SMS ve WhatsApp Dolandırıcılığı: Sahte Kargo, Banka ve Ödül Mesajlarını Tanıma

Telefonuna bir mesaj gelir: "Kargonuz adres bilgisi eksik olduğu için teslim edilemedi. Bilgilerinizi güncellemek için tıklayın." Gerçekten bir sipariş bekliyorsan bu mesaj son derece inandırıcıdır. Bağlantıya tıklarsın, gerçek kargo şirketinin sitesine çok benzeyen bir sayfa açılır ve senden küçük bir "teslimat ücreti" için kart bilgilerini girmen istenir.

Bu yöntemin adı smishing (SMS + phishing), yani SMS yoluyla kimlik avıdır. Aynı tuzaklar WhatsApp, Telegram, e-posta ve sosyal medya mesajlarıyla da kurulur. Bu rehberde en yaygın senaryoları, sahte mesajları ve siteleri tanımanın yollarını ve bir bağlantıya tıkladıysan yapman gerekenleri anlatıyoruz.

En yaygın sahte mesaj türleri

Sahte kargo ve gümrük mesajları

"Paketiniz gümrükte bekliyor, vergi ödemeniz gerekiyor", "Teslimat başarısız, adresinizi güncelleyin." Özellikle alışveriş yoğunluğunun arttığı dönemlerde çok yaygındır.

Sahte banka mesajları

"Hesabınız güvenlik nedeniyle askıya alındı", "Kartınızla şüpheli bir işlem yapıldı, iptal etmek için tıklayın", "Bonus puanlarınız sona eriyor."

Sahte kamu kurumu mesajları

e-Devlet, vergi iadesi, trafik cezası, HGS/OGS borcu, SGK ya da destek ödemesi gibi konularda sahte mesajlar. "Adınıza 2.450 TL vergi iadesi tanımlandı, almak için tıklayın."

Ödül ve çekiliş mesajları

"Tebrikler! Çekilişimizde iPhone kazandınız, sadece kargo ücretini ödeyin." Kazandığını bilmediğin bir yarışmanın ödülü olmaz.

Sahte iş ve kolay kazanç teklifleri

"Evden çalışarak günlük 1.500 TL kazanın", "Sadece ürünleri beğenerek para kazanın." Bu teklifler genellikle önce küçük ödemelerle güven kazanır, sonra "görev" için para yatırmanı ister.

Tanıdık gibi görünen mesajlar

"Anne, telefonum bozuldu, bu yeni numaram. Acil bir ödeme yapmam lazım, sonra anlatırım." Bu senaryoda dolandırıcı, bir yakınının kimliğine bürünür.

WhatsApp hesap çalma yöntemleri

WhatsApp hesapları, dolandırıcılar için değerlidir: Ele geçirilen hesaptan rehberdeki herkese para isteyen mesajlar gönderilebilir.

• Doğrulama kodu tuzağı: "Yanlışlıkla sana 6 haneli bir kod gönderdim, bana iletir misin?" Bu kod aslında senin WhatsApp hesabının başka bir telefona kurulması için gönderilen doğrulama kodudur. Mesaj çoğu zaman zaten ele geçirilmiş bir arkadaşının hesabından gelir.
• Sahte destek mesajları: "WhatsApp Destek: Hesabınız kapatılacak, doğrulamak için kodu paylaşın." WhatsApp sana bu şekilde yazmaz.
• Sahte anket ve çekiliş bağlantıları: Grup sohbetlerinde paylaşılan, giriş bilgisi isteyen bağlantılar.

Sahte mesajı tanımanın 8 yolu

1. Aciliyet ve tehdit: "24 saat içinde", "hesabınız kapatılacak", "son gün." Gerçek kurumlar seni bu kadar acele ettirmez.
2. Beklenmedik bir kazanç ya da borç: Bilmediğin bir ödül, iade ya da ceza.
3. Bağlantı içermesi: Kurumlar ödeme ya da bilgi güncellemesi için genellikle SMS'te bağlantı göndermez; uygulamalarına ya da sitelerine girmeni ister.
4. Garip adres: Bağlantı, kurumun bilinen adresinden farklı. Örneğin bir kargo şirketi için "kargo-teslimat-tr.xyz" gibi bir adres.
5. Kişisel olmayan hitap: "Sayın müşterimiz" ya da hiç hitap olmaması.
6. Yazım ve dil hataları: Her zaman olmasa da sık görülen bir işarettir.
7. Kart bilgisi, şifre ya da onay kodu istenmesi: Bunlar asla mesajla ya da bir bağlantıdaki formla istenmez.
8. Yabancı ya da garip numara: Uluslararası numaralar ya da normal cep telefonu numaralarından gelen "kurumsal" mesajlar.

Sahte siteyi tanımanın yolları

Bir bağlantıya tıkladıysan ve bir sayfa açıldıysa, bilgi girmeden önce şunlara bak:

• Adres çubuğunu dikkatle oku. Sahte siteler gerçek adrese çok benzer: harf değişiklikleri (rn yerine m gibi), ek kelimeler ("-guvenlik", "-destek", "-odeme") ya da farklı uzantılar (.com.tr yerine .com, .xyz, .top, .online).
• Kilit simgesi yeterli değildir. Adres çubuğundaki kilit (https), sadece bağlantının şifreli olduğunu gösterir; sitenin güvenilir olduğunu değil. Sahte sitelerin de büyük çoğunluğu https kullanır.
• Gereğinden fazla bilgi isteniyorsa dikkat et. Bir kargo teslimatı için kart numarası, son kullanma tarihi, güvenlik kodu ve SMS onay kodunun birlikte istenmesi büyük bir uyarı işaretidir.
• Şüphede kalırsan siteyi kapat ve kurumun resmî uygulamasını ya da adresini kendin yazarak aç.

Altın kural: bağlantıya tıklama, kendin git

Bir kurumdan geldiğini iddia eden her mesaj için en güvenli yöntem şudur: Mesajdaki bağlantıyı kullanma. Bunun yerine:

• Bankanın resmî mobil uygulamasını aç.
• Kargo takip numarasını kargo şirketinin resmî sitesine kendin gir.
• e-Devlet'e turkiye.gov.tr adresini kendin yazarak gir.
• Şüphe duyarsan kurumu bildiğin resmî numaradan ara.

Gerçek bir sorun varsa, kurumun resmî kanalında da görürsün.

Bağlantıya tıkladıysan ne yapmalısın?

Panik yapma; adım adım hareket et:

Sadece tıkladıysan, bilgi girmediysen

• Sayfayı kapat.
• Telefonuna bilmediğin bir uygulama ya da dosya (özellikle Android'de .apk) indirildiyse açma ve sil.
• Telefonun güvenlik taramasını çalıştır.

Kart bilgisi girdiysen

• Bankanı hemen ara ve kartını kapattır.
• Kart ekstreni takip et; tanımadığın işlemlere itiraz et.

Şifre girdiysen

• O hesabın şifresini hemen değiştir.
• Aynı şifreyi kullandığın diğer hesapları da değiştir.
• İki adımlı doğrulamayı aç.

Onay kodunu paylaştıysan ya da bir uygulama yüklediysen

• Bankanı ara ve durumu anlat.
• Telefonuna yüklenen uygulamayı kaldır. Uzaktan erişim uygulaması yüklendiyse telefonu internetten ayır ve bankanla görüş.
• Gerekirse telefonu fabrika ayarlarına döndürmeyi düşün.

Her durumda

• Bildir: Sahte siteleri ve mesajları Türkiye'nin ulusal siber olaylara müdahale merkezi USOM üzerinden bildirebilirsin. Maddi kayıp varsa polise, jandarmaya ya da Cumhuriyet Başsavcılığı'na başvur.
• Kanıtları sakla: Mesajın ekran görüntüsünü, gönderen numarayı ve sitenin adresini kaydet.

Çocuklar ve gençler için

Çocuklar da bu tuzakların hedefidir: bedava oyun parası, ücretsiz abonelik, sahte çekilişler. Çocuklara şunu öğret: "Bedava bir şey vaat eden ve senden bilgi ya da şifre isteyen her mesaj bir tuzaktır. Tıklamadan önce bana göster." Bu konuda online oyun güvenliği yazımızda daha fazla bilgi bulabilirsin.

Koriva nasıl yardımcı olur?

Koriva'nın bağlantı kontrolü ve web filtresi, bilinen kimlik avı sitelerini engeller; aile isterse yetişkin ve kumar sitelerini de engelleyebilir. Bu koruma Android ve iPhone'da çalışır. Web filtresi yalnızca adresleri süzer; ziyaret edilen sayfaların içeriğini okumaz ve kaydetmez. Android'de ayrıca çocuğa gelen mesajlardaki şüpheli bağlantılar aileye bildirilir. Yine de hiçbir liste her yeni sahte siteyi anında bilemez; bu yüzden "tıklama, kendin git" kuralı her zaman geçerlidir.

Sonuç

SMS ve WhatsApp dolandırıcılığı, hızla değişen senaryolarla ama hep aynı temel taktiklerle çalışır: aciliyet, korku ya da kazanç vaadi ve bir bağlantı. Mesajdaki bağlantıya tıklamak yerine kurumun resmî kanalına kendin gitmek, onay kodlarını asla paylaşmamak ve WhatsApp'ta iki adımlı doğrulamayı açmak, bu tuzakların neredeyse tamamını etkisiz kılar.

Telefonla yapılan dolandırıcılıklar için sahte polis, savcı ve banka aramaları yazımıza da göz atabilirsin.