Hızlı cevap: Telefonla dolandırıcılık (vishing), sizi arayan kişinin bankanız, bir kamu kurumu, savcılık ya da operatörünüz olduğuna inandırıp, korku ya da aciliyet yaratarak para transferi ya da bilgi almaya dayanır. Değişmeyen kural şu: gerçek bir banka ya da kurum sizi arayıp asla parolanızı, kart bilgilerinizi, tek kullanımlık SMS kodunu ya da paranızı "güvenli hesaba aktarmanızı" istemez. Ekranınıza uzaktan bağlanmanızı isteyen, sizi hatta tutup başkasıyla konuşturmayan, "hesabınız tehlikede, hemen işlem yapın" diyen her arama şüphelidir. Doğru tepki tektir: telefonu kapatın, numarayı siz aramayın, kurumu kendi resmi numarasından siz arayın. Panikle atılan tek adım, bütün birikimi kaybettirebilir.

Telefon dolandırıcılığı, teknik bir açıktan değil, insanın reflekslerinden yararlanır: otoriteye güven, ceza korkusu, kaçırma endişesi. Arayan kişi çoğu zaman sakin, profesyonel ve ikna edicidir; elinde sizin adınız, bazen kimlik numaranız ya da son işleminiz gibi doğru bilgiler vardır ve bu, hikâyeyi inandırıcı kılar. Bu yazı, en yaygın senaryoları, arananın gerçekten kurum olup olmadığını nasıl anlayacağınızı ve kandırıldıysanız ne yapmanız gerektiğini anlatıyor.

En yaygın senaryolar

Dolandırıcılar birkaç kalıbı sürekli tekrarlar. En sık görülenler bir "banka güvenlik görevlisi"nin hesabınızda şüpheli işlem olduğunu söyleyip parayı "güvenli hesaba" aktarmanızı istemesi; bir "savcı" ya da "polis"in adınıza suç kaydı olduğunu, para yatırarak ya da bilgi vererek durumu düzeltebileceğinizi söylemesi; bir "operatör çalışanı"nın hattınızın kapatılacağını söyleyip uzaktan erişim ya da kod istemesi. Hepsinin ortak dokusu aynı: otorite, korku ve acele.

Bu aramalar giderek daha inandırıcı hale geliyor, çünkü dolandırıcılar önceden sızmış verilerle sizi tanıyor olabiliyor; bu verilerin nereden geldiğini sızan parolalar ve veri ihlalleri yazısında ele aldık. Ayrıca arayan numara sahte gösterilebilir (numara sahteciliği), yani ekranda bankanızın numarası görünse bile arayan başkası olabilir.

Gerçek kurum mu, dolandırıcı mı

Davranış Gerçek kurum Dolandırıcı
Parola / SMS kodu ister Asla Sık sık
Parayı "güvenli hesaba" aktart Asla Klasik
Uzaktan erişim / ekran paylaşımı Asla Sık sık
Acele ettirir, korkutur Nadiren Her zaman
Siz geri arayın der Sorun etmez İstemez, hatta engeller
Kimliğini doğrulatmanıza izin verir Evet Kaçınır

En keskin test şudur: telefonu kapatıp kurumu kendi resmi numarasından siz arayın. Gerçek bir kurum bundan rahatsız olmaz; dolandırıcı ise sizi hatta tutmaya, kapatmamaya çalışır.

Yeni tehdit: sesli deepfake

Artık bir aile bireyinizin ya da yöneticinizin sesini yapay zekâ ile taklit eden aramalar da var. Telefonda tanıdık bir ses panik içinde sizden acil para istiyor. Ses tanıdık geldiği için savunmanız düşüyor. Böyle bir durumda, o kişiyi bildiğiniz kendi numarasından geri arayarak doğrulayın; bu tekniği deepfake çağında kimlik doğrulama yazısında ayrıntılandırdık. Kurumlar için de aynı risk geçerlidir: bir "genel müdür" araması, e-posta ve telefon yoluyla CEO sahtekarlığının sesli versiyonu olabilir.

Kandırıldıysanız ilk adımlar

Para transferi yaptıysanız zaman kritiktir. Derhal bankanızı kendi resmi numarasından arayıp işlemi durdurmayı ya da geri çağırmayı isteyin; ne kadar hızlı davranırsanız paranın geri gelme ihtimali o kadar yüksektir. Bilgi (parola, kod, kart) paylaştıysanız, ilgili hesapların parolasını değiştirin ve kartı bloke ettirin. Görüşmenin tarihini, saatini, numarayı ve konuşulanları not edin. Ardından emniyetin siber suçlar birimine ya da savcılığa başvurun. Ayrıntılı adımlar için internetten dolandırıldım ne yapmalı rehberine bakabilirsiniz.

Ailenizi ve çalışanlarınızı koruyun

Vishing özellikle yaşlıları ve konuya yabancı çalışanları hedefler. Aile içinde basit bir kural koymak çok işe yarar: "bir kurum arayıp para ya da kod isterse, kapat ve bana danış." Kurumlarda ise finans ve muhasebe ekiplerine, telefonla gelen acil ödeme taleplerini ikinci bir kanaldan doğrulama alışkanlığı kazandırmak, bu tür dolandırıcılığın en etkili panzehridir. Bir oltalama ve sosyal mühendislik simülasyonu bu refleksi ölçülebilir kılar.

KAOS ve DSET yaklaşımı

DSET, kurumları sosyal mühendislik saldırılarına karşı hazırlar: telefon ve e-posta yoluyla gelen dolandırıcılığa dair farkındalık eğitimi, ikinci-kanal doğrulama süreçleri ve simülasyonlar. Yerel yapay zekâ motorumuz KAOS, kurumun sızmış verilerini ve marka taklidini tarayarak, dolandırıcıların bu aramalarda kullanacağı bilginin nereden geldiğini gösterir. Amaç, bir çalışanın o telefonu kapatıp doğrulama refleksini kazanmasıdır.

Sık sorulan sorular

Ekranda bankamın numarası görünüyor, o zaman gerçek değil mi? Şart değil. Dolandırıcılar arayan numarayı sahte gösterebilir (numara sahteciliği), yani ekranda bankanızın gerçek numarası görünse bile arayan başkası olabilir. Ekrandaki numaraya güvenmeyin. Şüphe duyduğunuz an telefonu kapatın ve kurumu kendi resmi numarasından siz arayın.

Gerçek banka beni hiç aramaz mı? Arayabilir, ama sizden asla parolanızı, tek kullanımlık SMS kodunuzu ya da paranızı bir hesaba aktarmanızı istemez. Bunları isteyen her arama dolandırıcılıktır. En güvenli davranış, aramayı kapatıp bankayı kendi resmi numarasından geri aramaktır; gerçek bir kurum bundan rahatsız olmaz.

Tanıdığımın sesiyle aradılar, nasıl emin olurum? Ses yapay zekâ ile taklit edilebiliyor, bu yüzden tanıdık bir ses tek başına güvence değildir. O kişiyi bildiğiniz kendi numarasından siz geri arayarak doğrulayın. Acil para isteyen ve sizi doğrulama yapmaktan alıkoyan her arama, ses ne kadar tanıdık olursa olsun şüphelidir.

Kaynaklar

Kurumunuzu telefon ve sosyal mühendislik dolandırıcılığına karşı hazırlamak için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan farkındalık eğitimi ve simülasyon danışmanlığı sağlıyoruz.