İletişim Formu
Pars Hukuk
Bilişim Hukuku ve Şirketler Hukuku

Deepfake Teknolojisi ve CEO Dolandırıcılığı (BEC): Bankaların ve Şirketlerin Hukuki Sorumluluğu

Sayfa İçindekiler

Dijital çağ, kurumsal dolandırıcılık türlerini "sosyal mühendislik" (social engineering) ve üretken yapay zeka (Generative AI) konseptleriyle yepyeni bir asimetrik boyuta taşımıştır. Özellikle "Deepfake" teknolojisi kullanılarak üst düzey şirket yöneticilerinin (C-Level) ses ve görüntülerinin birebir klonlanması suretiyle gerçekleştirilen İş E-Posta İhlali (BEC - Business Email Compromise) saldırıları, şirketler için telafisi güç finansal zararlar doğurmaktadır. Pars Hukuk Bürosu olarak; bu tür sofistike siber saldırıların ardından başlatılacak ceza soruşturmaları ile bankalara yöneltilecek tazminat (rücu) davalarında, teknik ve hukuki donanımı bütünleştiren stratejik bir müşavirlik sunmaktayız.

Şirket muhasebe veya finans müdürlerinin, gerçekliğinden ayırt edilemeyen sahte bir "Patron (CEO)" telefon aramasıyla yüklü miktarda dövizi yurt dışı hesaplarına transfer etmesi (Swift) senaryosu, Türk Hukuku bakımından çok boyutlu bir illiyet bağı analizini gerektirmektedir. Bu vakalarda hukuki ihtilaf; salt dolandırıcının tespitiyle sınırlı kalmayıp, asıl olarak zararın kimin üzerinde bırakılacağı (Banka mı, Şirket Yönetimi mi, Finans Müdürü mü?) ekseninde şekillenmektedir.

İş E-Posta İhlali (BEC) ve Nitelikli Dolandırıcılık (TCK m. 158)

Deepfake ses simülasyonları veya ele geçirilmiş kurumsal e-posta ağları (Mail Spoofing) üzerinden gerçekleştirilen manipülasyonlar, 5237 sayılı Türk Ceza Kanunu kapsamında bilişim sistemlerinin araç olarak kullanılması suretiyle nitelikli dolandırıcılık (TCK m. 158/1-f) suçunu oluşturur. Suçun faili her ne kadar yurt dışı kaynaklı organize siber ağlar olsa da, mağdur şirketin ilk hukuki refleksi yetkisiz erişim (TCK m. 243) bağlamında delilleri adli bilişim standartlarında derhal muhafaza altına almak olmalıdır.

Bankaların Hukuki Sorumluluğu ve Yargıtay İçtihatları

Deepfake destekli yüklü para transferlerinde şirketin tüm maddi kaybı üstlenmesi hukuken kabul edilemez. Yargıtay 11. Hukuk Dairesi'nin yerleşik içtihatlarına göre bankalar birer "Güven Kurumu" olup, objektif özen yükümlülüğü altındadır. Bir banka, mevduat sahibinin parasını siber saldırılara karşı korumak için güncel bilişim teknolojilerini (Anomali Tespit Sistemleri, Çift Aşamalı Doğrulama, Davranışsal Analiz) kullanmak zorundadır.

  • Anormal İşlem Hacmi (Anomali Tespiti): Şirketin rutin transfer profiline uymayan, mesai saatleri dışında veya riskli ülkelere aniden yapılan mükerrer SWIFT/EFT işlemlerinde bankanın işlemi durdurup şirket yetkilisinden "ikincil ve fiziki teyit" alma yükümlülüğü bulunmaktadır.
  • Kusursuz Sorumluluğa Yaklaşan Özen: Emsal Yargıtay kararları; müşterinin "ağır kusuru" ispatlanmadığı sürece, sahte talimatlarla boşaltılan hesaplardan doğan zararın, altyapı güvenliğini sağlayamayan veya şüpheli işlemi durdurmayan banka üzerinde kalacağına hükmetmektedir.

Kusur Dağılımı: Deepfake Mağduriyeti Ağır Kusur Sayılır Mı?

Bankalar genellikle savunmalarını "şifreyi ve talimatı müşteri (şirket çalışanı) bizzat vermiştir" diyerek müşteri kusuruna dayandırmaktadır. Ancak Deepfake gibi biyometrik ve ses verilerini mükemmel derecede taklit eden teknolojik bir aldatmaca karşısında, sıradan bir şirket çalışanının bu hileyi fark edememesi hukuken "Ağır Kusur" olarak nitelendirilemez. Kusurun illiyet bağı, ancak teknik bilirkişi incelemesiyle oransal olarak paylaştırılır.

Şirket İçi Sorumluluk Hiyerarşisi ve Yönetici Kusuru

Bu tür bir siber krizde, şirketin kendi iç denetim mekanizmaları da hukuki sürecin bir parçasıdır. E-posta veya telefon talimatıyla milyarlarca liralık transferi gerçekleştiren finans personelinin İş Kanunu ve Borçlar Kanunu çerçevesinde sadakat ve özen yükümlülüğü (işini özenle yapma) denetlenir. Aynı zamanda, tıpkı fidye yazılımı (Ransomware) saldırılarındaki yönetici sorumluluğunda olduğu gibi; şirkette "İkili Onay Protokolü" (Dual Control) veya siber güvenlik prosedürleri kurmamış olan Yönetim Kurulu (TTK m. 553) idari gözetim eksikliği nedeniyle pay sahiplerine karşı sorumlu duruma düşebilir.

Ceza Yargılamasında Adli Bilişim (Digital Forensics) Kriterleri

Maddi gerçeğin ispatı, bankaya açılacak alacak (istirdat) davasının temelini oluşturur. Sürecin yönetimi şu teknik temellere dayanmalıdır:

Teknik İnceleme Alanı Hukuki Tespit Amacı Mahkemedeki İspat Gücü
Ses Spektrografisi (Deepfake Analizi) Aramanın yapay zeka müdahalesi (sentetik ses) içerip içermediğinin tespiti Çalışanın "Ağır Kusurlu" olmadığına dair kesin delil
E-Posta Header (Başlık) ve IP İncelemesi Mailin (CEO adına atılan) gerçek sunucudan mı yoksa Spoofing ile mi geldiği Siber saldırının yöntem ve kaynağının ispatı
Banka Log ve Anomali Kayıtları Bankanın algoritmasının işlemi "Riskli" işaretleyip işaretlemediği Bankanın özen yükümlülüğünü ihlal (Kusur) ispatı

Ankara merkezli Pars Hukuk Bürosu olarak; şirketlerinizin maruz kaldığı kompleks siber dolandırıcılık vakalarında, bankalara karşı yürütülecek tazminat davaları ve adli bilişim süreçlerinde stratejik bir hukuki mimari sunmaktayız. Deepfake ve BEC (Business Email Compromise) saldırılarının hukuki yönetimi ve banka mesuliyet davaları için iletişim sayfamızdan siber hukuk departmanımıza ulaşabilirsiniz.

 

Multidisipliner Kriz Yönetimi: Hukuk ve Siber Güvenlik

Bu içerik, Av. Ali Alper Can (Ankara Barosu) liderliğindeki hukuki strateji ekibi ile; Adli Bilişim ve Bilişim Hukuku disiplinlerinde akademik ekspertize sahip, CEH (Certified Ethical Hacker) sertifikalı ve NATO Sivil Uzmanı yetkinliğini barındıran teknik mimarımız Esra Özçelik Can'ın ortak süzgecinden geçerek hazırlanmıştır. Kurumsal veri ihlallerinde ve siber saldırılarda, yasal bildirimlerden sızma testi analizlerine kadar uçtan uca savunma kurgulanmaktadır.

 
YASAL UYARI VE BİLGİLENDİRME: Bu makale genel hukuki bilgilendirme amacıyla hazırlanmış olup, somut bir hukuki mütalaa niteliği taşımamaktadır. Banka rücu süreçleri ve çalışan kusur oranları, her somut olayın teknik adli bilişim (log/ses) sonuçlarına göre değişkenlik göstermektedir.