İki faktörlü kimlik doğrulamanın kullanılmış olması, tartışmalı bir havale veya kart işleminin mutlaka müşteri tarafından yapıldığını tek başına ispatlamaz. Aynı şekilde dolandırıcının SMS kodunu, mobil onayı veya parolayı ele geçirmiş olması bankayı her durumda sorumlu kılmaz. Yetkisiz işlem uyuşmazlığında doğrulama bileşenlerinin gerçekten bağımsız olup olmadığı, onayın hangi işlem için verildiği, banka sistemlerinin anormal davranışı fark edip etmediği ve müşterinin güvenlik yükümlülüklerine aykırılığının ağırlığı birlikte değerlendirilir.
KVKK boyutu da para iadesi tartışmasından farklıdır. Banka, kişisel verileri hukuka uygun işlemek ve yetkisiz erişimi önleyecek teknik-idari tedbirleri almak zorundadır. Bir olay hem yetkisiz ödeme işlemine hem kişisel veri ihlaline yol açabilir; ancak her talebin dayanağı ve başvuru yolu ayrıdır.
İki faktörlü doğrulama neyi ifade eder?
Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, elektronik bankacılıkta kural olarak birbirinden bağımsız en az iki bileşenli kimlik doğrulama öngörür. Bileşenler, müşterinin bildiği bir unsur, sahip olduğu bir unsur ve biyometrik özelliği sınıflarından farklı ikisine dayanır. Parola ile müşterinin telefonuna bağlı mobil onayın birlikte kullanılması buna örnektir.
Bağımsızlık, bir bileşenin ele geçirilmesinin diğerini de tehlikeye atmaması demektir. Parola ve tek kullanımlık kod aynı zararlı yazılım tarafından okunabiliyor, yeni cihaz kaydı yeterince doğrulanmadan yapılabiliyor veya kod işlem tutarı ve alıcısıyla bağ kurmadan genel bir giriş onayı sağlıyorsa sistemin gerçek koruma düzeyi tartışılır. Finansal sonuç doğuran işlemlerde müşteriye onay anında alıcı, tutar ve işlemin niteliği açıkça gösterilmelidir.
“Doğru SMS kodu girildi” savunması yeterli mi?
Teknik kayıt, işlemin bankanın sisteminde geçerli kimlik bilgileriyle tamamlandığını gösterebilir; fakat bu, müşterinin özgür iradesiyle o alıcıya ve o tutara onay verdiğini her zaman kanıtlamaz. Oltalama sayfası, uzaktan erişim uygulaması, SIM değişikliği, sahte çağrı merkezi, bildirim yönlendirme veya cihaz ele geçirme gibi yöntemlerde doğru kod dolandırıcı tarafından kullanılabilir.
Ödeme Hizmetleri Yönetmeliği’ne göre müşteri işlemi yetkilendirmediğini ileri sürdüğünde, işlemin müşteri tarafından onaylandığını, doğru kaydedilip hesaplara işlendiğini ve teknik arızadan etkilenmediğini ispat yükü ödeme hizmeti sağlayıcısına aittir. Bu yüzden banka yalnız “şifre doğru” demekle yetinmemeli; işlem özelindeki doğrulamayı ve güvenlik zincirini ortaya koymalıdır.
Bankanın özen yükümlülüğü nasıl incelenir?
Somut olayda bankadan şu kayıtlar istenebilir:
- Giriş ve işlem zamanları, IP bilgileri ve cihaz tanımlayıcıları
- Yeni cihaz ekleme, parola yenileme, SIM değişikliği ve limit artırma kayıtları
- Onay ekranında gösterilen alıcı, IBAN, tutar ve açıklama
- SMS, anlık bildirim ve e-posta uyarılarının gönderim ve teslim kayıtları
- İşlemin müşterinin önceki davranışından sapıp sapmadığına ilişkin risk sinyalleri
- Kısa sürede peş peşe kredi kullanımı, limit artışı ve yeni alıcıya transfer gibi birleşik hareketler
- Müşterinin ihbar saati ile hesabın dondurulma ve alıcı bankaya bildirim zamanı
- Çağrı merkezi görüşmeleri ve güvenlik alarmına verilen yanıt
Bankanın sadece iki faktörü kurmuş olması yeterli olmayabilir. Risk bazlı kontrol, olağan dışı işlem izleme, işlem limitleri, güvenli bildirim kanalı ve şüpheli durumda ek doğrulama da elektronik bankacılık güvenliğinin parçalarıdır. Buna karşılık bankanın makul güvenlik tedbirlerini aldığı, işlem bilgisini açık gösterdiği ve müşterinin tüm güvenlik unsurlarını ağır ihmalle üçüncü kişiye verdiği ispatlanırsa sorumluluk müşteriye yüklenebilir.
Müşterinin yükümlülüğü ve ağır ihmal
Müşteri ödeme aracını kullanım koşullarına uygun kullanmalı, kişisel güvenlik bilgilerini korumalı ve kayıp, çalınma veya iradesi dışındaki işlemi öğrenince durumu gecikmeksizin bankaya bildirmelidir. Banka çalışanlarının parola, PIN veya tek kullanımlık kod istemeyeceği yönündeki açık uyarıya rağmen bu bilgilerin tanımadığı kişiye verilmesi; uzaktan erişim uygulaması kurulması veya onay ekranı okunmadan çok sayıda işleme onay verilmesi ağır ihmal tartışmasını doğurabilir.
Ancak sosyal mühendislik mağduriyeti etiketi tek başına ağır ihmal sonucuna götürmez. Arayan kişinin bankanın gerçek numarasını taklit etmesi, müşterinin önceden sahip olduğu verileri bilmesi, işlem ekranının aldatıcı olması ve bankanın aynı anda oluşan risk sinyallerini görmezden gelmesi kusur dağılımını etkileyebilir. Her olayın teknik akışı bilirkişi incelemesine elverişli biçimde kurulmalıdır.
Yetkisiz ödeme işleminde bildirim ve iade
Müşteri yetkilendirmediği veya hatalı gerçekleşen ödeme işlemini öğrenir öğrenmez bankaya yazılı ya da kayıt oluşturan uzaktan iletişim kanalıyla bildirmelidir. Ödeme Hizmetleri Yönetmeliği düzeltme talebi için kural olarak işlem tarihinden itibaren on üç aylık üst süre öngörür. Ancak sağlayıcı işlemle ilgili Yönetmelikte aranan bütün bilgileri müşteriye sunmamışsa müşteri bu süreyle bağlı değildir ve her zaman düzeltme isteyebilir. Bu istisna da bildirimi geciktirmeyi güvenli hâle getirmez; gecikme zararın büyümesine ve delillerin kaybına neden olabilir.
İşlemin yetkisiz olduğu ispatlanırsa ödeme hizmeti sağlayıcısı tutarı derhal iade etmek veya hesabı işlem hiç gerçekleşmemiş gibi eski duruma getirmekle yükümlüdür. Müşterinin hileli davranışı veya güvenlik yükümlülüklerini kasten ya da ağır ihmalle ihlal etmesi hâlinde zararın tamamından sorumluluğu gündeme gelebilir. Bildirim yapıldığı hâlde bankanın hesabı donduramaması ya da ödeme aracını kapatamaması nedeniyle sonraki işlemler sürerse bu da banka aleyhine önem taşır.
KVKK açısından iki faktörlü doğrulama
Kimlik, iletişim, cihaz, IP, konum, işlem ve davranışsal risk verileri bankanın güvenlik sisteminde işlenebilir. Banka, 6698 sayılı Kanun’un 12. maddesi uyarınca hukuka aykırı işlemeyi ve erişimi önlemek, verileri muhafaza etmek için uygun güvenlik düzeyini sağlamalıdır. Yetkilendirmeler, log kayıtları, erişim kontrolleri, sızma testleri, şifreleme ve iki kademeli doğrulama bu yükümlülüğün somut araçları arasındadır.
Biyometrik veri kullanılıyorsa özel nitelikli veri kuralları ayrıca uygulanır. Mobil parola oluşturmak için yüz verisi işleyen bir banka, veri işleme şartını ve güvenlik tedbirlerini açıklamalı; hukuken mümkün olan durumda biyometri kullanmak istemeyen müşteri için orantılı bir alternatif sunmalıdır. Güvenlik amacı, ihtiyaçtan fazla biyometrik veri toplama veya belirsiz süreyle saklama yetkisi vermez.
Kişisel verilerin yetkisiz kişiye açıklanması ya da ele geçirilmesi veri ihlali oluşturursa banka, ihlali en kısa sürede Kişisel Verileri Koruma Kuruluna ve etkilenen kişilere bildirme yükümlülüğünü değerlendirmelidir. Müşteri de önce veri sorumlusu bankaya başvurabilir; cevabın yetersiz olması veya süresinde cevap verilmemesi hâlinde KVKK’daki süreler içinde Kurula şikâyet yoluna gidebilir. Kurula şikâyet, para transferinin iadesi veya maddi tazminatı kendiliğinden sağlamaz.
Olay fark edildiğinde ilk adımlar
Hesap ve kartlar derhal kapatılmalı, bankadan kayıt numarası alınmalı, alıcı hesaba bloke konulması talep edilmeli ve kolluk ya da savcılığa başvuru yapılmalıdır. Telefona format atılmadan önce ekran görüntüleri, mesajlar, arama kayıtları, sahte bağlantı ve uygulama bilgileri mümkünse teknik inceleme için korunmalıdır. GSM operatöründen SIM değişikliği ve hat işlemleri, bankadan ayrıntılı işlem dökümü ve başvuru cevapları alınmalıdır.
Banka itirazı reddederse uyuşmazlığın niteliğine göre Türkiye Bankalar Birliği Bireysel Müşteri Hakem Heyeti, tüketici hakem heyeti, zorunlu arabuluculuk ve tüketici mahkemesi yolları değerlendirilebilir. KVKK başvurusu ile bankacılık alacağı talebi paralel yürüyebilir; fakat dilekçelerde hangi işlemin yetkisiz olduğu, hangi güvenlik tedbirinin eksik kaldığı ve hangi zararın istendiği açıkça ayrılmalıdır.
Sonuç olarak iki faktörlü doğrulama önemli bir güvenlik standardıdır, fakat kusursuzluk belgesi değildir. Sorumluluk; onayın işlemle bağının, doğrulama bileşenlerinin bağımsızlığının, bankanın risk kontrollerinin ve müşterinin davranışının teknik delillerle incelenmesi sonucunda belirlenir. KVKK ise aynı olayda kişisel verilerin güvenliği ve hukuka uygun işlenmesi yönünden ayrı bir koruma katmanı sağlar.
İçerik kapsamı: Bu yazı genel bilgilendirme amacı taşır; somut olayın özellikleri ayrıca değerlendirilmelidir.