Sahte Yatırım ve E-Ticaret Siteleri: Nasıl Anlaşılır, Para Geri Alınır mı?

İnternet dolandırıcılığında taraflar eşit değildir. Dolandırıcı bin kapı çalar, sonuçsuz kalan dokuz yüz doksan dokuz denemesinin ona maliyeti yok denecek kadar azdır. Siz ise bir kez yanılırsınız ve bedelini tam ödersiniz.

Bu asimetri tesadüf değil, yapısaldır. Ve hukuki olarak nerede durduğunuzu bilmek, kaybı geri çevirme ihtimalinizi belirleyen ilk şeydir. Bu yazı üç soruya bakıyor: bir sitenin sahte olduğu nasıl anlaşılır, giden para geri alınabilir mi, dolandırıcılık ile kişisel veri ihlali hangi ayrı mercilere taşınır.

Sahte siteyi tasarımından değil, doğrulanabilirliğinden tanıyın

Sahte site tespitine ilişkin yaygın tavsiyeler, dolandırıcının kolayca taklit edebileceği şeylere bakar: yazım hatası, kötü tasarım, garip alan adı. Bunlar bir dönem işe yarıyordu. Bugün sahte siteler profesyonelce hazırlanıyor; sertifikası, canlı destek kutusu ve kusursuz Türkçesi oluyor.

Taklit edilmesi asıl zor olan şey başka: doğrulanabilirlik.

Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'un 3. maddesi, hizmet sağlayıcıya sözleşme kurulmadan önce tanıtıcı bilgilerini "alıcıların kolayca ulaşabileceği şekilde ve güncel olarak" sunma yükümlülüğü getirir; bu bilgilerin kapsamı ise Kanun'a dayanılarak çıkarılan ikincil düzenlemede ayrıntılandırılmıştır. Aynı Kanun, Ticaret Bakanlığı bünyesinde oluşturulan ve hizmet sağlayıcıların kayıt altına alındığı sistem olarak Elektronik Ticaret Bilgi Sistemi'ni (ETBİS) tanımlar (m. 2).

Buradan çıkan pratik ölçüt önemlidir ve sık atlanır: soru "künyede bilgi var mı" değil, "bu bilgi doğrulanıyor mu" olmalıdır. Sahte siteler rutin olarak uydurma ya da başkasına ait ticaret unvanı, vergi ve MERSİS numarası yayımlar. Bir numaranın sayfada yazıyor olması, kendisi bir güvence değildir; o numaranın gerçekten o işletmeye ait olup olmadığının bağımsız kaynaktan kontrol edilmesi gerekir. Bakılacak yer sitenin vitrini değil, künyesinin arkasıdır:

1. Ticaret unvanı, açık adres ve MERSİS/vergi bilgisi doğrulanabiliyor mu — kayıt sorgulandığında karşınıza sitedeki isim mi çıkıyor, başka bir işletme mi, hiçbir şey mi?
2. İletişim bilgisi bir sorumluya götürüyor mu — yalnızca bir form ya da yalnızca bir cep telefonu varsa, muhatabı belirlenebilir bir işletme bulmak zorlaşır.
3. Ödeme sizi nereye götürüyor — kurumsal bir ödeme altyapısı yerine şahıs hesabına havale, kripto cüzdanına transfer veya "aracı" bir kişiye ödeme isteniyorsa, ödemenin izi ve muhatabı zayıflar. Bu tek başına suç göstergesi değildir, ancak riski belirgin biçimde artırır.
4. Yatırım vaadi varsa, yetki belgesi var mı — sermaye piyasası ve kripto varlık hizmetleri yetkilendirmeye tabidir; "garantili getiri" ifadesi ise finansal bir vaat değil, tek başına bir uyarı işaretidir.

Bu dördü, aldatmanın hangi yüzeyde yapıldığından bağımsızdır. Bir siteye değil, doğrulanabilir bir kimliğe bakmayı öğrenmek — sahte olanı ayırt etmenin en dayanıklı yoludur.

Para geri alınabilir mi? İki hukuki yol, bir de hepsini belirleyen etken

Bu sorunun dürüst cevabı şudur: garanti yoktur, ama tek bir yol da yoktur. Birbirinden bağımsız iki hukuki yol aynı anda işletilebilir; üçüncü başlık ise bir yol değil, ikisinin de başarısını belirleyen etkendir.

Birinci yol: banka. Paranız internet bankacılığı üzerinden iradeniz dışında gittiyse, muhatabınız yalnızca dolandırıcı değildir. Yargıtay Hukuk Genel Kurulu'nun 22.11.2018 tarihli ve 2017/2224 E., 2018/1753 K. sayılı kararında ortaya konulduğu üzere bankalar birer güven kurumudur; ağırlaştırılmış sorumluluk gereği objektif özen yükümlülüğü altındadırlar ve hafif kusurlarından dahi sorumludurlar. Aynı kararda, bankanın bu sorumluluğunu kaldıran sözleşme hükümlerinin geçersiz olduğu da belirtilmiştir.

İki nokta özellikle önemlidir. Birincisi ispat yükü: banka, yükümlülüğünü yerine getirememesinde kusurlu olmadığını ve ayrıca müşterisinin müterafik kusurunu ispat etmekle yükümlüdür — yani "siz dikkatsizdiniz" demek yetmez, kanıtlanması gerekir. İkincisi ise dengeleyici gerçek: müşterinin kişisel bilgilerini korumada kendi kusuru varsa bu müterafik kusur sayılır ve tazminattan indirim sebebi olur. Şifresini ya da tek kullanımlık kodunu kendi eliyle veren kişinin talebi yok olmaz, ama zayıflar.

Bu talebin hangi mercie yöneltileceği kişiden kişiye değişir: bankacılık hizmetinden tüketici sıfatıyla yararlanan gerçek kişi için yol tüketici hakem heyeti ve tüketici mahkemesi iken, ticari faaliyeti kapsamında işlem yapan bakımından asliye ticaret mahkemesidir — nitekim yukarıda anılan Hukuk Genel Kurulu kararına konu dosya da bir ticaret mahkemesi dosyasıdır. Yanlış mercie başvurmak zaman ve masraf kaybına yol açar.

Bankaya yapılacak bildirimin yazılı ve kayıt altında olması ayrıca önemlidir; ihtilaf çıktığında bildirimin ne zaman yapıldığı çoğu zaman bu kayıtla ispatlanır.

İkinci yol: ceza soruşturması ve etkin pişmanlık. Mağdurlar bakımından en az bilinen kaldıraç budur. Türk Ceza Kanunu'nun 168. maddesine göre fail, azmettiren veya yardım eden; dolandırıcılık suçu tamamlandıktan sonra kovuşturma başlamadan önce bizzat pişmanlık göstererek mağdurun uğradığı zararı aynen geri verme veya tazmin suretiyle tamamen giderirse, verilecek cezanın üçte ikisine kadarı indirilir (m. 168/1). Etkin pişmanlık kovuşturma başladıktan sonra, hüküm verilmeden önce gösterilirse indirim yarıya kadardır (m. 168/2).

Bunun pratik anlamı büyüktür: yakalanmış bir fail için zararınızı gidermek, artık bir vicdan meselesi değil, yıllarla ölçülen somut bir menfaattir. Zararın giderilmesi ihtimali en çok bu noktada doğar — ve bu yol, ancak zamanında bir suç duyurusunda bulunulmuşsa açılır.

Mağdurun burada bilmesi gereken bir denge daha vardır: kısmen geri verme veya tazmin hâlinde etkin pişmanlık hükümlerinin uygulanabilmesi için ayrıca mağdurun rızası aranır (m. 168/4). Yani paranın bir kısmının iadesine rıza göstermek, aynı zamanda failin ceza indiriminden yararlanmasının kapısını açar. Bu, düşünülerek verilmesi gereken bir karardır.

Hepsini belirleyen etken: hız. Para bir hesaptan diğerine geçtikçe, çekildikçe ve kripto varlığa dönüştükçe takip edilebilirliği hızla azalır. Bu yüzden ilk saatlerde yapılan iki şey — bankaya derhal bildirimde bulunmak ve gecikmeden suç duyurusunda bulunmak — geri alma ihtimalini en çok etkileyen adımlardır.

Buna karşılık hız bir hak düşürücü süre değildir: geç kalmak hukuki yolları kendiliğinden kapatmaz. Hem bankaya karşı alacak hem de ceza soruşturması bakımından genel zamanaşımı süreleri işler. Günler sonra durumu fark eden kişinin yapacak bir şeyi kalmadığı düşüncesi yanlıştır; hız ihtimali güçlendirir, gecikme ise ihtimali zayıflatır — kapıyı kapatmaz.

Bir de saklama meselesi vardır: yazışmalar, ödeme dekontları, sitenin ekran görüntüleri ve alan adı silinmeden kaydedilmelidir. Sahte siteler tespit edildikten kısa süre sonra kapanır; kapandıktan sonra oradaki vaatleri ispat etmek çok daha zordur.

Dolandırıcılık ve KVKK ihlali hangi mercie taşınır?

Bu iki ihlal aynı olayda birleşse bile iki ayrı yol, iki ayrı muhatap demektir.

Ceza yolu — muhatap: Cumhuriyet başsavcılığı. Sahte bir site veya bilişim sistemi aracılığıyla gerçekleştirilen dolandırıcılık, Türk Ceza Kanunu'nun 157. maddesindeki temel şeklin değil, 158. maddesindeki nitelikli dolandırıcılığın kapsamındadır: 158/1-f bendi, bilişim sistemlerinin ya da banka veya kredi kurumlarının araç olarak kullanılması hâlini düzenler. Failin kendisini kamu görevlisi veya banka, sigorta ya da kredi kurumu çalışanı olarak tanıtması veya bu kurumlarla ilişkili olduğunu söylemesi hâli ise (l) bendindedir. Bu bentlerde hapis cezasının alt sınırı dört yıldan, adlî para cezası ise suçtan elde edilen menfaatin iki katından az olamaz. Suçun üç veya daha fazla kişi tarafından birlikte işlenmesi hâlinde ceza yarı oranında, suç işlemek için teşkil edilmiş bir örgütün faaliyeti çerçevesinde işlenmesi hâlinde bir kat artırılır (m. 158/3).

Verileriniz de ele geçirilmişse ayrıca verileri hukuka aykırı olarak verme veya ele geçirme suçu (m. 136) gündeme gelir; bilişim sistemine hukuka aykırı erişim (m. 243) ve banka veya kredi kartlarının kötüye kullanılması (m. 245) da olayın şekline göre eklenebilir. Bu fiillerin tamamı aynı suç duyurusunda bildirilebilir; hukuki nitelendirmeyi soruşturma ve yargılama makamları yapar.

Kişisel veri yolu — muhatap, sizi dolandıran site değil, verinizi koruyamayan kurumdur. Burası kritik ayrımdır. Kişisel Verilerin Korunması Kanunu'ndaki başvuru mekanizması, kendisine ulaşılabilen ve muhatap alınabilen veri sorumlularına karşı işler. Kimliğini gizleyen bir suç şebekesine karşı bu yolu işletmek fiilen mümkün olmadığından, sahte siteye karşı yapılacak şey şikâyet değil, suç duyurusudur.

KVKK yolu, verilerinizin meşru bir kurumdan sızmış olması hâlinde anlamlıdır — dolandırıcının sizi adınız, telefonunuz, alışveriş geçmişiniz veya kimlik bilginizle araması çoğu zaman bunun işaretidir. Kanunun 12. maddesi veri sorumlusuna, kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü yükler; 12/5 uyarınca işlenen veriler kanuni olmayan yollarla başkaları tarafından elde edilmişse veri sorumlusu bunu en kısa sürede ilgilisine ve Kurul'a bildirmek zorundadır.

Sıra şudur ve atlanamaz: önce veri sorumlusuna başvurulur (m. 13); veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmak zorundadır. Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse; cevabın öğrenildiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunulabilir (m. 14/1). Kanun bu sırayı açıkça zorunlu kılar: başvuru yolu tüketilmeden şikâyet yoluna gidilemez (m. 14/2). Bu süreler kritik önemdedir; kaçırılması hâlinde Kurul'a şikâyet imkânı ortadan kalkar. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı ise saklıdır (m. 14/3).

Özetle: suç duyurusu ile KVKK başvurusu birbirinin alternatifi değil, paralelidir; ancak aynı dilekçeye sığmazlar, çünkü aynı kapıya gitmezler.

Oltalama neden cezasız kalıyor? Asıl boşluk teşebbüste değil

Bu konuda sık tekrarlanan bir yanlış var: "dolandırıcılığın teşebbüsü kanunda düzenlenmemiştir." Düzenlenmiştir. Türk Ceza Kanunu'nun 35. maddesindeki genel teşebbüs hükmü dolandırıcılık bakımından da uygulanır. Nitekim Yargıtay 11. Ceza Dairesi'nin 12.12.2023 tarihli, 2023/260 E., 2023/10033 K. sayılı kararında; failin eyleminin hazırlık hareketi sayılarak beraatine karar verilmesi hukuka aykırı bulunmuş ve nitelikli dolandırıcılık suçuna teşebbüs hükümlerine göre mahkûmiyet kararı verilmesi gerektiği belirtilerek hüküm bozulmuştur.

Gerçek boşluk daha önce, teşebbüsün bir adım gerisindedir: hazırlık hareketleri.

TCK'nın 35. maddesi teşebbüs için failin suçu "elverişli hareketlerle doğrudan doğruya icraya başlaması"nı arar. Bu ölçüt bilinçli olarak seçilmiştir. Anılan kararda da vurgulandığı üzere, teşebbüsün başlangıcı için failin kastının anlaşılmasını yeterli sayan sübjektif bir ölçüt benimsenseydi, kişilerin düşüncesi ve yaşam tarzı sebebiyle cezalandırılmasına varabilecek bir uygulamaya kapı açılırdı; bu nedenle kanun koyucu daha yüksek ve nesnel bir eşik olan "doğrudan doğruya icraya başlama" ölçütünü tercih etmiştir.

Bu eşiğin sonucu yargı kararlarında açıkça görülür. Yargıtay 23. Ceza Dairesi'nin 22.10.2015 tarihli, 2015/11141 E., 2015/5538 K. sayılı kararında, sanığın eylemlerinin hazırlık hareketi kapsamında kaldığı ve icra hareketlerine başlanmadığı gerekçesiyle dolandırıcılığa teşebbüs suçunun unsurlarının oluşmadığı kabul edilerek verilen beraat kararı yerinde bulunmuştur. Aynı yaklaşım, 15. Ceza Dairesi'nin 10.02.2021 tarihli, 2017/35869 E., 2021/1071 K. sayılı kararında da görülür: sanıkların sigorta şirketine hiç başvurmamış olması nedeniyle icra hareketlerinin gerçekleşmediği, eylemin hazırlık aşamasında kaldığı ve suçun yasal unsurlarının oluşmadığı sonucuna varılmıştır.

Sınırın tam olarak nereden geçtiği ise tartışmalıdır — yukarıda anılan 2023 tarihli karar, aynı olayda çoğunluğun "icra hareketlerine başlanmıştır", karşı oyun ise "hazırlık aşamasındadır" demesiyle bunun canlı bir örneğidir.

Bu ölçütün dijital dünyaya izdüşümü şudur: sahte sitenin kurulması, alan adının alınması, oltalama mesajının hazırlanması ve gönderilecek listenin oluşturulması — mağdurla temas kurulup aldatma fiilen başlamadığı sürece — dolandırıcılık bakımından çoğunlukla icra hareketi sayılmaz. Fail için bunun anlamı nettir: deneme aşamasının maliyeti yok denecek kadar azdır. Yazının başındaki asimetri tam olarak buradan doğar.

Bununla birlikte boşluğun tümüyle açık olduğunu söylemek doğru olmaz; kanun koyucu bilişim alanında hazırlık niteliğindeki bazı fiilleri ayrı bir suç olarak cezalandırmayı tercih etmiştir. TCK'nın 245/A maddesi ("Yasak cihaz veya programlar"), bir cihazın, bilgisayar programının, şifrenin veya sair güvenlik kodunun; münhasıran bilişim alanındaki suçlar ile bilişim sistemlerinin araç olarak kullanılması suretiyle işlenebilen diğer suçların işlenmesi için yapılması veya oluşturulması durumunda, bunları imal eden, ithal eden, sevk eden, nakleden, depolayan, kabul eden, satan, satışa arz eden, satın alan, başkalarına veren veya bulunduran kişiyi cezalandırır. Bilişim sistemine hukuka aykırı girme (m. 243) ile verileri hukuka aykırı ele geçirme (m. 136) de aynı zincirin halkalarıdır.

Görüldüğü gibi hüküm yalnız imal ve nakli değil, bulundurmayı ve başkasına vermeyi de kapsayacak genişliktedir. Buna karşılık ölçüt, aracın münhasıran suç işlemek için üretilmiş olmasıdır — dolayısıyla meşru amaçlarla da kullanılabilen, çift amaçlı araçlarla kurulan oltalama altyapısının önemli bir kısmı bu eşiğin dışında kalabilmektedir.

Yani mesele "hiçbir hüküm yok" değildir. Tartışılmaya değer olan, dolandırıcılık amaçlı hazırlık altyapısının bütününü, kullanılan aracın niteliğinden bağımsız biçimde kavrayan bir düzenlemenin bulunmayışıdır. Dolandırıcılığın sanayileşerek işlendiği bir dönemde bu boşluğun tartışılması gerektiği kanaatindeyiz — ve tartışırken doğru kelimeyi kullanmak gerekir: eksik olan teşebbüs hükmü değil, hazırlık aşamasına ilişkin bütüncül bir düzenlemedir.

Hesabını kullandıranlar için 2026'da değişen kural

Bu zincirin bir ucunda da, dolandırıcılığın asıl failinden çok aracı hâline gelmiş kişiler bulunur: hesabını ya da kartını "iş vaadi" karşılığı başkasına kullandıranlar.

Bu konuda yakın tarihli bir değişiklik vardır. 7589 sayılı Kanun'la (Resmî Gazete: 31.07.2026) Türk Ceza Kanunu'nun 158. maddesine eklenen dördüncü fıkraya göre; dolandırıcılık suçlarına iştirakin, kendisine veya başkasına haksız bir menfaat sağlamak amacıyla kendisine veya başkasına ait banka veya kredi kartı gibi ödeme araçlarını ya da banka, aracı kurum, ödeme hizmeti sağlayıcıları veya kripto varlık hizmet sağlayıcıları nezdindeki hesabın kullanılmasını sağlayan zorunlu bilgileri veya araçları başkasına vermek fiiliyle sınırlı olması hâlinde, verilecek ceza yarı oranında indirilir.

Aynı Kanun geçiş hükümleri de öngörmüştür: bu fıkranın uygulanacağı sanıklardan dosyası bölge adliye mahkemeleri ceza dairelerinde bulunanlar hakkında bozma kararı verilerek dosyanın ilk derece mahkemelerine gönderileceği; infaz aşamasındaki ve haklarında etkin pişmanlık hükümleri uygulanmamış hükümlülerin ise mahkemece yapılacak ihtardan itibaren altı ay içinde mağdurun uğradığı zararı tamamen gidermeleri hâlinde TCK'nın 168/2. maddesindeki etkin pişmanlık hükümlerinden yararlanabilecekleri düzenlenmiştir.

Bu düzenlemenin mağdur açısından da bir yüzü vardır: zararın giderilmesi için failler bakımından yeni ve somut bir teşvik doğmuştur. Konunun sanık tarafındaki ayrıntıları için IBAN mağduru olanların cezai riskine ilişkin yazımıza bakılabilir.

Toparlarsak

Sahte siteyi vitrininden değil, künyesinin doğrulanabilirliğinden tanıyın; bir bilginin sayfada yazıyor olması onu doğru yapmaz. Para gittiyse tek bir yol olmadığını bilin: banka sorumluluğu ve ceza yolu ayrı ayrı işletilebilir, doğru mercie yöneltilmelidir ve hız ihtimali belirler — ama gecikme kapıyı kapatmaz. Dolandırıcılık ile veri ihlalini ayrı ayrı, doğru muhatabına yöneltin. Ve oltalamanın neden bu kadar ucuz bir deneme hâline geldiğini sorarken doğru yeri işaret edin: sorun teşebbüsün cezalandırılmaması değil, hazırlık aşamasının bütüncül biçimde düzenlenmemiş olmasıdır.

Kişisel verilerin korunmasına ilişkin diğer yazılarımız için izinsiz ticari SMS'lere karşı başvuru yolları ve kişisel sağlık verileri üzerindeki haklarınız incelenebilir.

---

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş veya danışmanlık yerine geçmez. Her uyuşmazlık kendi somut koşulları içinde değerlendirilmelidir. Mevzuat ve yargı kararları değişebileceğinden, önemli kararlar öncesinde güncel metinlere başvurulmalıdır.

Av. Cem Sinanoğlu — İstanbul Barosu, Sicil No: 47041