ABD'yi Saran Sahte Geçiş Ücreti SMS'leri: E-ZPass Oltalama Dalgasından Dersler
ABD'yi saran sahte 'ödenmemiş geçiş ücreti' SMS dalgası, Çin oltalama kitleriyle milyonlara ulaştı; Türkiye'deki HGS ve PTT mesaj tuzaklarının küresel ikizi.
Olay
2024 baharında ABD'de milyonlarca telefona benzer bir mesaj düşmeye başladı: "Kaydınızda 12,51 dolarlık ödenmemiş geçiş ücreti görünüyor. 50 dolarlık gecikme cezasından kaçınmak için bağlantıya tıklayıp borcunuzu kapatın." Mesajlar, ülkenin en yaygın otoyol geçiş sistemi olan E-ZPass'i (Türkiye'deki HGS'nin benzeri) ve eyaletlere göre değişen diğer geçiş servislerini taklit ediyordu. Bağlantı, gerçek kurum sitesinin neredeyse birebir kopyasına açılıyor; burada girilen kredi kartı ve kimlik bilgileri doğrudan dolandırıcılara gidiyordu.
FBI'ın İnternet Suçları Şikâyet Merkezi (IC3), Mart 2024'ün başından itibaren yalnızca birkaç hafta içinde en az üç eyaletten 2.000'i aşkın şikâyet aldığını duyurdu; 2024'ün tamamında şüpheli geçiş ücreti mesajlarına dair ihbar sayısı 60 bini aştı. Mesajların dili neredeyse aynıydı; kampanya bir eyalette söndükçe bir başkasında alevleniyordu. Aynı dönemde İngiltere'de Royal Mail, ABD'de USPS adına gönderilen "ödenmemiş kargo ücreti" mesajları da benzer altyapıyla yayıldı.
Güvenlik araştırmacılarına göre bu dalgaların arkasında tek tek amatörler değil, Çince konuşan siber suç gruplarının geliştirdiği hazır oltalama kitleri var. Bu kitler, sahte kurum sayfalarını, SMS ve iMessage gönderim altyapısını ve çalınan kart bilgilerini dijital cüzdanlara yükleme araçlarını abonelik usulü kiralıyor. Yani aynı "şablon", bir hafta ABD'de geçiş ücreti, ertesi hafta başka bir ülkede kargo bahanesiyle karşımıza çıkabiliyor.
Yöntem Nasıl İşliyor?
- Kit kiralama: Dolandırıcı, hazır oltalama kitini kiralar; kit, hedef ülkenin kurumuna uygun sahte site şablonlarıyla gelir.
- Toplu mesaj bombardımanı: On binlerce numaraya aynı anda SMS ya da iMessage gönderilir. Numaralar çoğu zaman rastgeledir; aracı olmayanlara bile mesaj gider.
- Küçük borç, büyük ceza: İstenen tutar bilerek küçüktür (birkaç dolar); asıl baskı "ödemezseniz katlanacak ceza" ve "hesabınız askıya alınacak" tehdididir.
- Kopya site: Bağlantı, kurumun logosunu ve tasarımını taşıyan sahte sayfaya gider. Kart numarası, son kullanma tarihi, güvenlik kodu ve bazen kimlik bilgileri istenir.
- Kartın sağılması: Çalınan kart, dakikalar içinde dolandırıcının telefonundaki dijital cüzdana tanımlanır ve alışverişte ya da hediye kartı alımında kullanılır.
Psikolojik kancalar: tutarın küçüklüğünün yarattığı "iki dakikada kapatayım" rahatlığı, gecikme cezası korkusu ve resmî kurum görünümünün verdiği sahte güven.
Türkiye'ye Yansıması
Bu dalganın Türkçesi yıllardır telefonlarımızda: HGS borcu, e-Devlet iadesi ya da "dağıtılamayan kargonuz var" bahanesiyle gelen mesajlar, aynı küresel şablonun yerli uyarlamaları. İstanbul'da çökertilen sahte PTT kargo SMS şebekesi, ABD'deki geçiş ücreti dalgasıyla neredeyse aynı iskeleti kullanıyordu: küçük bir "gümrük/teslimat ücreti", sahte kurum sitesi ve kart bilgisi toplayan form. Samsun'daki sahte e-Devlet SMS operasyonu da aynı ailenin üyesi. Hazır kitler sayesinde bu kampanyaların Türkçe sürümlerinin daha sık ve daha kusursuz Türkçeyle gelmesi beklenmeli; yazım hatası aramak artık yeterli bir savunma değil. Benzer vakaların tamamı için SMS ve oltalama kategorisine bakabilirsiniz.
Uyarı Sinyalleri
- Aracınız ya da aboneliğiniz olmadığı hâlde gelen "borcunuz var" mesajları.
- Küçük bir tutarın, büyük bir gecikme cezası tehdidiyle birlikte istenmesi.
- Mesajdaki bağlantının resmî alan adından farklı, uzun ya da garip ekli olması (ör. kurum adının yanına eklenmiş rastgele kelimeler).
- Yurt dışı numaradan veya kişisel görünümlü hattan gelen "kurumsal" mesajlar.
- Ödeme sayfasının kart bilgisinin yanında TC kimlik numarası gibi gereksiz veriler istemesi.
Nasıl Korunursunuz?
- Geçiş ücreti, vergi ya da kargo borcunuzu asla SMS'teki bağlantıdan ödemeyin; kurumun resmî uygulamasını veya adresini kendiniz yazarak açın.
- HGS borcunuzu yalnızca PTT'nin resmî kanalları, bankanız veya e-Devlet üzerinden sorgulayın.
- Şüpheli mesajı yanıtlamayın; bağlantıya "sadece bakmak" için bile tıklamayın.
- Kart bilgilerinizi girdiyseniz vakit kaybetmeden bankanızı arayıp kartı kapattırın ve ekstrenizi izleyin.
- Sahte mesajları operatörünüzün spam bildirim kanalına ve şikâyet için savcılığa ya da 155'e iletin.
- Ailenizdeki daha az deneyimli kullanıcılara şu basit kuralı öğretin: "Devlet borcunu SMS'le tahsil etmez."
Kaynaklar
Deneyiminizi Paylaşın
Bu yöntemle karşılaştıysanız deneyiminiz başkalarını koruyabilir. Yorumlar, güvenliğiniz için incelendikten sonra yayımlanır; bağlantı ve telefon numarası içeremez.