Hayır, para kendiliğinden dönmez. Transferde bankanın esas aldığı tek veri IBAN'dır; alıcının adı ya da unvanı tutmasa bile işlem tamamlanır. Yapılacak ilk iş, aynı gün şubeye yazılı iade talebi vermek; IBAN sahte bir bildirimle değiştirildiyse yine aynı gün savcılığa başvurmak. İade alıcının rızasına bağlı, rıza çıkmazsa geri isteme yargı kararına kalıyor.
"Tek veri" olması teknik bir ayrıntı değil; ödemeyi gönderirken kurduğunuz tüm güvenlik varsayımı onun üzerine oturuyor. Alıcı adını yazmak bir kontrol sanılır, oysa o alan işlemin gideceği yeri hiç etkilemez.
Banka neye bakıyor#
Ödeme mevzuatı, hesabı tanımlayan veriyi "benzersiz tanımlayıcı" olarak adlandırır. Türkiye'de bu tanımlayıcı IBAN'dır. Ödeme emri, verilen tanımlayıcıya uygun biçimde gerçekleştirilmişse işlem doğru yapılmış sayılır. Ad, soyad ya da unvan alanı ise sistemde çoğunlukla açıklama niteliğindedir.
Yanlış tanımlayıcıyı müşteri girdiyse, ödemenin hatalı gerçekleşmesinden ödeme hizmeti sağlayıcısı sorumlu tutulmaz. Buna karşılık sağlayıcı, tutarın geri alınması için makul çabayı göstermek ve bunu başaramazsa yazılı talebiniz üzerine yargı yoluna başvururken kullanabileceğiniz bilgi ve belgeleri size vermekle yükümlüdür. Bazı bankaların mobil uygulamalarında çıkan "girdiğiniz isim hesap sahibiyle uyuşmuyor" uyarısı bu tabloyu değiştirmiyor. O bir bilgilendirmedir, bir bariyer değil. Onay tuşuna bastığınızda para gider. Kontrolü gönderen taraf olarak sizin yapmanız gerekiyor: ödemeden önce IBAN'ı IBAN doğrulama aracı ile sınamak, yazımının geçerli olup olmadığını ve hesabın hangi bankaya ait olduğunu gösterir, ama hesabın kime ait olduğunu göstermez; sağlamanın neyi yakalayıp neyi yakalamadığını aşağıda ayrıca anlattık.
Para gitti: ilk yirmi dört saat#
Fark ettiğiniz an sıralama şöyle olmalı.
Bankanızın şubesine yazılı başvuru. Telefon kaydı yeterli değil; işlemin tarihi, saati, referans numarası, tutarı ve hatalı IBAN'ın yer aldığı yazılı bir talep dosyaya girer. Bu belge sonraki her adımın dayanağıdır.
İade talebinin alıcı bankasına iletilmesi. Bankanız karşı bankaya başvurur, karşı banka kendi müşterisine ulaşır ve iade için onay ister. Onay gelirse iş birkaç gün içinde biter. Gelmezse banka size hesap sahibinin kimlik bilgilerini veremez; kişisel veri koruması buna izin vermez.
Tutarın büyüklüğüne göre hukuki hazırlık. Yazılı talebinize karşılık bankanın vereceği bilgi ve belgeler, dava dilekçesinin eki olur.
Sahtecilik şüphesi varsa aynı gün suç duyurusu. IBAN'ı bir e-posta ya da mesaj değiştirdiyse ortada hata değil suç vardır ve savcılık başvurusu, hesabın hızla tedbir altına alınmasının önünü açar. Bu adımı "önce bankayla halletmeye çalışalım" diye ertelemek, çoğu vakada paranın dağıtılmasına yetecek süreyi armağan ediyor.
Dört adımın da aynı gün içinde başlatılması gerekiyor. İş bölümü yapmak mümkün: muhasebe bankayla ilgilenirken, yönetici tarafı hukuk danışmanını ve tedarikçiyi arayabilir. Tedarikçiyi bilgilendirmek şart, çünkü ödeme ona ulaşmadığından borcunuz devam ediyor ve teslimat programı buna göre yeniden konuşulmalı.
Bu dört adımda kaybedilen zamanın kendi maliyeti var. Bir işletme için 1.240.000 TL'lik bir ödemenin kırk beş gün boyunca ulaşılamaz durumda kalması, ticari işlerde temerrüt faizinin 2026 başındaki seviyesi olan yıllık %39,75 ile ölçüldüğünde yaklaşık 60.800 TL'lik bir yüktür. Paranın hareketsiz geçirdiği sürenin faturasını tahsilat gecikme maliyeti hesaplama aracında kendi oranınızla görebilirsiniz.
Muhasebe tarafında da ayrı bir sorun doğuyor: tedarikçiye ödeme yapılmadığı için borç kapanmıyor. Elinizdeki dekont, üçüncü bir kişiye yapılmış transferi gösteriyor. Cari hesap kapanmadan yapılan mahsup kaydı, dönem sonunda mutabakatı bozar.
Rıza yoksa hangi yol#
Hesabına para geçen kişi iade etmiyorsa iki ayrı yol açıktır ve bunlar birbirini dışlamaz.
Hukuk yolu. Haklı bir sebep olmaksızın başkasının malvarlığından zenginleşen kişi bunu geri vermekle yükümlüdür; kuralın kaynağı Türk Borçlar Kanunu'nun 77. maddesi. Geri isteme hakkı, hak sahibinin bu hakkı öğrendiği tarihten itibaren iki yıl, her hâlde zenginleşmenin gerçekleştiği tarihten itibaren on yıl geçmekle zamanaşımına uğrar. Dava öncesi çekilecek ihtarnamede verilen sürenin son gününü ve zamanaşımının dolacağı tarihi vade hesaplama aracıyla çıkarmak, sürenin tatile denk gelip gelmediğini de gösterir.
Ceza yolu. Ortada bir hata değil, kasıtlı bir yönlendirme varsa, yani IBAN sahte bir bildirimle değiştirilmişse, dolandırıcılık suçu gündeme gelir. Banka ve bilişim sistemlerinin araç olarak kullanılması bu suçun nitelikli hâllerindendir. Savcılığa yapılan başvurunun pratikteki en önemli sonucu, hesap üzerine hızlı bir tedbir konulabilmesidir.
Süre burada belirleyicidir. Yasal zamanaşımı yıllarla ölçülse de, hesabı boşaltılmış bir alıcıya karşı kazanılan dava tahsil edilemez. Sahte IBAN vakalarında paranın birkaç saat içinde başka hesaplara dağıtıldığı görülüyor.
Asıl senaryo: "IBAN değiştirdik" e-postası#
KOBİ'lerde yanlış IBAN vakalarının çoğu parmak hatası değil. Senaryo hep aynı ilerliyor.
Bursa'da makine imalatı yapan bir şirketin muhasebe sorumlusuna, iki yıldır çalıştıkları hammadde tedarikçisinin ticari unvanıyla bir e-posta geliyor. Ekte, o hafta gerçekten bekledikleri faturanın aynısı var: tutar doğru, sipariş numarası doğru, kaşe doğru. Tek fark, alt köşedeki IBAN. Mesajın gövdesinde "bankamızı değiştirdik, ödemeleri yeni hesabımıza yapın" cümlesi. Ödeme aynı gün gidiyor. Tedarikçi iki hafta sonra "ödeme gelmedi" diye arayınca durum anlaşılıyor.
Bu saldırının işe yaramasının tek sebebi var: transferde ismin kontrol edilmemesi. Tedarikçinin unvanını yazsanız da, hesap sahibi bambaşka bir kişi olsa da para gider.
Uyarı işaretleri genellikle gözden kaçmayacak kadar açık aslında. Gönderen adresindeki tek harflik değişiklik. Aciliyet vurgusu. Yeni hesabın tedarikçinin bulunduğu ilden bambaşka bir yerde açılmış olması. Ve neredeyse her zaman: bir gerçek kişi adına açılmış hesap, şirket hesabı değil.
mod-97 neyi yakalar, neyi yakalamaz#
IBAN'ın yazımı matematiksel bir sağlamayla denetlenebilir. Türkiye IBAN'ı 26 karakterdir: TR, iki haneli kontrol numarası, beş haneli banka kodu, bir hane rezerv ve on altı hane hesap numarası. Kontrol numarası, geri kalan tüm hanelerden mod-97 işlemiyle üretilir. Tek bir rakamı değiştirdiğinizde sağlama tutmaz.
Bu yüzden mod-97 sağlaması yazım hatasını neredeyse kesinlikle yakalar. Yanlış tuşa basmak, bir haneyi atlamak, iki rakamın yerini değiştirmek — hepsi geçersiz IBAN üretir ve banka zaten kabul etmez.
Sahtekârı ise yakalamaz. Dolandırıcının verdiği IBAN gerçek bir hesaba aittir, sağlaması da doğrudur. Sağlama, IBAN'ın doğru yazıldığını söyler; doğru kişiye ait olduğunu değil. İkisi arasındaki farkı karıştırmak, kontrolü yaptığını sanıp hiç kontrol etmemek anlamına geliyor.
Ama sağlamanın ikinci çıktısı burada işe yarar: banka kodu. IBAN'ın beş haneli banka kodu hangi kurumda açıldığını söyler; örneğin 00010 Ziraat Bankası'nı, 00064 İş Bankası'nı gösterir. Yıllardır aynı bankadan ödeme alan bir tedarikçinin IBAN'ının bambaşka bir kuruma işaret etmesi, tek başına telefonu kaldırmak için yeterli sebeptir. Elinizdeki IBAN'ı IBAN doğrulama aracına yapıştırdığınızda hem sağlamayı hem banka bilgisini görürsünüz.
Banka kodunun bir kullanımı daha var. Ödeme ve elektronik para kuruluşları da müşteri hesapları için IBAN üretebiliyor ve bu IBAN'ların banka kodu, klasik mevduat bankalarının kodlarından ayrı bir aralıkta duruyor. Yıllardır mevduat bankası hesabına ödeme aldığınız kurumsal bir tedarikçinin birden bir ödeme kuruluşu IBAN'ı bildirmesi olağan bir değişiklik olabilir, ama teyit edilmeden geçilecek bir değişiklik değildir.
Tutar kurtarılamazsa muhasebe ne yapıyor#
Para geri gelmediğinde ilk refleks, gideri yazıp konuyu kapatmak oluyor. Bu doğru değil; ödeme tedarikçiye ulaşmadığı için ona olan borcunuz aynen duruyor ve fatura hâlâ ödenmeyi bekliyor.
Kayıt tarafında tutar, tahsili beklenen bir alacak olarak izlenir. Alıcıya karşı dava ya da icra takibi başlatıldığında şüpheli alacak karşılığı ayrılıp ayrılamayacağı tartışması gündeme gelir; burada belirleyici olan, alacağın ticari faaliyetin elde edilmesi ve sürdürülmesiyle ilgisinin kurulup kurulamadığıdır. Kendi başına karar verilecek bir konu değil, mali müşavirle birlikte değerlendirilmesi gerekiyor.
Bir de kayıt disiplini meselesi var. Yanlış giden ödemeyi tedarikçinin cari hesabına işlemek, mutabakat zamanı iki tarafın rakamlarının tutmamasına yol açıyor. Tutar, tedarikçi carisinden ayrı bir hesapta izlenmeli; borç kapanmadığı sürece o carinin bakiyesi olduğu gibi kalmalı.
Ödeme sürecine konacak dört kontrol#
Teknik önlem tek başına yetmiyor; asıl koruma süreçte.
Cari kartta kilitli IBAN. Tedarikçinin hesap bilgisi ön muhasebede kayıtlı tutulur ve ödeme yalnız o kayıttan yapılır. Faturanın üzerindeki IBAN ile kayıt uyuşmuyorsa ödeme durur. PONEO'da cari kartın ödeme bilgisiyle birlikte tutulması, faturadan okunan bir IBAN'ın sorgusuz sualsiz kullanılmasını engellemek içindir.
Bilinen numaradan sesli teyit. E-postadaki numara değil, cari kartta kayıtlı numara. IBAN değişikliği bildiren mesajlar, teyit için kendi numarasını da verir.
Kırık tutarla test ödemesi. Yeni ya da değişmiş bir IBAN'a ilk ödeme, ana tutarın tamamı olmaz. 1.243,17 TL gibi yuvarlak olmayan küçük bir tutar gönderilir ve tedarikçiden "hesabımıza 1.243,17 TL geldi" teyidi alınır. Tutarın kırık olması, karşı tarafın gerçekten baktığını doğrular.
Çift onay. Belirli bir tutarın üzerindeki ya da IBAN'ı değişmiş her ödeme, ikinci bir kişinin onayıyla gönderilir. Dolandırıcılık senaryolarının çoğu, tek kişinin aceleyle karar verdiği varsayımı üzerine kurulur.
| Kontrol | Neyi engeller | Ödemeye eklediği süre |
|---|---|---|
| Cari kartta kilitli IBAN | Fatura üzerinden okunan sahte IBAN | Yok, kayıt bir kez yapılır |
| Bilinen numaradan teyit | "IBAN değişti" bildirimi | 3-5 dakika |
| Kırık tutarla test | Yeni hesabın yanlış olması | 1 iş günü |
| Çift onay | Tek kişinin acele kararı | 10-15 dakika |
Dördü birden uygulandığında saldırının işe yarama ihtimali pratikte sıfıra yaklaşıyor. Hiçbiri uygulanmadığında ise korunmanın tek yolu, o gün o e-postayı okuyan kişinin dikkatli olması. Bu, üzerine 1.240.000 TL bahse girilecek bir güvence değil.
Ödemelerin banka üzerinden yapılması zaten tevsik zorunluluğunun gereği; ama dekontun doğru hesaba gittiğini gösteren tek şey, o hesabı ödeme öncesinde doğrulamış olmanızdır.
- yanlış IBAN'a gönderilen para geri alınır mı
- IBAN ile isim uyuşmuyor uyarısı
- sahte IBAN dolandırıcılığı fatura
- IBAN hangi bankaya ait
- iade talebi nasıl yapılır banka
- tedarikçi IBAN değişikliği maili
