Geçen ay, kendi anneme gelen bir “e-Devletten mesajınız var” SMS’iyle başlayan dolandırıcılık girişimi, bu tür saldırıların ne kadar yaygın ve hedef odaklı hale geldiğini bir kez daha gösterdi. Bu tür dolandırıcılıklar, genellikle banka hesap bilgilerini, kişisel verileri veya e-Devlet şifrelerini çalmak amacıyla kurgulanıyor ve Türkiye’de son yıllarda ciddi bir artış eğiliminde. Özellikle SMS ve e-Devlet kimliğine bürünme taktikleri, teknik bilgisi olmayan kullanıcılardan, yoğun iş temposundaki kurumsal çalışanlara kadar geniş bir yelpazeyi hedef alıyor.
Bu yazıda, Türkiye’de SMS ve e-Devlet dolandırıcılıklarının neden bu kadar yaygın olduğunu, saldırganların hangi teknikleri kullandığını ve hem bireysel hem de kurumsal olarak bunlara karşı nasıl korunabileceğimizi kendi saha tecrübelerimden yola çıkarak anlatacağım. Dolandırıcılıkların arkasındaki sosyal mühendislik ve teknik zafiyetleri anlamak, kendimizi ve çevremizi korumak için hayati önem taşıyor.
SMS Dolandırıcılıkları Neden Bu Kadar Yaygın?
SMS dolandırıcılıkları, saldırganlar için düşük maliyetli ve yüksek etkili bir yöntem olduğu için Türkiye’de oldukça yaygın. Bu tür saldırılar, genellikle kullanıcıların anlık panik veya merak duygularını hedef alarak, bilinçsizce kötü niyetli linklere tıklamalarını sağlamayı amaçlıyor. Saldırganlar, mesajların “resmi” bir kaynaktan geliyormuş gibi görünmesini sağlamak için SMS spoofing gibi teknikler kullanıyorlar.
Örneğin, bir üretim ERP’sinde çalıştığım dönemde, firmamızın tedarik zinciri entegrasyonlarını yaparken, kendi şirket çalışanlarımıza bile benzer “kargo gecikti” veya “fatura borcunuz var” temalı SMS’ler geldiğini gördüm. Bu durum, sadece son kullanıcıları değil, kurumsal ağ içindeki personeli de hedef alarak, potansiyel bir iç tehdit oluşturabiliyor. Mesajların kısa ve doğrudan olması, kullanıcıların hızlıca harekete geçme eğilimini artırıyor.
e-Devlet Kimliğine Bürünmek Nasıl Mümkün Oluyor?
e-Devlet gibi kritik platformların kimliğine bürünmek, dolandırıcıların en sevdiği taktiklerden biri çünkü e-Devlet, neredeyse her Türkiye Cumhuriyeti vatandaşının kullandığı ve güvendiği bir platform. Bu tür saldırılarda genellikle iki ana teknik kullanılıyor: SMS spoofing ve phishing siteleri. SMS spoofing ile mesaj, gerçekten e-Devlet’ten geliyormuş gibi gösteriliyor.
Daha sonra bu mesajlar, kullanıcıyı e-Devlet’in sahte bir kopyasına yönlendiriyor. Bu sahte siteler, gerçek e-Devlet arayüzüne neredeyse birebir benzetilerek kullanıcıların giriş bilgilerini ele geçirmeyi amaçlıyor. Bir yan ürünümün güvenlik analizlerini yaparken benzer phishing sitelerini inceledim ve saldırganların genellikle domain squatting veya typo-squatting teknikleriyle e-devlet.com.tr veya turkiye.gov.tr gibi adreslere çok benzeyen e-devletim.org veya turkiye-gov.net gibi domain’ler kaydettiklerini gördüm. DNS kayıtları incelendiğinde ise bu sitelerin gerçek e-Devlet sunucularıyla hiçbir bağlantısı olmadığı açıkça ortaya çıkıyor.
graph TD;
A["Dolandırıcı"] --> B["Sahte SMS Gönderimi (Spoofing)"];
B --> C["Kullanıcı SMS'i Alır"];
C --> D{"Linke Tıklar mı?"};
D -- Evet --> E["Oltalama Sayfasına Yönlendirilir"];
E --> F{"Kullanıcı Bilgilerini Girer mi?"};
F -- Evet --> G["Dolandırıcı Bilgileri Ele Geçirir"];
G --> H["Gerçek e-Devlet'e Yönlendirme (Kurbanı Kandırma)"];
Oltalama Saldırılarında Hangi Teknikler Kullanılıyor?
Oltalama (phishing) saldırıları, kullanıcıları kandırmak için çeşitli psikolojik ve teknik hileler kullanır. Bu saldırılarda en sık karşılaştığım tekniklerden biri, URL manipülasyonu ve link kısaltıcıların kullanımı. Dolandırıcılar, gerçek URL’leri gizlemek veya karmaşık göstermek için bit.ly veya tinyurl.com gibi servisleri kullanır, bu da kullanıcının linkin nereye gittiğini anlamasını zorlaştırır.
Ayrıca, sahte giriş sayfaları, e-Devlet veya banka giriş ekranlarına birebir benzeyecek şekilde tasarlanır. Bu sayfalar, kullanıcı adı ve şifre gibi kritik bilgileri girdikten sonra, genellikle bir hata mesajı gösterir veya kullanıcıyı gerçek siteye yönlendirir, böylece kurban durumu fark etmez. Mobil tarafta geliştirdiğim bir spam engelleyici uygulamayı test ederken, bu tür sahte sitelerin ne kadar ustaca hazırlandığını ve gerçeklerinden ayırmanın sıradan bir kullanıcı için ne kadar zor olduğunu bizzat gördüm. JWT veya OAuth2 gibi modern kimlik doğrulama desenleri kullanan platformlarda bile, kullanıcıların kimlik doğrulama akışını dikkatlice takip etmemesi, dolandırıcıların araya girmesine olanak tanıyabilir.
# Örnek bir kötü niyetli URL yapısı
# Gerçekte turkiye.gov.tr gibi görünse de, tıklandığında farklı bir yere gider
# Bu tür linklere dikkat etmek gerekiyor.
# Kötü niyetli bir link örneği (tıklamayın!)
phishing_link = "https://turkiye.gov.tr.guvenlik-kontrol.xyz/giris?token=12345"
# Bir başka örnek, URL encoding ile gizlenmiş
encoded_link = "https://www.example.com/redirect?url=https%3A%2F%2Fedevlet-giris.dolandirici.net%2Flogin"
print(f"Gelen mesajdaki link: {phishing_link}")
print(f"URL encoding kullanılmış link: {encoded_link}")Bu Tür Saldırılardan Bireysel Olarak Nasıl Korunabiliriz?
Bireysel olarak bu tür dolandırıcılıklara karşı korunmak için temel düzeyde dikkat ve bazı alışkanlık değişiklikleri gerekiyor. Öncelikle, gelen her SMS veya e-postaya şüpheyle yaklaşmak en önemli savunma hattı. Bir bankanın, kargo şirketinin ya da e-Devlet’in size SMS ile link göndermesi durumunda, bu linke doğrudan tıklamak yerine, ilgili kurumun resmi web sitesine veya mobil uygulamasına giderek durumu kontrol etmelisiniz.
Benim kendi sistem yönetiminde her zaman vurguladığım gibi, “güvenmeden doğrula” (verify, don’t trust) prensibi burada da geçerli. Özellikle e-Devlet söz konusu olduğunda, mobil uygulamayı kullanmak çok daha güvenli bir yöntemdir. Uygulama üzerinden işlem yapmak, sahte sitelere yönlendirilme riskini ortadan kaldırır. Ayrıca, tüm kritik hesaplarınızda iki faktörlü kimlik doğrulama (2FA) kullanmak, şifreniz çalınsa bile hesabınızın ele geçirilmesini zorlaştırır. Telefon numaranızı mümkün olduğunca herkese açık platformlarda paylaşmamak da, hedefli SMS saldırılarını azaltabilir.
Kurumsal Seviyede Hangi Önlemler Alınmalı?
Kurumsal seviyede SMS ve e-Devlet dolandırıcılıklarına karşı korunmak, bireysel önlemlerden daha kapsamlı bir strateji gerektiriyor. Kendi operasyonlarımda ve danışmanlık verdiğim şirketlerde gördüğüm en kritik nokta, çalışan farkındalığını artırmak. Düzenli güvenlik eğitimleri ve simülasyonlar (phishing testleri), personelin bu tür saldırıları tanımasını ve doğru tepki vermesini sağlıyor. Bir bankanın iç platformu için güvenlik mimarisi tasarlarken, çalışanlara yönelik siber güvenlik eğitimlerinin, en gelişmiş teknik güvenlik kontrolleri kadar önemli olduğunu bir kez daha anladım.
Teknik olarak ise, e-posta geçitlerinin (email gateways) DMARC, SPF ve DKIM gibi protokollerle doğru yapılandırılması, e-posta tabanlı oltalama saldırılarını büyük ölçüde engeller. Ayrıca, kurum içinde Zero Trust Network Access (ZTNA) mimarisini uygulamak ve ağ segmentasyonu yapmak, bir kullanıcının kimlik bilgileri ele geçirilse bile saldırganın ağ içinde yatayda ilerlemesini kısıtlar. DNS filtering ve web application firewall (WAF) çözümleri de kötü niyetli sitelere erişimi engelleyebilir. Kendi backend servislerimde, Nginx reverse proxy üzerinde sıkı rate limiting ve Web Application Firewall kuralları uygulayarak bu tür saldırıların etkisini azaltıyorum.
Gelecekteki Tehditler ve Savunma Stratejileri Neler Olacak?
Siber dolandırıcılık yöntemleri, teknolojinin gelişimiyle birlikte sürekli evriliyor ve gelecekte bizi daha sofistike saldırılar bekliyor olacak. Özellikle yapay zeka (AI), dolandırıcıların elinde güçlü bir araca dönüşüyor. AI, daha ikna edici ve hatasız phishing e-postaları veya SMS mesajları oluşturmak için kullanılabilir. Gelişmiş dil modelleri, kişiselleştirilmiş içerikler üreterek kurbanları daha kolay tuzağa düşürebilir.
Ayrıca, deepfake teknolojileri ile sesli veya görüntülü dolandırıcılıklar da artış gösterebilir, bu da özellikle yöneticileri veya aile üyelerini taklit ederek yapılan saldırıları daha tehlikeli hale getirir. Kendi AI uygulama mimarilerim üzerinde çalışırken, RAG (Retrieval-Augmented Generation) gibi tekniklerin kötüye kullanım potansiyelini de göz önünde bulunduruyorum; AI’ın mevcut verilerle kişiselleştirilmiş ve çok inandırıcı dolandırıcılık senaryoları üretmesi mümkün hale gelebilir. Bu tehditlere karşı savunma stratejilerimiz de adaptif olmalı. Proaktif tehdit istihbaratı, anomali tabanlı izleme sistemleri ve AI destekli güvenlik çözümleri, bu yeni nesil saldırıları tespit etmek ve engellemek için kritik önem taşıyacak.
Sonuç
Türkiye’de SMS ve e-Devlet dolandırıcılıkları, hem bireyler hem de kurumlar için ciddi bir tehdit oluşturuyor ve bu tehditler teknolojinin gelişimiyle birlikte daha da karmaşık hale geliyor. Bu dolandırıcılıkların temelinde yatan sosyal mühendislik ve teknik zafiyetleri anlamak, korunma stratejilerimizin ilk adımıdır. Şüphecilik, kritik hesaplarda 2FA kullanmak ve resmi kanalları teyit etmek gibi basit ama etkili adımlar, bireysel düzeyde büyük fark yaratabilir.
Kurumsal alanda ise çalışan eğitimleri, güçlü e-posta ve SMS güvenlik geçitleri, ZTNA ve sürekli güvenlik denetimleri vazgeçilmezdir. Gelecekte AI destekli saldırılarla karşılaşacağımız düşünüldüğünde, güvenlik yaklaşımlarımızı sürekli güncellemek ve proaktif çözümler geliştirmek zorundayız. Unutmayalım ki, siber güvenlik sadece bir teknoloji meselesi değil, aynı zamanda bir insan ve süreç meselesidir; en güçlü savunma, bilinçli ve eğitimli kullanıcılardır.