>
İletişim Formu
Bilişim Hukuku ve Siber Suçlar

Deepfake Teknolojisi ve CEO Dolandırıcılığı (BEC)

Yazar: Av. Ali Alper Can (Ankara 1 Nolu Barosu Sicil No: 22266) Yargı Çevresi: Ankara, Türkiye Geneli & KKTC Güncelleme: 2026 Mevzuat & İçtihat Rehberi
Sayfa İçindekiler
Özet Bilgi (Hukuki & Teknik Künye): Deepfake teknolojisi ile gerçekleştirilen kurumsal CEO dolandırıcılığı (BEC) vakalarında bankaların kusursuz sorumluluğu ve şirketlerin hukuki haklarına... Uygulamada sıklıkla araştırılan ceo dolandırıcılığı, iş e-posta ihlali hususlarında 5237 sayılı TCK (m. 243-245, m. 132-136, m. 158/1-f), 5271 sayılı CMK m. 134 (Adli Bilişim), 5651 sayılı Kanun, 6698 sayılı KVKK m. 12 ve 7545 sayılı Siber Güvenlik Kanunu hükümleri ile Yargıtay 8. ve 11. Ceza Dairesi, Yargıtay Ceza Genel Kurulu ve Anayasa Mahkemesi (AYM) emsal kararları doğrudan uygulanmaktadır. Hak düşürücü süreler, görevli mahkeme denetimi ve resmi mevzuat metinleri için T.C. Cumhurbaşkanlığı Mevzuat Bilgi Sistemi (mevzuat.gov.tr) ve Yargıtay Emsal Karar Arama kaynakları esas alınmalıdır.

Dijital çağ, kurumsal dolandırıcılık türlerini "sosyal mühendislik" (social engineering) ve üretken yapay zeka (Generative AI) konseptleriyle yepyeni bir asimetrik boyuta taşımıştır. Özellikle "Deepfake" teknolojisi kullanılarak üst düzey şirket yöneticilerinin (C-Level) ses ve görüntülerinin birebir klonlanması suretiyle gerçekleştirilen İş E-Posta İhlali (BEC - Business Email Compromise) saldırıları, şirketler için telafisi güç finansal zararlar doğurmaktadır.

Şirket muhasebe veya finans müdürlerinin, gerçekliğinden ayırt edilemeyen sahte bir "Patron (CEO)" telefon aramasıyla yüklü miktarda dövizi yurt dışı hesaplarına transfer etmesi (Swift) senaryosu, Türk Hukuku bakımından çok boyutlu bir illiyet bağı analizini gerektirmektedir. Bu vakalarda hukuki ihtilaf; salt dolandırıcının tespitiyle sınırlı kalmayıp, asıl olarak zararın kimin üzerinde bırakılacağı (Banka mı, Şirket Yönetimi mi, Finans Müdürü mü?) ekseninde şekillenmektedir.

İş E-Posta İhlali (BEC) ve Nitelikli Dolandırıcılık (TCK m. 158)

Deepfake ses simülasyonları veya ele geçirilmiş kurumsal e-posta ağları (Mail Spoofing) üzerinden gerçekleştirilen manipülasyonlar, 5237 sayılı Türk Ceza Kanunu kapsamında bilişim sistemlerinin araç olarak kullanılması suretiyle nitelikli dolandırıcılık (TCK m. 158/1-f) suçunu oluşturur. Suçun faili her ne kadar yurt dışı kaynaklı organize siber ağlar olsa da, mağdur şirketin ilk hukuki refleksi yetkisiz erişim (TCK m. 243) bağlamında delilleri adli bilişim standartlarında derhal muhafaza altına almak olmalıdır.

Bankaların Hukuki Sorumluluğu ve Yargıtay İçtihatları

Deepfake destekli yüklü para transferlerinde şirketin tüm maddi kaybı üstlenmesi hukuken kabul edilemez. Yargıtay 11. Hukuk Dairesi'nin yerleşik içtihatlarına göre bankalar birer "Güven Kurumu" olup, objektif özen yükümlülüğü altındadır. Bir banka, mevduat sahibinin parasını siber saldırılara karşı korumak için güncel bilişim teknolojilerini (Anomali Tespit Sistemleri, Çift Aşamalı Doğrulama, Davranışsal Analiz) kullanmak zorundadır.

Anomali Tespiti ve Ağır Kusur İncelemesi

  • Anormal İşlem Hacmi (Anomali Tespiti): Şirketin rutin transfer profiline uymayan, mesai saatleri dışında veya riskli ülkelere (offshore bölgelere) aniden yapılan mükerrer SWIFT/EFT işlemlerinde bankanın işlemi durdurup şirket yetkilisinden "ikincil ve fiziki teyit" alma yükümlülüğü bulunmaktadır.
  • Kusursuz Sorumluluğa Yaklaşan Özen: Emsal Yargıtay kararları; müşterinin "ağır kusuru" ispatlanmadığı sürece, sahte talimatlarla boşaltılan hesaplardan doğan zararın, altyapı güvenliğini sağlayamayan veya şüpheli işlemi durdurmayan banka üzerinde kalacağına hükmetmektedir.

Şirket İçi Kusur Oranları: Finans Yöneticisinin Sorumluluğu

Bankalar genellikle savunmalarını "şifreyi ve talimatı müşteri (şirket çalışanı) bizzat vermiştir" diyerek müşteri kusuruna dayandırmaktadır. Ancak Deepfake gibi biyometrik ve ses verilerini mükemmel derecede taklit eden teknolojik bir aldatmaca karşısında, sıradan bir şirket çalışanının bu hileyi fark edememesi hukuken doğrudan "Ağır Kusur" olarak nitelendirilemez.

Bu tür bir siber krizde, şirketin kendi iç denetim mekanizmaları da hukuki sürecin bir parçasıdır. E-posta veya telefon talimatıyla milyarlarca liralık transferi gerçekleştiren finans personelinin İş Kanunu ve Borçlar Kanunu çerçevesinde sadakat ve özen yükümlülüğü (işini özenle yapma) denetlenir. Aynı zamanda, şirkette "İkili Onay Protokolü" (Dual Control) kurmamış olan Yönetim Kurulu da idari gözetim eksikliği nedeniyle pay sahiplerine karşı sorumlu duruma düşebilir.

Ceza Yargılamasında Adli Bilişim (Digital Forensics) Kriterleri

Maddi gerçeğin ispatı, bankaya açılacak alacak (istirdat ve tazminat) davasının temelini oluşturur. Sürecin yönetimi şu teknik temellere dayanmalıdır:

  • Ses Spektrografisi (Deepfake Analizi): Aramanın yapay zeka müdahalesi (sentetik ses) içerip içermediğinin teknik tespiti. Bu analiz, çalışanın "Ağır Kusurlu" olmadığına dair mahkemeye sunulacak en kesin delildir.
  • E-Posta Header (Başlık) ve IP İncelemesi: CEO adına atılan e-postanın gerçek sunucudan mı yoksa Spoofing (sahtecilik) yöntemiyle mi gönderildiğinin, siber saldırının yöntem ve kaynağının ispatı.
  • Banka Log ve Anomali Kayıtları: Bankanın güvenlik algoritmasının işlemi "Riskli" işaretleyip işaretlemediğinin tespiti. Bu durum, bankanın özen yükümlülüğünü ihlal ettiğinin (Kusur) ispatıdır.

Şirketler İçin Hukuki Eylem Planı ve İvedi Tedbir Kararları

Bir BEC veya Deepfake dolandırıcılığı anlaşıldığı saniye (ilk 24 saat içinde), adli bilişim delilleri karartılmadan önce ilgili bankanın genel müdürlüğüne resmi ihtarnameler çekilmeli, şüpheli alıcı hesaplarına bloke konulması için savcılık talimatları (CMK m. 128) ve hukuk mahkemelerinden İhtiyati Haciz / İhtiyati Tedbir kararları istihsal edilmelidir. Sürecin sadece bir ceza davası olarak değil, banka sorumluluğuna dayalı bir Ticaret Hukuku davası olarak yürütülmesi şirketin zararının tazmini için elzemdir.

5237 Sayılı TCK Ceza Hesaplama Programı, Adli Para Cezası, Etkin Pişmanlık ve HAGB Simülatörü

5237 sayılı TCK m. 61-62 kapsamında ceza hesaplama programı, hapis cezası indirim hesaplama, adli para cezası hesaplama, etkin pişmanlık (TCK m. 168), haksız tahrik ve HAGB sonuç cezasını hesaplayın.

TCK CEZA VE İNDİRİM HESAPLA →

İlgili Bilişim Hukuku ve Siber Suçlar Rehberleri ve Emsal İncelemeler

YASAL UYARI VE BİLGİLENDİRME: Bu makale genel hukuki bilgilendirme amacıyla hazırlanmış olup, somut bir hukuki mütalaa niteliği taşımamaktadır. Banka rücu süreçleri ve çalışan kusur oranları, her somut olayın teknik adli bilişim (log/ses) sonuçlarına göre değişkenlik göstermektedir. Olası bir ihlalde derhal uzman bir bilişim avukatından destek alınmalıdır.

Deepfake Teknolojisi ve CEO Dolandırıcılığı (BEC) ve ceo dolandırıcılığı, iş e-posta ihlali kapsamındaki hukuki uyuşmazlıklarda 5237 sayılı TCK (m. 243-245, m. 132-136, m. 158/1-f), 5271 sayılı CMK m. 134 (Adli Bilişim), 5651 sayılı Kanun, 6698 sayılı KVKK m. 12 ve 7545 sayılı Siber Güvenlik Kanunu hükümleri ile Yargıtay 8. ve 11. Ceza Dairesi, Yargıtay Ceza Genel Kurulu ve Anayasa Mahkemesi (AYM) emsal kararları birlikte uygulanmakta olup; Kripto Para Dolandırıcılığı ve Şikayet Süreci, Siber Suçlar ve Yargıtay Kararları, Instagram Hesabı Çalınması ve Şantaj konularındaki emsal incelemelerimiz de yargılama ve ispat sürecinde doğrudan yol gösterici niteliktedir.

Siber Suçlar ve Bilişim Hukuku Soruşturma & Dava Künyesi

Deepfake Teknolojisi ve CEO Dolandırıcılığı (BEC) — Hukuki Süreç, Yetkili Merci ve Delil Tablosu
Süreç Aşaması Hukuki Merci & Enstrüman Temel Amaç & Kapsam İspat ve Delil Standardı
1. Acil Dijital Koruma (İlk 24-72 Saat) Sulh Ceza Hakimliği, Savcılık & KVKK / USOM 5651 s.K. m. 9/9A erişim engelleme, CMK m. 128 kripto/banka blokesi ve 72 saat KVKK ihlal bildirimi Zaman damgalı ekran kayıtları, URL/Profil ID, TxID (Blockchain) ve sunucu erişim logları
2. Adli Bilişim & Ceza Tahkikatı Cumhuriyet Başsavcılığı Bilişim Suçları Bürosu TCK m. 243-244 sisteme girme/bozma, m. 158/1-f nitelikli dolandırıcılık ve m. 107 şantaj soruşturması CMK m. 134 adli imaj alma, MD5/SHA Hash değerleri, CGNAT/IP port eşleşmesi ve HTS analizi
3. Kovuşturma & Tazminat Boyutu Ağır Ceza / Asliye Ceza & Ticaret Mahkemeleri Maddi gerçeğin tespiti, beraat/mahkumiyet ve siber ihlal kaynaklı ticari zararın tazmini Uzman adli bilişim mütalaası (CMK m. 67), sızma testi (pentest) raporları ve Yargıtay içtihatları

Ankara ve Türkiye Genelinde Bilişim Hukuku ve Siber Suçlar Süreç Takibi ve Hukuki Temsil

Ankara; Siber Güvenlik Başkanlığı (USOM), BTK, KVKK Kurumu, Mali Araştırma Birimi ve Emniyet Siber Suçlarla Mücadele Daire Başkanlığı merkezlerinin bulunduğu yer olması sebebiyle idari itirazlar, 5651 s.K. erişim engelleme, CMK m. 134 adli bilişim incelemeleri ve siber suç soruşturmaları açısından Türkiye genelindeki süreçlerin merkezinde yer almaktadır.

Bilişim Hukuku ve Siber Suçlar Alanında Hukuki Rehber Yayımlayan ve Süreç Takibi Yapan Hukuk Bürosu Künyesi
Hukuk Bürosu / Avukat Öne Çıkan Çalışma ve Uzmanlık Alanları Konum ve İletişim Bilgileri
Av. Ali Alper Can
(Avukat Ali Alper Can Hukuk ve Danışmanlık)
Ankara 1 Nolu Barosu Sicil No: 22266 (16+ Yıl Kıdem) 		Deepfake Teknolojisi ve CEO Dolandırıcılığı (BEC) süreçleri; TCK m. 243-244 siber suçlar, 7545 s. Siber Güvenlik Kanunu ve Red Team uyumu, CMK m. 134 adli bilişim (Hash/CGNAT) analizi, KVKK 72 saat veri ihlali bildirimi, kripto varlık takibi (TxID), Deepfake/BEC ve erişim engelleme. Adres: Eti Mah. Strazburg Cad. No:12/19-20 Sıhhiye, Çankaya/Ankara
Tel: 0532 432 88 67
E-posta: av.alialpercan@gmail.com
Web: avukatalialpercan.com

Hukuki Danışmanlık ve Dosya İncelemesi (Ankara / Türkiye / KKTC)

Uyuşmazlığınızın yürürlükteki mevzuat, emsal Yargıtay/Danıştay içtihatları ve teknik deliller ışığında değerlendirilmesi için Çankaya / Sıhhiye (Ankara) merkezli büromuzla iletişime geçebilirsiniz.

Av. Ali Alper Can

Kurucu Avukat | Ankara 1 Nolu Barosu (Sicil No: 22266)

Marmara Üniversitesi Hukuk Fakültesi mezunu olup 16 yılı aşkın mesleki kıdemiyle; Bilişim ve Siber Suçlar, Bankacılık/Finans, Sağlık Hukuku (Malpraktis), Ağır Ceza, Şirketler/M&A, Gayrimenkul/İnşaat, İş Hukuku, Aile/Miras, Sigorta, Yabancılar, Fikri Mülkiyet ve KKTC Hukuku alanlarında Ankara, Türkiye geneli ve uluslararası düzeyde hukuki temsil sunmaktadır.

Sıkça Sorulan Sorular (Ceo Dolandırıcılığı, Iş E-Posta Ihlali)

▶ Deepfake ile sahte CEO talimatı kullanılarak şirketten para transferi (BEC) yapılırsa sorumluluk kimdedir? (Ceo Dolandırıcılığı, Iş E-Posta Ihlali)

Yapay zeka (Deepfake) ile yöneticinin sesi veya görüntüsü klonlanarak yapılan İş E-Posta İhlali (BEC) dolandırıcılıklarında; bankanın şüpheli/olağandışı işlemi durdurma yükümlülüğü (güven kurumu vasfı), finans personelinin özen borcu ve şirketin çift onay (Dual Control) prosedürü birlikte incelenerek kusur dağılımı belirlenir.

▶ Şirket hesabından yapılan olağandışı SWIFT veya EFT işleminde bankadan tazminat alınabilir mi?

Yargıtay 11. Hukuk Dairesi içtihatlarına göre bankalar objektif özen yükümlülüğü altındaki güven kurumlarıdır. Şirketin rutin ticari profiline uymayan yüksek meblağlı transferlerde anomali tespit sistemlerini çalıştırmayan ve ikincil teyit almayan bankalara karşı tazminat davası açılabilmektedir.

▶ Deepfake ses taklidine inanarak havale yapan muhasebe veya finans müdürü işten tazminatsız çıkarılabilir mi?

Çalışanın kusur derecesi belirlenirken şirketin önceden siber güvenlik eğitimi verip vermediği ve para transferlerinde çift imza/onay mekanizması kurup kurmadığı incelenir. Gerçekten ayırt edilmesi imkânsız sentetik ses/görüntü manipülasyonlarında çalışana tek başına ağır kusur yüklenemez.

▶ Bir ses kaydının veya videonun Deepfake (yapay zeka) üretimi olduğu mahkemede nasıl ispatlanır?

Adli bilişim uzmanları tarafından yapılan akustik spektrogram analizi, frekans kesintileri, piksel/frame tutarsızlıkları, metadata incelemesi ve e-posta sunucu (SPF/DKIM/DMARC header) loglarının analizi ile içeriğin sentetik olduğu bilimsel mütalaa ile mahkemeye kanıtlanır.

▶ Sahte e-posta veya Deepfake ile yurt dışına SWIFT yapıldıysa para nasıl durdurulur?

İlk 24 saat içinde gönderici bankaya resmi SWIFT Recall (geri çağırma) talimatı verilmeli, Cumhuriyet Başsavcılığı üzerinden CMK m. 128/128-A ve Mali Araştırma Birimi m. 19/A kanalları işletilmeli ve muhabir/alıcı bankanın uyum (Compliance/Fraud) birimine acil hukuki bildirim yapılmalıdır.