Günümüzde siber dolandırıcılar, resmi kurumların adını ve SMS başlıklarını taklit ederek kullanıcıları tuzağa düşürüyor. Bankanızdan gelmiş gibi görünen bir mesajın sahte olup olmadığını anlamanın, paranızı ve kişisel verilerinizi korumanın yollarını teknik detaylarıyla inceliyoruz.
Gelişen siber güvenlik önlemlerine rağmen dolandırıcıların en sık kullandığı ve en yüksek başarı oranına ulaştığı yöntemlerin başında ‘SMS oltalaması’ geliyor. Telefonunuza düşen bir mesaj; hesabınızın bloke olduğunu, adınıza usulsüz işlem yapıldığını ya da kart aidatınızın iade edileceğini iddia edebilir.
Peki, ekranınızda resmi banka adı yazsa bile o mesajın arkasındaki tehlikeyi nasıl tespit edebilirsiniz? İşte siber güvenlik uzmanlarının onayladığı, sahte banka SMS’lerini tespit etme rehberi.
Başlığa aldanmayın: “Başlık sahteciliği” nedir?
Pek çok kullanıcı, gelen SMS’in gönderen kısmında “ZİRAAT”, “GARANTİ” veya “İŞ BANKASI” gibi ifadeler gördüğünde mesajın %100 güvenilir olduğunu varsayar. Bu en büyük yanılgıdır.
Siber saldırganlar, kaçak SMS panelleri ve alfa sayısal başlık hileleri kullanarak mesajın gönderici adını istedikleri gibi düzenleyebilirler. Hatta akıllı telefonların işletim sistemleri, aynı başlıktan gelen mesajları otomatik olarak grupladığı için dolandırıcının attığı sahte SMS, bankanızdan daha önce gelen gerçek doğrulama kodlarının tam altına düşebilir.
- B-Kodu kontrolü yapın: Bilgi Teknolojileri ve İletişim Kurumu düzenlemelerine göre Türkiye’deki kurumların attığı toplu SMS’lerin en sonunda
B001,B002,B018gibi 4 haneli bir operatör kodu bulunmak zorundadır. Mesajın sonunda herhangi bir B-Kodu yoksa ya da bilinmeyen bir kod yer alıyorsa o mesaj şüphelidir.
Bağlantı adresini inceleyin: Domain hilelerine dikkat
Sahte SMS’lerin temel amacı sizi sahte bir banka giriş sayfasına yönlendirerek şifrelerinizi çalmaktır. Bu nedenle mesaj içerisindeki linke asla doğrudan tıklamayın; tıklasanız bile adresi mutlaka analiz edin.
- Kısaltılmış linkler: Bankalar müşteri bilgilendirmelerinde bit.ly, tinyurl, t.co, is.gd gibi anonim link kısaltma servislerini asla kullanmaz.
- Şüpheli uzantılar: Resmi banka siteleri .com veya .com.tr uzantılıdır. Mesajdaki link .site, .online, .top, .xyz gibi ucuz ve anonim uzantılar taşıyorsa kesinlikle sahtedir.
- Tire ve alt domain oyunları: Dolandırıcılar, orijinal banka isminin yanına kelimeler ekler. Örneğin akbank.com yerine; akbank-onay-islemleri.com veya garanti.kredi-iade.net gibi alan adları bankaya değil, saldırgana aittir.
Psikolojik manipülasyon: Aciliyet ve ödül tuzakları
Smishing saldırıları mantığa değil, duygulara hitap eder. Kurbanın sağlıklı düşünmesini engellemek için iki temel his tetiklenir: Korku ve açgözlülük.
- Korku senaryoları: “Hesabınızdan 15.000 TL transfer işlemi başlatıldı. Siz yapmadıysanız iptal etmek için derhal tıklayın”, “Hesabınız 2 saat içinde kısıtlanacaktır” gibi panik yaratıcı ifadeler sıklıkla kullanılır.
- Ödül ve iade senaryoları: “Geçmiş döneme ait 4.500 TL kart aidatınız hesabınıza tanımlandı, almak için tıklayın”, “Tebrikler, 10.000 chip-para kazandınız” gibi vaatler dolandırıcılık belirtisidir. Bankalar ödeme veya aidat iadelerini müşteriye link tıklatarak kart bilgisi toplama yoluyla yapmaz.
İstenen bilgilerin niteliği: Çizgiyi nerede çekmelisiniz?
Bir anlık dalgınlıkla linke tıkladınız ve karşınızda bankanızın birebir aynısı olan bir web sitesi açıldı. Bu aşamada tuzağı anlamanızı sağlayacak son güvenlik duvarı istenilen bilgilerdir:
- Hiçbir banka, sizden mobil şifrenizi güncellemeniz gerekçesiyle kredi kartı CVV kodunu (arkadaki 3 hane) ve kart son kullanma tarihini talep etmez.
- SMS ile gelen Tek Kullanımlık Onay Kodunu (OTP) giriş ekranına yazmanızı isteyen ancak ekranında “Transfer Onayı” veya “Alışveriş Onayı” yazan sayfalar doğrudan paranızı çalmayı hedefler. Banka çalışanları dahil kimse sizden bu onay şifrelerini isteyemez.
Sahte mesaj alındığında ne yapılmalı?
- Hiçbir bağlantıya tıklamayın: Mesajdaki linke basmak, arka planda zararlı yazılım indirilmesini dahi tetikleyebilir.
- Resmi uygulamayı kullanın: Hesabınızda gerçekten bir sorun olup olmadığını anlamak için mesajdaki linki değil, telefonunuzda yüklü olan resmi mobil bankacılık uygulamasını açın.
- Müşteri hizmetlerini arayın: Şüphelendiğiniz durumu teyit etmek için mesajdaki numarayı değil, bankanızın resmi web sitesinde yer alan çağrı merkezini arayın.
- Numarayı engelleyin ve bildirin: Şüpheli mesajı E-Devlet üzerinden Ticari Elektronik İleti Şikayet Sistemi’ne veya BTK’ya bildirin.
