"Şifreni Biliyorum" E-postaları: Webcam Kaydı Blöfüyle Bitcoin İsteyen Şantaj Dalgası
Bildirilen zarar: e-posta başına genellikle birkaç yüz–birkaç bin dolarlık Bitcoin talebi; ABD'de 2018'de bildirilen şantaj zararı 83 milyon dolar
Eski veri sızıntılarından alınan gerçek şifreyi kanıt gibi gösterip var olmayan webcam kaydıyla tehdit eden toplu e-postalar, blöfe dayalı küresel bir şantaj dalgası yarattı.
Olay
2018 yazından itibaren dünyanın dört bir yanında milyonlarca kişi, konu satırında kendi gerçek şifresini gördüğü bir e-posta aldı. Mesaj kabaca şöyleydi: "Şifreni biliyorum. Bilgisayarına yerleştirdiğim yazılımla, yetişkin sitelerini ziyaret ederken seni kameradan kaydettim. 48 saat içinde Bitcoin göndermezsen kaydı tüm rehberine yollarım." Şifrenin gerçekten doğru olması, tehdidin geri kalanını da inandırıcı kılıyordu ve pek çok kişi paniğe kapılıp ödeme yaptı.
Oysa ortada ne casus yazılım ne de kayıt vardı. FBI'ın internet suçları merkezi IC3'ün Ağustos 2018 tarihli resmî uyarısına göre şifreler, yıllar önce yaşanmış büyük veri sızıntılarından derlenen ve karanlık ağda ucuza satılan eski listelerden geliyordu. Dolandırıcılar aynı metni milyonlarca adrese otomatik gönderiyor, her mesaja alıcının sızıntıdaki şifresini iliştiriyordu. Tehdit tamamen blöftü; ama ölçek o kadar büyüktü ki küçük bir ödeme oranı bile yetiyordu. IC3 verilerine göre 2018'de ABD'de şantaj şikâyetleri bir önceki yıla göre yüzde 242 artarak 51.146'ya çıktı ve bildirilen zarar 83 milyon doları buldu; şikâyetlerin çoğunluğu bu tür sextortion (cinsel şantaj) e-postalarıydı. Güvenlik araştırmacıları, tek bir kampanyanın haftada on binlerce dolarlık Bitcoin topladığı dönemler kaydetti. Aynı şablonun güncellenen sürümleri bugün de dolaşımda; kimi mesajlara inandırıcılığı artırmak için internetten alınmış ev fotoğrafları bile ekleniyor.
Yöntem Nasıl İşliyor?
- Hazır malzeme: Dolandırıcı, eski sızıntılardan e-posta + şifre listeleri satın alır; kimseyi tek tek hacklemez.
- Kanıt yanılsaması: Gerçek şifre mesajın başına konur. İnsan zihni "şifremi biliyorsa gerisi de doğrudur" kestirmesine kapılır; tek doğru ayrıntı, koca yalana kefil yapılır.
- Utanç kancası: İddia özellikle mahrem seçilir; mağdurun kimseye danışamadan, yalnız karar vermesi hedeflenir.
- Süre baskısı ve kripto: 24-48 saatlik geri sayım ve takibi zor Bitcoin cüzdanı, düşünme ve doğrulama fırsatını ortadan kaldırmak içindir.
- Toplu ateş: Aynı mesaj milyonlarca kişiye gider; gönderen, kimin gerçekten webcam'i olduğunu bile bilmez.
Bu dalgayı, gençleri sahte flört hesaplarıyla tuzağa düşürüp gerçekten ele geçirilmiş görüntülerle şantaj yapan gerçek görüntülü sextortion dalgasından ayırmak gerekir: Orada görüntü maalesef vardır; burada ise hiçbir kayıt yoktur, tehdit yüzde yüz blöftür.
Türkiye'ye Yansıması
Aynı e-postalar Türkçeye çevrilmiş sürümleriyle yıllardır Türkiye'deki posta kutularına da düşüyor; kurumsal adresler ve eski sızıntılarda yer alan herkes hedef. Şantajın "görüntü var" iddiasıyla para koparma mantığı, yerli vakalarda da karşımıza çıkıyor: Karabük'te sosyal medya bal tuzağıyla kurulan şantaj düzeni benzer utanç kancasını kullanıyor. Fark şu: Blöf e-postasında karşınızda sizi tanıyan biri bile yok; sadece bir posta listesindeki satırsınız. Bu yüzden ödeme yapan kişi, var olmayan bir kaydı "satın almış" olur.
Uyarı Sinyalleri
- Konu satırında veya ilk cümlede yıllardır kullandığınız (çoğu zaman eski) bir şifrenin yazılı olması.
- "Cihazına yazılım yükledim, kameradan kaydettim" iddiasına rağmen tek bir gerçek kanıt (görüntü karesi, dosya) sunulmaması.
- Ödemenin yalnızca Bitcoin gibi kripto cüzdanına, kısa bir süre sınırıyla istenmesi.
- Mesajın kişiselleştirilmemiş, çeviri kokan, herkese uyacak genel ifadeler taşıması.
- Aynı mesajın farklı adreslerinize veya tanıdıklarınıza da gelmiş olması.
Nasıl Korunursunuz?
- Ödemeyin ve yanıtlamayın; yanıt bile adresinizin aktif olduğunu doğrular. Bu mesajlar milyonlarca kişiye giden şablonlardır.
- Mesajdaki şifreyi hâlâ herhangi bir yerde kullanıyorsanız hemen değiştirin; her hesapta farklı şifre ve iki adımlı doğrulama kullanın.
- E-posta adresinizin hangi sızıntılarda yer aldığını Have I Been Pwned gibi güvenilir araçlarla kontrol edin.
- Utanç duymanızı gerektiren hiçbir şey yok: Kayıt yok, izleyen yok; sadece korkunuzu satın almaya çalışan bir metin var. Panikle kimseye danışmadan ödeme yapmak tek gerçek risktir.
- Mesajı yedeğiyle saklayıp e-posta sağlayıcınıza "oltalama" olarak bildirin; Türkiye'de savcılığa ve ihbarweb.org.tr üzerinden siber suç birimlerine iletebilirsiniz.
- Yine de içiniz rahat etmiyorsa kameranızı fiziksel kapatma aparatı kullanın; bu, gelecekteki gerçek riskleri de sıfırlar.
Kaynaklar
Deneyiminizi Paylaşın
Bu yöntemle karşılaştıysanız deneyiminiz başkalarını koruyabilir. Yorumlar, güvenliğiniz için incelendikten sonra yayımlanır; bağlantı ve telefon numarası içeremez.