Sahte Kargo ve Banka SMS'leri (Smishing): Nasıl Tanınır

Telefonunuza bir kargo mesajı geldiğinde, o gün gerçekten bir sipariş bekliyor olmanız hiç de şaşırtıcı değildir. Sahte SMS'ler tam da bu tesadüfe güvenir: yüzlerce kişiye aynı mesaj gönderilir ve o sırada gerçekten kargo, fatura veya banka işlemi bekleyen birkaç kişi linke tıklar. Yani mesajın size "denk gelmesi" onun gerçek olduğunu göstermez.

SMS ile yapılan oltalamaya smishing denir (SMS ve phishing kelimelerinin birleşimi). Oltalama (sahte sayfayla bilgi toplama) mantığını ve bir linkin gerçek adresini okumayı oltalama linki nasıl anlaşılır yazımızda anlattık. Bu yazı, SMS'e özgü kalıplara ve telefonda yapabileceklerinize odaklanıyor. Aşağıdaki mesaj örnekleri anonimleştirilmiştir; linkler uydurmadır.

En sık görülen mesaj kalıpları

Kargo mesajları

Açılan sayfa genellikle küçük bir "teslimat" veya "gümrük" ücreti ister ve kart bilgisi alır. Bazı türleri ise "takip uygulamasını" indirmenizi ister; bu dosya resmi mağaza dışından gelir ve zararlı olabilir.

Banka mesajları

Amaç, internet bankacılığı şifrenizi ve ardından telefonunuza gelen doğrulama kodunu almaktır. Bazı türlerde link yerine bir telefon numarası verilir ve arayan kişiye "müşteri temsilcisi" gibi davranılır.

Resmi kurum görünümlü mesajlar

İade, ödenmemiş ceza, vergi veya aidat borcu gibi konular kullanılır. Sayfa, e-Devlet gibi resmi kapıları andıran bir tasarımla kimlik numarası, şifre ve kart bilgisi isteyebilir.

Diğer yaygın türler

• Ödül ve kampanya: "Operatör puanlarınız yanacak", "çekilişi kazandınız".
• Kod isteme: "Size yanlışlıkla bir kod gönderdim, iletir misiniz?" Bu kod çoğu zaman sizin hesabınıza ait bir doğrulama kodudur.
• Tanıdık taklidi: "Numaram değişti, bu numaradan yaz" ile başlayıp para isteyen mesajlar. Mesajlaşma uygulamalarında da sık görülür.

Ortak işaretler

• Süre baskısı: "24 saat içinde", "bugün son gün".
• Küçük bir tutar: Az bir ücret, insanların daha az düşünerek ödemesine yol açar; asıl hedef kart bilgisidir.
• Kurumun kendi alan adı olmayan link: Tireli, fazladan kelimeli veya kısaltılmış adresler.
• Normal bir cep telefonu numarasından gelen "kurum" mesajı.
• Kişisel bilgi, şifre veya kod isteği. Bankalar ve kurumlar bunları SMS'le veya telefonla istemez.

Gönderen adının bir kurum adı olarak görünmesi mesajın gerçek olduğunu kanıtlamaz. Emin olmanın yolu mesaja değil, kurumun kendisine bakmaktır.

Mesajın gerçek olup olmadığını nasıl kontrol edersiniz?

1. Linke dokunmayın. Adresi görmek istiyorsanız parmağınızı linkin üzerinde basılı tutun; açmadan görünür.
2. Kurumun resmi kanalını kendiniz açın. Banka için bankanın uygulaması, kargo için siparişi verdiğiniz sitedeki sipariş sayfası veya kargo firmasının resmi uygulaması, resmi işlemler için kurumun kendi sitesi. Gerçek bir sorun varsa orada da görünür.
3. Telefonla sormak isterseniz numarayı mesajdan değil, kartınızın arkasından veya kurumun resmi sitesinden alın.
4. Linkin alan adını merak ediyorsanız whois sorgulama aracımızla ne zaman kaydedildiğine bakabilirsiniz. Birkaç gün önce kaydedilmiş bir adres güçlü bir uyarı işaretidir.

Mesajı engelleme ve bildirme

Telefonunuzun mesaj uygulaması, numarayı engellemeyi ve mesajı istenmeyen (spam) olarak bildirmeyi sağlar. Menü adları üreticiye ve uygulamaya göre değişebilir.

Android

1. Mesajlar uygulamasında ilgili konuşmayı açın.
2. Sağ üstteki üç nokta menüsüne dokunun.
3. Engelle ve spam bildir benzeri seçeneği seçin.

iPhone

1. Mesajlar uygulamasında konuşmayı açın; bilinmeyen bir numaradan geliyorsa mesajın altında İstenmeyen Mesajı Bildir bağlantısı çıkabilir.
2. Numarayı engellemek için ekranın üstündeki numaraya dokunun, ardından bilgi ekranında Bu Arayanı Engelle seçeneğini kullanın.
3. Ayarlar'daki Mesajlar bölümünden bilinmeyen gönderenleri ayrı bir listeye ayıran filtreyi de açabilirsiniz.

Mesajın taklit ettiği kurum resmi sitesinde bir bildirim kanalı sunuyorsa mesajı oraya da iletebilirsiniz. Türkiye'de siber olaylara müdahaleyi koordine eden USOM'a zararlı bağlantıları bildirmek de mümkündür.

Linke tıkladıysanız

Yalnızca sayfayı açıp hiçbir şey yazmadan kapattıysanız genellikle büyük bir sorun yoktur; sekmeyi kapatın ve indirilen bir dosya olup olmadığına bakın. Bilgi girdiyseniz şu sırayı izleyin:

1. Kart veya banka bilgisi girdiyseniz bankanızı kartın arkasındaki numaradan hemen arayın ve kartı kullanıma kapattırın.
2. Şifre girdiyseniz o hesabın şifresini güvendiğiniz bir cihazdan değiştirin. Aynı şifreyi başka yerlerde de kullanıyorsanız onları da değiştirin; şifre üretici aracımız yardımcı olabilir.
3. Bir kodu paylaştıysanız kodun ait olduğu hesaba girip açık oturumları kapatın ve iki adımlı doğrulama ayarlarınızı kontrol edin.
4. Bir uygulama kurduysanız interneti kapatın, uygulamaya verdiğiniz cihaz yöneticisi veya erişilebilirlik iznini kaldırın, uygulamayı silin. Mağaza dışından kurulan uygulamaların risklerini sahte VPN uygulamaları yazımızda anlattık.
5. Kanıtları saklayın: Mesajın ve işlemlerin ekran görüntülerini alın. Maddi kayıp varsa resmi makamlara başvurun.

Telefonunuz sebepsiz yere uzun süre "servis yok" durumunda kalırsa operatörünüzü başka bir telefondan arayın. Bu, numaranızın başka bir SIM karta taşınmaya çalışıldığının işareti olabilir. Bu ve benzeri saldırıların genel bir özetini siber saldırı çeşitleri yazımızda bulabilirsiniz; terimler için internet terimleri sözlüğümüze bakabilirsiniz.

Yakınlarınızı nasıl korursunuz?

Sahte mesajlar, dijital konulara daha az ilgi duyan aile büyüklerini de hedef alır. Uzun anlatımlar yerine tek bir kural öğretmek çoğu zaman daha etkilidir: "Mesajdaki linke değil, uygulamaya bak; emin değilsen beni ara." Telefonlarında bankanın ve kullandıkları kurumların resmi uygulamalarının kurulu olması, bu kuralı uygulamayı kolaylaştırır.