Apobank'a karar: Kimlik avı zararından finans kurumu sorumlu

Berlin II Bölge Mahkemesi, kimlik avı benzeri aldatma girişimleri durumunda banka müşterilerinin haklarını güçlendirdi ve finansal kurumları teknolojik açıdan sorumlu kıldı. Bu, 38. Hukuk Dairesi'nin 22 Nisan tarihli bir kararında bulunabilir (ref.: 38 O 293/25). Deutsche Apotheker- und Ärztebank'a (Apobank) karşı açılan davada mahkeme, finans kurumunun 200.000 Euro'yu aşan izinsiz zarardan sorumlu olması gerektiğine karar verdi. Karar, ağır ihmal varsayımının giderek karmaşıklaşan dolandırıcılık senaryolarında artık savunulabilir olmadığını açıkça ortaya koyuyor.

Dava, saldırganların profesyonelliğine ışık tutuyor: Etkilenenler, banka adına yanıltıcı derecede gerçek bir mektup, manipüle edilmiş bir çevrimiçi bankacılık arayüzü ve kişisel bir telefon görüşmesinin birleşimiyle tuzağa düşürüldü. Dolandırıcıların, davacıların diğer hesapları hakkında ayrıntılı bilgiye sahip olması, onların meşru banka çalışanları olduğu izlenimini güçlendirdi.

İfadesine göre müşterinin, bilgisayarındaki favoriler çubuğu üzerinden her zamanki gibi giriş yaptığında 2 faktörlü kimlik doğrulamayı kurması istendiğinde hiçbir şüphesi yoktu. Bu daha önce otantik görünümlü bir mektupta duyurulmuştu. Sahne, sözde bir banka çalışanının bankanın resmi numarası kullanılarak yapılan hızlı araması nedeniyle de inandırıcı görünüyordu. Ayrıca davacı, arayan kişiye PIN'ler veya TAN'lar gibi hassas yetkilendirme verilerini aktif olarak iletmeden yalnızca ekrandan kodları fotoğrafladı.

Berlinli hakimler, neredeyse mükemmel bir şekilde sahnelenen bu aldatmacada müşterilerin ağır ihmalle hareket etmediklerini açıkça ortaya koydu.

Bir bankacılık yükümlülüğü olarak teknik erken teşhis

Mahkemenin kararın ötesindeki yorumları dikkat çekici. Oda, gerekli erken tespit sistemleri için yaklaşımlar öneriyor: Banka dolandırıcılığı tanıyıp önleyebilirdi çünkü müşteri telefon etti ve failler aynı anda tamamen farklı IP adresleri ve sağlayıcılar kullanarak yeni bir cihaz kaydettirdi. Finans kurumu, otomatik güvenlik mekanizmalarını kullanarak bu bariz tutarsızlığı engellemedi ve yeni cihazın, yeterli sahiplik doğrulaması olmadan bağlanmasına izin verdi.

Kararı veren Ilex Rechtsanwälte hukuk firmasından Ulrich Schulte am Hülse, bu değerlendirmenin teknik olarak hala amatörce olduğunu düşünüyor. Ama adalet sistemini doğru yolda görüyor. Apobank'a karşı yürütülen davalarda, IP adreslerini de içeren eksiksiz günlük dosyaları neredeyse her zaman mevcuttur. Bu veriler ve bir müşteri anketi kullanılarak, geriye dönük olarak tam olarak hangi eylemin faillere atfedilebileceği ve bankanın nereye müdahale etmesi gerektiği kanıtlanabilir.

Avukat, kimlik avının artık yalnızca tüketici sorunu olmadığını vurguluyor. Karar, en büyük bireysel zararın giderek orta ölçekli işletmeler alanında meydana geldiğini gösteriyor. Serbest çalışanlar, serbest meslek sahibi kişiler ve yerleşik şirketler etkilenmektedir. Ticari ve özel hesapların birleştirildiği modern çoklu bankacılık sayesinde kategoriler giderek bulanıklaşıyor. Karar, varlıkları yüksek miktarda zararla tehdit edilebilecek aktörleri koruyor.

OLG içtihat hukukundan kaynaklanan rüzgar

Bu görüş diğer mahkemelerin eğilimiyle tutarlıdır. Koblenz Yüksek Bölge Mahkemesi geçtiğimiz günlerde, dolandırıcılığın aldatıcı derecede gerçek bir etkileşim zinciri oluşturması durumunda, SMS'deki bağlantılara tıklamanın ve tarayıcı formuna işlem numaralarını girmenin bile otomatik olarak ağır ihmal olarak görülemeyeceğini duyurdu.

Berlin kararı bir sinyal gönderiyor: Bankalar güvenlik algoritmalarını keskinleştirmeli. Teknik olarak mantıksız kaynaklardan eşzamanlı oturum açma gibi günlük dosyalarındaki fark edilebilir tutarsızlıklar, dolandırıcılığı önlemek için proaktif olarak kullanılmalıdır.

(HAYIR)