Sahte SMS Nasıl Anlaşılır? Kargo, Banka ve e-Devlet Mesajları
Telefonunuza gelen bir mesaj kargonuzun teslim edilemediğini söylüyor, altında da bir bağlantı var. Mesaj tam da beklediğiniz kargo şirketinin adıyla, üstelik o şirketin eski mesajlarının hemen altında görünüyor. İşte sahte SMS saldırılarının en can sıkıcı tarafı bu: mesaj gerçeğinden ayırt edilemeyecek yerde duruyor. Bu yazıda bir sahte SMS mesajını hangi ayrıntılardan tanıyabileceğinizi, yanlışlıkla tıkladıysanız ilk on dakikada ne yapmanız gerektiğini ve resmî bildirimi nereye yapacağınızı anlatıyorum.
Sahte SMS neden gerçeğinden ayırt edilemiyor?
Çoğu kişi dolandırıcı mesajın bilinmeyen bir numaradan geleceğini sanır. Oysa toplu mesaj sistemlerinde gönderen adı, telefon numarası değil harflerden oluşan bir başlıktır: kargo şirketinin, bankanın ya da bir kamu kurumunun adı. Bu başlık teknik olarak taklit edilebiliyor.
Sonucu şu oluyor: telefonunuz mesajları gönderen adına göre grupladığı için, taklit edilmiş bir sahte SMS gerçek mesajlarla aynı konuşmanın içine düşüyor. Ekranda üstte bankanızın geçen ayki gerçek bildirimi, hemen altında dolandırıcının mesajı yan yana duruyor. “Bu numara daha önce de yazmıştı” refleksi tam burada devreye giriyor ve insanları yanıltan da bu oluyor.
Mesajın kargo şirketinin ya da bankanızın adıyla gelmesi, hatta gerçek mesajların altında görünmesi hiçbir şey kanıtlamaz. Karar verirken bakılacak yer gönderen adı değil, mesajın sizden ne istediğidir.
İkinci bir zorluk bağlantının kendisinde. Alan adları soldan değil sağdan okunur: adresin gerçek sahibi, son noktadan önceki kısımdır. garanti.guvenli-giris.shop adresinde site “garanti” değil “guvenli-giris.shop” sitesidir; başa istenen her isim yazılabilir. Kısaltma servisleri de aynı işi görür, çünkü gidilecek asıl adresi tamamen gizler. Bu yüzden bir sahte SMS bağlantısını ekranda okuyarak ayırt etmek göründüğünden zordur.
Üç yaygın mesaj ve her birinin açık verdiği yer
Türkiye’de dolaşan sahte SMS örneklerinin büyük bölümü üç kalıptan birine giriyor. Kalıbı tanıdığınızda mesajın metnini okumadan da şüphelenebiliyorsunuz.
“Kargonuz teslim edilemedi, adres bilginizi güncelleyin”
Açık verdiği yer: gerçek kargo firmaları adres düzeltmesini SMS’teki bir bağlantı üzerinden ödeme alarak yapmaz. Sahte SMS’lerde bağlantı sizi küçük bir “gümrük” ya da “yeniden teslimat” ücreti isteyen kart formuna götürür. Birkaç liralık tutar, kartı gerçekten girmenizi sağlamak içindir.
“Hesabınıza yeni cihazdan giriş yapıldı”
Açık verdiği yer: mesaj sizi korkutup acele ettirir ve doğrulama kodunu ister. Hiçbir banka, hiçbir koşulda tek kullanımlık şifreyi, kart arkasındaki üç haneli kodu ya da internet bankacılığı parolanızı SMS ile ya da telefonda sormaz. Kod isteyen her mesaj, istisnasız, sahte SMS’tir.
“e-Devlet şifreniz iptal edilecek / desteğiniz yattı”
Açık verdiği yer: bağlantının gittiği adres. e-Devlet’in tek adresi turkiye.gov.tr‘dir. Sonu .com, .xyz, .shop ya da .info ile biten, arasında tire bulunan benzer yazımların hepsi sahtedir.
On saniyede yapabileceğiniz kontroller
Bir mesajın sahte SMS olup olmadığını anlamak için teknik bilgi gerekmiyor. Aşağıdaki soruların herhangi birine “evet” diyorsanız mesaja dokunmayın.
- Sizden kod, şifre veya kart bilgisi mi isteniyor? Bu tek başına yeterli sebeptir. Gerçek kurumlar bu bilgileri asla istemez.
- Acele ettiriyor mu? “Bugün son”, “2 saat içinde”, “hesabınız kapatılacak” gibi ifadeler düşünmenizi engellemek içindir.
- Bağlantının gittiği alan adı ne? Bağlantıya basılı tutarak adresi önizleyin. Kurum adı alan adının sonunda olmalı: ornekbanka.com.tr gerçek, ornekbanka.giris-guvenlik.shop sahtedir.
- Beklemediğiniz bir şey mi anlatıyor? Sipariş vermediğiniz bir kargo, açmadığınız bir dava, başvurmadığınız bir destek.
- Yazım bozuklukları var mı? Türkçe karakterlerin eksikliği ve garip kısaltmalar hâlâ en sık rastlanan işaretlerden biri.
Mesajdaki bağlantıya hiç dokunmadan, kurumun uygulamasını kendiniz açın ya da adresi tarayıcıya elle yazın. Gerçek bir bildirim varsa zaten orada da görünür. Bu alışkanlık, sahte SMS’lerin neredeyse tamamını etkisiz hâle getirir.
Mesajın sonundaki dört haneli kod ne anlama geliyor?
Az bilinen bir ayrıntı: Türkiye’de işletmeler adına gönderilen ticari toplu mesajların sonuna, gönderimi yapan operatörü tanımlayan B ile başlayan dört haneli bir kod eklenir. Bu uygulama BTK’nın 2016’da yürürlüğe koyduğu düzenlemeye dayanıyor ve mesajın hangi operatör üzerinden gönderildiğinin tespit edilebilmesini sağlıyor.
Bunu bir kesinlik testi gibi kullanmayın: kodun bulunması mesajın güvenli olduğunu kanıtlamaz, bulunmaması da tek başına sahte SMS demek değildir. Ancak kurumsal görünen bir mesajda bu kodun hiç olmaması, diğer şüphelerinizle birleştiğinde anlamlı bir işarettir.
Bağlantıya tıkladıysanız ilk on dakika
Tıklamak tek başına felaket değildir; asıl risk sonrasında bilgi girilmesidir. Sayfayı açıp hiçbir şey yazmadan kapattıysanız panik yapmanıza gerek yok. Yine de sırayı doğru kurmak önemli, çünkü yanlış sıra vakit kaybettiriyor: örneğin şifreyi hâlâ şüpheli olan telefondan değiştirmek, cihazda zararlı bir uygulama varsa yeni şifreyi de ele veriyor.
| Ne zaman | Ne yapmalı |
|---|---|
| Hemen | Sayfayı kapatın, hiçbir şey girmeyin. Bilgi girdiyseniz bankanızı arayıp kartı bloke ettirin. |
| İlk dakikalar | İnternet bankacılığı ve e-posta şifrenizi başka bir cihazdan değiştirin. |
| Aynı gün | Uygulama kurulduysa telefonu güvenli moda alıp kaldırın, ardından bir tarama yapın. |
| Sonrasında | Hesap hareketlerinizi bir hafta boyunca günlük kontrol edin, küçük tutarlı test çekimlerine dikkat edin. |
Bilgisayarınıza bulaşma şüphesi varsa virüs temizleme adımlarını sırasıyla uygulayın. Şifrelerinizi tek tek değiştirmek yorucu geliyorsa şifre yöneticisi kullanmak bu işi kalıcı olarak kolaylaştırır. Bankacılık uygulamanız açılmıyorsa bu yazıdaki kontrolleri deneyebilirsiniz.
Ailede risk altındaki kullanıcılar için
Bu mesajların en çok zarar verdiği grup, telefonu günlük işleri için kullanan ama teknik ayrıntılarla ilgilenmeyen kişiler. Onlara uzun güvenlik anlatmak yerine tek bir kural bırakmak çok daha iyi sonuç veriyor: “Para, kod veya şifre isteyen hiçbir mesaja cevap verme, önce beni ara.” Tek cümlelik bir kural akılda kalıyor, uzun listeler kalmıyor.
Yanına iki pratik ayar eklenebilir. Bankacılık uygulamalarında işlem bildirimlerini açık tutmak, izinsiz bir hareketi dakikalar içinde fark ettirir. Telefonun uygulama mağazası dışından kurulum yapmasını kapalı tutmak ise sahte SMS bağlantılarının en zararlı adımını, yani uygulama kurdurmayı baştan engeller. Bu iki ayar bir kez yapılır ve sonrasında kullanıcıdan hiçbir şey beklemez.
Sahte SMS nereye bildirilir?
Bildirim yapmak yalnızca resmî bir gereklilik değil, işe yarayan bir adım: bildirilen adresler engelleme listelerine giriyor ve aynı mesajı alan başkalarını koruyor. Resmî listede kaynağı “ihbar” olarak işaretlenmiş çok sayıda kayıt bulunması, vatandaş bildirimlerinin gerçekten işlendiğini gösteriyor.
İhbar formu
Siber Güvenlik Başkanlığı’nın ihbar formu oltalama sitelerini doğrudan kabul ediyor. Bağlantıyı ve mesajın geldiği saati yazmanız yeterli.
Zararlı bağlantı listesi
Şüphelendiğiniz adresi güncel listede aratabilirsiniz. Liste her gün yeni kayıtlarla büyüyor.
Bankanız
Kart veya hesap bilgisi girdiyseniz önce bankanızın kendi müşteri hattını arayın; mesajdaki hiçbir numarayı kullanmayın.
Kişisel bilgilerinizin daha önce bir veri sızıntısına karışıp karışmadığını merak ediyorsanız kişisel veri ihlali sorgulama yazısı işinize yarar; e-Devlet tarafında bir sorun yaşıyorsanız giriş sorunları yazısına bakabilirsiniz.
İnternette güvenlik ve gizlilik
Bağlantı, hesap güvenliği ve gizlilik konularında sade anlatımlı rehberler.
Dolandırıcılık yöntemleri değişiyor ama istenen şey hep aynı kalıyor: bir kod, bir şifre ya da bir kart numarası. Mesaj ne kadar resmî görünürse görünsün, sizden bunlardan birini isteyen her mesaja sahte SMS muamelesi yapmak pratikte en güvenli davranış. Şüphe duyduğunuz bir mesajı bize iletirseniz, yaygınlaşan yeni bir kalıp varsa bu yazıya ekleriz.
