Bankacılık sistemlerinin dijitalleşmesi, müşterilere büyük kolaylık sağlarken aynı zamanda siber dolandırıcılık risklerini de beraberinde getirmiştir. Özellikle mobil ve internet bankacılığı üzerinden yapılan işlemlerde yaşanan güvenlik açıkları, sadece bireysel kullanıcıları değil, bankaları da doğrudan sorumlu hale getirebilmektedir.
Peki bankalar, dolandırıcılık olaylarında hangi güvenlik açıklarından sorumlu tutulur? Bu makalede teknik, operasyonel ve hukuki yönleriyle bu sorunun yanıtlarını inceliyoruz.
1. Bankaların Sıkça Düştüğü Güvenlik Açıkları
1.1 Zayıf Kimlik Doğrulama Sistemleri
Birçok dolandırıcılık olayında, müşterinin sadece kullanıcı adı ve şifreyle sisteme erişmesi yeterli olmakta; bu da kötü niyetli kişilere kolay hedef imkânı sunmaktadır.
İki faktörlü kimlik doğrulamanın (2FA) etkili kullanılmaması, şifre ile SMS onayının aynı kanal üzerinden işletilmesi gibi durumlar ciddi güvenlik zafiyetidir.
1.2 Şüpheli İşlem Algılama Sistemlerindeki Eksiklik
Bankacılık sistemlerinde anormal işlem tespiti yapan algoritmaların güncel olmaması veya öğrenmeyen yapay zekâ sistemleri, dolandırıcılık işlemlerinin zamanında fark edilmesini engeller.
1.3 Eksik Müşteri Bilgilendirmesi
İşlem sonrası SMS veya e-posta bildirimlerinin gecikmesi ya da hiç yapılmaması, müşterinin haberi olmadan yapılan işlemlerin geç fark edilmesine neden olur.
1.4 Onay Süreçlerinde Yetersizlik
Bazı bankalarda, yüksek tutarlı transferlerde dahi ikincil bir doğrulama (telefonla arama, görüntülü onay, manuel onay) yapılmadan işlemler gerçekleşebilmektedir. Bu durum, müşterinin bilgisi dışında yapılan işlemlerden bankanın sorumluluğunu artırır.
1.5 Mobil Uygulama Güvenliği
Sahte bankacılık uygulamaları veya zararlı yazılımlarla (malware) yapılan işlemler, bankanın uygulama güvenliğine yeterli yatırım yapmaması halinde sorumluluk doğurur. Banka müşterisinin kullandığı ve Banka sistemien kayıtlı IMEI numarası ( 15 rakamdan oluşan ve tam adı International Mobile Equipment Identity (Uluslararası Mobil Cihaz Kodu) olan uluslararası benzersiz bir kimlik numarasıdır ) telefonunda banka sistemlerine girildiğinden şüpheye yer vermeyecek şekilde güvenlik önlemleri almalı. Gönderdiği mesajalrın müşterinin kullandığı IMEI kayıtlı telefona gittiğini kanıtlayabilmeli…
1.6 Yazılım ve Sistem Güncellemeleri
Güncel olmayan yazılımlar, zayıf şifreleme yöntemleri veya açık bırakılan portlar da bankaların teknik güvenlik açıkları arasında yer alır.
1.7 Personel Kaynaklı Zafiyetler
Şubelerde veya çağrı merkezlerinde çalışan personelin sosyal mühendislik saldırılarına karşı bilinçsiz olması, dolandırıcıların bankanın içinden bilgi sızdırmasına olanak tanıyabilir.
2. Hukuki Açıdan Bankanın Sorumluluğu
Tüketici lehine verilen birçok yargı kararında bankaların şu konularda sorumlu tutulduğu görülmektedir:
-
Gerekli güvenlik önlemlerini almadığı,
-
Şüpheli işlemleri zamanında fark etmediği,
-
İşlemleri doğrulamadan gerçekleştirdiği,
-
Müşteriyi yeterli düzeyde bilgilendirmediği.
Özellikle Tüketici Mahkemeleri ve Bilirkişi Heyetleri, bankaların güvenlik süreçlerinin “makul ölçüde güçlü” olması gerektiğini ve müşteri kandırılmışsa bile banka sistemlerinin bunu tespit etmesi gerektiğini vurgulamaktadır.
3. Bankaların Alması Gereken Önlemler
Bankaların hem hukuki riskleri azaltmak hem de müşteri güvenini artırmak için şu önlemleri alması gereklidir:
-
Etkin ve çok katmanlı kimlik doğrulama sistemleri kurmak,
-
Şüpheli işlem tespiti için gelişmiş algoritmalar ve yapay zekâ teknolojileri kullanmak,
-
Mobil uygulamaları düzenli olarak güvenlik testlerinden geçirmek, (IMEI no teyit dahil )
-
Müşterilere anlık ve çoklu bilgilendirme yapmak (SMS, e-posta, uygulama bildirimi),
-
Personeli dolandırıcılık senaryolarına karşı düzenli olarak eğitmek.
Sonuç olarak
Dijital bankacılığın yaygınlaşması, dolandırıcılık vakalarının artışına neden olurken; bankaların sadece sistem kurmakla değil, bu sistemleri etkin işletmekle de yükümlü olduğunu göstermektedir. Güvenlik zafiyetleri yalnızca teknik bir hata değil; aynı zamanda hukuki bir sorumluluk alanıdır.
Dolandırıcılık olaylarında müşterinin kusuru olsa dahi, bankanın gerekli tüm önlemleri alıp almadığı incelenmekte ve bu durum mahkemelerce değerlendirilerek karar verilmektedir.