21 Ocak 2026’da DOJ, TD Bank New Jersey şubesi çalışanı Oscar Marcel Nunez-Flores’ın suçlamaları kabul ettiğini duyurdu. Nunez, Kolombiyalı kara para aklama şebekesine banka içinden erişim sağlamış, karşılığında hesap başına 500 ila 2.500 dolar nakit almıştı.

Toplam hareket: 26 milyon dolar. Kolombiya genelinde 120.000’den fazla ATM çekimi. Tamamı TD Bank hesaplarından.

Bu dava tek başına değerlendirilemez. TD Bank, Ekim 2024’te kara para aklamaya iştirak suçundan tarihi bir kurumsal cezayla yüzleşmişti: 3,09 milyar dolar. Nunez davası, o kurumsal çöküşün bireysel boyutunu gözler önüne seriyor.

Şema Nasıl Kuruldu?

Mart 2021’de başlıyor. Nunez, Scotch Plains şubesinde banka çalışanı. 34 yaşında. Yetkisi olan herşey elinin altında: hesap açma, kart ihracı, şirket kaydı.

Adım 1 — Shell company üretimi: Nunez, New Jersey eyaletinde sahte şirketler kuruyor. Şirket başına 500-2.500 dolar alıyor. Ödeme nakit veya peer-to-peer dijital transferle.

Adım 2 — Hesap açma: Bu sahte şirketler adına TD Bank’ta hesaplar açıyor. Müşteri fiziksel olarak şubede yok. Nominatif hesap sahipleri kullanılıyor — bazı durumlarda 77 yaşında bir Kolombiyalı kadının pasaport fotokopisi emaile gelmiş, o kişi hesabın “sahibi” yapılmış. Hesapta o kişinin imzası yok, bilgisi yok.

Adım 3 — Kart fabrikası: Hesaplara 600’den fazla banka kartı tanımlıyor. Büyük çoğunluğunu bizzat kendisi ihraç ediyor. Kartlar, hesap sahibi olmayan kişilerin isimleriyle — şirketteki “hayali çalışanlar” — basılıyor. Bir kısmı doğrudan Kolombiya’daki ortağa kargola-nıyor.

Adım 4 — Nakde çevirme: Kolombiya genelinde 120.000’in üzerinde ATM çekimi. Günlük limit aşılmasın diye her kart ayrı çalıştırılıyor. Fonlar hızla nakit formuyla Kolombiyalı ağa taşınıyor.

Şema Mart 2021’den Ekim 2023’e kadar — yaklaşık iki buçuk yıl — kesintisiz çalıştı.

Yakalanması

Davada tutuklanma detayı açıkça yer almıyor. Ancak soruşturma üçlü bir ajans ortaklığıyla yürütüldü: DEA, IRS Criminal Investigation ve FDIC-OIG. DEA’nın dahil olması şemanın uyuşturucu geliriyle ilişkilendirildiğine işaret ediyor — Kolombiya odağı bu bağlamda anlam kazanıyor.

Nunez, Ekim 2023’te tutuklandı. İki buçuk yıllık şema, kurumsal tespit mekanizmalarıyla değil — dışarıdan gelen istihbarat veya ihbarla çözüldüğü anlaşılıyor.

TD Bank Bağlamı: Bu Tek Kişilik Bir Vaka Değil

Nunez davası izole bir olay gibi görünse de arka plan çok daha kaygı verici.

Ocak 2026’da, Nunez’in suçlamaları kabul ettiği hafta, başka bir TD Bank çalışanı Wilfredo Aquino da aynı mahkemede suçlamaları kabul etti. Aquino, Sze isimli organizasyona bağlı ağa banka içinden erişim sağlamıştı. Bu ağ TD Bank üzerinden 474 milyon dolar hareket ettirmişti.

İki ayrı çalışan. İki ayrı ağ. Aynı dönem. Aynı banka.

Ve bunların hepsi, TD Bank’ın 2024’te DOJ’a açıkladığı kurumsal çöküşün parçaları: Bankanın kendi iç denetimi bu şemaları tespit etmemişti. DOJ soruşturması başladığında TD Bank’ın bazı şubelerinde çalışanların örgütlü suç ağları için hesap açmak üzere organize bir şekilde işe alındığı belirlenmişti.

OCC şu anda TD Bank’a 434 milyar dolarlık aktif tavanı uyguluyor. Kaldırılması için AML programının denetim onayı alması gerekiyor.

Kontrol Açıkları: Ne Çalışmadı?

Bu şemada devre dışı kalan kontrol noktaları son derece temel:

Müşteri hazır bulunma zorunluluğu: Hesap açılışında müşterinin fiziksel olarak şubede bulunması gereken prosedür uygulanmadı. Nunez, onlarca hesabı tek başına, müşterisiz açtı.

Kart ihracı limiti ve izleme: Tek bir hesaba onlarca kart tanımlanması — üstelik hesap sahibi olmayan kişiler adına — tetikleyici olmalıydı. Tetiklemedi.

Şüpheli işlem izleme: 120.000 ATM çekimi, yüzlerce kart, onlarca shell company — Kolombiya’ya doğru sistematik nakit akışı. İki buçuk yıl boyunca SAR üretilmedi ya da üretilen SAR’lar aksiyon doğurmadı.

İçeriden tehdit tespiti: Çalışanın peer-to-peer dijital ağ üzerinden düzenli olarak ödeme aldığı görünüyor. Bunun çalışan davranış analizi sistemleriyle erken aşamada tespit edilmesi gerekiyordu.

Türkiye Bağlamı

Bu dava, Türk bankaları için birkaç kritik mesaj taşıyor.

Uluslararası ATM çekim ağları. Kolombiya özelinde gelişen bu model — ABD merkezli hesaplar, yurt dışı ATM ağı — farklı coğrafyalarda uyarlanabilir bir yapı. Türkiye’nin hem bankalı hem fintekh ekosistemin gelişmişliği, benzer sızma girişimleri için cazip bir hedef oluşturuyor.

İçeriden tehdit ve üç hat modeli. TD Bank davası, birinci hattın —şube çalışanlarının— suç organizasyonları tarafından kasıtlı olarak hedef alındığını ve işe alındığını gösteriyor. Türkiye’de içeriden tehdit modellemesi AML ve fraud programlarında henüz yeterince olgunlaşmamış bir alan.

Peer-to-peer ödeme kanalları. Nunez’e yapılan rüşvet ödemeleri kısmen P2P dijital ağlarla gerçekleşti. Bu kanal, çalışan davranış izlemesinde göz ardı edilen bir kör noktaya dönüşebilir.

Sonuç

Nunez davası, AML programlarında sık kullanılan bir varsayımı sarsıyor: kontroller mevcutsa, sistemler çalışıyordur.

Çalışmıyordu. Çünkü kontrolleri bilmesi gereken kişi, kontrolleri kasıtlı olarak devre dışı bırakıyordu.

İki buçuk yıl boyunca 600 kart ihraç edildi, 120.000 ATM çekimi yapıldı ve 26 milyon dolar Kolombiya’ya taşındı. Bankanın kendi AML sistemi bunu durdurmadı.

Asıl mesaj şu: Birinci hat savunma hattı değil, saldırı hattına dönüşebilir. Program tasarımı bu varsayım üzerine inşa edilmek zorunda.