Banka Güçlü Kimlik Doğrulama Yapmadıysa Zarardan Kim Sorumlu? 2026

Kısa ve net cevap: Ödeme hizmeti sağlayıcısı, TCMB düzenlemeleri uyarınca gerekli kimlik doğrulamaları zorunlu tutmamışsa, Yönetmelik m.54/9 uyarınca gönderen; kayıp veya çalıntı ödeme aracının kullanılması ya da müşteri güvenlik bilgilerinin gereği gibi muhafaza edilmemesi nedeniyle ödeme aracının başkaları tarafından kullanılmasından doğan zarardan kural olarak sorumlu tutulamaz. Ancak m.54/5 saklıdır: müşteri ödeme aracını hileli kullanmış veya m.53’teki yükümlülüklerini kasten ya da ağır ihmalle ihlal etmişse zararın tamamından sorumluluk doğabilir.

Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor

Ödeme hizmetlerinde gerekli kimlik doğrulama ne demektir?

Ödeme hizmetleri mevzuatı, müşterinin bir ödeme işlemini başlatırken veya hesabına erişirken kimliğinin belirli güvenlik yöntemleriyle doğrulanmasını zorunlu tutar. Yönetmelik m.31, TCMB’nin kimlik doğrulama ve güvenlik kurallarına ilişkin düzenleme yapmasına dayanak oluşturur. Ödeme ve elektronik para kuruluşlarının bilgi sistemlerine ilişkin Tebliğ de güçlü kimlik doğrulamanın hangi senaryolarda ve hangi unsurlarla uygulanacağını ayrıntılandırır.

Kimlik doğrulama yalnızca şifre girilmesi demek değildir. İşlemin niteliğine göre müşterinin bildiği bir unsur, sahip olduğu bir cihaz veya müşteriye özgü biyometrik unsur gibi birbirinden bağımsız unsurların kullanıldığı güvenlik yapıları gerekebilir. Hangi doğrulama seviyesinin zorunlu olduğu işlem türü, risk ve TCMB düzenlemelerine göre belirlenir.

Bir uyuşmazlıkta “şifre kullanıldı” veya “telefonuma SMS geldi” denilmesi tek başına sağlayıcının mevzuattaki bütün kimlik doğrulama yükümlülüklerini yerine getirdiğini göstermeyebilir. Sağlayıcı, somut işlem için hangi doğrulamanın zorunlu olduğunu ve bu doğrulamanın gerçekten uygulandığını kayıtlarla gösterebilmelidir.

Yönetmelik m.54/9 müşteriyi nasıl korur?

M.54/9, gerekli kimlik doğrulamanın sağlayıcı tarafından zorunlu tutulmamasının sonuçlarını açık biçimde düzenler. M.54/5’teki hile ve ağır ihmal istisnası saklı olmak kaydıyla, sağlayıcı gerekli kimlik doğrulamaları zorunlu tutmamışsa gönderen; kayıp/çalıntı ödeme aracının kullanılması veya müşteri güvenlik bilgilerinin gereği gibi korunmaması nedeniyle ödeme aracının başkalarınca kullanılmasından doğan zarardan sorumlu tutulamaz.

Bu hüküm güvenlik sorumluluğunu yalnızca müşteriye yüklemez. Müşterinin şifresini veya cihazını koruma yükümlülüğü bulunduğu gibi, ödeme hizmeti sağlayıcısının da mevzuatın gerektirdiği kimlik doğrulamayı sistemsel olarak zorunlu tutma yükümlülüğü vardır. Sağlayıcı bu korumayı uygulamazsa, ortaya çıkan zararı otomatik olarak müşterinin “bilgi güvenliği hatasına” bağlayamaz.

Örneğin mevzuatın güçlü kimlik doğrulama gerektirdiği bir ödeme işleminde sağlayıcı tek aşamalı ve yetersiz bir güvenlik süreciyle işlemi tamamlatmışsa m.54/9 tartışması doğar. Somut olayda gerekli doğrulama seviyesinin ne olduğu, işlem tarihi itibarıyla yürürlükteki TCMB düzenlemeleriyle belirlenir.

Müşterinin ağır ihmali varsa m.54/9 yine uygulanır mı?

M.54/9, açıkça m.54/5’i saklı tutar. M.54/5’e göre gönderen ödeme aracını hileli kullanmış veya m.53’teki yükümlülüklerini kasten ya da ağır ihmalle yerine getirmemişse yetkilendirilmemiş ödeme işleminden doğan zararın tamamından sorumludur.

Bu nedenle “banka güçlü doğrulama kullanmadıysa müşteri hiçbir durumda sorumlu olmaz” şeklinde mutlak bir cümle doğru değildir. Müşterinin hileli davranışı veya ağır ihmal düzeyindeki güvenlik ihlali ayrıca incelenir. Basit ihmal ile ağır ihmal aynı değildir; davranışın olayın koşulları içinde olağan dikkat standardından ne ölçüde saptığı değerlendirilir.

Şifrenin kasıtlı biçimde üçüncü kişiye verilmesi, dolandırıcı olduğu açıkça anlaşılan kişiye çok sayıda güvenlik unsurunun bilinçli olarak iletilmesi veya sağlayıcının tekrarlanan açık uyarılarına rağmen güvenlik yükümlülüğünün ağır biçimde ihlal edilmesi somut olayda ağır ihmal tartışması yaratabilir. Ancak ağır ihmal soyut varsayımla değil, olayın kayıtlarıyla ispatlanmalıdır.

Yetkisiz işlemde ispat yükü kimdedir?

Yönetmelik m.54, müşteri işlemi yetkilendirmediğini veya işlemin hatalı gerçekleştiğini ileri sürdüğünde, işlemin müşteri tarafından onaylandığını, doğru kaydedildiğini ve hesaplara işlendiğini ispat yükünü ödeme hizmeti sağlayıcısına verir. Bu kural kimlik doğrulama uyuşmazlıklarında merkezî önemdedir.

Sağlayıcı, işlemin hangi cihazdan, hangi tarihte, hangi kimlik doğrulama unsurlarıyla ve hangi işlem onayıyla gerçekleştirildiğini gösterebilmelidir. Müşteri de işlemi kendisinin yapmadığını, cihaz veya SIM değişikliği, uzaktan erişim, kötü amaçlı yazılım veya başka şüpheli olayları destekleyen kayıtları sunmalıdır.

İspat yükünün sağlayıcıda olması müşterinin hiçbir delil sunmamasının güvenli olduğu anlamına gelmez. Ekran görüntüleri, SMS/e-posta bildirimleri, telefon operatörü kayıtları, cihaz değişikliği bildirimi, çağrı merkezi başvuru numarası ve savcılık/kolluk kayıtları olayın açıklanmasına yardımcı olur.

SMS kodu veya OTP kullanılmışsa banka otomatik olarak sorumsuz mudur?

Hayır. Bir OTP veya SMS kodunun işlemde kullanılmış olması, sağlayıcının bütün mevzuat yükümlülüklerini yerine getirdiğini ve müşterinin mutlaka ağır ihmalli olduğunu tek başına göstermez. Önce somut işlem için hangi kimlik doğrulama yönteminin zorunlu olduğu belirlenir. Ardından bu yöntemin teknik olarak doğru uygulanıp uygulanmadığı incelenir.

Örneğin yeni cihaz aktivasyonu ile yüksek tutarlı transfer aynı olay zincirinde gerçekleşmişse, cihaz tanımlama, oturum güvenliği, işlem imzalama ve risk tabanlı güvenlik kontrolleri birlikte önem kazanabilir. Sadece “SMS gitti” kaydı yerine mesajın hangi numaraya, hangi anda, hangi işlem açıklamasıyla gönderildiği ve işlemin hangi oturumdan onaylandığı değerlendirilir.

Müşterinin kodu üçüncü kişiye vermesi de tek başına sonuç cümlesi değildir; bunun hile, kast, ağır ihmal veya daha düşük düzeyde ihmal oluşturup oluşturmadığı olayın tüm koşullarına göre belirlenir. Ancak güvenlik kodlarının paylaşılmaması temel müşteri yükümlülüğüdür ve paylaşım sorumluluk değerlendirmesinde ciddi önem taşır.

Alıcı veya işyeri gerekli kimlik doğrulamaya engel olursa ne olur?

Yönetmelik m.54/9’un ikinci cümlesi, alıcı veya alıcının ödeme hizmeti sağlayıcısının gerekli kimlik doğrulamaların kullanılmasına engel olduğu durumu da düzenler. Bu hâlde doğrulamaya engel olan taraf, gönderenin ödeme hizmeti sağlayıcısının kayıp/çalıntı ödeme aracı veya güvenlik bilgilerinin kötüye kullanılması nedeniyle uğradığı zararı karşılamakla yükümlü olur.

Bu hüküm, kimlik doğrulama sorumluluğunun ödeme zincirindeki farklı aktörler arasında dağıtılmasını sağlar. Gönderen banka kendi güvenlik yükümlülüklerini yerine getirmek isterken alıcı tarafın sistemi doğrulamayı engelliyorsa, zarar paylaşımı buna göre belirlenir.

Müşteri açısından temel sonuç şudur: sağlayıcılar arasındaki iç sorumluluk ilişkisi, müşterinin mevzuattaki korumasını ortadan kaldırmaz. Müşteri kendi sağlayıcısına karşı yetkilendirilmemiş işlem düzeltme talebini ileri sürer; sağlayıcılar kendi aralarındaki rücu ilişkisini ayrıca yürütür.

Müşteri kayıp, çalıntı veya yetkisiz işlemi ne zaman bildirmeli?

Yönetmelik m.53/4, müşterinin ödeme aracının kaybolması, çalınması veya iradesi dışında işlem gerçekleştiğini öğrenmesi hâlinde durumu derhal sağlayıcıya bildirmesini zorunlu tutar. M.54/1 de yetkilendirilmemiş veya hatalı işlemin öğrenildiği andan itibaren gecikmeksizin bildirilmesini ve kural olarak işlem tarihinden itibaren 13 aylık üst süreyi düzenler.

Bu nedenle güçlü kimlik doğrulama eksikliği iddiası, müşterinin kendi bildirim yükümlülüğünü ortadan kaldırmaz. Şüpheli işlem görülür görülmez kart/ödeme aracı kapatılmalı, hesap güvenliği sağlanmalı ve yazılı itiraz oluşturulmalıdır.

Detaylı süre ve ispat sistemi yetkilendirilmemiş ödeme işlemi ve 13 aylık süre rehberinde açıklanmıştır.

Kimlik doğrulama uyuşmazlığında hangi teknik kayıtlar istenmelidir?

Sağlayıcıdan işlem ve oturum zaman damgaları, kullanılan kimlik doğrulama unsurları, cihaz kimliği, yeni cihaz tanımlama kaydı, IP ve oturum bilgileri, SMS/OTP gönderim kaydı, işlem onay ekranı, risk motoru uyarıları, varsa biyometrik doğrulama kaydı ve işlem referans numarası istenebilir. Kişisel veri ve güvenlik gereği bazı ham teknik veriler müşteriye doğrudan verilmese bile uyuşmazlıkta bilirkişi veya mahkeme incelemesine konu olabilir.

Müşteri kendi tarafında telefon operatörü SIM değişikliği kayıtlarını, e-posta güvenlik uyarılarını, cihaz geçmişini, bankadan gelen bildirimleri ve çağrı merkezi kayıt numaralarını saklamalıdır. Cihazda kötü amaçlı yazılım veya uzaktan erişim şüphesi varsa deliller kaybedilmeden uzman incelemesi yapılması önemlidir.

Ceza soruşturması açılmışsa savcılık banka, ödeme kuruluşu, operatör ve internet erişim kayıtlarını talep edebilir. Ceza soruşturması ile sağlayıcıya karşı m.54 kapsamındaki iade/düzeltme başvurusu birbirinden bağımsız yürüyebilir.

Bankaya veya ödeme kuruluşuna nasıl başvurulmalıdır?

Başvuru “işlemi ben yapmadım” cümlesiyle sınırlı bırakılmamalıdır. İşlem tarihi, tutarı, alıcı bilgisi, işlem referansı, işlemin ne zaman fark edildiği, müşterinin o tarihte kullandığı cihaz, yeni cihaz/SIM olayı ve işlemin hangi nedenle yetkilendirilmediği açıkça anlatılmalıdır.

Ayrıca sağlayıcıdan somut işlem için TCMB düzenlemelerine göre gerekli kimlik doğrulamanın ne olduğu ve bunun hangi teknik adımlarla uygulandığının açıklanması istenmelidir. Zorunlu kimlik doğrulama uygulanmadıysa m.54/9’a dayanılarak zararın müşteriye yüklenemeyeceği belirtilmelidir.

Sağlayıcı ağır ihmal ileri sürüyorsa, hangi somut davranışın ağır ihmal sayıldığı ve bunun hangi delille ispatlandığı sorulmalıdır. “Şifre doğru girildi” veya “OTP kullanıldı” biçimindeki genel ifadelerin ötesinde olay zincirinin tamamı değerlendirilmelidir.

Başvuru kontrol listesi

• İşlemi derhal sağlayıcıya bildirin.
• Ödeme aracını ve şüpheli oturumları kapattırın.
• İşlem referans numarasını ve bildirimleri saklayın.
• Somut işlem için zorunlu kimlik doğrulama yöntemini sorun.
• Uygulanan doğrulama adımlarının teknik kayıtlarını talep edin.
• M.54/9 ve m.54/5 ayrımını açıkça kurun.
• Sağlayıcı ağır ihmal ileri sürüyorsa somut delilini isteyin.
• SIM, cihaz ve e-posta güvenlik kayıtlarını koruyun.

2026 güncel mevzuat dayanağı

Bu rehber 11 Eylül 2026 itibarıyla 6493 sayılı Kanun, Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik m.31, m.53 ve özellikle m.54/5 ile m.54/9 hükümlerine dayanır. Güncel TCMB bilgi sistemleri ve güçlü kimlik doğrulama düzenlemeleri ayrıca uygulanır. Resmî metin için Resmî Gazete ve TCMB mevzuatı esas alınır.

Sık Sorulan Sorular

Banka güçlü kimlik doğrulama yapmadıysa zarar müşteriye yüklenir mi?

M.54/9 uyarınca gerekli kimlik doğrulama zorunlu tutulmamışsa, m.54/5’teki hile ve ağır ihmal istisnası saklı olmak üzere müşteri belirtilen zararlardan sorumlu tutulamaz.

SMS kodu kullanılması bankayı otomatik olarak sorumsuz yapar mı?

Hayır. Somut işlem için hangi doğrulamanın zorunlu olduğu ve bütün güvenlik zincirinin nasıl uygulandığı incelenir.

Müşteri şifreyi paylaştıysa ne olur?

Şifre veya güvenlik kodu paylaşımı m.53 yükümlülükleri açısından önemlidir; davranışın kast veya ağır ihmal oluşturup oluşturmadığı somut olaya göre değerlendirilir.

İşlem benim cihazımdan yapılmış görünüyorsa yetkili sayılır mı?

Tek başına cihaz kaydı kesin sonuç değildir. Onay yöntemi, oturum, kimlik doğrulama ve diğer teknik kayıtlar birlikte incelenir.

Gerekli kimlik doğrulamayı kim belirler?

6493, Yönetmelik m.31 ve TCMB’nin ödeme hizmetleri bilgi sistemleri düzenlemeleri çerçevesinde işlem türüne göre belirlenir.

Alıcı güçlü doğrulamaya engel olursa müşteri mi zarar görür?

M.54/9, doğrulamaya engel olan alıcı veya alıcının sağlayıcısının gönderenin sağlayıcısına karşı zararı karşılama yükümlülüğünü düzenler.

Yetkisiz işlem için başvuru süresi nedir?

İşlem öğrenildiği anda gecikmeksizin bildirim yapılır ve kural olarak işlem tarihinden itibaren 13 aylık üst süre vardır.

Banka ağır ihmal dediğinde ispat sunmak zorunda mı?

Ağır ihmal soyut bir etiket değildir. Sağlayıcının dayandığı müşteri davranışı ve teknik kayıtlar somut biçimde ortaya konulmalıdır.

Ceza şikâyeti bankaya iade başvurusunun yerine geçer mi?

Hayır. Savcılık/kolluk süreci ile ödeme hizmeti sağlayıcısına m.54 kapsamında yapılan düzeltme başvurusu ayrı süreçlerdir.

Güvenlik blokesi uygulanması kimlik doğrulama yükümlülüğünü kaldırır mı?

Hayır. Sağlayıcının m.53’teki güvenlik tedbirleri ile m.31 ve m.54 kapsamındaki kimlik doğrulama ve sorumluluk kuralları birlikte uygulanır.

Hukukçu İncelemesi ve E-E-A-T

İçerik 11 Eylül 2026 tarihinde yürürlükte olan Yönetmelik m.54/9 ve bağlantılı hükümler esas alınarak hazırlanmış, genel yetkisiz işlem sayfasından ayrı olarak kimlik doğrulama eksikliği arama niyetine odaklanmıştır.

İnceleyen: Av. Halil BAKIRCI – Mersin Barosu, Sicil 3472
Bakırcı & Keskin Hukuk Bürosu – İhsaniye, 4903. Sk. Profit İş Merkezi No:23 Kat:3 Daire:14, 33070 Akdeniz/Mersin

Son hukuki kontrol: 11.09.2026.