Doğrulama kodu dolandırıcılığında SMS kodu hangi bahanelerle istenir? Altı yaygın senaryo, kodu paylaştıysanız atılacak adımlar ve kalıcı korunma yolları.
Doğrulama kodu dolandırıcılığı, telefonunuza SMS ile gelen tek kullanımlık kodu bir bahaneyle sizden alıp dolandırıcının kendi başlattığı işlemi onaylamasıdır. O kod; bankanızda yeni bir cihaz tanımlamanın, bir ödemenin, şifre sıfırlamanın ya da mesajlaşma hesabınızı başka bir telefona taşımanın son kilididir. Bu yüzden kural basit: size gelen kodu kim isterse istesin, banka çalışanı, kargo görevlisi, ilan sitesindeki alıcı ya da en yakın arkadaşınız olsun, kimseyle paylaşmayın.
Aşağıda kodun ne işe yaradığını, dolandırıcıların onu hangi senaryolarla istediğini ve kodu paylaştıysanız ne yapmanız gerektiğini anlatıyoruz.
Doğrulama kodu ne işe yarar, dolandırıcı neden ister?
Tek kullanımlık kodlar, bir işlemi yapan kişinin gerçekten telefon numarasının sahibi olduğunu kanıtlamak için gönderilir. Dolandırıcı çoğu zaman şifrenizi zaten bir sahte siteden ya da veri sızıntısından elde etmiştir; eksik olan tek şey o anda telefonunuza düşen koddur. Kodu aldığı anda sizin adınıza işlem yapabilir.
İşin kritik kısmı şu: SMS gerçekten bankanızdan, gerçekten mesajlaşma uygulamasından gelir. Mesaj sahte değildir; sahte olan, kodu sizden isteyen kişidir. Çoğu banka SMS’i kodun hangi işlem için gönderildiğini de yazar. Kodu okumadan önce mesajın tamamını okumak, en hızlı uyarı işaretidir: “Kartınızın iadesi için” diye aranıp “yeni cihaz tanımlama” ya da “ödeme onayı” yazan bir kod aldıysanız, karşınızdaki kişi size yalan söylüyordur.
Kod isteyen altı yaygın senaryo
Bahane değişir, istek hep aynıdır. En sık karşılaşılan kurgular şunlar:
1. “Bankadan arıyoruz”
Arayan kişi şüpheli bir işlem olduğunu, iptal etmek için size gelecek kodu okumanız gerektiğini söyler. Türkiye Bankalar Birliği’nin dolandırıcılık rehberinde anlatılan vakalarda, banka görevlisi gibi davranan kişiye okunan SMS şifresinin doğrudan para transferinde kullanıldığı görülüyor. Bu aramanın tüm aşamalarını “bankadan arıyoruz” dolandırıcılığı yazımızda anlattık.
2. “Yanlışlıkla sana kod gönderdim”
Tanıdık birinden, çoğu zaman bir aile üyesinden ya da komşudan mesaj gelir: “Yanlışlıkla senin numarana kod gitti, atar mısın?” Aynı anda telefonunuza bir mesajlaşma uygulamasının kayıt kodu düşer. Gerçekte o kod, sizin hesabınızı başka bir telefona kaydetmek için üretilmiştir. Mesajı atan kişinin hesabı genellikle aynı yolla daha önce ele geçirilmiştir ve dolandırıcı onun rehberindeki herkese aynı mesajı gönderir. Hesabınızı ele geçirirse aynı şeyi sizin adınıza yapar; üstelik yakınlarınızdan “acil” bahanesiyle para da isteyebilir.
Bu senaryoya karşı en etkili önlem, mesajlaşma hesabınızda iki adımlı doğrulamayı açmaktır. WhatsApp’ın iki adımlı doğrulama özelliği, hesabınızı yeni bir telefona taşımak için SMS kodunun yanında sizin belirlediğiniz bir PIN’i de ister.
3. İlan sitesinde “ödemeyi göndermek için kodu ilet”
İkinci el bir ürün satıyorsunuz. Alıcı ödemeyi “güvenli ödeme” sistemiyle göndereceğini, bunun için size gelen kodu iletmeniz gerektiğini söyler. Para almak için kimseye kod vermeniz gerekmez. Bu kod çoğu zaman sizin hesabınıza giriş ya da sizin kartınızla yapılan bir ödemeyi onaylar.
4. Kargo, aidat iadesi veya ceza ödeme sayfası
Bir SMS’teki bağlantı sizi kargo ücreti, kart aidatı iadesi ya da trafik cezası ödemesi gibi görünen bir sayfaya götürür. Kart bilgilerinizi girdikten sonra sayfa “bankanızdan gelen kodu” ister. Ekranda birkaç lira yazar, ama kod çok daha büyük bir işlemi onaylar. Sayfadaki tutarla bankanın SMS’inde yazan tutarı karşılaştırmak, bu tuzağı çoğu zaman tek bakışta ortaya çıkarır. Bu düzeneği sahte kargo SMS’leri yazımızda ayrıntılı inceledik.
5. Sahte giriş sayfasında “anlık” kod
Bankanızın giriş sayfasını taklit eden bir sahte site, müşteri numaranızı ve şifrenizi alır, ardından SMS kodunu ister. Arka planda dolandırıcı (ya da bir yazılım) bu bilgileri aynı anda gerçek siteye girer. Bu yönteme aradaki saldırgan (AitM) oltalaması denir ve tek kullanımlık kodu tek başına yetersiz bırakır. Sahte sayfayı adres çubuğundan nasıl ayırt edeceğinizi sahte site nasıl anlaşılır yazımız anlatıyor.
6. “Hesabını kullanayım, kodları bana ilet”
Sosyal medyada ve mesajlaşma gruplarında “hesabını kısa süre kullandır, komisyon kazan” teklifleri dolaşır. Bunlar çoğu zaman yalnızca IBAN değil, mobil bankacılık şifresi ve gelen doğrulama kodları da ister. Mali Suçları Araştırma Kurulu’nun (MASAK) Ekim 2026 tarihli Kiralık Hesaplarla Mücadele Şüpheli İşlem Bildirimi Rehberi, tek kullanımlık doğrulama kodlarının ve diğer kimlik doğrulama araçlarının paylaşılmasını da hesabın üçüncü kişilere kullandırılması olarak sayıyor. Yani kodu vermek, sizi yalnızca mağdur değil, bir dolandırıcılık zincirinin parçası da yapabilir. Bu riski hesabıma bilinmeyen para geldi yazımızda açıkladık.
Kodu paylaştıysanız ne yapmalısınız?
Kodun hangi hizmetten geldiğine bakın ve ona göre hareket edin. Her durumda hızlı olun: kod kısa süre geçerlidir, ama onunla yapılan işlem kalıcı olabilir.
- Banka veya ödeme kodu: Bankanızı hemen kartınızın arkasındaki numaradan arayın. Kodu paylaştığınızı söyleyin, internet ve mobil bankacılık erişiminizi kapattırın, yeni tanımlanan cihazların ve bekleyen işlemlerin iptal edilmesini isteyin. Ardından şifrenizi değiştirin. Sıralamanın tamamı internet bankacılığı şifremi kaptırdım rehberinde.
- Mesajlaşma uygulaması kodu: Uygulamaya kendi telefonunuzdan yeniden kayıt olun; bu, diğer cihazdaki oturumu kapatır. Ardından iki adımlı doğrulamayı açın ve yakınlarınıza hesabınızdan gelecek para isteklerine yanıt vermemelerini söyleyin.
- E-posta veya sosyal medya kodu: Şifrenizi değiştirin, tüm oturumları kapatın, kurtarma e-postası ve telefon numarasının değişmediğini kontrol edin.
- Para kaybettiyseniz: Delillerinizle birlikte polise veya Cumhuriyet başsavcılığına şikâyette bulunun. Bankanız da şikâyet kaydını isteyebilir.
Kart bilgisi, uygulama kurulumu veya para transferi gibi diğer durumlar için adımları Dolandırıldım sayfamızda tek yerde topladık.
Kod dolandırıcılığına karşı kalıcı alışkanlıklar
- Kodu girmeden önce SMS’in tamamını okuyun. İşlem türü, tutar ve iş yeri sizin yaptığınız işlemle uyuşmuyorsa durun.
- Kodu yalnızca işlemi sizin başlattığınız yerde kullanın. Bankanın uygulamasına veya adresini kendiniz yazdığınız siteye girin. Bir aramanın, mesajın ya da bağlantının sizi yönlendirdiği sayfada kod girmeyin.
- Telefonla konuşurken gelen koda özellikle şüpheyle yaklaşın. Görüşme sırasında düşen bir kod, karşınızdaki kişinin o anda bir işlem başlattığını gösterir.
- Mobil onay ekranlarını da kod gibi düşünün. Uygulamada beklemediğiniz bir “Onaylıyor musunuz?” ekranı çıkarsa reddedin.
- İki adımlı doğrulamayı açın. Mesajlaşma ve e-posta hesaplarınızda SMS kodunun yanına bir PIN veya doğrulama uygulaması eklemek, kod çalınsa bile hesabın taşınmasını zorlaştırır.
- Yakınlarınızı uyarın. Özellikle yaşlı aile üyelerine “kodu kimse istemez, isteyen dolandırıcıdır” cümlesini ezberletmek, birçok senaryoyu baştan engeller.
Bankalar ve hizmet sağlayıcılar için not
Kod dolandırıcılığı, müşterinin dikkatine güvenen bir savunmanın sınırlarını gösterir. Kod SMS’lerinde işlemin türünü, tutarını ve “bu kodu çalışanlarımız dahil kimseyle paylaşmayın” uyarısını açıkça yazmak, müşterinin son anda durmasını sağlayabilir. Yeni cihaz tanımlama gibi yüksek riskli işlemlerde ek bir onay adımı ve müşteriye ayrı bir bildirim göndermek de kaybı azaltır. Bu saldırıların önemli bir kısmı markanızı taklit eden sahte giriş sayfalarından başladığı için, bu sayfaları erken tespit edip kaldırtmak da zincirin bir halkasını kırar. Phishvoid bu sahte siteleri bulup engel listelerine, barındırma firmalarına ve USOM’a bildirerek kaldırılana kadar takip eder.
Sık sorulan sorular
Banka çalışanı doğrulama kodunu isteyebilir mi?
Hayır. Bankalar SMS ile gönderdikleri kodu telefonda okumanızı ya da mesajla iletmenizi istemez. Birçok bankanın SMS’inde bu uyarı açıkça yazar. Kod isteyen kişi, bankadan olduğunu söylese bile dolandırıcıdır.
Bir tanıdığım “yanlışlıkla sana kod gitti” dedi, ne yapmalıyım?
Kodu göndermeyin. Tanıdığınızı başka bir kanaldan, örneğin normal telefon aramasıyla arayıp sorun. Büyük olasılıkla onun hesabı ele geçirilmiştir ve sizin hesabınızı da ele geçirmek için kod isteniyordur.
Kodu paylaştım ama hesabımda bir hareket görmüyorum, güvende miyim?
Henüz bir işlem görünmemesi, yapılmayacağı anlamına gelmez. Dolandırıcı yeni bir cihaz tanımlamış ve daha sonra işlem yapmayı bekliyor olabilir. Bankanızı arayıp tanımlı cihazları ve bekleyen işlemleri kontrol ettirin, şifrenizi değiştirin.
Doğrulama kodu dolandırıcılığını nereye bildirebilirim?
Para kaybı veya hesap ele geçirme varsa polise ya da Cumhuriyet başsavcılığına şikâyette bulunun ve bankanıza bildirin. Kodu isteyen bir sahte siteyse adresini USOM’a siberguvenlik.gov.tr/ihbar üzerinden bildirebilirsiniz.
Markanızı taklit eden biri mi var?
Benzer domainleri ve kopya sayfaları bulup kaldırtıyoruz. Ücretsiz maruziyet taramasıyla başlayın.