Phishing Nedir? Oltalama Saldırısını Anlamanın Pratik Yolları

Telefonunuza bir SMS geliyor: “Kargonuz adres yetersizliği nedeniyle dağıtıma çıkamadı, güncelleme için tıklayın.” Gerçekten de bir kargo bekliyorsunuz. Bağlantıya tıklıyorsunuz, karşınıza tanıdık logolu bir sayfa çıkıyor ve “teslimat ücreti” olarak küçük bir tutar için kart bilgilerinizi istiyor. İşte phishing —Türkçesiyle oltalama— tam olarak bu: Sizi tanıdığınız bir kurumun kimliğine bürünerek kandırıp, bilgilerinizi kendi elinizle teslim etmenizi sağlamak.

Oltalamanın teknik bir saldırı olmadığını baştan söyleyelim. Kimse telefonunuzu “hacklemiyor”; saldırgan sizi ikna etmeye çalışıyor. Bu yüzden savunma da teknik değil, büyük ölçüde alışkanlık meselesi.

Türkiye’de En Sık Görülen Senaryolar

Oltalama mesajları modaya uyar; hangi konu gündemdeyse dolandırıcılar o kılığa girer. Yine de bazı temalar yıllardır değişmiyor.

Kargo teması açık ara en yaygını. PTT, Aras, Yurtiçi ya da MNG adına gönderilen sahte SMS’ler “gümrük ücreti”, “adres teyidi” ya da “dağıtım ücreti” bahanesiyle kart bilgisi ister. E-ticaretin yoğun olduğu dönemlerde, özellikle kampanya haftalarında bu mesajlar artar; çünkü o günlerde gerçekten kargo bekleyen milyonlarca kişi vardır ve mesaj rastgele atılsa bile isabet oranı yükselir.

Banka teması genellikle korku üzerine kuruludur: “Hesabınızda şüpheli işlem tespit edildi”, “Kartınız güvenlik nedeniyle bloke edilmiştir”. Mesajdaki bağlantı sizi bankanın giriş sayfasının birebir kopyasına götürür. Daha tehlikeli versiyonunda dolandırıcı sizi telefonla arar, kendini bankanın güvenlik biriminden biri olarak tanıtır ve “işlemi iptal etmek için” telefonunuza gelen kodu okumanızı ister. O kod, saldırganın sizin hesabınıza girerken bankanın gönderdiği doğrulama kodudur; okuduğunuz anda hesabınız onun eline geçer.

e-Devlet ve kamu teması ise resmiyet duygusunu sömürür. “Adınıza dava açılmıştır”, “e-Devlet hesabınız askıya alınacaktır”, vergi iadesi ya da destek ödemesi vaatleri… Aynı kalıbın telefon versiyonunda arayan kişi kendini polis ya da savcı olarak tanıtır ve “soruşturma gizliliği” bahanesiyle sizi telaşa sürükler. Gerçek dünyada hiçbir savcı telefonda para transferi istemez, hiçbir resmi kurum SMS’teki bağlantıdan şifre girmenizi beklemez.

Bu senaryoların ortak iskeleti hep aynıdır: bir aciliyet (“son 24 saat”), bir duygu (korku, merak ya da fırsat heyecanı) ve bir eylem çağrısı (tıkla, kodu söyle, ödeme yap). Mesajın sizi düşünmeye vakit bırakmadan harekete geçirmeye çalıştığını hissettiğiniz an, oltanın ucundaki yem görünür olur.

Sahte Mesajı Ele Veren İşaretler

Gönderen bilgisi ilk bakılacak yer ama tek başına yeterli değil. SMS başlıkları taklit edilebilir; sahte mesaj, bankanızın gerçek mesajlarıyla aynı konuşma dizisine bile düşebilir. Bu yüzden asıl dikkat bağlantıya verilmeli.

Resmi kurumlar kendi alan adlarını kullanır: turkiye.gov.tr, ptt.gov.tr, bankanızın bilinen adresi. Oltalama bağlantıları ise benzetme sanatına başvurur: “ptt-teslimat.com”, “e-devlet-giris.net”, “bankaniz-guvenlik.xyz” gibi. Alan adının sonuna değil, asıl gövdesine bakın: “edevlet.destek-hatti.com” adresinde site aslında “destek-hatti.com”dur; baştaki “edevlet” yalnızca göz boyamak için eklenmiş bir alt alan adıdır. Kısaltılmış bağlantılar (bit.ly ve benzerleri) resmi kurum mesajında işiniz olmayacak bir başka kırmızı bayraktır.

Dil ve üslup da ipucu verir. Yazım hataları, tuhaf çeviri kokan ifadeler, size “Sayın Müşterimiz” diye hitap eden ama adınızı bilmeyen mesajlar şüphe uyandırmalı. Ancak tersine güvenmeyin: Yapay zekâ araçları sayesinde artık kusursuz Türkçeyle yazılmış oltalama mesajları da dolaşıyor. Düzgün dil, güvenilirlik kanıtı değildir.

Koruyucu Alışkanlıklar

Tek tek mesajları analiz etmek yerine, hayatınıza birkaç sabit kural yerleştirmek daha etkili.

Birincisi: Mesajdaki bağlantıya değil, uygulamaya gidin. Kargo mu bekliyorsunuz? Kargo firmasının uygulamasını ya da sitesini kendiniz açıp takip numaranızla bakın. Bankadan mesaj mı geldi? Bankacılık uygulamanızı açın; gerçek bir sorun varsa orada da görünür. Bu tek alışkanlık, oltalama vakalarının büyük bölümünü etkisiz kılar.

İkincisi: Sizi arayan kişiye asla kod, şifre ya da kart bilgisi vermeyin. Banka çalışanları bu bilgileri zaten görebildikleri için sormaz. Arayanın numarası bankanın gerçek numarası gibi görünse bile bu kural değişmez, çünkü arayan numara da taklit edilebilir. Şüphelendiğinizde telefonu kapatın ve kartınızın arkasındaki numaradan bankayı kendiniz arayın.

Üçüncüsü: Aciliyet hissettiğinizde yavaşlayın. Dolandırıcılığın yakıtı panik ve acele; panzehiri ise on dakika beklemek. Gerçek bir kurum, on dakika sonra aradığınızda da oradadır.

Tıkladıysanız ya da Bilgi Verdiyseniz

Önce şunu bilin: Bağlantıya yalnızca tıklamak çoğu durumda tek başına felaket değildir. Sayfayı açıp hiçbir bilgi girmeden kapattıysanız, büyük olasılıkla saldırgan yalnızca numaranızın aktif olduğunu öğrenmiştir. Yine de o sayfadan bir dosya indirdiyseniz ya da bir uygulama kurduysanız, cihazınızı taratmadan rahat etmeyin.

Kart bilgisi girdiyseniz vakit kaybetmeyin: Bankanızı arayıp kartı kapattırın ve itiraz sürecini başlatın. Bankalar bu senaryoya alışkındır; ne kadar erken ararsanız zararın önüne geçme ihtimali o kadar yüksektir.

Şifre girdiyseniz, o şifreyi hem ilgili hesapta hem de aynı şifreyi kullandığınız diğer tüm hesaplarda hemen değiştirin. İki adımlı doğrulama açık değilse bu vesileyle açın. e-Devlet bilgilerinizi girdiyseniz şifrenizi turkiye.gov.tr üzerinden yenileyin ve hesap hareketlerinizi kontrol edin.

Maddi zarar oluştuysa savcılığa suç duyurusunda bulunabilir, banka nezdinde itiraz süreci yürütebilirsiniz. Elinizdeki SMS’i, ekran görüntülerini ve dekontları silmeyin; hepsi delil niteliğindedir. Şüpheli mesajları siber suçlarla mücadele birimlerine iletmek, aynı tuzağa başkalarının düşmesini de zorlaştırır.

Ailenizi de Sürece Katın

Oltalama konusunda en kırılgan grup, çoğu zaman internete sonradan alışan yaşça büyük aile üyeleri. Onlara uzun teknik anlatımlar yerine iki basit kural bırakın: “Telefonda kimseye kod ve şifre söyleme” ve “bir mesajdan şüphelendiğinde tıklamadan önce beni ara”. Bu iki cümle, sayfalarca güvenlik eğitiminden daha çok vaka önler. Kendi telefonlarında bankacılık uygulamalarını birlikte kurup “sorun varsa burada görünür” alışkanlığını yerleştirmek de işe yarar. Bir aile içi parola belirlemek ise ses taklidiyle yapılan “acil para” aramalarına karşı basit ama etkili bir önlemdir: Aile üyelerinden biri telefonla para isterse, önce yalnızca sizin bildiğiniz o kelime sorulur.

Aynı hassasiyet WhatsApp için de geçerli. Hesap ele geçirme girişimlerinde dolandırıcı, tanıdığınız birinin ele geçirilmiş hesabından yazar ve “yanlışlıkla sana bir kod gittiler, bana iletir misin?” der. O kod sizin hesabınızın devri için istenen doğrulama kodudur; kim isterse istesin paylaşılmaz. WhatsApp ayarlarından iki adımlı doğrulamayı açmak, bu senaryonun kapısını baştan kapatır.

Utanma duygusu, bu dolandırıcılığın en az konuşulan parçası. Oltaya takılmak saflık göstergesi değil; bu tuzaklar tam da dikkatli insanların yorgun, meşgul ya da telaşlı anlarını yakalamak üzere tasarlanıyor. Yaşadığınızı çevrenizle paylaşmak, hem sizi hem başkalarını korur.

Sık Sorulan Sorular

Oltalama mesajına yanlışlıkla tıkladım ama bilgi girmedim, telefonum ele geçirilmiş olabilir mi?

Modern telefonlarda yalnızca bir sayfayı açmak, cihazın ele geçirilmesi için genellikle yeterli değildir. Asıl risk, o sayfada bilgi girmeniz ya da bir dosya indirip kurmanızdır; yine de içiniz rahat etmiyorsa cihazı güncelleyip bir güvenlik taraması yapabilirsiniz.

Gerçek banka mesajı ile sahtesini kesin olarak nasıl ayırt ederim?

Kesin ayrım için mesajın içeriğine değil, kendi davranışınıza güvenin: Mesajdaki bağlantıyı hiç kullanmayıp bankanın uygulamasını kendiniz açarsanız, mesajın sahte olup olmadığının önemi kalmaz. Gerçek bir bildirim varsa uygulamada da görürsünüz.

Dolandırıcılar telefon numaramı nereden buluyor?

Numaralar çoğunlukla sızmış veri tabanlarından, üyelik formlarından ve rastgele numara üreten sistemlerden elde ediliyor. Yani hedef seçilmiş olmanız gerekmez; mesajlar milyonlarca numaraya birden gönderilir ve dolandırıcılar yalnızca yanıt verenlerle ilgilenir.

Şüpheli bir mesajı nereye bildirebilirim?

Maddi zarar varsa savcılığa ya da kolluk birimlerine başvurabilirsiniz; acil durumlar için 155 hattı da yönlendirme yapar. Banka temalı mesajları doğrudan bankanızın müşteri hizmetlerine, operatör kaynaklı istenmeyen mesajları ise operatörünüzün şikâyet kanallarına iletebilirsiniz.

Bu makale genel bilgilendirme amaçlıdır; maddi zarar durumunda bankanız ve resmi makamlarla iletişime geçmeyi ihmal etmeyin.