyeceğine karar vermiştir. Olay 5464 sayılı Kanun'dan önce gerçekleştiği için Kurul genel hükümleri uygulamış; bankanın sorumluluğunun, kullandığı güvenlik sisteminin yeterliliği bilirkişiyle araştırılarak belirlenmesini istemiştir. Kurul, bankaların özel güven kurumu niteliğini vurgulamıştır:
Nitekim yürürlük tarihi itibariyle uyuşmazlıkta uygulanması gereken 818 sayılı Borçlar Kanunu’nun (BK) 99. maddesi ve daha sonra yürürlüğe giren 6098 sayılı Türk Borçlar Kanunu’nun (TBK) 115. maddesindeki düzenleme dikkate alındığında; bankalar, faaliyetleri ruhsata tabi olup uzmanlık gerektirdiğinden sundukları hizmetlerdeki en hafif kusurlarından dahi sorumlu olabileceklerdir. (...) Kart sahibinin kartın kötü niyetli kişiler eline geçmesinde kusurunun bulunmadığı hâllerde hukuka aykırı kullanım rizikosunu kart veren kuruluşlar doğurmaktadır (…).
— Yargıtay Hukuk Genel Kurulu, E.2017/2850, K.2019/154, T.14.02.2019
Aynı kararda, riski tümüyle müşteriye yükleyen genel işlem şartlarının kamu düzenine aykırılık nedeniyle geçersiz sayılabileceği ve bankanın o günün koşullarında yeterli güvenlik sistemi kullanıp kullanmadığının uzman bilirkişiyle araştırılması gerektiği belirtilmiştir. Yargıtay 3. Hukuk Dairesi de SIM kartın kopyalanmasından sonra teyit almadan internet bankacılığı işlemine izin veren bankanın sorumluluğuna ilişkin yerel mahkeme kararını onamıştır (E.2024/3854, K.2025/3493, T.23.06.2025).
Kart Sahibi Hangi Durumlarda Kendi Zararına Katlanır?
Kart sahibinin şifresini, 3D Secure kodunu veya internet bankacılığı bilgilerini kendi iradesiyle üçüncü kişiye vermesi Yargıtay'ın “ağır kusur” saydığı tipik durumlardandır. Kartın elden çıktığını bildiği hâlde bankaya günlerce bildirimde bulunmamak ve şifreyi korumamak da ağır kusur sayılır. Hukuk Genel Kurulu, ATM'de sıkışan kartla bildirimden önceki üç gün içinde şifreli harcamalar yapılan bir olayda, bu hâlde bankanın olası güvenlik eksikliği ile zarar arasındaki illiyet bağının kesilebileceğini oy çokluğuyla kabul etmiştir:
Her ne kadar bir güven kurumu olması nedeniyle en hafif kusurundan dahi sorumlu tutulan bankanın ATM cihazında yeterli önlemi almadığından kusurlu olduğu ve doğan zarardan sorumlu tutulması gerektiği düşünülse bile, somut olayda şifrenin üçüncü kişilerce ele geçirilmesinde davacı kart hamilinin ağır kusuru bulunduğundan, davalı banka bakımından doğan zarar ile kusur arasında nedensellik bağı kesilmiş olup davanın reddine karar verilmesi gerekir.
— Yargıtay Hukuk Genel Kurulu, E.2020/108, K.2022/1450, T.08.11.2022, § 30
Temyiz edilen kararın dayandığı bilgi ve belgelere, belirtilen gerekçeye, özellikle banka çalışanının davacının yeğeni olup akrabalık ve güven ilişkisi nedeniyle mobil bankacılık işlemlerine ilişkin tüm bilgilerini bankacılık işlemlerini yapmak üzere verdiği ve bu durumda bankanın sorumluluğunun bulunmadığının anlaşılmasına göre, ...
— Yargıtay 3. Hukuk Dairesi, E.2025/4860, K.2026/2088, T.09.04.2026
Ancak şifre paylaşımı her zaman bankayı tamamen kurtarmaz. Yargıtay 11. Hukuk Dairesi, banka görevlisi gibi arayan kişiye uzaktan erişim uygulaması yükleyip kod veren müşteriyi %60, kısa sürede peş peşe yapılan olağan dışı işlemleri fark etmeyen bankayı %40 kusurlu bulan kararı onamıştır (E.2025/724, K.2025/5873, T.02.10.2025; olay, mobil bankacılık üzerinden vadesiz altın hesabından yapılan işlemlere ilişkindir). Kararda bankaların olağan dışı ve dolandırıcılık riski taşıyan işlemleri izleme yükümlülüğüne vurgu yapılmıştır.
| Senaryo | Genel eğilim | Belirleyici soru |
|---|---|---|
| Kart fiziken çalındı, hemen bildirildi, sahte imzayla harcama | Kart sahibi kusursuz; banka ve işyeri sorumlu olabilir | Bildirim saati ve imza incelemesi |
| Telefon/sipariş formuyla, harcama belgesi olmadan işlem | 5464 m.15/3 gereği kart hamili sorumlu tutulamaz | İşlemin niteliği |
| SIM kart kopyalandı, OTP dolandırıcıya gitti | Banka ve GSM şirketinin kusuru tartışılır | Teyit ve kimlik doğrulama önlemleri |
| Şifre veya SMS kodu bilerek paylaşıldı | Kart sahibinin ağır kusuru; banka çoğu zaman sorumsuz | Paylaşımın koşulları |
| Kod paylaşıldı, ama işlemler açıkça olağan dışı | Kusur paylaştırılabilir (ör. %60–%40) | Bankanın işlem izleme sistemi |
| Bildirim günlerce gecikti | 150 TL sınırı kaybedilir, sorumluluk artar | Hamilin ne zaman öğrendiği |
Önemli bilgi: Bu davalarda kararı çoğu zaman bilirkişi raporu belirler. Raporda bankanın log kayıtları, cihaz ve IP değişikliği, SIM değişikliği bildirimi, işlem limitleri ve risk skorlaması incelenmeli; yalnızca “işlem şifreyle yapılmıştır” tespitiyle yetinen rapora itiraz edilmelidir. IP kayıtlarının delil değeri için IP Adresi Tek Başına Delil midir? yazımıza bakabilirsiniz.
Bankaya Karşı Hangi Hukuki Yollar Var?
- Bankaya yazılı başvuru: İtirazın reddi hâlinde gerekçeli cevap ve işlem kayıtları istenmelidir.
- Tüketici hakem heyeti: 2026 yılı için 186.000 TL'nin altındaki uyuşmazlıklarda başvuru zorunludur. Başvuru e-Devlet üzerinden yapılabilir.
- Arabuluculuk ve tüketici mahkemesi: Sınırı aşan uyuşmazlıklarda dava açmadan önce arabulucuya başvurmak dava şartıdır. Dava çoğu zaman menfi tespit (borçlu olmadığının tespiti) veya ödenen tutarın iadesi şeklinde açılır.
- Zamanaşımı: Bankaya karşı sözleşmeye dayalı talepler kural olarak TBK m.146 uyarınca on yıllık zamanaşımına tabidir; talep haksız fiile dayandırılırsa TBK m.72'deki daha kısa süreler gündeme gelebilir. Bu nedenle deliller kaybolmadan hareket edilmelidir.
Çalınan Kartı Kullanan Kişi Hangi Suçtan Yargılanır?
5237 sayılı Türk Ceza Kanunu – Madde 245 (1) ve (3)
(1) Başkasına ait bir banka veya kredi kartını, her ne suretle olursa olsun ele geçiren veya elinde bulunduran kimse, kart sahibinin veya kartın kendisine verilmesi gereken kişinin rızası olmaksızın bunu kullanarak veya kullandırtarak kendisine veya başkasına yarar sağlarsa, üç yıldan altı yıla kadar hapis ve beşbin güne kadar adlî para cezası ile cezalandırılır.
(3) Sahte oluşturulan veya üzerinde sahtecilik yapılan bir banka veya kredi kartını kullanmak suretiyle kendisine veya başkasına yarar sağlayan kişi, fiil daha ağır cezayı gerektiren başka bir suç oluşturmadığı takdirde, dört yıldan sekiz yıla kadar hapis ve beşbin güne kadar adlî para cezası ile cezalandırılır.
Kartın fiziken ele geçirilmesi şart değildir. Kart bilgilerinin internetten alışverişte kullanılması da 245/1 kapsamında değerlendirilir:
Dairemizin yerleşik içtihatlarında; banka veya kredi kartı bilgilerinin ve bu nedenle kişisel verilerin ele geçirilip başka bir yerde kullanılmaması halinde TCK.nın 136. maddesinde düzenlenen suçun, bu bilgilerin kullanılarak haksız yarar sağlanmasının ise geçitli suç özelliğinden dolayı sadece TCK.nın 245/1. maddesinde yazılı suçu oluşturacağı, vurgulanmıştır.
— Yargıtay 8. Ceza Dairesi, E.2021/11863, K.2021/17643, T.15.09.2021
Para kart yerine internet bankacılığı yoluyla hesaptan çekilmişse TCK 142/2-e (bilişim yoluyla hırsızlık), aldatma varsa TCK 158/1-f gündeme gelir; ayrım için bilişim yoluyla dolandırıcılık yazımıza bakınız. TCK 245/5 uyarınca 245/1'deki suçta malvarlığına karşı suçlara ilişkin etkin pişmanlık hükümleri uygulanır; sahte veya kopyalanmış kart kullanımında (245/3) bu hüküm uygulanmaz (Yargıtay 8. Ceza Dairesi, E.2019/11632, K.2019/12206, T.14.10.2019). Paranın aktarıldığı hesabın sahibi, hesabını bilerek kullandırmışsa suça iştirak hükümleri (TCK m.37–39) uyarınca sorumlu olabilir. Eylem dolandırıcılık (TCK m.157–158) niteliğindeyse ve hesap sahibinin katkısı yalnız hesabın kullanılmasını sağlayan bilgileri veya araçları vermekten ibaretse, 7589 sayılı Kanunla eklenen TCK m.158/4 uyarınca cezası yarı oranında indirilir; bu hüküm yeni bir sorumluluk doğurmaz ve TCK 245 suçlarına uygulanmaz. Ayrıntı için IBAN mağdurları yazımıza bakınız. Alıcı hesabın askıya alınması ise CMK 128/A yazımızın konusudur.
İstanbul'da Kredi Kartı Dolandırıcılığı Avukatı
Bankaya karşı açılacak davada kusur dağılımı, ceza dosyasında ise failin tespiti ve zararın giderilmesi birlikte yönetilmelidir. Coşkun Genç Hukuk Bürosu olarak İstanbul'da, özellikle Kartal'daki Anadolu Adliyesi ile İstanbul Adliyesi'nde kart dolandırıcılığı ve bilişim suçları dosyalarında hem mağdurlara hem de şüpheli ve sanıklara hukuki destek veriyoruz. Dosyanızın değerlendirilmesi için bizimle iletişime geçebilirsiniz.
Önemli: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Somut dosyanız için bir avukattan destek alınız.
İlgili yazılar: Kredi Kartı Dolandırıcılığı (TCK 245) · banka hesabının gerçek kullanıcısının tespiti