Detaylı Açıklama
Phishing (Türkçe karşılığı oltalama), İngilizce “fishing” (balık tutma) ile “phreaking” (telefon hattı manipülasyonu) kelimelerinin birleşmesinden türetilmiş; bilişim suçları literatüründe sahte taklit yoluyla bilgi avlama anlamında kullanılan teknik terimdir. Türk hukukunda phishing eylemi başlı başına bir suç tipi olarak düzenlenmemiş, ancak Yargıtay yerleşik içtihatlarında TCK m.142/2-e bilişim sistemleri kullanılarak hırsızlık olarak değerlendirilmektedir.
Yargıtay 2. Ceza Dairesi’nin 18.11.2025 tarihli 2023/17723 E., 2025/20247 K. sayılı kararı phishing yöntemini birebir şöyle tanımlamıştır:
“Bankanın web sitesi ile aynı görünümde sahte site açıp, bu siteyi bankanın gerçek sitesi zannederek internet bankacılığı yoluyla hesabına girmek isteyen hesap sahiplerinin girmiş olduğu hesap bilgileri ve şifresinin ele geçirilmesi.”
Hukuki Dayanak ve Uygulama
TCK m.142/2-e — Nitelikli Hırsızlık (Bilişim Yoluyla):
- Ceza: 5-10 yıl hapis cezası
- Şikayete tabi değildir, re’sen soruşturulur
- Uzlaştırma kapsamı dışındadır
- Alt sınırı 5 yıldan fazla olduğu için CMK m.150/3 uyarınca zorunlu müdafi atanır
Phishing - TCK m.245/1 (Banka Kartı Kötüye Kullanma) Ayrımı:
Phishing eyleminin TCK m.142/2-e mi yoksa TCK m.245/1 mi kapsamında olduğu, kullanılan yöntem ve elde edilen menfaate göre değişir:
- Sahte site açıp bilgi/şifre çalma + sonra para transferi → TCK m.142/2-e (Yargıtay 2. CD görüşü)
- 3D Secure kodu sosyal mühendislikle alıp kartla işlem yapma → TCK m.245/1 (Yargıtay 8. CD görüşü)
Yargıtay 8. Ceza Dairesi’nin 02.07.2025 tarihli 2025/2912 E., 2025/5592 K. sayılı kararı, “kredi kartı para puanlarınız 200 TL’ye ulaşmıştır, aktifleştirmek için arayınız” SMS’iyle başlayan ve banka görevlisi gibi davranıp 3D Secure kodu alarak yapılan eylemi TCK m.245/1 kapsamında değerlendirmiştir.
DOLUNAY Projesi Açısından:
DOLUNAY merkezinin yapay zeka altyapısı, phishing URL’lerini otomatik tanımayı ve Siber Güvenlik Başkanlığı’na erişim engelleme talimatı çıkartmayı amaçlamaktadır. Mağdur ihbarının 18 dakikada savcı kararına dönüşmesi, paranın geri kazanılma olasılığını ciddi biçimde artırır.
Sık Karşılaşılan Durumlar
Pratikte en sık karşılaşılan phishing varyasyonları şunlardır: (1) Banka phishing — gerçek bankanın sahte web sitesi, (2) Kargo phishing — “kargonuz teslim edilemedi, takip için tıklayın” SMS’i, (3) Devlet phishing — e-Devlet, GİB, SGK taklidi siteler, (4) Sosyal medya phishing — Instagram/Facebook giriş ekranı taklidi, (5) Spear phishing — kişiselleştirilmiş hedefli e-postalar, (6) Vishing — telefonla ses üzerinden phishing (banka çalışanı taklidi), (7) Smishing — SMS yoluyla phishing, (8) 3D Secure phishing — kart kötüye kullanma + sosyal mühendislik kombinasyonu. Phishing mağdurlarının izlemesi gereken hukuki yol DOLUNAY mobil uygulaması veya 112 üzerinden anında ihbar, banka müşteri hizmetleriyle IBAN bloke talebi ve en yakın kolluk birimine yazılı şikayet ile başlar.