İletişim Formu
Av. Ali Alper Can
Sayfa İçindekiler

Dijital çağ, kurumsal dolandırıcılık türlerini "sosyal mühendislik" (social engineering) ve üretken yapay zeka (Generative AI) konseptleriyle yepyeni bir asimetrik boyuta taşımıştır. Özellikle "Deepfake" teknolojisi kullanılarak üst düzey şirket yöneticilerinin (C-Level) ses ve görüntülerinin birebir klonlanması suretiyle gerçekleştirilen İş E-Posta İhlali (BEC - Business Email Compromise) saldırıları, şirketler için telafisi güç finansal zararlar doğurmaktadır.

Şirket muhasebe veya finans müdürlerinin, gerçekliğinden ayırt edilemeyen sahte bir "Patron (CEO)" telefon aramasıyla yüklü miktarda dövizi yurt dışı hesaplarına transfer etmesi (Swift) senaryosu, Türk Hukuku bakımından çok boyutlu bir illiyet bağı analizini gerektirmektedir. Bu vakalarda hukuki ihtilaf; salt dolandırıcının tespitiyle sınırlı kalmayıp, asıl olarak zararın kimin üzerinde bırakılacağı (Banka mı, Şirket Yönetimi mi, Finans Müdürü mü?) ekseninde şekillenmektedir.

İş E-Posta İhlali (BEC) ve Nitelikli Dolandırıcılık (TCK m. 158)

Deepfake ses simülasyonları veya ele geçirilmiş kurumsal e-posta ağları (Mail Spoofing) üzerinden gerçekleştirilen manipülasyonlar, 5237 sayılı Türk Ceza Kanunu kapsamında bilişim sistemlerinin araç olarak kullanılması suretiyle nitelikli dolandırıcılık (TCK m. 158/1-f) suçunu oluşturur. Suçun faili her ne kadar yurt dışı kaynaklı organize siber ağlar olsa da, mağdur şirketin ilk hukuki refleksi yetkisiz erişim (TCK m. 243) bağlamında delilleri adli bilişim standartlarında derhal muhafaza altına almak olmalıdır.

Bankaların Hukuki Sorumluluğu ve Yargıtay İçtihatları

Deepfake destekli yüklü para transferlerinde şirketin tüm maddi kaybı üstlenmesi hukuken kabul edilemez. Yargıtay 11. Hukuk Dairesi'nin yerleşik içtihatlarına göre bankalar birer "Güven Kurumu" olup, objektif özen yükümlülüğü altındadır. Bir banka, mevduat sahibinin parasını siber saldırılara karşı korumak için güncel bilişim teknolojilerini (Anomali Tespit Sistemleri, Çift Aşamalı Doğrulama, Davranışsal Analiz) kullanmak zorundadır.

Anomali Tespiti ve Ağır Kusur İncelemesi

  • Anormal İşlem Hacmi (Anomali Tespiti): Şirketin rutin transfer profiline uymayan, mesai saatleri dışında veya riskli ülkelere (offshore bölgelere) aniden yapılan mükerrer SWIFT/EFT işlemlerinde bankanın işlemi durdurup şirket yetkilisinden "ikincil ve fiziki teyit" alma yükümlülüğü bulunmaktadır.
  • Kusursuz Sorumluluğa Yaklaşan Özen: Emsal Yargıtay kararları; müşterinin "ağır kusuru" ispatlanmadığı sürece, sahte talimatlarla boşaltılan hesaplardan doğan zararın, altyapı güvenliğini sağlayamayan veya şüpheli işlemi durdurmayan banka üzerinde kalacağına hükmetmektedir.

Şirket İçi Kusur Oranları: Finans Yöneticisinin Sorumluluğu

Bankalar genellikle savunmalarını "şifreyi ve talimatı müşteri (şirket çalışanı) bizzat vermiştir" diyerek müşteri kusuruna dayandırmaktadır. Ancak Deepfake gibi biyometrik ve ses verilerini mükemmel derecede taklit eden teknolojik bir aldatmaca karşısında, sıradan bir şirket çalışanının bu hileyi fark edememesi hukuken doğrudan "Ağır Kusur" olarak nitelendirilemez.

Bu tür bir siber krizde, şirketin kendi iç denetim mekanizmaları da hukuki sürecin bir parçasıdır. E-posta veya telefon talimatıyla milyarlarca liralık transferi gerçekleştiren finans personelinin İş Kanunu ve Borçlar Kanunu çerçevesinde sadakat ve özen yükümlülüğü (işini özenle yapma) denetlenir. Aynı zamanda, şirkette "İkili Onay Protokolü" (Dual Control) kurmamış olan Yönetim Kurulu da idari gözetim eksikliği nedeniyle pay sahiplerine karşı sorumlu duruma düşebilir.

Ceza Yargılamasında Adli Bilişim (Digital Forensics) Kriterleri

Maddi gerçeğin ispatı, bankaya açılacak alacak (istirdat ve tazminat) davasının temelini oluşturur. Sürecin yönetimi şu teknik temellere dayanmalıdır:

  • Ses Spektrografisi (Deepfake Analizi): Aramanın yapay zeka müdahalesi (sentetik ses) içerip içermediğinin teknik tespiti. Bu analiz, çalışanın "Ağır Kusurlu" olmadığına dair mahkemeye sunulacak en kesin delildir.
  • E-Posta Header (Başlık) ve IP İncelemesi: CEO adına atılan e-postanın gerçek sunucudan mı yoksa Spoofing (sahtecilik) yöntemiyle mi gönderildiğinin, siber saldırının yöntem ve kaynağının ispatı.
  • Banka Log ve Anomali Kayıtları: Bankanın güvenlik algoritmasının işlemi "Riskli" işaretleyip işaretlemediğinin tespiti. Bu durum, bankanın özen yükümlülüğünü ihlal ettiğinin (Kusur) ispatıdır.

Şirketler İçin Hukuki Eylem Planı ve İvedi Tedbir Kararları

Bir BEC veya Deepfake dolandırıcılığı anlaşıldığı saniye (ilk 24 saat içinde), adli bilişim delilleri karartılmadan önce ilgili bankanın genel müdürlüğüne resmi ihtarnameler çekilmeli, şüpheli alıcı hesaplarına bloke konulması için savcılık talimatları (CMK m. 128) ve hukuk mahkemelerinden İhtiyati Haciz / İhtiyati Tedbir kararları istihsal edilmelidir. Sürecin sadece bir ceza davası olarak değil, banka sorumluluğuna dayalı bir Ticaret Hukuku davası olarak yürütülmesi şirketin zararının tazmini için elzemdir.

 
YASAL UYARI VE BİLGİLENDİRME: Bu makale genel hukuki bilgilendirme amacıyla hazırlanmış olup, somut bir hukuki mütalaa niteliği taşımamaktadır. Banka rücu süreçleri ve çalışan kusur oranları, her somut olayın teknik adli bilişim (log/ses) sonuçlarına göre değişkenlik göstermektedir. Olası bir ihlalde derhal uzman bir bilişim avukatından destek alınmalıdır.

Av. Ali Alper Can

Kurucu Avukat | Ankara Barosu (Sicil: 22266)

16 yıllık mesleki tecrübesiyle Ceza Hukuku, Bilişim Suçları, Ticaret ve Aile Hukuku uyuşmazlıklarında stratejik müşavirlik sunan kurucu avukattır. Dava süreçlerinde "Önleyici Hukuk" ve teknik delil analizi prensiplerini merkeze alarak müvekkillerine şeffaf, güvenilir ve sonuç odaklı hukuki koruma sağlar.

Sıkça Sorulan Sorular

▶ Deepfake kullanılarak sahte CEO talimatıyla şirketten para transferi (BEC) yapılması halinde hukuki sorumluluk kimdedir?

Yapay zeka (Deepfake) ile ses veya görüntü taklit edilerek yapılan İş E-Posta İhlali (BEC) dolandırıcılıklarında, bankanın şüpheli/anormal işlemi tespit (anomali) ve durdurma yükümlülüğü (güven kurumu vasfı) incelenir. Aynı zamanda işlemi gerçekleştiren şirket finans personelinin özen yükümlülüğü ve şirket yönetiminin çift aşamalı onay (Dual Control) prosedürlerini kurup kurmadığı kusur oranını belirler.