Sahte Banka Sitesi: Nasıl Anlaşılır, Ne Yapmalı?

Sahte banka sitesi nasıl anlaşılır, şifrenizi ve SMS kodunuzu neden anında kullanır? Bilgi girdiyseniz hangi sırayla ne yapacağınızı adım adım anlattık.

Kısa cevap: Sahte banka sitesi, bankanızın internet şubesini taklit eden ve girdiğiniz müşteri numarası, parola, kart bilgisi ve SMS kodunu dolandırıcılara ileten sayfadır. En güvenilir kontrol adres çubuğudur: uzantının hemen solundaki alan adı bankanıza ait değilse sayfa sahtedir, logo ve tasarım ne kadar doğru görünürse görünsün. Bilgi girdiyseniz beklemeyin; kartınızın arkasındaki numaradan bankanızı hemen arayın.

Her türlü sahte sitede işe yarayan genel işaretleri sahte site nasıl anlaşılır yazımızda topladık. Bu yazı bankacılığa özgü kısmı anlatıyor: bu sitelerin size nasıl ulaştığını, bilgilerinizi neden saniyeler içinde kullanabildiklerini ve bilgi girdiyseniz hangi sırayla ne yapmanız gerektiğini.

Sahte banka sitesi size nasıl ulaşır?

Sahte banka siteleri nadiren kendi başına bulunur; bir mesaj ya da reklam sizi oraya götürür. Sık görülen senaryolar şunlardır:

• SMS ve e-posta: “Kart aidatı iadeniz hazır”, “puanlarınızın süresi doluyor”, “hesabınız güvenlik nedeniyle kısıtlandı” gibi mesajlar bir bağlantı içerir. Kargo ya da vergi temalı mesajlar da sonunda kart veya internet şubesi bilgisi isteyen sayfalara çıkabilir.
• Arama reklamları: “banka adı + internet şubesi” araması yapanlara gösterilen sahte reklamlar. Bunları nasıl tanıyacağınızı ve bildireceğinizi Google'da sahte banka reklamı yazımızda anlattık.
• Sosyal medya ve mesajlaşma: bankanın müşteri hizmetleri gibi davranan hesaplar, şikâyet yazan müşterilere “işleminizi buradan tamamlayın” diyerek bağlantı gönderir.
• Kredi ve kampanya vaatleri: “ön onaylı kredi”, “borç yapılandırma” ya da “özel faiz” sayfaları, başvuru bahanesiyle internet şubesi bilgilerinizi ister.

Ortak nokta şudur: siteye siz değil, size gelen bir bağlantı karar verir. Bankanıza her zaman kendi açtığınız uygulamadan ya da kendi kaydettiğiniz adresten girerseniz bu senaryoların neredeyse hepsi boşa çıkar.

Sahte banka sitesi nasıl çalışır: bilgiler neden anında kullanılır?

Eski tip sahte siteler bilgileri toplar ve daha sonra kullanırdı. Bugün pek çoğu canlı çalışır. Siz müşteri numaranızı ve parolanızı yazdığınız anda bu bilgiler dolandırıcının paneline düşer ve o, gerçek internet şubesine sizin adınıza giriş yapmaya başlar. Banka size bir SMS kodu gönderir; sahte sayfa da “güvenliğiniz için SMS ile gelen kodu girin” diyerek aynı kodu sizden ister. Kodu yazdığınızda oturumu dolandırıcı açmış olur.

Bu yüzden sahte sitelerde sık sık “işleminiz kontrol ediliyor, lütfen bekleyin” ekranı görürsünüz. Bekleme, arka tarafta bir sonraki adımın hazırlandığı andır: yeni bir cihaz tanımlamak, kartı dijital cüzdana eklemek, para transferi yapmak ya da limit yükseltmek. Her adım için sizden yeni bir kod istenebilir. Araya giren saldırgan olarak bilinen bu yöntemi AiTM oltalama maddemizde açıkladık.

Buradan çıkan pratik sonuç şudur: iki aşamalı doğrulama sizi ancak kodu kimseye vermediğiniz sürece korur. Bankanın gönderdiği SMS'i dikkatle okuyun. Giriş yaptığınızı sanırken mesajda “yeni cihaz tanımlama”, “kart ekleme” ya da bir tutar yazıyorsa kodu hiçbir yere girmeyin.

Bankaya özgü kontrol noktaları

Genel uyarı işaretlerinin yanında, banka sitelerinde şu noktalar özellikle işe yarar:

• Bankanızın alan adını ezbere bilin. Gerçek adresi bir kez resmî bir kaynaktan, örneğin kartınızın arkasından, hesap belgelerinizden ya da mobil uygulamadan öğrenin ve yer imine kaydedin. Banka adı alt alan adında ya da adresin ortasında duruyorsa (ornekbanka.hesap-dogrula[.]net gibi) sayfa bankaya ait değildir.
• Gerekenden fazla bilgi. Olağan bir girişte müşteri numarası ya da T.C. kimlik numarası, parola ve bankanın gönderdiği tek kullanımlık kod istenir. Aynı akışta kart numarası, CVV, kart şifresi ve anne kızlık soyadı birlikte isteniyorsa durun. Şifre alma ve yenileme işlemlerini yalnızca bankanın uygulamasından ya da adresini kendiniz yazdığınız siteden yapın.
• Telefon numarası istenmesi. Sahte sayfalar cep telefonu numaranızı da ister; ardından “bankadan” arayan biri kodları telefonda sorar. Bankanızla konuşmanız gerekiyorsa aramayı her zaman siz başlatın.
• Parola yöneticisinin sessizliği. Bilgilerinizi her gün dolduran parola yöneticisi bu sayfada hiçbir şey önermiyorsa alan adı farklıdır.
• Uygulama indirme talebi. “Güvenlik uygulaması” ya da “yeni mobil şube” indirmenizi isteyen sayfalar, resmî mağaza dışından zararlı uygulama yükletmeye çalışıyor olabilir. Bankanızın uygulamasını yalnızca resmî uygulama mağazasından indirin.

Bir adresi açmadan önce kontrol etmek isterseniz link kontrol aracımız bağlantının gerçek alan adını, gizli benzer karakterleri ve alan adının ne zaman kaydedildiğini gösterir. Birkaç gün önce kaydedilmiş bir alan adı, yıllardır çalışan bir bankanın internet şubesi olamaz.

Telefonda kontrol daha zordur

Sahte banka bağlantılarının çoğu telefonda açılır ve telefon ekranı adresin yalnızca bir kısmını gösterir. SMS, WhatsApp ya da sosyal medya uygulamasından açılan sayfalar çoğu zaman uygulamanın kendi içindeki tarayıcıda görünür ve adres çubuğu hiç görünmeyebilir. Adresi görmek için adres çubuğuna dokunun ya da sayfayı “tarayıcıda aç” seçeneğiyle normal tarayıcınızda açın. En iyisi, telefonda bankacılık işlemlerini yalnızca bankanın uygulamasından yapmaktır; uygulama sizi sahte bir adrese götüremez.

Bilgi girdiyseniz: hangi sırayla ne yapmalı?

Sahte sitede bilgi girdiğinizi fark ettiyseniz şu sırayla ilerleyin:

1. Bankanızı hemen arayın. Numarayı kartınızın arkasından ya da resmî uygulamadan alın; mesajdaki ya da sitedeki numarayı kullanmayın. Hangi bilgileri girdiğinizi açıkça söyleyin: parola, SMS kodu, kart numarası, CVV. Bankadan internet şubesi erişiminizi ve gerekiyorsa kartlarınızı kapatmasını isteyin.
2. Parolanızı değiştirin. Bunu yalnızca bankanın resmî uygulamasından ya da adresini kendiniz yazdığınız siteden yapın. Aynı parolayı başka bir yerde kullanıyorsanız orada da değiştirin.
3. Tanımlı cihazları ve hareketleri kontrol edin. Tanımadığınız bir cihaz, yeni kaydedilmiş bir alıcı, eklenmiş bir dijital cüzdan ya da yükseltilmiş bir limit varsa bankaya bildirin. Tanımadığınız işlemler için bankanızdan itiraz sürecini başlatmasını isteyin.
4. Kanıtları saklayın. Sizi siteye götüren mesajın, sitenin adresinin ve banka SMS'lerinin ekran görüntülerini alın; mesajları silmeyin.
5. Bildirin ve şikâyet edin. Siteyi aşağıdaki kanallara bildirin. Para kaybı olduysa kimlik belgeniz ve kanıtlarla Cumhuriyet Başsavcılığına ya da kolluğa başvurun.

Hangi işlemin durdurulabileceği ya da geri alınabileceği; işlemin türüne, ne kadar hızlı bildirdiğinize ve bankanın incelemesine bağlıdır. Genel bir garanti yoktur, ama erken arama seçeneklerinizi her zaman artırır. Daha geniş bir yol haritası için dolandırıldım sayfamıza bakın.

Sahte banka sitesini nereye bildirmelisiniz?

Bilgi girmemiş olsanız bile bildirmek, aynı bağlantıyı alacak başka insanları korur:

• USOM: siberguvenlik.gov.tr/ihbar formu ya da ihbar@siberguvenlik.gov.tr adresi.
• Google Safe Browsing: kimlik avı sayfası bildirme formu. Engel listesine alınan siteler için tarayıcılar ziyaretçilere uyarı gösterir.
• Bankanız: bankanın resmî kanallarından adresi ve ekran görüntüsünü iletin. Bankalar, markalarını taklit eden siteleri kaldırtmak için bu bildirimleri kullanır.
• Bize: adresi sahte site bildir formuyla Phishvoid'e de iletebilirsiniz; ekibimiz sayfayı inceler.

Sık sorulan sorular

Sahte banka sitesine girdim ama bilgi yazmadım. Ne yapmalıyım?

Sekmeyi kapatmanız genellikle yeterlidir. Sayfa bir dosya ya da uygulama indirdiyse açmayın ve silin; bir şey yüklediyseniz bankanızı arayın. Adresi USOM'a ve Google Safe Browsing'e bildirin.

Asma kilit simgesi olan banka sitesi güvenli midir?

Tek başına değil. Asma kilit yalnızca bağlantının şifreli olduğunu gösterir; sahte siteler de kolayca sertifika alabilir. Belirleyici olan alan adıdır: uzantının hemen solundaki bölüm bankanın bilinen adresi olmalıdır.

SMS kodunu girdim ama hesabımda işlem görünmüyor. Güvende miyim?

Emin olamazsınız. Kod yeni bir cihaz tanımlamak ya da kartı bir dijital cüzdana eklemek için kullanılmış olabilir ve bu adımlar hesap hareketlerinde hemen görünmeyebilir. Bankanızı arayın, tanımlı cihazları ve kart tanımlamalarını kontrol ettirin.

Bankadan aradıklarını söyleyen biri kod isterse ne yapmalıyım?

Kodu vermeyin ve telefonu kapatın. Ardından bankanızı kartınızın arkasındaki numaradan siz arayın. Arayan numara bankanınkine benziyor olsa bile kod paylaşmayın; numara görüntüsü taklit edilebilir.

Dolandırıcılıkla kaybedilen para geri alınabilir mi?

Bu; işlemin türüne, ne kadar hızlı bildirildiğine, bankanın incelemesine ve gerekirse yargı sürecine bağlıdır. Genel bir garanti yoktur. Bankayı ne kadar erken ararsanız işlemleri durdurma şansı o kadar artar.