Banka veya Kredi Kartının Kötüye Kullanılması: TCK 245’te Kart, Rıza ve İşlem İzi

Bir hesap hareketinin bankada görünmesi, o hareketin hangi suçla ilgili olduğunu açıklamaz. Mağdurun kartı ATM’de kullanılıp para çekilmiş olabilir; kart numarası bir internet alışverişinde girilmiş olabilir; yalnız internet bankacılığı parolasıyla hesaptan havale yapılmış olabilir. Üç işlem de para kaybına yol açar, fakat kartın fiilen veya hukuken nasıl kullanıldığı, mağdurun neye rıza gösterdiği ve yararın kime geçtiği farklı delillerle araştırılır. Türk Ceza Kanunu’nun 245. maddesi bu ayrımın kartla ilgili kısmını düzenler.

TCK 245 dosyasında en sık yapılan hata, bankanın işlem dökümünü suçun bütün unsurları yerine koymaktır. Döküm paranın ne zaman, hangi kanaldan çıktığını gösterebilir. Kartı kimin ele geçirdiğini, işlemi kimin başlattığını ve kullanıma izin verilip verilmediğini tek başına göstermez. Ters yöndeki hata da şudur: “Kart sahibi şifresini bir ara paylaşmıştı” denilerek tüm sonraki işlemler için süresiz rıza varsayılır. İzin, belirli kişi, işlem, tutar ve zaman bakımından incelenmelidir.

Bu yazı, siber suçlar ve bilişim suçları rehberindeki suç haritasının kart işlemlerine ilişkin derinleştirilmiş bölümüdür. Sisteme izinsiz giriş, veri değiştirme ve kart kullanma aynı olayda birleşebilir; her fiilin kanundaki yeri ve kanıtı ayrı kurulmalıdır.

Üç fıkra, üç farklı hareket

5237 sayılı Kanun’un 245. maddesi ilk fıkrada başkasına ait gerçek banka veya kredi kartının rıza dışında kullanılması veya kullandırılması yoluyla yarar sağlanmasını düzenler. Kartın ele geçirilmesi ya da elde bulundurulması, kullanım ve yarar birlikte aranır. Kanuni ceza üç yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezasıdır. “Ele geçirme” ile “yarar sağlama” arasındaki hareket zinciri kurulmadan yalnız şüpheli işlemin görülmesi yeterli analiz olmaz.

İkinci fıkra, başkalarına ait banka hesaplarıyla ilişkilendirilerek sahte banka veya kredi kartı üretme, satma, devretme, satın alma veya kabul etme hareketlerini kapsar. Burada yarar sağlama ilk fıkradaki gibi tanımın zorunlu unsuru olarak yazılı değildir; sahte kartın nasıl üretildiği ve hangi banka hesabına bağlandığı belirleyicidir. Ceza üç yıldan yedi yıla kadar hapis ve on bin güne kadar adli para cezasıdır.

Üçüncü fıkra, sahte oluşturulan veya üzerinde sahtecilik yapılan kartı kullanarak kendisine veya başkasına yarar sağlanmasını ele alır. Daha ağır cezayı gerektiren başka bir suç oluşmaması koşuluyla dört yıldan sekiz yıla kadar hapis ve beş bin güne kadar adli para cezası öngörülür. Bu fıkraları tek bir “kart dolandırıcılığı” başlığında eritmek, sahte kartın imal edildiği an ile harcamanın yapıldığı anı karıştırır. Somut olayda kaç kart, kaç sahtecilik hareketi ve kaç kullanım bulunduğu ayrıca ortaya konmalıdır.

Kanun iki başka noktada özellikle dikkat ister. TCK 245/4’teki belirli yakın akrabalar lehine cezasızlık düzenlemesi yalnız birinci fıkradaki suç içindir; kartın sahte olarak üretilmesini veya sahte kartla işlem yapılmasını genel olarak cezasız kılmaz. TCK 245/5’in malvarlığına karşı suçlara ilişkin etkin pişmanlık hükümlerine yaptığı gönderme de birinci fıkra kapsamına giren fiillerle sınırlıdır. Zararın sonradan giderilmesi, failin ve fiilin tespitinin yerini almaz; etkisi kanundaki zaman ve koşullara göre belirlenir. TCK 245’in güncel resmî derlemesi.

Fiziksel kart, sanal kart numarası ve banka hesabı aynı araç değildir

“Kart elime hiç geçmedi; o hâlde 245 olamaz” cümlesi internet alışverişlerinde yanıltıcı olabilir. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu’nun 3. maddesi kredi kartını tanımlarken fizikî varlığı bulunmayan kart numarasını da açıkça anar. Dolayısıyla kart numarası, son kullanma tarihi ve güvenlik verileriyle yapılan ödeme, sırf plastik kart çalınmadı diye kart hukukunun dışına çıkarılamaz. Hangi kart ürününün kullanıldığı, kart verisinin failin kontrolüne nasıl geçtiği ve ödeme kuruluşunun hangi yetkilendirme kaydını tuttuğu incelenir.

Buna karşılık internet bankacılığı kullanıcı adı ve parolasıyla hesaba girilerek IBAN’a yapılan havale, otomatik olarak “kart kullanımı” değildir. Kart hiç kullanılmadıysa TCK 245/1’in kart unsurunu varsaymak doğru olmaz. Yargıtay Ceza Genel Kurulunun 19 Kasım 2025 tarihli kararı, internet bankacılığı şifresiyle hesaptaki değerin başka hesaba aktarılmasının, olayın unsurlarına göre bilişim sistemi kullanılarak hırsızlık kapsamında değerlendirilebileceğini açıklarken kartın kullanıldığı olaylardan ayırır. Bu ayrım 245’i daraltmak için değil, fiilen kullanılan ödeme aracını doğru tespit etmek içindir. Yargıtay CGK, E.2024/500, K.2025/485, 19.11.2025.

Bir sahte ilandaki “ödeme linki” de iki farklı yola açılabilir. Mağdur kandırılarak kendi iradesiyle satıcının gösterdiği hesaba para gönderdiğinde hile, yanılma ve tasarruf ilişkisi bakımından dolandırıcılık tartışılır. Mağdurun kart verisi alınarak onayı dışında alışveriş yaptırıldığında kartın kullanımı ve yarar TCK 245 açısından araştırılır. Her iki olayda da bir banka sisteminin kullanılmış olması, tek başına aynı suç vasfına götürmez. E-posta hesabının taklit edilip ödeme IBAN’ının değiştirilmesi gibi ayrı bir senaryonun delil zinciri için e-posta ve IBAN değişikliği incelemesi ayrıca okunabilir.

ATM başında mağdurun bulunması neden sonuca etki eder?

Kartın kısa süreyle başkasının eline verilmesi ile kart üzerindeki fiilî hâkimiyetin kaybedilmesi aynı olay değildir. Bu ayrımın iki yakın tarihli Ceza Genel Kurulu kararında somut karşılığı var.

19 Kasım 2025 tarihli olayda yaşlı mağdur para çekmek için yardım istemiş, kart ATM’ye takılmış, şifreyi kendisi girmişti. İşlem sırasında mağdur ATM çevresindeyken para başka kişi tarafından alınmıştı. Ceza Genel Kurulu, mağdurun kart üzerindeki zilyetliği sona ermediği için TCK 245/1’in “kartı ele geçirme veya elde bulundurma” unsurunu gerçekleşmiş saymadı. Kamera kayıtlarında yağma için gerekli cebir de saptanmadı; hile mağduru parayı rızasıyla teslim etmeye yöneltmediğinden dolandırıcılık da kabul edilmedi. Kurul, fiili TCK 141/1 kapsamında hırsızlık olarak değerlendirdi ve somut dosyada dava zamanaşımı nedeniyle düşme kararı verdi. Karar, “ATM’de yardım eden kişi hiçbir suç işlemez” şeklinde okunamaz; kart, para ve mağdurun fiilî konumu nedeniyle 245’in uygulanmadığı bir örnektir. Yargıtay CGK, E.2024/500, K.2025/485, 19.11.2025.

14 Ocak 2026 tarihli farklı olayda mağdur para çektikten sonra kartını ATM’de ve hesabını açık bırakıp ayrılmıştı. Arkasından gelen kişi aynı kartla işlem yapıp 480 TL çekmişti. Ceza Genel Kurulu çoğunluğu, mağdurun ayrılmasıyla kart üzerindeki fiilî hâkimiyetin sona erdiğini ve sanığın ele geçirdiği kartı rızasız kullanıp yarar sağladığını kabul etti. TCK 245/1’i bilişim sistemi kullanılarak hırsızlığa göre özel hüküm saydı. Dört üye, fiilin 245 kapsamında olmadığı görüşüyle karşı oy kullandı. Kurulun kararı doğrudan yeni mahkûmiyet kurmadı; Başsavcılık itirazını kabul ederek Daire kararını kaldırdı ve dosyayı uygulamanın denetlenmesi için gönderdi. Yargıtay CGK, E.2024/219, K.2026/29, 14.01.2026.

İki karar arasındaki fark bir dakika veya çekilen miktar değildir. Mağdurun kart üzerinde fiilî denetiminin işlem anında sürüp sürmediği farklıdır. Bir ATM dosyası hazırlanırken kamera görüntüsünün yalnız para çıkış anı değil; kartın takılması, mağdurun konumu, ayrılma zamanı, oturumun kapanması ve paranın kimin tarafından alınması boyunca değerlendirilmesi bu yüzden önem taşır.

Banka kaydı neyi kanıtlar, neyi kanıtlamaz?

Banka hareket tablosunda işlem tarihi, tutar, işyeri veya ATM adı görünebilir. Ceza dosyası için, bu kayıtların arkasındaki akış gerekir. ATM işleminde terminal kimliği, işlem sıra numarası, kartın fiziksel kullanımı, şifre girişi, oturumun devamı, kamera görüntüsü, nakit çıkış zamanı ve çevredeki diğer kayıtlar birbirine bağlanır. İnternet alışverişinde işyeri tanımı, sipariş ve teslimat bilgisi, ödeme ağının onay kodu, kart doğrulama yöntemi, varsa 3D Secure akışı, kullanılan cihaz ve hesap bilgileri ayrı ayrı istenir. İşyeri kayıtları ile bankanın saat dilimi farklıysa görünürde çelişen zamanlar gerçekte aynı işleme ait olabilir.

Bir 3D Secure onayı, kart hamilinin işlemi bizzat yaptığına ilişkin önemli bir veri olabilir; fakat sonucun tamamı değildir. Onayın hangi telefona, uygulamaya veya kayıtlı cihaza gönderildiği; bu araçların o tarihte kimin kontrolünde olduğu; SIM değişimi, uzaktan erişim, oltalama veya hesap kurtarma işlemi bulunup bulunmadığı incelenir. Aynı biçimde işlemin 3D Secure olmadan geçmesi de otomatik olarak bankanın suçun faili olduğu veya satıcının kötü niyetli bulunduğu sonucunu vermez. Ceza sorumluluğu ile bankanın ve işyerinin sözleşmeden veya özel mevzuattan doğan sorumluluğu farklı hukuki sorulardır.

Kart hamilinin telefonunda işlem SMS’i olması yalnız bildirimin gönderildiğini gösterebilir. SMS’in okunup okunmadığı, gösterilen numaranın kime ait olduğu ve doğrulama kodunun hangi ara yüz üzerinden girildiği ek bulgularla kurulmalıdır. IP adresi de ağ çıkışını işaret eder; ortak Wi-Fi, mobil adres paylaşımı ve cihazın başkası tarafından kullanılması ihtimalleri nedeniyle tek başına işlem sahibini belirlemez. Bu kayıtların hangi sınırlarla yorumlanacağını IP adresi ve dijital delil incelemesi daha geniş açıklar.

İşlem dosyasının çekirdeği

Bu tablo, soruşturma dosyasını kalınlaştırmak için değil, eksik halkayı göstermek için kullanışlıdır. Örneğin şüpheli adına teslimat adresi var ama siparişi veren cihaz ona ait değilse, adresin nasıl kullanıldığını da araştırmak gerekir. Bir POS cihazında işlem görünür ama ürün teslim edilmemişse, yararın kime ve ne zaman geçtiği ile suçun tamamlanma aşaması ayrıca tartışılır.

Mağdurun ilk başvurusu: banka itirazı ile ceza soruşturmasını ayırın

İrade dışında kart işlemi görüldüğünde ilk pratik iş, kart çıkaran kuruluşun resmî kanalından kartı ve ilgili dijital ödeme araçlarını güvenceye almak, olayı hemen bildirmek ve başvuru numarasını kaydetmektir. 5464 sayılı Kanun’un 16. maddesi, kartın kaybolması, çalınması veya irade dışı bir işlemin öğrenilmesi hâlinde kart çıkaran kuruluşa derhal haber verme yükümlülüğünü düzenler. Bu bildirim, bankadaki işlem itirazının ve olası zararın değerlendirilmesi için önemlidir. Banka kaydında işlemin itirazı, savcılığa yapılacak suç duyurusunun yerine geçmez; suç duyurusu da bankadaki itirazı kendiliğinden başlatmaz.

Bankaya verilecek itirazda “tüm işlemleri geri alın” gibi genel bir cümle yerine, her işlemin tarihini, saatini, tutarını, işyeri veya ATM bilgisini, kullanılan kartı ve neden rıza dışı olduğunu tek tek belirtmek gerekir. Kart henüz eldeyse bu olgu da yazılmalıdır; kayıp kart vakasıyla kart verisinin kopyalanması aynı mekanizma değildir. Bankadan başvuru kaydı, işlem referansları ve verilebilen yetkilendirme bilgileri istenebilir. Kart ekstreleri, işlem uyarıları, ilgili mesajlar ve banka görüşme/başvuru numaraları özgün halleriyle saklanır.

Savcılık başvurusunda “kartım kopyalandı” sonucunu peşinen ilan etmektense, bilinen olay sırası anlatılır: Son yetkili kullanım ne zaman ve neredeydi? Kartın fiziksel hali neydi? Hangi işlem onaylanmadı? Bildirim ne zaman görüldü ve bankaya ne zaman iletildi? Şüpheli bağlantı, sahte banka araması, SIM değişimi veya uzaktan erişim uygulaması oldu mu? Talep edilen araştırma işlemleri de somut olabilir: ATM/işyeri görüntüsünün korunması, banka ve ödeme kuruluşu kayıtları, ilgili IP ve cihaz bilgileri, teslimat verileri. Log ve kamera saklama süreleri farklı olduğundan tarih ve terminal bilgisi erken verilirse delilin bulunma ihtimali artar.

Mağdurun kendi telefonunu “kanıt temizliği” için sıfırlaması, gelen sahte mesajları silmesi veya şüpheli kişiyi kendi hesabına girerek araştırması daha sonra incelemeyi güçleştirebilir. Güvenlik önlemi gerekiyorsa ne zaman yapıldığı kaydedilmeli; özgün mesaj, bildirim ve dosyaların kopyası muhafaza edilmelidir. Genel olay müdahalesi sırası için siber suç mağdurunun ilk 24 saatte yapabilecekleri ayrı bir yol haritası sunar.

Hakkında işlem yapılan kişi için inceleme: kartın bulunması yetmez

Bir kişinin adresine teslimat yapılması, banka hesabından yarar geçmesi veya telefonunda ödeme uygulaması bulunması inceleme gerekçesi olabilir. Mahkûmiyetin dayanağı içinse ilgili işlemle o kişinin fiili arasında güvenilir bağ gerekir. Kartın ele geçirilmesinde, rızasız kullanımında ve yarar akışında kimin hangi rolü üstlendiği netleştirilmelidir. Cihaz birden çok kişi tarafından kullanılıyorsa veya sipariş hesabı ortaksa, işlem saatindeki gerçek kullanıcıyı gösteren ek deliller önem kazanır.

Savunmada yalnız “ben yapmadım” demek kadar, tek bir IP adresinin farklı kişilere açık olduğunu soyut biçimde ileri sürmek de eksik kalabilir. O günkü cihaz konumu, oturum geçmişi, banka uygulaması girişleri, fiziksel kartın kimde olduğu, teslimatın gerçekten kim tarafından alındığı, işyeri veya ATM görüntüsü, kullanıcı yetkileri ve mesajlaşma kayıtları birlikte karşılaştırılır. Bir logun üzerinde saat yazması onun sistem saatinin doğru, saklama zincirinin tam veya kişiye atfın sağlam olduğunu otomatik olarak göstermez. Öte yandan banka, ödeme kuruluşu ve cihaz kayıtları birbirini doğruluyorsa yalnız genel teknik olasılıklara dayanmak da dosyayı açıklamaz.

Kart işleminden önce e-posta veya banka hesabına yetkisiz erişim olmuşsa TCK 243 kapsamında bilişim sistemine girme ayrıca araştırılır. Kart verisi bir müşteri veritabanından kopyalanmış veya kayıtlar değiştirilmişse TCK 244 kapsamında veri ve sistem müdahalesi gündeme gelebilir. Bu suçların her birinin kendine ait unsuru vardır; birinin ispatı diğerini otomatik olarak ispatlamaz.

TCK 245/A ile 245’i karıştırmayın

TCK 245, kartın kendisiyle gerçekleştirilen kanuni hareketleri düzenler. TCK 245/A ise bilişim suçları veya bilişim sistemi araç olarak kullanılabilen diğer suçlar için münhasıran yapılmış ya da oluşturulmuş cihaz, program, şifre veya başka güvenlik kodu üzerinde kanunda sayılan imal, nakil, satma, satın alma, verme, bulundurma gibi hareketlere ilişkindir. Genel amaçlı bir bilgisayarı kullanmak veya herkesin kullanabileceği bir yazılımı bulundurmak, sırf teknik kapasitesi var diye 245/A değildir. Fakat “eğitim” etiketi de suç için özel tasarlanmış bir kitin somut kullanım ve dolaşımını otomatik olarak meşrulaştırmaz.

Örneğin kart bilgisi toplayan sahte ödeme sayfası ile bu bilgiler kullanılarak yapılan gerçek harcama aynı zincirin farklı aşamalarıdır. Sayfanın nasıl hazırlandığı, kodun kimde bulunduğu, veri kimin hesabına aktığı ve kartla hangi alışverişin tamamlandığı ayrı ayrı araştırılır. 245/A’nın “münhasıran” koşulu ile 245’in kart/yarar koşulunu karıştırmak, hem eksik hem aşırı nitelendirme doğurabilir.

Kart dosyasını doğru soruyla kapatmak

TCK 245 bakımından karar verdiren soru “para gitti mi?” değil; hangi kart veya kart verisi, kimin denetimindeyken, hangi yetkiyle, hangi işlemde kullanıldı ve yarar nasıl sağlandı? sorusudur. 2025 ve 2026 Ceza Genel Kurulu kararlarının gösterdiği gibi ATM’de aynı miktarda para çekilmesi bile kart üzerindeki fiilî hâkimiyet değiştiğinde başka hukuki sonuca götürebilir. İnternet işleminde de kullanılan şey kart numarası mı, banka oturumu mu, yoksa mağdurun aldatılarak verdiği ödeme talimatı mı önce belirlenmelidir.

İyi hazırlanmış bir dosya, banka ekstresi ile yetinmez. İşlem zincirinin ilk olayını, kart ve hesap erişiminin kapsamını, rıza durumunu, teknik kayıtların kaynağını, yararın vardığı noktayı ve her çıkarımın sınırını birlikte gösterir. Bu yöntem mağdurun kaybını açıklığa kavuşturduğu kadar yanlış kişiye yüklenen işlemin ayıklanmasını da sağlar.

Temel kaynaklar

• 5237 sayılı Türk Ceza Kanunu, özellikle 243–245/A maddeleri — Adalet Bakanlığı derlemesi.
• 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu, kabul edilen ilk metin — TBMM. Kart ve kart hamili tanımları ile bildirim ve itiraz usulünün kanuni dayanağı; sonraki değişiklikler için yürürlükteki metin ayrıca kontrol edilir.
• Yargıtay Ceza Genel Kurulu, E.2024/500, K.2025/485, 19.11.2025 — resmî tam metin.
• Yargıtay Ceza Genel Kurulu, E.2024/219, K.2026/29, 14.01.2026 — resmî tam metin.