SMS ve telefon dolandırıcılığı

Açılış

Selin'in annesi Bursa'da yalnız yaşıyordu. Bir perşembe sabahı telefonu çaldı; arayan kendini emniyetten bir komiser olarak tanıttı, sicil numarasını söyledi ve sesi ciddiydi. Annesinin adının ve kimlik numarasının bir dolandırıcılık soruşturmasında geçtiğini, banka hesabındaki paranın tehlikede olduğunu anlattı. Sonra hattı "dosyadan sorumlu savcıya" aktardı. İkinci ses daha da resmiydi: paranın güvenceye alınması için çekilmesi, soruşturma bitene kadar devlet adına bir görevliye teslim edilmesi gerekiyordu. Bir de şart koydu: soruşturmanın gizliliği nedeniyle kimseye, çocuklarına bile söylememeli ve telefonu kapatmamalıydı.

Annesi telefon açıkken bankaya gitti. Gişedeki görevli, yaşlı bir müşterinin elinde açık bir telefonla, her zamankinden çok büyük bir tutarı nakit çekmek istediğini görünce bir soru sordu: "Bu parayı kime vereceksiniz?" Annesi cevap veremedi. Görevli bir şey daha söyledi: "Polis de savcı da sizden para istemez. Telefonu kapatın, oğlunuzu ya da kızınızı arayın."

Annesi telefonu kapattı ve Selin'i aradı. Para bankada kaldı. Akşam Selin, annesinin "ama kapatmamamı söylemişlerdi" cümlesinde takılı kaldı: bütün düzen, o hattın açık kalmasına dayanıyordu. Bu ders, telefona gelen kısa mesajlarda ve aramalarda dolandırıcının hangi düzeni kurduğunu ve onu bozan en basit alışkanlığı anlatıyor.

Tek fikir

Telefonda dolandırıcı, düşünmene ve başkasına danışmana izin vermeyen bir kanal kurar. Savunma o kanalı kırmaktır: kapat, ve kendi bildiğin numaradan sen ara.

Nasıl çalışır

Oltalama e-postasını okumak dersinde bir mesajı dört yerden inceledik. Telefonun küçük ekranında bu imkânların çoğu kaybolur. SMS'te gönderen satırında çoğu zaman tek başına bir kurum adı ya da kısa bir numara durur; bağlantı kısaltılmıştır ve gerçek adresi görmek zordur. Bir aramada ise okuyacak hiçbir şey yoktur; yalnız bir ses ve bir hikâye vardır.

Türkiye'de sık görülen kalıplar birbirine benzer. Kargo kalıbı, teslim edilemeyen bir gönderiden ve ödenmesi gereken küçük bir gümrük ya da adres düzeltme ücretinden söz eder. Banka kalıbı, hesapta şüpheli bir işlemden ya da kartın bloke edildiğinden söz eder. Resmî kurum kalıbı, ödenmemiş bir borçtan, bir cezadan, bir iadeden ya da bir hak kazanımından söz eder. Hepsinin sonu aynıdır: bir bağlantıya kart bilgisi yazmak ya da bir numarayı aramak.

Aramalar, sosyal mühendisliğin en canlı biçimidir.

Telefon dolandırıcılığının gücü üç unsurdan gelir. Birincisi kimliktir: ekranda bir bankanın ya da bir kurumun numarası görünebilir. Telefon şebekesinin bazı yolları arayan numarayı arayanın belirlemesine izin verir; bu yüzden ekrandaki numara, arayanın kim olduğunun kanıtı değildir. İkincisi bilgidir: arayan senin adını, kimlik numaranı, bankanı ya da son siparişini bilir ve bu, onu içeriden biri gibi gösterir. Üçüncüsü ve en önemlisi kanaldır: arayan hattı açık tutar, seni bir sonraki adıma yönlendirir, bir başka "yetkiliye" aktarır, kapatmamanı ve kimseye söylememeni ister. Bu kanal açık kaldıkça kurban bir başkasına danışamaz ve kendi doğrulamasını yapamaz.

Savunmanın adı da buradan çıkar.

Kuralın bir inceliği vardır. Kapattıktan hemen sonra aynı telefondan geri aramak yerine, mümkünse başka bir telefondan aramak ya da birkaç dakika beklemek daha güvenlidir; çünkü bazı dolandırıcılar hattı kapanmamış gibi tutup "geri arama"yı da kendileri karşılamaya çalışabilir. Basit tutmak gerekirse: kapat, nefes al, başka bir telefondan ya da birkaç dakika sonra, kendi bulduğun numarayı ara.

Sahada

Savunma

Telefon dolandırıcılığına karşı savunma, bir cümleyle özetlenebilecek kadar basittir ama bir alışkanlık olarak kurulması gerekir.

İlk savunma, geri arama ilkesidir. Para, kod, parola, kart bilgisi ya da bir program kurulması isteyen her aramada, istek makul bile görünse, konuşmayı bitir ve kurumu kendi bulduğun numaradan ara. Gerçek bir kurum bu kuraldan alınmaz; sahtesi ise kanalı kaybeder.

İkinci savunma, hiçbir kurumun istemediği şeyleri bilmektir. Bankalar telefonla kart şifresi, internet bankacılığı parolası ya da telefona gelen doğrulama kodu istemez. Polis, savcı ya da hiçbir kamu görevlisi, bir soruşturma için senden para çekmeni, birine teslim etmeni ya da bir hesaba aktarmanı istemez. Bu isteklerden biri geldiğinde ikinci bir soruya gerek yoktur: konuşma dolandırıcılıktır.

Üçüncü savunma, "kapatma" ve "kimseye söyleme" isteklerini bir alarm olarak okumaktır. Gerçek bir kurumun, seni yakınlarına danışmaktan alıkoyması için hiçbir sebebi yoktur. Bu istek, dolandırıcının kanalını korumaya çalıştığının en açık işaretidir.

Dördüncü savunma, kısa mesajlarda bağlantıya değil, kurumun kendi uygulamasına ya da sitesine gitmektir. Kargoyu kargo uygulamasından, borcu e-Devlet'ten, bankayı banka uygulamasından kontrol etmek, mesajın gerçek olup olmadığını sormadan cevabı verir.

Aile için savunma, önceden konuşmaktır. Yaşlı yakınlarla, bir "kimseye söyleme" aramasında ilk aranacak kişinin kim olduğu bir kez konuşulmalı ve bir kâğıda yazılmalıdır. Selin'in annesini, bir banka görevlisinin dikkati kurtardı; aynı dikkati her seferinde dışarıdan beklemek yerine, kuralın evde önceden kurulması gerekir.

Kurum için savunma, süreçtir: bilgi işlemin kimseyi arayıp program kurdurmadığını, finans biriminin telefonla ödeme talimatı almadığını herkesin bildiği ve yazılı olduğu bir düzen.

Uygulama

Telefonunda dolandırıcılık aramalarına ve mesajlarına karşı birkaç ayar yapacak, geri arama numaralarını hazırlayacak ve en az bir yakınınla bir kural kuracaksın.

O beş dakikalık konuşma, bu dersteki bütün ayarlardan daha değerli olabilir.

Defter: Doğrulama kanalları sayfasına geri arama numaralarının telefona kaydedildiği notu. Aile bölümüne kurulan kural, kimle kurulduğu ve tarih. Telefonun hangi koruma ayarlarının açıldığı.

Hata köşesi

Etik ve sınırlar

Dolandırıcı olduğunu düşündüğün bir numarayı geri arayıp onlarla oyalanmak, onlara ders vermeye çalışmak ya da onları kaydedip paylaşmak, seni ve numaranı hedef listesinde daha görünür kılar ve gerçek bir soruşturmayı zorlaştırabilir; doğru yol bildirmek ve, zarar varsa, kolluğa başvurmaktır. Bir yakının adına bankasını ya da bir kurumu aramak ise, onun izni ve bilgisi olmadan yapılmaz; Selin annesinin hesabı için bankayla, annesinin yanında ve onun onayıyla konuştu. Bu derste hazırladığın aile kuralını da, karşındakini korkutmadan, onun kararı olarak kur: kural, ona bir yük değil bir dayanak olmalıdır.

Kapanış

1. Telefonda dolandırıcılık, kısa mesajla yapılan oltalama ve sesli oltalama olarak gelir; teslimat, finans ve kamu kurumu taklidi en sık kalıplardır ve hepsi bir bağlantıya, bir numaraya ya da bir ödemeye çıkar.
2. Arayanın gücü taklit edilebilen numaradan, sızıntılardan bilinen bilgiden ve en çok da açık tutulan kanaldan gelir; "kapatma" ve "kimseye söyleme" istekleri dolandırıcılığın en açık işaretidir.
3. Savunma geri arama ilkesidir: konuşmayı bitir, kurumu kendi bulduğun numaradan, mümkünse başka bir telefondan ara; bankalar kod istemez, kamu görevlileri para istemez, ve aile içinde bu kural önceden konuşulur.

Üç soru

1. Selin'in annesini arayanlar neden telefonu kapatmamasını ve kimseye söylememesini istedi?
2. Kıdemli çalışan, ekranda bankanın numarası göründüğü hâlde neden kodu söylemedi ve nasıl doğruladı?
3. Duru, e-Devlet adına gelen ceza mesajının gerçek olup olmadığını bağlantıya tıklamadan nasıl öğrendi?

Yanıtlar

1. Dolandırıcılığın bütün düzeni kanalın açık kalmasına dayanıyordu. Hat açıkken Selin'in annesi kimseye danışamaz, kendi doğrulamasını yapamaz ve yönlendirmeleri sırayla izlerdi. Kapatmak ve bir yakınını aramak, dolandırıcının kanalını kıracaktı; nitekim görevlinin uyarısıyla kapattığında düzen çöktü.
2. Ekrandaki numara taklit edilebilir ve bankalar telefonla doğrulama kodu istemez. Kıdemli çalışan konuşmayı bitirdi, büronun sabit hattından kartın arkasındaki numarayı arayarak bankaya kendisi ulaştı; banka böyle bir arama yapmadığını ve hesapta bir giriş denemesi olduğunu söyledi.
3. Bağlantı yerine telefonundaki e-Devlet uygulamasını kendisi açtı ve borç kaydının olmadığını gördü. Mesajın gerçek olup olmadığını sormak yerine, kurumun kendi kanalından bakmak cevabı doğrudan verdi.

Sonraki derse köprü

Duru'nun mesajındaki bağlantı, e-Devlet'in adını taşıyan ama e-Devlet olmayan bir siteye gidiyordu. Kısa mesajlarda ve e-postalarda en sık son durak böyle bir sayfadır: gerçek kurumun adını, logosunu ve tasarımını taşıyan, ama alan adı başka olan bir site. Ders 7.4 sahte siteleri ve alan adlarını ele alıyor: benzer alan adlarını, alt alan adı oyunlarını ve adres çubuğunu doğru okumayı.