Vergi İadesi SMS Dolandırıcılığı: Mesaj Neden Sahte?

Bağlantıyla kart bilgisi isteyen vergi iadesi SMS’i sahtedir. GİB’in uyarılarını, gerçek iadeyi doğrulamanın resmi yollarını ve yapılacakları öğrenin.

“Vergi iadeniz onaylandı, almak için tıklayın” diyen ve bağlantıdaki sayfada kart bilgilerinizi isteyen bir SMS dolandırıcılıktır. Gelir İdaresi Başkanlığı (GİB), geçmiş duyurularında kart bilgisi girilirse vergi iadesi yapılacağını vaat eden e-postaların kart bilgilerini çalmaya yönelik sahtecilik girişimleri olduğunu belirtmiş ve vergi iadesi dahil vergilendirme işlemleri için mükelleflerle e-posta yoluyla iletişim kurmadığını açıklamıştır. SMS’le gelen aynı senaryo da aynı amaca hizmet eder. Gerçek bir iade sizin beyannameniz ya da başvurunuzla başlar; durumunu mesajdaki bağlantıdan değil, Dijital Vergi Dairesi’nden, vergi dairenizden ya da 189 numaralı Vergi İletişim Merkezi’nden (VİMER) öğrenirsiniz.

Vergi iadesi SMS’i neden bu kadar inandırıcı?

Bu dolandırıcılık korkuya değil beklentiye oynar. Borç ya da ceza mesajları tedirgin eder; iade mesajı ise sevindirir ve insanın dikkatini gevşetir. Tutarın kuruşuna kadar yazılması (örneğin 2.847,60 TL), mesajın bir sistemden çıktığı izlenimini güçlendirir. Ücretliler, emekliler ve yıl içinde beyanname veren herkes “belki de gerçekten bir iadem vardır” diye düşünebilir. Dolandırıcılar gündemi de takip eder: beyanname dönemleri ya da vergiyle ilgili yeni bir düzenleme haberi, mesajın zamanlamasını daha inandırıcı kılar.

Mesajlar genellikle aynı kalıbı izler:

1. Gönderici: Rastgele bir cep numarası ya da resmi bir kurumu çağrıştıran bir gönderici adı. Gönderici adı tek başına kanıt değildir.
2. Yem: Onaylanmış bir iade ve kuruşlu bir tutar.
3. Baskı: “48 saat içinde doğrulamazsanız iade iptal edilir” gibi bir süre sınırı.
4. Bağlantı: vergi-iade-sorgu[.]com gibi, gov.tr ile bitmeyen ve genellikle yeni kaydedilmiş bir alan adı. Bu tür saldırıların genel adı SMS oltalamadır.

Bağlantıdaki sahte sayfa ne ister?

Bağlantı, Dijital Vergi Dairesi’ni ya da e-Devlet’i andıran bir sayfa açar. Sayfa önce T.C. kimlik numaranızı ve adınızı ister, ardından “iadenin yatırılacağı kart” için kart numarası, son kullanma tarihi ve CVV ister. Son adımda bankanızdan gelen tek kullanımlık SMS kodunu yazmanız istenir. Bazı sayfalar iadenin hesaba aktarılması için birkaç liralık bir “işlem ücreti” de ister; tutar küçüktür, ama amaç yine kart bilgisini ve onay kodunu almaktır.

Burada durup düşünmek yeterlidir: hesabınıza para almak için CVV’ye ya da bankanın onay koduna gerek yoktur. Bu bilgiler harcama yapmaya yarar. Dolandırıcılar bu kodla “iade” adı altında kartınızdan bir ödemeyi onaylar ya da kartınızı kendi cihazlarındaki bir dijital cüzdana ekler. Bankanızdan gelen SMS’i dikkatle okursanız çoğu zaman gerçek tutarı ve iş yerini görürsünüz; metin bir iade değil, bir harcama onayıdır.

Bazı sürümler kart yerine e-Devlet şifrenizi ister ya da “iade takip uygulaması” adıyla bir APK dosyası yüklemenizi söyler. Şifrenizi girdiyseniz e-Devlet şifrem ele geçirildi rehberimizdeki adımları izleyin. Sahte e-Devlet sayfalarını adresinden tanımak için e-Devlet sahte site yazımıza bakabilirsiniz.

Gerçek vergi iadesi nasıl işler, nasıl doğrularsınız?

Vergi iadesi, fazla ya da yersiz ödenen verginin geri verilmesidir ve sizin başlattığınız bir süreçtir: beyanname verirsiniz ya da iade talebinde bulunursunuz, vergi dairesi talebi inceler. Sizin başlatmadığınız bir iadenin, tanımadığınız bir numaradan gelen bir bağlantıyla “hazır” olduğunun bildirilmesi bu akışa uymaz. İade beklemiyorsanız sorgulama yapmanıza bile gerek yoktur: mesajı bildirip silmeniz yeterlidir. İade bekliyorsanız da mesajdaki tutarı ve tarihi doğrulama ölçütü olarak kullanmayın; bu ayrıntılar inandırıcılık için uydurulur.

Bir iade beklediğinizi düşünüyorsanız durumu şu resmi kanallardan kontrol edin:

• Dijital Vergi Dairesi: Adresi kendiniz yazın: dijital.gib.gov.tr.
• GİB’in resmi sitesi ve GİB Mobil: gib.gov.tr ve uygulama mağazasındaki resmi GİB uygulaması.
• Vergi İletişim Merkezi (VİMER): 189’u arayarak bilgi alabilirsiniz.
• Vergi daireniz: İade talebinizi verdiğiniz vergi dairesi, sürecin hangi aşamada olduğunu söyleyebilir.

Anadolu Ajansı’nın Ekim 2024’te aktardığına göre GİB, kendi adına gönderilen sahte “vergi borcunuz var” e-postalarına karşı da uyarmış, işlemlerin ve ödemelerin www.gib.gov.tr, Dijital Vergi Dairesi, GİB Mobil ve anlaşmalı bankalar üzerinden yapılmasını istemiş, bilgi için de VİMER 189’u göstermişti. Senaryo iade de olsa borç da olsa kural aynıdır: vergiyle ilgili her bilgiyi kendi açtığınız resmi kanaldan doğrulayın.

Bilgilerinizi girdiyseniz ilk yapmanız gerekenler

1. Bankanızı hemen arayın. Kartın arkasındaki numarayı kullanın; kartı kapattırın, kartınızın bir dijital cüzdana eklenip eklenmediğini sorun ve tanımadığınız işlemlere itiraz edin.
2. SMS kodunu paylaştıysanız bunu söyleyin. Kodun neyi onayladığını bankanız işlem kayıtlarından görebilir.
3. e-Devlet şifrenizi girdiyseniz şifrenizi değiştirin ve iki aşamalı girişi açın.
4. Kimlik bilgilerinizi paylaştıysanız dikkatli olun. Adınızı ve T.C. kimlik numaranızı bilen biri, sonradan kendini banka görevlisi ya da polis olarak tanıtıp sizi arayabilir. Böyle bir aramada bilgi vermeyin; kurumu kendiniz, resmi numarasından arayın.
5. Bir uygulama yüklediyseniz telefonun internet bağlantısını kesin, uygulamayı kaldırın ve bankacılık şifrelerinizi başka, temiz bir cihazdan değiştirin.
6. Şikâyette bulunun. Para kaybınız varsa en yakın kolluk birimine ya da Cumhuriyet Başsavcılığına başvurun. Mesajın ekran görüntüsünü, bağlantıyı ve banka kayıtlarını saklayın. Ayrıntılı yol haritası için dolandırıldım sayfamıza bakın.

Mesajı nereye bildirirsiniz?

Bağlantıya tıklamamış olsanız bile bildirmek, aynı mesajı alan başkalarını korur:

• USOM: Bağlantıyı ihbar formuyla ya da ihbar@siberguvenlik.gov.tr adresine bildirin.
• Google Safe Browsing: Sahte iade sayfasını Google’ın bildirim formuyla tarayıcı uyarı listesi için incelemeye gönderebilirsiniz.
• VİMER 189: Mesajın GİB ile bir ilgisi olup olmadığını sorabilirsiniz.
• Telefonunuz: Mesajlaşma uygulamanızdaki istenmeyen mesaj bildirme seçeneğini kullanın ve göndereni engelleyin.

Şüpheli bir bağlantıyı açmadan önce Link Kontrol aracımızla inceleyebilirsiniz. Aynı mekanizmanın kargo teslimatı bahanesiyle nasıl kullanıldığını ise sahte kargo SMS’leri yazımızda anlattık.

Kurumlar ve markalar için: iade senaryosu sizin adınızla da kullanılabilir

“İade” yemi yalnızca vergiyle sınırlı değildir. Aynı kurgu; bankaların “kart aidatı iadesi”, e-ticaret sitelerinin “sipariş iadesi”, enerji ve iletişim şirketlerinin “fazla ödeme iadesi” bahaneleriyle de kullanılır. Bu durumda mesajı alan müşteri dolandırıcılığı sizin markanızla ilişkilendirir ve şikâyetler sizin çağrı merkezinize gelir.

Markanızın adı böyle bir kampanyada kullanılıyorsa iki şey işe yarar: müşterilerinize gerçek iadelerin hangi kanaldan ve nasıl yapıldığını açıkça duyurmak ve sahte sayfaları hızla kapattırmak. Phishvoid, markanızı taklit eden sahte siteleri izler, her birini ekibiyle doğrular ve USOM, tarayıcı engel listeleri, barındırma firmaları ve alan adı kayıt firmalarına bildirerek kaldırma sürecini yürütür.

Kendi tarafınızda da yapabilecekleriniz var. Müşteri iletişiminde “SMS bağlantısıyla asla kart bilgisi istemeyiz” cümlesini sabit bir ilke hâline getirin ve bunu web sitenizde, uygulamanızda ve gerçek mesajlarınızda tekrarlayın. Müşterilerinizin şüpheli mesajları iletebileceği tek bir e-posta adresi ya da form belirlemek de yeni kampanyaları erken fark etmenizi sağlar.

Sık sorulan sorular

GİB vergi iadesi için SMS gönderir mi?

GİB’in duyuruları, kart bilgisi karşılığında iade vaat eden mesajların sahte olduğunu ve kurumun vergi iadesi için e-postayla iletişim kurmadığını belirtir. Bir SMS aldıysanız bağlantıyı açmayın; iadenin gerçek olup olmadığını Dijital Vergi Dairesi’nden ya da VİMER 189’dan sorun.

Vergi iadesi almak için kart bilgisi vermem gerekir mi?

Para almak için kartın CVV’sine ya da bankanızın gönderdiği onay koduna gerek yoktur. Bu bilgileri isteyen bir “iade” sayfası, kartınızla harcama yapmaya çalışıyordur.

Aynı mesaj e-postayla geldiyse ne değişir?

Hiçbir şey değişmez; yalnızca kanal farklıdır. GİB, vergi iadesi dahil vergilendirme işlemleri için mükelleflerle e-posta yoluyla iletişim kurmadığını açıklamıştır. E-postadaki bağlantıyı açmayın, eki indirmeyin ve iadenin durumunu Dijital Vergi Dairesi’nden kontrol edin.

Bağlantıya tıkladım ama hiçbir şey girmedim. Risk var mı?

Bilgi girmediyseniz ve bir dosya indirip yüklemediyseniz risk düşüktür. Sayfayı kapatın, mesajı silin ve bağlantıyı USOM’a bildirin. Bir dosya indirildiyse açmadan silin.

Kaybettiğim parayı geri alabilir miyim?

Bu, işlemin türüne ve ne kadar hızlı davrandığınıza bağlıdır. Bankanızı ne kadar erken ararsanız kart kapatma ve itiraz işlemleri o kadar etkili olur. Kesin bir sonuç vaat edilemez, ancak hızlı başvuru ve şikâyet kaydı her durumda önemlidir.