Tedarikçi IBAN Değişikliği E-postası: Ödeme Öncesi 6 Adımlı Doğrulama
Yıllardır çalıştığınız tedarikçiden "hesabımız değişti" e-postası geldiğinde ödeme öncesi uygulanacak altı adımlı doğrulama: kayıtlı numaradan teyit, IBAN unvan sorgusu, kodlu test transferi, çift onay, sözleşme maddesi ve para gittiyse kriz akışı.
ELMAP 11 dk okuma
Tedarikçi IBAN değişikliği e-postası, yıllardır çalıştığınız gerçek bir firmanın adına gelen ve ödemenin yeni bir banka hesabına yapılmasını isteyen bildirimdir. Kısa cevap: o e-postaya cevap vermeyin ve içindeki numarayı aramayın — sözleşmede ya da ilk teklifte kayıtlı numaradan teyit alın, IBAN'ın hesap unvanıyla eşleşip eşleşmediğini bankanıza sordurun, yeni hesaba önce 1–10 TL'lik kodlu bir test transferi yapın, "geldi" teyidini telefonda alın, ödemeyi talep edenden başka bir kişinin onayına bağlayın ve değişikliği ıslak imzalı antetli yazıyla dosyalayın.
Bu sıralamayı atlamanın bedeli tek maddede duruyor: ödeme emri bankanıza ulaştıktan sonra, çerçeve sözleşmenizde aksi kararlaştırılmadıkça geri alınamaz. Maddenin başlığı bizzat "Ödeme emrinin geri dönülemezliği"dir (Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik m.64, Resmî Gazete 1/12/2021, S.31676). Dahası, IBAN'ı doğru yazdığınız sürece ödeme "doğru gerçekleştirilmiş" sayılır (m.69/1); Yargıtay Hukuk Genel Kurulu da bankanın, paranın gittiği IBAN ile alıcının ismini eşleştirme yükümlülüğü bulunmadığına hükmetmiştir (E. 2017/(19)11-941, K. 2021/144, 23.02.2021).
Buradaki sorun firmanın sahte olması değil — o durumu tedarikçi dolandırıcılığının uyarı işaretleri ve firma doğrulama rehberi anlatıyor. Burada firma gerçek; ele geçirilen şey iletişim kanalı. Doğrulayacağınız şey firmanın kimliği değil, mesajın kimliğidir. Aşağıda saldırının anatomisi, altı adımlı protokol, sözleşme maddesi ile teyit tutanağı ve para gittiyse dakikalı kriz akışı var.
Bu saldırı gerçekte nasıl kuruluyor?
Saldırgan yeni bir firma uydurmaz; taraflardan birinin e-posta kutusuna sızar ve haftalarca sessizce okur. Ödeme takviminizi, fatura tutarlarınızı, muhasebecinin imza cümlesini öğrenir. Sonra gerçek yazışma zincirinin ortasına, tek harfi değiştirilmiş bir alan adıyla girer ve bunu vade gününe ayarlar.
Temsilî bir sahne: 180 daireli bir sitenin yönetimi, üç yıldır aynı temizlik firmasına her ayın beşinde 138.000 TL ödüyor. Ayın dördünde, iki hafta önceki gerçek yazışmanın altına düşülmüş bir cevap gelir: "Muhasebe departmanımız değişti, ödemeleri aşağıdaki hesaba yapmanızı rica ederiz." Ekte antetli görünen bir PDF ve bir cep numarası vardır. Gönderen adresi @ornekhizmet.com.tr değil @ornekhizrnet.com.tr; bitişik "r" ile "n" ekranda "m" gibi okunur. İkinci yaygın numara uzantıyı kırpmaktır: .com.tr yerine .com. Numara aranır, onay alınır, para gider.
Burada bir varsayım da çöküyor: ".com.tr belge ister, taklit edilemez" fikri geçerli değil. TRABİS'e geçişten sonra .com.tr, .net.tr ve .org.tr adları belgesiz ve "ilk gelen ilk alır" kuralıyla veriliyor; belge yalnızca av.tr, edu.tr, gov.tr gibi uzantılarda isteniyor (trabis.gov.tr, Ağustos 2026). Türkiye'ye özgü resmî istatistik yok; ABD'de FBI IC3'ün 2025 raporunda iş e-postası ele geçirme 24.768 şikâyet ve 3.046.598.558 dolar zarar üretti — vaka başına yaklaşık 123.000 dolar.
Bankayı hemen arasam ödemeyi iptal ettirebilir miyim?
Kural olarak hayır. Ödeme emri bankanıza ulaştıktan sonra geri alınamaz; iptal ancak imzaladığınız çerçeve sözleşmede kararlaştırılmışsa mümkündür (Yönetmelik m.64/1). Sözleşmenizde ayrıca, işleme onay verme ve onayı geri alma yönteminin yazılı olması gerekir (m.43/1-ç); bu iki mekanizmayı karıştırmayın. "Ararım, iptal ettiririm" hukuki bir plan değil, umuttur.
Pencere de dar: gönderenin bankası tutarı en geç izleyen iş günü sonuna kadar alıcının bankasına gönderir, her hâlde dört iş gününü aşamaz (m.67/1). Yetkisiz ya da hatalı bir işlemde gecikmeksizin bildirmek şartıyla düzeltme isteyebilirsiniz; üst sınır 13 aydır (m.54/1). Ama tam sizi ilgilendiren bir istisna var: aynı Yönetmeliğin 72 nci maddesi, müşterinin tüketici olmadığı ödeme işlemlerinde m.54'ün ikinci, dördüncü ve altıncı fıkraları ile m.64'ün sözleşmeyle hiç uygulanmamasına ya da farklı uygulanmasına izin verir; m.54/1'deki süre de değiştirilebilir. Site yönetimi, otel ya da fabrika tüketici sayılmaz — çerçeve sözleşmenizde bu maddelere bakın, tüketici korumasının sizde olduğunu varsaymayın.
Ödeme öncesi altı adım nedir?
Sıra keyfî değil: test transferi çift onaydan önce gelir, çünkü ikinci imzacının önüne koyacağınız tek somut kanıt o dekonttur. Islak imzalı yazı da en sona bırakılır; teyit ve test tamamlanmadan gelen antetli bir kâğıt yalnızca saldırganın işini kolaylaştırır.
1. Talebin geldiği e-postadaki numarayı aramayın
Aynı kanaldan alınan teyit, teyit değildir. Kutuya sızmış saldırgan hem talebi hem "onayı" yazar; oradaki numara da onundur. Sözleşmenin imza sayfasında, ilk teklifte veya firmanın santralinde kayıtlı numarayı arayın — numarayı e-postadan değil, kendi dosyanızdan okuyun.
2. Teyidi kim verdi, saat kaçta — yazıya geçirin
Aradığınız kişinin adı, unvanı, görüşme saati ve beyanı tutanağa işlenir. Alanları doldurma zorunluluğu, telefonda "tamam, doğru" deyip kapatmayı zorlaştırır; boş kalan bir satır ödeme talimatını da durdurur.
3. IBAN'ın hesap unvanını sorgulatın
Yeni IBAN'ın hangi unvana ait olduğunu kurumsal bankacılık temsilcinize sorun. Türkiye'de bankaların IBAN ile ad-unvan eşleşmesini kontrol etme yükümlülüğü yok. AB'de euro alanı bankaları 9 Ekim 2025'ten beri alıcı adı ile IBAN'ın eşleştiğini ödeme onaylanmadan önce ücretsiz kontrol etmek zorunda; Türkiye'de muadili yok, boşluğu ödeyen doldurur.
4. Önce kodlu bir test transferi yapın
Asıl ödemeden önce yeni hesaba 1–10 TL gönderin. Tutar sembolik olacak, açıklama alanına yalnızca sizin bildiğiniz bir kod yazılacak (ör. DOGRULAMA-2026-0824), "geldi" teyidi kayıtlı numaradan alınacak. Adımı koruyucu kılan şey kodun kendisi değil, kime sorduğunuzdur: kayıtlı numaradan aradığınız gerçek tedarikçi "böyle bir 1 TL ve bu kod bize ulaşmadı" diyorsa hesap onun değildir.
5. Ödemeyi iki imzaya bağlayın
Talep eden ile ödemeyi onaylayan farklı kişi olmalı; kurumsal bankacılık sözleşmenizde ödeme onay hiyerarşisi tanımlanabiliyorsa yeni hesaba ilk ödemeyi oraya alın. Site ve apartman yönetimlerinde bu, alım karar yetkisi ve karar defteri rejiminin ödeme onayına uygulanmış hâlidir; tutar eşiklerini satın alma sürecinin yedi adımında ele aldık.
Yeni hesap bilgisi, firmanın yetkili imzasını taşıyan antetli yazıyla gelmelidir. Tacirler arasında temerrüt, fesih ve dönmeye ilişkin ihbar ve ihtarlar noter, taahhütlü mektup, telgraf ya da güvenli elektronik imzalı KEP ile yapılır (6102 sayılı Türk Ticaret Kanunu m.18/3); adi e-posta bu şekli sağlamaz. Aynı çıtayı hesap değişikliğine de uygulayın.
#
Adım
Atlanırsa devreye giren kural
Sonuç
1
Kayıtlı numaradan teyit
Saf operasyon kuralı
Saldırgan her iki ucu da yazar; teyit kendini teyit eder
2
Teyidi verenin adı kayda geçer
m.54/2 ispat yükünü bankaya verir (yetkisiz ya da hatalı işlemde); ticari müşteride sözleşmeyle kaldırılabilir (m.72)
Adi e-posta, tacirler arası tanınan bildirim şekli değildir
Altı adım editoryal bir şablondur, mevzuat zorunluluğu değildir.
Test transferi ne kadara mal olur?
Çok az. TCMB'nin Bankalarca Ticari Müşterilerden Alınabilecek Ücretlere İlişkin Usul ve Esaslar Hakkında Tebliği uyarınca 6/1/2026'dan itibaren azami EFT ücreti, 8.300 TL ve altındaki işlemlerde mobil ve internet bankacılığında 7,97 TL'dir; havalede bunun yarısı uygulanır (m.15/3), FAST de aynı sınırlara tabidir (m.15/7).
Asıl ödeme
Test transferi (1 TL, mobil EFT)
Koruma primi
50.000 TL
7,97 TL
%0,016
250.000 TL
7,97 TL
%0,0032
1.000.000 TL
7,97 TL
%0,0008
250.000 TL'lik bir ödemede bu, yüz binde üçtür. Yeni hesap sizinle aynı bankadaysa işlem havale sayılır ve azami ücret yarıya iner: 3,99 TL (Tebliğ m.15/3). Adımın takvime sığması için ödeme vadenizi bir gün paylı kurgulayın.
"Yüklenicinin banka hesap bilgileri yalnızca yetkili imzayı taşıyan yazılı bildirim ve sözleşmede kayıtlı telefondan yapılacak teyit ile değiştirilebilir; aksi hâlde yapılan ödemeler geçerli ifa sayılmaz. Bildirim, Türk Ticaret Kanunu m.18/3'te sayılan usullerden biriyle yapılır. Taraflar, imza anında geçerli hesap bilgilerini ve teyit telefon numarasını sözleşme ekinde beyan eder; ekteki bilgiler aynı usulle değiştirilmedikçe geçerlidir."
Yanına tek sayfalık bir tutanak koyun; alanlar doldurulmadan ödeme talimatı verilmez.
Alan
İçerik
Talebin geldiği kanal / tarih / saat
Gönderen e-posta adresi (harf harf yazılacak)
Aranan kayıtlı numara / görüşülen kişi / saat
Eski IBAN son 4 hane / yeni IBAN (tam) / unvanı
Test transferi tarihi, tutarı, doğrulama kodu
"Geldi" teyidi: kim, hangi numaradan, saat kaçta
Islak imzalı yazı / evrak no
Talep eden imza — onaylayan (farklı kişi) imza
e-Fatura ve unvan sorgusuyla nasıl çapraz kontrol yapılır?
E-postayla gelen PDF fatura değiştirilebilir; GİB altyapısı üzerinden gelen e-Fatura değiştirilemez. UBL-TR formatında satıcının IBAN'ı cac:PayeeFinancialAccount/cbc:ID alanında tutulur; kamu harcama kılavuzunda bu alan zorunlu, ticari e-Faturada da yaygın doldurulur. E-postayla gelen PDF'in IBAN'ına değil, kendi e-fatura gelen kutunuzdaki belgenin IBAN'ına bakın. e-Arşiv fatura ise ebelge.gib.gov.tr/earsivsorgula.html adresinde fatura numarası, VKN/TCKN, kuruşuyla tutar ve güvenlik koduyla üyeliksiz doğrulanır — teslim ve kabul tutanağı ile fatura itirazı zincirinin doğal parçası.
Unvan sorgusu nerede yapılır? KKB'nin IBAN Doğrulama Hizmeti IBAN sahibinin unvanını maskeli gösterir, ama KKB üyesi kurumlara sunulur; şirketler doğrudan erişemez. Ekranda maskeli alıcı adı çıkıyorsa harf harf karşılaştırın; çıkmıyorsa bu koruma sizde yok demektir.
Para gittiyse ilk saatlerde ne yapılır?
İlk hedef ödemeyi iptal ettirmek değil, fonu alıcı hesapta yakalatmaktır. FBI'ın müdahale ekibi 2025'te 3.900 vakada 1.163.919.846 dolarlık transferin 679.013.183 dolarını dondurabildi (%58). Kurtarılabilen para, saatler içinde bildirilen paradır.
Zaman
Eylem
Dayanak
T+0–15 dk
Bankanızın kurumsal hattı: işlem referansı, tutar ve alıcı IBAN'ı verip fonun geri çağrılmasını sözlü ve yazılı isteyin
Yönetmelik m.69/2: gönderenin sağlayıcısı fonu geri almak için gereken işlemleri yapar
T+15–60 dk
Alıcının bankasına doğrudan bildirim; suç duyurusu dilekçesini hazırlamaya başlayın
Askı yetkisi alıcı hesabın bankasındadır; makul şüphe hâlinde 48 saate kadar askıya alabilir (CMK m.128/A)
İlk 24 saat
Cumhuriyet Başsavcılığına suç duyurusu: TCK m.158/1-f, kutuya sızma bakımından TCK m.244
m.158/1-f, CMK m.128/A katalog suçudur
İlk 24 saat
Ödeme talimatı, e-posta başlıklarının ham çıktısı, tutanak ve dekontu saklayın
Delil bütünlüğü
24–72 saat
Kişisel veri içeren yazışma sızdıysa veri ihlali bildirimi
Kurul kararı 2019/10 (24.01.2019): azami 72 saat
İlk hafta
Bankadan yazılı bilgi ve belge talebi
Yönetmelik m.69/4
Site yönetiminde
Karar defterine dayanak yazımı: olay, tedbir, başvurular
634 sayılı Kat Mülkiyeti Kanunu m.32 ve m.36; yönetici m.38 uyarınca kat maliklerine karşı aynen bir vekil gibi sorumludur
25 Aralık 2025'te yürürlüğe giren CMK m.128/A'nın süreleri sıkı: savcı, askının kaldırılması başvurusunu 24 saat içinde karara bağlar; banka istenen bilgi ve belgeyi 10 gün içinde göndermezse 50.000–300.000 TL idari para cezası verilir (Ağustos 2026 itibarıyla; tutarlar her yıl yeniden değerleme oranında artar). Maddenin beşinci fıkrası, elkonulan menfaatin suçtan zarar gören mağdura ait olduğu anlaşılırsa soruşturma evresinde sahibine iade edilmesine imkân tanır. Ceza yolu dışında para kendiliğinden dönmez; alıcı iadeye yanaşmazsa Türk Borçlar Kanunu m.77 ve devamındaki sebepsiz zenginleşme hükümlerine dayanan dava gerekir — bu aşamada avukatınızla çalışın.
ELMAP'ta tedarikçi iletişimi nasıl kayda geçer?
ELMAP bir ödeme aracısı değildir; banka hesabı tutmaz, para transferi yapmaz. Yaptığı şey dar ve tam bu senaryoya değer: alım talebi yayımlandığında teklif veren firmanın unvanı, vergi numarası ve iletişim bilgisi teklifle birlikte kayda geçer; sonradan gelen hiçbir e-posta o kaydı değiştirmez. Kapalı Teklif kullandığınızda zarflar kendiliğinden açılmaz; süre dolunca talep sahibi tek seferlik, kayıtlı işlemle açar.
Sık Sorulan Sorular
Tedarikçi IBAN değişti, ödeme yapmadan önce nasıl doğrularım?
Ödemeyi durdurun. Doğrulama e-postayla değil telefonla yapılır ve numarayı e-postadan değil sözleşmenin imza sayfasından okursunuz. Unvan sorgusu ve 1–10 TL'lik kodlu test transferi bittikten sonra ödemeyi ikinci bir imzaya bağlayın; hesap değişikliğini ıslak imzalı yazıyla dosyalamadan asıl ödemeyi yapmayın.
Yanlış hesaba para gönderdik, banka geri alabilir mi?
Kendiliğinden alamaz. Ödeme emri bankaya ulaştıktan sonra geri dönülemez (Yönetmelik m.64) ve bankaların alıcının rızası olmadan hesaptan para çekme yetkisi yoktur. İki yol kalır: CMK m.128/A kapsamında askıya almayla ilerleyen savcılık süreci ve sebepsiz zenginleşme davası. İkisi de saat kaybına duyarlıdır.
Sahte tedarikçi e-postası nasıl anlaşılır?
Gönderen adresini harf harf okuyun; "rn" ile "m", "vv" ile "w" gibi bitişik harf oyunları ve ".com.tr" yerine ".com" uzantısı en sık kullanılan numaralardır. Ham başlıklara bakıp cevap adresinin (Reply-To) gönderenden farklı olup olmadığını kontrol edin. Yine de tek başına buna güvenmeyin; gerçek hesap ele geçirildiyse adres kusursuz görünür.
Banka, IBAN ile firma unvanı uyuşmuyorsa işlemi durdurur mu?
Hayır. IBAN'a uygun yapılan ödeme doğru gerçekleştirilmiş sayılır (Yönetmelik m.69/1) ve Yargıtay Hukuk Genel Kurulu bankanın IBAN–isim eşleştirme yükümlülüğü bulunmadığına karar vermiştir (K. 2021/144). Ekranınızda maskeli alıcı adı çıkıyorsa bu ek bir imkândır, yasal güvence değildir.
Fatura e-postamız ele geçirildi, ne yapmalıyız?
İlgili hesapların şifresini değiştirip iki adımlı doğrulamayı açın ve posta kutusundaki yönlendirme kurallarını tek tek inceleyin — saldırganlar genellikle kendi adreslerine sessiz yönlendirme bırakır. Yazışmalarda kişisel veri varsa Kişisel Verileri Koruma Kuruluna azami 72 saat içinde veri ihlali bildirimi yapın (Kurul kararı 2019/10). Tedarikçilerinizi telefonla uyarın.
Kısaca
Hesap değişikliği e-postası, ilişkinizin en zayıf noktasına — mesajın kimliğine — nişan alır. Mevzuat sizi burada korumaz: IBAN doğruysa ödeme doğru sayılır, emir bankaya ulaştıysa geri dönmez. Altı adımı sözleşmeye ve tutanağa bağlamanın maliyeti bir telefon görüşmesi ile 7,97 TL'dir.
Tedarikçinizi seçtiğiniz yerde iletişim bilgisi de kayıt altında olsun. ELMAP'ta alım talebi yayımlarsınız; teklifler firma unvanı ve iletişim bilgisiyle birlikte kayda geçer. Aylar sonra gelen bir "hesabımız değişti" mesajını gelen kutunuzla değil, ilk teklifin kendisiyle karşılaştırırsınız. Lansman döneminde tamamen ücretsiz. Alım talebi oluştur · Tedarikçiyseniz açık alım taleplerini görüntüleyin.
