SIM Swap Tuzağı: Telefon Numaranız Ele Geçirilirse Banka ve Kripto Hesaplarınız Açık Kalır
Bildirilen zarar: tek vakada yaklaşık 24 milyon dolar; FBI'a göre 2021'de ABD'de 68 milyon doları aşan yıllık kayıp
SIM swap saldırısında numaranız başka bir SIM'e taşınıyor, SMS doğrulama kodları dolandırıcıya akıyor. ABD'de 24 milyon dolarlık Terpin vakası bu riskin simgesi oldu.
Olay
2018'de ABD'li tanınmış bir kripto yatırımcısının telefonu bir anda çekmez oldu. Sinyal kaybı gibi görünen şey, aslında bir soygunun ilk perdesiydi: Numarası, bilgisi dışında başka bir SIM karta taşınmıştı. Numaraya gelen doğrulama kodlarını ele geçiren saldırganlar, önce e-posta ve bulut hesaplarına, oradan da kripto cüzdanlarına ulaştı. Kayıp yaklaşık 24 milyon dolardı. Yatırımcı Michael Terpin, hem operatörü AT&T'ye karşı yıllarca süren bir dava açtı hem de saldırının merkezindeki kişiden — olay tarihinde henüz 15 yaşında olan bir gençten — mahkeme kararıyla 22 milyon dolar tazminat kazandı.
Bu uç bir örnek ama yöntem yaygın: FBI, yalnızca 2021'de ABD'de SIM swap (SIM değiştirme/numara taşıma) dolandırıcılığından 68 milyon doları aşan kayıp bildirildiğini, şikâyet sayısının önceki yıllara göre katlandığını açıkladı. Kurbanların çoğu ünlü yatırımcılar değil; SMS ile doğrulama kullanan sıradan banka ve sosyal medya kullanıcıları.
Yöntem Nasıl İşliyor?
Tekniğin ayrıntısı değil, mantığı önemli: Saldırının hedefi telefonunuz değil, telefon numaranızın kimliğinizin anahtarı olması.
- Bilgi toplama: Dolandırıcı, sızdırılmış veriler, sosyal medya paylaşımları ve oltalama mesajlarıyla kurban hakkında ad, doğum tarihi, numara gibi bilgileri bir araya getirir.
- Numaranın taşınması: Bu bilgilerle operatör nezdinde kurbanmış gibi davranılarak — kimi vakalarda ise içeriden birinin suça ortak edilmesiyle — numara dolandırıcının elindeki SIM'e aktarılır. Kurbanın telefonu o anda hattan düşer.
- Kodların akışı: Artık bankaların, e-posta sağlayıcıların ve kripto borsalarının SMS ile gönderdiği tek kullanımlık kodlar ve "şifremi unuttum" bağlantıları dolandırıcıya gider.
- Zincirleme ele geçirme: Önce e-posta, sonra ona bağlı tüm hesaplar tek tek sıfırlanır; para transferleri gece saatlerinde, kurban fark edemeden yapılır.
Psikolojik kanca burada kurbana değil, sisteme atılır: Operatör çalışanının yardımseverliği ve "müşteriyi mağdur etmeme" refleksi istismar edilir. Kurban içinse tek belirti çoğu zaman sessizce çekmeyen bir telefondur. Saldırının en tehlikeli yanı hızıdır: Numara taşındıktan sonra hesapların boşaltılması saatler değil dakikalar sürebilir; bu yüzden savunmanın önemli kısmı, olay olmadan önce alınan önlemlerdir.
Türkiye'ye Yansıması
Türkiye'de de numara taşıma ve yeniden SIM çıkarma işlemleri kimlik doğrulamaya dayandığı için aynı mantık geçerli; sahte kimlik veya vekâletle hat kopyalama vakaları basına yansıyor. Daha yaygın olan akraba türü ise hesap ele geçirme zinciri: İstanbul'da WhatsApp hesabı çalınan esnafın rehberindeki herkese "acil para" mesajı atılan vakada olduğu gibi, tek bir doğrulama kodunun ele geçmesi bütün bir çevreyi tuzağa dönüştürebiliyor. SMS tabanlı oltalamanın yerli örnekleri SMS ve Oltalama kategorimizde derlenmiş durumda.
Uyarı Sinyalleri
- Telefonunuzun sebepsiz yere "servis dışı" kalması, arama ve SMS alamamanız — özellikle Wi-Fi üzerinden internetin çalışmaya devam etmesi.
- İstemediğiniz halde gelen "numara taşıma" veya "SIM değişikliği" bildirimleri.
- Talep etmediğiniz şifre sıfırlama e-postaları ve doğrulama kodları.
- Operatörünüzden gelen, yapmadığınız bir işlemi onaylayan mesajlar.
- Hesaplarınızda tanımadığınız cihaz girişleri veya "yeni cihazdan oturum açıldı" bildirimleri.
- Sizi telefonla arayıp "hattınızı güncellemek için" kod veya kimlik bilgisi isteyen sözde operatör görevlileri.
Nasıl Korunursunuz?
- Kritik hesaplarda (e-posta, banka, kripto) iki adımlı doğrulamayı SMS yerine mümkünse doğrulayıcı uygulama veya fiziksel güvenlik anahtarıyla yapın; numaranız çalınsa bile kodlar dolandırıcıya gitmesin.
- Operatörünüzden hattınıza taşıma/SIM değişikliği için ek şifre veya şubeden kimlikli işlem şartı tanımlatın.
- Doğum tarihi, anne kızlık soyadı gibi güvenlik sorusu niteliğindeki bilgileri sosyal medyada paylaşmayın; kripto varlıklarınızı sosyal medyada sergilemeyin.
- Telefonunuz açıklanamaz biçimde hattan düştüğünde bunu teknik arıza saymayın: Derhal başka bir telefondan operatörünüzü arayıp hattı dondurtun, ardından bankanızı bilgilendirin.
- E-posta hesabınızın kurtarma yöntemlerini gözden geçirin; tek kurtarma kanalı telefon numaranız olmasın.
- Mağduriyet halinde operatör kayıtlarını isteyin, bankanıza itiraz açın ve savcılığa suç duyurusunda bulunun.
Kaynaklar
Deneyiminizi Paylaşın
Bu yöntemle karşılaştıysanız deneyiminiz başkalarını koruyabilir. Yorumlar, güvenliğiniz için incelendikten sonra yayımlanır; bağlantı ve telefon numarası içeremez.