Sahte kargo SMS’leri ve takip sayfaları kart bilgisi ile tek kullanımlık kodları nasıl çalıyor? Tüketiciler ve markalar bu dolandırıcılığa karşı ne yapmalı?
“Adres bilgisi eksik olduğu için kargonuz teslim edilemedi. Güncellemek için tıklayın.” Cep telefonu olan hemen herkes bu tür bir mesaj almıştır. Kargo temalı SMS oltalaması (smishing), Türkiye’de en uzun soluklu dolandırıcılık yöntemlerinden biridir ve kargo firmalarını, e-ticaret sitelerini ve bankaları aynı anda hedef alır. Bu yazıda yöntemin nasıl işlediğini ve hem tüketicilerin hem de markaların neler yapabileceğini anlatıyoruz.
Sahte kargo mesajının anatomisi
Dolandırıcılık genellikle tahmin edilebilir bir senaryoyu izler:
- SMS: Kısa bir mesaj, paketin depoda beklediğini, adresin güncellenmesi gerektiğini ya da küçük bir gümrük veya yeniden gönderim ücreti ödenmesi gerektiğini söyler. Mesajda genellikle kısaltılmış bir bağlantı ya da kargo çağrışımlı bir kelimeyi “takip” veya “teslimat” sözcükleriyle birleştiren bir alan adı bulunur.
- Takip sayfası: Bağlantı, bir kargo firmasının ya da mağazanın takip sayfasının inandırıcı bir kopyasını açar. Bazen gerçekçi bir takip numarası ve “gönderi durumu” çubuğu bile vardır.
- Veri toplama: Kurbandan ad, adres ve telefon bilgisini onaylaması, ardından kartla küçük bir tutar ödemesi istenir.
- Tek kullanımlık kod: Sahte bir 3D Secure ekranı, bankanın gönderdiği SMS kodunu ister. Dolandırıcılar bu kodla çok daha yüksek tutarlı bir işlemi onaylayabilir ya da kartı bir dijital cüzdana ekleyebilir.
Bazı varyasyonlarda ise teslimatı planlamak için bir “uygulama” yüklemeniz istenir. Android’de resmî mağaza dışından yüklenen bu tür uygulamalar, banka kodları dahil gelen SMS’leri okuyabilir.
Neden bu kadar işe yarıyor?
Online alışveriş günlük hayatın parçası olduğundan pek çok kişi her an bir kargo bekliyordur. İstenen tutarlar zararsız görünecek kadar küçüktür ve mesaj, gerçek kargo firmalarının kullandığı kanaldan gelir. Oltalama kitleri ayrıca incelemecilerden gizlenir: pek çok sahte takip sayfası yalnızca mobil cihazlarda ya da Türkiye IP adresinden gelen ziyaretçilere açılır, diğer herkese boş bir sayfa gösterir.
Tüketiciler için: ne yapmalı?
- SMS’teki bağlantıyı asla kullanmayın. Gönderinin durumunu resmî uygulamadan ya da kargo firmasının veya mağazanın adresini kendiniz yazarak, sipariş onayınızdaki takip numarasıyla kontrol edin.
- Ücret taleplerine şüpheyle yaklaşın. Gerçekten gümrük vergisi çıkabilecek bir yurt dışı gönderisi bekliyorsanız, tutarı mesajdaki bağlantıdan değil, kendi açtığınız resmî site üzerinden doğrulayın.
- Banka SMS kodunu asla paylaşmayın; özellikle bir mesajdaki bağlantıyla ulaştığınız sayfada. Bankadan gelen SMS’i dikkatle okuyun: çoğu zaman gerçek tutarı ve iş yerini gösterir.
- Kart bilgilerinizi girdiyseniz hemen kartınızın üzerindeki numaradan bankanızı arayın, kartı kapattırın ve şüpheli işlemlere itiraz edin.
- Bildirin. Bağlantıyı USOM’a bildirin, operatörünüzün sunduğu bir istenmeyen SMS bildirim kanalı varsa mesajı oraya iletin ve para kaybettiyseniz kolluğa ya da Cumhuriyet Başsavcılığına şikâyette bulunun.
Markalar için: kargo firmaları, e-ticaret siteleri ve bankalar
Markalar dolandırıcıların SMS göndermesini engelleyemez, ancak bu yöntemi zorlaştırabilir ve sahte sayfaların ömrünü kısaltabilir.
Gerçek deneyimi tanınır kılın
Teslimat bildirimlerinde kullandığınız resmî gönderici adlarını ve alan adlarını yayımlayın, tüm takip işlemlerini tek ve tutarlı bir alan adında toplayın ve SMS bağlantısıyla asla kart bilgisi ya da banka kodu istemeyeceğinizi açıkça duyurun. Tutarlılık başlı başına bir güvenlik önlemidir: gerçek mesajlarınız ne kadar öngörülebilir olursa sahteleri o kadar göze batar.
İzleyin ve hızlı davranın
Markanızı “kargo”, “takip”, “teslimat” ya da “gumruk” gibi kelimelerle birleştiren yeni alan adlarını ve takip sayfanızın kopyalarını izleyin. Kullanılan kalıpları typosquatting ve homoglyph alan adları yazımızda anlattık. Bir sayfa yayına girdiğinde tarayıcı engel listelerine, USOM’a, barındırma firmasına, kayıt firmasına ve bağlantı kısaltıcı kullanılmışsa o hizmetin kötüye kullanım ekibine paralel bildirim yapın.
Dolandırıcılık ekipleriyle döngüyü kapatın
Doğrulanan oltalama alan adlarını dolandırıcılık önleme, çağrı merkezi ve sosyal medya ekiplerinizle paylaşın; böylece etkilenen müşterileri hızla uyarabilir ve ilgili şikâyetleri tanıyabilirler.
Türkiye’deki hukuki çerçeve
Teknik kaldırma yollarının yanında Türkiye’de içeriğe erişimin kısıtlanması için hukuki mekanizmalar da bulunur; 5651 sayılı Kanun kapsamındaki erişim engeli kararları bunlardan biridir. Bu yollar resmî usuller gerektirir ve bir hukuk danışmanıyla birlikte değerlendirilmelidir. Günlük kampanyalarda ise USOM’a, engel listelerine ve hizmet sağlayıcılara hızlı bildirim, genellikle en pratik ilk adım olmaya devam eder.
Zaman penceresini daraltın
Sahte bir takip sayfasının yayında kaldığı her saat, daha fazla kart numarası ve kodun çalınması demektir. Phishvoid, markanızı taklit eden kargo temalı alan adlarını izler ve kaldırma sürecini baştan sona yürütür; tek abonelikte sınırsız kaldırma talebi dahildir. Ücretsiz tarama isteyin ya da hemen şimdi oltalama sitesi bildirin.
Markanızı taklit eden biri mi var?
Benzer domainleri ve kopya sayfaları bulup kaldırtıyoruz. Ücretsiz maruziyet taramasıyla başlayın.