Telefon numarası artık yalnızca iletişim kurmaya yarayan basit bir bilgi değil. Bankacılıktan sosyal medya hesaplarına kadar dijital hayatın birçok noktasında kullanılan numaralar, dolandırıcıların hedefli saldırılarında önemli bir başlangıç noktasına dönüşebiliyor. Üstelik ekranda bankanızın, bir kurumun veya tanıdığınız kişinin numarasını görmeniz bile aramanın gerçekten oradan geldiğini kanıtlamıyor.
Telefonunuza bir mesaj geliyor: “Paketiniz teslim edilemedi.” Birkaç saat sonra başka bir numara arıyor ve kendisini banka çalışanı olarak tanıtıyor. İsminizi biliyor, hesabınızda şüpheli işlem olduğunu söylüyor ve işlemin iptal edilmesi için hızlı hareket etmeniz gerektiğini belirtiyor. İlk bakışta birbirinden bağımsız görünen bu olaylar, günümüzde kullanılan dijital dolandırıcılık yöntemlerinin tipik parçalarından biri olabiliyor. Dolandırıcıların en büyük avantajlarından biri artık yalnızca teknoloji değil. İnsanların günlük hayatta farklı platformlarda bıraktıkları bilgilerin bir araya getirilebilmesi, saldırıların kişiye özel ve çok daha inandırıcı hale gelmesine yol açıyor.
Telefon numarası neden önemli hale geldi?
Akıllı telefonların hayatın merkezine yerleşmesiyle birlikte telefon numarasının işlevi de değişti. Bir dönem yalnızca arama yapmak için kullanılan numaralar bugün banka hesapları, e-posta servisleri, sosyal medya platformları, alışveriş siteleri ve mesajlaşma uygulamalarıyla ilişkilendirilebiliyor. Bazı hizmetlerde telefon numarası hesap kurtarmak veya kimliği doğrulamak için de kullanılıyor. Dolayısıyla telefon numarası, kötü niyetli kişiler açısından tek başına değerli olmasının yanı sıra başka bilgilerle eşleştirilebilecek bir veri haline geliyor.
Peki numaranızı nereden buluyorlar?
Bunun tek bir cevabı bulunmuyor. İnternette yapılan hemen her işlem yeni bir dijital iz bırakabiliyor. Yıllar önce açılan bir üyelik, internet alışverişi sırasında doldurulan form, kampanya başvurusu veya çevrimiçi hizmet için verilen iletişim bilgileri farklı sistemlerde saklanabiliyor. Bu sistemlerden birinde veri ihlali meydana gelmesi halinde kullanıcı bilgileri yetkisiz kişilerin eline geçebiliyor. Ancak istenmeyen her aramanın arkasında mutlaka veri sızıntısı bulunması da gerekmiyor. Otomatik arama sistemleri ve toplu mesaj gönderimleri çok sayıda telefon numarasını aynı anda hedefleyebiliyor. Bu nedenle “Ben numaramı kimseye vermedim” demek tek başına yeterli koruma sağlamıyor.
Dolandırıcının sizi tanıması güvenilir olduğu anlamına gelmiyor
Asıl risk telefon numarasının başka bilgilerle birleştiği noktada ortaya çıkıyor. Bir dolandırıcının isminizi, e-posta adresinizi, çalıştığınız şirketi veya kullandığınız bazı hizmetleri bilmesi görüşmenin güvenilir görünmesini sağlayabilir. Ancak bu bilgiler saldırganın gerçekten banka, kamu kurumu veya başka bir şirket adına hareket ettiğini göstermiyor. FTC de dolandırıcıların güven kazanmak amacıyla insanların tanıdığı kurumları veya kişileri taklit edebildiğine dikkat çekiyor. Buradaki kritik nokta, dolandırıcının sizin hakkınızda ne bildiğinden çok kimliğini bağımsız olarak doğrulayıp doğrulayamadığınız.
Ekranda bankanızın numarası çıkarsa ne olacak?
Telefon dolandırıcılığındaki en tehlikeli yanılgılardan biri burada başlıyor. “Numara doğruysa arayan da gerçektir.” Artık bu çıkarımı yapmak güvenli değil. Arayan kimliği sahteciliği olarak bilinen yöntemlerle telefon ekranında farklı bir numaranın veya kurum adının görünmesi sağlanabiliyor. FTC, dolandırıcıların bu yöntemle aramayı yerel bir numaradan, bilinen bir şirketten veya resmi bir kurumdan geliyormuş gibi gösterebildiğini belirtiyor. Hatta “neighbor spoofing” olarak adlandırılan yöntemde, kişinin kendi telefon numarasına benzeyen rakamlar kullanılarak aramanın yakın çevreden geldiği izlenimi oluşturulabiliyor. Bu nedenle ekranda tanıdık bir numaranın görünmesi tek başına güven işareti sayılmamalı.
Dolandırıcının en büyük silahı teknoloji değil, panik
Birçok dolandırıcılık girişiminde senaryo değişse de kullanılan psikolojik yöntem benzer. Kurbanın düşünmek için zamanı olmaması isteniyor. “Hesabınızdan para çekiliyor.” “Kargonuz iade edilecek.” “Telefonunuz ele geçirildi.” “Yakınınızın acil paraya ihtiyacı var.” “Bu işlemi hemen onaylamanız gerekiyor.” Bu tür ifadelerin ortak noktası kişiyi hızlı karar vermeye zorlamaları. FTC’nin telefon dolandırıcılıklarına ilişkin uyarılarında da saldırganların korkutma, tehdit veya aciliyet duygusu oluşturarak insanların para ya da kişisel bilgilerini almaya çalışabildiği belirtiliyor. Dolandırıcılık girişiminin başarısı çoğu zaman kullanılan teknolojiden çok, kurbanın doğrulama yapmadan harekete geçmesine bağlı.
Bir mesajla başlayan tuzak
Telefon numarasının kullanıldığı saldırılar yalnızca aramalarla sınırlı değil. Beklenmedik bir SMS içerisinde bulunan bağlantı, kullanıcıyı gerçek bir şirketin internet sitesine benzeyen sahte bir sayfaya götürebilir. Kargo teslimatı, banka işlemi, ödeme sorunu veya hesap güvenliği gibi gerekçeler bu mesajlarda kullanılabiliyor. Kullanıcı sahte sayfaya parola, kart bilgisi veya başka kişisel verilerini girdiğinde bilgileri doğrudan saldırganlara teslim etmiş olabilir. FTC, beklenmedik mesajlarda bulunan bağlantılara tıklanmamasını ve şüpheli durumlarda ilgili kurumla kullanıcının kendisinin doğruladığı iletişim kanalları üzerinden bağlantı kurulmasını öneriyor.
Telefon numarasından hesabınıza uzanan tehlike
Telefon numarasının güvenlik açısından önemli olmasının bir başka nedeni de doğrulama sistemleri. Birçok dijital hizmet kullanıcıların kimliğini doğrulamak için SMS yoluyla gönderilen tek kullanımlık kodlardan yararlanıyor. Ancak SMS tabanlı doğrulamanın da riskleri bulunuyor. CISA’nın çok faktörlü kimlik doğrulamaya ilişkin rehberinde SMS veya sesli arama yoluyla gerçekleştirilen doğrulamanın phishing, SS7 ve SIM değiştirme saldırılarına karşı daha savunmasız olduğu belirtiliyor. Kurum, phishing’e dayanıklı MFA yöntemlerini daha güçlü seçenekler arasında gösteriyor.
Telefonunuz aniden şebekeden düşerse dikkat
SIM değiştirme saldırılarında hedef, telefon numarasının kontrolünü ele geçirmek. Saldırganlar farklı sosyal mühendislik yöntemleriyle mobil operatör nezdinde kendilerini gerçek kullanıcı gibi göstermeye çalışabilir. Başarılı bir saldırı sonucunda numara başka bir SIM karta aktarılabilir. Böyle bir durumda gerçek kullanıcının telefonu beklenmedik şekilde mobil şebeke bağlantısını kaybedebilir. Numaranın kontrolünün saldırgana geçmesi, özellikle SMS doğrulamasına dayanan hesaplarda ek risk oluşturabilir. Bu nedenle telefon hattının açıklanamayan şekilde servis dışı kalması ve aynı dönemde hesaplarda olağan dışı hareket görülmesi durumunda mobil operatör ve ilgili hizmet sağlayıcılarla hızlı şekilde iletişime geçmek önem taşıyor.
Dolandırıcı sadece sizi değil çevrenizi de hedefleyebilir
Bir telefon numarasının kötüye kullanılması yalnızca numara sahibini ilgilendirmiyor. Saldırganlar kişinin kimliğini taklit ederek aile üyelerine, arkadaşlarına veya iş arkadaşlarına ulaşmaya çalışabilir. Özellikle şirketlerde bu durum daha büyük mali risk oluşturabiliyor. Bir yönetici gibi davranılarak muhasebe çalışanından ödeme yapılması veya hassas bir belgenin gönderilmesi istenebilir. Talebin acil ve gizli olduğu söylenerek çalışanın başka bir kişiden doğrulama yapması engellenmeye çalışılabilir. Bu nedenle alışılmış prosedürlerin dışında gelen para transferi veya bilgi taleplerinin ikinci bir iletişim kanalı üzerinden doğrulanması önemli.
SMS doğrulaması yerine daha güçlü seçenekler kullanılabilir
Kullanıcıların alabileceği en etkili önlemlerden biri hesap güvenliğini yalnızca telefon numarasına bağlamamak. CISA, güvenlik anahtarları ve phishing’e dayanıklı kimlik doğrulama yöntemlerini daha güçlü seçenekler arasında değerlendirirken SMS veya e-posta ile gönderilen kodların daha zayıf koruma sağladığını belirtiyor. Her hizmet aynı güvenlik seçeneklerini sunmasa da kullanıcıların mümkün olan hesaplarda daha güçlü çok faktörlü doğrulama yöntemlerini tercih etmesi riski azaltabilir.
Şüpheli bir arama geldiğinde ne yapılmalı?
En basit kural aynı zamanda en etkili kurallardan biri: Arayan kişinin size verdiği telefon numarasından doğrulama yapmayın. Örneğin kendisini banka çalışanı olarak tanıtan kişi şüpheli bir işlem bulunduğunu söylüyorsa görüşmeyi sonlandırıp bankanın resmi uygulamasında, kartında veya resmi internet sitesinde yer alan iletişim kanalını kullanmak daha güvenli. FTC de beklenmedik şekilde iletişim kurarak para veya kişisel bilgi isteyen kişilere karşı, kurumun veya kişinin güvenilir olduğu bilinen iletişim bilgilerinin bağımsız şekilde bulunarak doğrulama yapılmasını tavsiye ediyor.
Telefon numaranızı değiştirmek zorunda mısınız?
Sırf istenmeyen aramalar geliyor diye numarayı değiştirmek çoğu durumda ilk çözüm olmak zorunda değil. Bunun yerine telefon numarasının internette gereksiz yere açık tutulmaması, kullanılmayan hesapların gözden geçirilmesi, bilinmeyen mesajlardaki bağlantılara tıklanmaması ve hesaplarda güçlü doğrulama yöntemlerinin kullanılması daha sistematik bir güvenlik yaklaşımı sağlayabilir. İstenmeyen aramaları engelleyen veya şüpheli olarak işaretleyen telefon ve operatör özellikleri de kullanılabilir. FTC, çağrı engelleme ve etiketleme teknolojilerinin istenmeyen aramaların azaltılmasında kullanılabileceğini belirtiyor. Ancak hiçbir filtre tüm dolandırıcılık girişimlerini yakalayamayabilir.
Asıl güvenlik kuralı değişti
Dijital dolandırıcılık yöntemleri geliştikçe yıllardır kullanılan bazı güven alışkanlıklarının da değişmesi gerekiyor. Telefon ekranında tanıdığınız bir numaranın görünmesi güvenilirlik kanıtı değil. Arayan kişinin adınızı bilmesi güvenilirlik kanıtı değil. Hangi bankayı kullandığınızı bilmesi de güvenilirlik kanıtı değil. Çünkü farklı kaynaklardan elde edilen gerçek bilgiler, sahte bir hikâyeyi daha inandırıcı göstermek için kullanılabiliyor. Bu nedenle dijital dünyada sorulması gereken soru artık “Bu kişi benim hakkımda bu kadar şeyi nereden biliyor?” değil.
Asıl soru şu:
“Karşımdaki kişinin gerçekten söylediği kişi veya kurum olduğunu, onun verdiği bilgilerden bağımsız şekilde doğrulayabiliyor muyum?” Bu sorunun cevabı hayırsa, telefonda görünen isim veya numara ne kadar tanıdık olursa olsun işlemi durdurmak en güvenli seçenek.
