Dolandırıcılar, sahte numaralarla vatandaşları arayarak banka çalışanı gibi davranıyor ve dakikalar içinde hesaplarındaki parayı çekiyor. Siber güvenlik uzmanı Osman Demircan, dolandırıcıların telefon numarasını istediği gibi gösterebildiği Caller ID Spoofing yöntemine karşı ‘tersine iletişim’ kuralını anlatarak güvenlik ipuçlarını paylaştı. "Banka her olağan dışı işlemi engellerse bankacılık sistemi kilitlenir" diyen Demircan, Yargıtay kararlarına da değinerek şifresini kendi paylaşanların "ağır ihmali" bulunduğunun kabul edildiğini de vurguladı.
Bireysel emeklilik sistemi (BES) veya vergi iadesi bekleyen vatandaşlara kendilerini bankacı olarak tanıtan dolandırıcılar, hesaplarında unutulmuş para olduğunu söyleyerek internet bankacılığı şifresini alıyor. Hesap bilgilerine ulaşan dolandırıcılar dakikalar içnide hesapları boşaltırken vatandaşların adına kredi de çekiyor.
Hürriyet gazetesine konuşan Siber güvenlik uzmanı Osman Demircan, bu dolandırıcılık tuzağına düşünce neler yapılabildiğini, hukuki sorumluluğun kime ait olduğunu ve dolandırıcılara karşı vatandaşların kendini nasıl koruyacağını anlattı.
Telefondaki tuşlama anında banka sistemlerinin durumu hemen fark edemediğini aktaran Demircan, bankanın ancak işlem sonrasında davranışsal verileri izleyebildiğini belirtti.
Demircan, kullanıcının sahte bir çağrı merkezinde 6 haneli şifresini tuşladığında banka sistemine müşterinin şifresini dolandırıcıyla paylaştığına ilişkin bilgi gitmediğini ifade etti. Demircan, banka sisteminin yapabileceği şeyin daha sonra kendi sistemine yapılan girişin özelliği olduğunu aktararak hangi IP adresinden, hangi konumdan ve hangi kullanıcı hesabıyla giriş yapıldığının incelenebileceğini söyledi.
Demircan, uzun süre aynı cihazı ve konumu kullanan bir müşterinin birden farklı bir cihazdan girip yeni bir IBAN’a yüksek miktarda para aktarmasının güçlü bir risk sinyali olduğunu, bankaların bu aşamada işlemi engelleyebileceğini veya ek doğrulama isteyebileceğini belirtti. Osman Demircan, dolandırıcıların elinde hem şifre hem de SMS kodu olursa riskin katlandığını ifade etti.
Demircan, mevzuata göre bankaların dolandırıcılık riski taşıyan durumlar için takip mekanizması kurmak zorunda olduğunu hatırlattı ve sistemin önündeki en büyük engelin ‘yanlış alarm riski’ olduğunu belirtti.
Bir müşterinin aynı oturumda vadeli hesabını bozmasının, döviz satmasının, limit artırıp kredi çekmesinın ve tüm parayı hiç tanımadığı birine transfer etmesinın güçlü bir dolandırıcılık zinciri oluşturduğunu vurgulayan Osman Demircan, şunları kaydetti:
"Tek tek bakıldığında bunların hepsi meşru işlemlerdir. Ancak zincir halinde bakıldığında dolandırıcılık tablosu ortaya çıkar. Burada bankalar için ana risk, gerçek müşterinin meşru işlemini dolandırıcılık sanıp durdurma problemidir. Bir vatandaş gerçekten araç satın almak için yıllardır dokunmadığı mevduatını bozup kredi çekebilir. Banka her olağan dışı işlemi engellerse bankacılık sistemi kilitlenir. Sosyal mühendislik saldırılarının tehlikeli tarafı, saldırganın güvenlik mekanizmasını kırmak yerine müşteriyi güvenlik mekanizmasının bir parçası haline getirmesidir. Yine de son 15 dakika içinde limit artırımı, kredi kullanımı ve yeni IBAN'a tüm paranın aktarılması kombinasyonu çok güçlü bir alarm üretmelidir."
Demircan, yargıtay kararlarına da değinerek yargıda ‘sabit bir oran’ bulunmadığını, her olayın kendi şartlarına göre değerlendirildiğini belirtti. Osman Demircan, Yargıtay'ın geçmişte bankaları ‘güven kuruluşu’ sayarak ağırlaştırılmış sorumluluk yüklediğini, ancak son dönemde müşterinin kendi eliyle yaptığı işlemlerde kararların değiştiğini aktardı.
Eski yaklaşıma göre, Yargıtay 13. Hukuk Dairesinin 2013/7902 E. sayılı kararında, müşterinin kusurlu olduğunu ispat yükünün bankada olduğu ve banka bunu ispatlayamazsa zararın tamamını karşılamakla yükümlü olabileceği vurgulandı.
Güncel yaklaşıma göre, Yargıtay 11. Hukuk Dairesinin 2024/5531 K. ve 2024/4757 K. sayılı güncel kararlarında; mağdurun dolandırıcı yönlendirmesiyle kendi cihazından mobil bankacılığa girip kredi çekmesi ve transfer yapması durumunda müşterinin ‘ağır ihmali’ bulunduğu kabul edildi ve davanın reddi kararları onandı.
Demircan, şifrenin üçüncü kişi tarafından çalınması ile müşterinin ikna edilip işlemleri kendi eliyle yapmasının hukuken aynı olmadığı konusunda uyardı ve bu nedenle 'şifreyi verdim tüm haklarımı kaybettim' demenin de 'dolandırıldım banka kesin öder' demenin de doğru olmadığını ifade etti.
Dolandırıldığını ve şifresini paylaştığını fark eden kişilerin ne yapması gerektiğini 7 aşamada aktaran Osman Demircan, hızla hareket etmenin önemini vurgulayarak şunları sıraladı:
“Görüşmeyi derhal kesin: Dolandırıcıdan gelen hiçbir aramayı veya SMS’i yanıtlamayın.
Resmi numaradan bankayı arayın: Resmi kanaldan ulaşıp dijital bankacılığa, kartlara ve kredi kanallarına acil bloke konulmasını isteyin.
Alıcı bankaya ihbar geçin: Para transferi yapıldıysa, alıcı bankaya acil fraud ve bloke talebi gönderilmesini sağlayın.
Şifreleri güvenli cihazdan değiştirin: Yönlendirmeyle telefona bir uygulama kurulduysa o cihazı bankacılık için kesinlikle kullanmayın.
GSM operatörünü kontrol edin: SIM değişikliği veya hat yönlendirmesi şüphesine karşı operatörünüzle iletişime geçin.
Delilleri karartmayın: SMS, ekran görüntüsü, arama kaydı, IBAN ve dekontları silmeyin.
Emniyet veya savcılığa başvurun: Tüm delillerle resmi şikâyette bulunun.”
Osman Demircan, gelecekte sadece klasik SMS doğrulamasının yeterli olmayacağını belirtti. Demircan, bankacılık uygulamasında hayata geçirilmesi gereken yenilikler arasında şunları değerlendirdi:
“Kullanıcıdan saldırgana aktarılabilecek klasik parolalar yerine oltalama saldırılarına dayanıklı kriptografik doğrulamalara geçilmeli. Biyometrik doğrulama ekranında sadece 'Onaylıyor musunuz?' yazmamalı; ekran büyüklüğünde '150.000 TL – Osman X – TR... IBAN – İlk kez para gönderiyorsunuz' uyarısı çıkmalı. Müşterinin yüzü veya parmak izi, işlemi bu detaylarla imzalamalı. Ayrıca teknik sınırlar elverdiğince, kullanıcı aktif bir telefon görüşmesi yaparken yüksek tutarlı bir transfer deniyorsa ekranda 'Şu anda telefonda biri size bu işlemi yaptırıyorsa derhal durdurun' şeklinde anlık bir uyarı gösterilmelidir."
Demircan, dolandırıcıların Caller ID Spoofing yöntemiyle ekranda görünen numarayı istediği gibi değiştirebildiğini ve bu nedenle arama motorlarına güvenmenin hatalı olduğunu ifade ederek şunları kaydetti:
"Arayan numarayı Google'da arattığınızda bankanın resmi numarası çıkabilir. Yargıtay dosyalarına da konu olan bu yöntemde sahtekârlar, banka çağrı merkezinin numarasını kopyalayarak arama yapıyor. Bu yüzden ekrandaki numaraya asla güvenmeyin. Arayan kişi sizden şifre, SMS kodu istiyor, 'telefonu kapatmayın' diyor veya 'paranızı güvenli hesaba aktaracağız' diyorsa kesinlikle dolandırıcıdır. En güvenli doğrulama yöntemi, iletişimi tersine çevirmektir. Telefonu kapatın ve bankanızın kartının arkasındaki ya da resmi uygulamasındaki numarayı siz arayın."