E-Devlet Sahte Mail ve Banka Taklidi Nasıl Anlaşılır?

E-Devlet sahte mail iletileri ve banka adına gönderilen oltalama e-postaları; vergi iadesi, ödenmemiş borç, trafik cezası veya "hesabınız askıya alındı" gibi bahanelerle sizi gerçeğinin kopyası olan giriş sayfalarına yönlendirir ve e-Devlet şifrenizi, internet bankacılığı bilgilerinizi ya da SMS doğrulama kodunuzu çalmayı amaçlar. Gönderen alan adını kontrol etmek ve resmî sitelere her zaman adresi kendiniz yazarak girmek, bu saldırıların büyük kısmını boşa çıkarır.

Hangi bahaneler kullanılıyor?

Kamu kurumu ve banka taklitlerinde aynı psikolojik kaldıraçlar tekrar tekrar karşımıza çıkar: para kazanma umudu, ceza korkusu ve hesabı kaybetme endişesi.

Bu iletiler genellikle kurum logosunu, resmî görünümlü bir dili ve "T.C." ibaresini kullanır. Bunların hiçbiri iletinin gerçek olduğunu kanıtlamaz; logo kopyalanabilir, görünen ad da istenildiği gibi yazılabilir.

Resmî kurumlar nasıl iletişim kurar?

Her kurumun iletişim yöntemi farklıdır ve zamanla değişebilir; en güvenilir kaynak kurumun kendi resmî sitesidir. Yine de bazı genel ilkeler hemen her durumda geçerlidir:

• Kamu kurumlarının resmî alan adları genellikle gov.tr ile biter. e-Devlet Kapısı'nın adresi turkiye.gov.tr, Gelir İdaresi Başkanlığı'nın adresi ise gib.gov.tr alan adıdır.
• Meşru kurumlar ve bankalar e-postayla şifre, kart bilgisi veya SMS doğrulama kodu istemez; bankalar müşterilerini bu konuda kendi kanallarından düzenli olarak uyarır.
• Size yönelik gerçek bir bildirim varsa, e-Devlet'e veya bankanın internet şubesine adresi kendiniz yazarak girdiğinizde onu orada da görebilmeniz gerekir.
• Gerçekten bir ödeme yapmanız gerekiyorsa, bunu kurumun resmî ödeme kanallarından yapabilirsiniz; e-postadaki bağlantıyı kullanmak zorunda değilsiniz.
• Telefonla arayıp "bankanın güvenlik birimi", "savcılık" veya "emniyet" adına konuşan biri sizden kod, şifre ya da para transferi istiyorsa görüşmeyi sonlandırın ve kurumu resmî numarasından kendiniz arayın.

Gönderen alan adı nasıl kontrol edilir?

Görünen ad ("e-Devlet Kapısı", "Gelir İdaresi Başkanlığı", "Banka Güvenlik Birimi") hiçbir şey kanıtlamaz. Gönderen adresin @ işaretinden sonraki bölümüne, özellikle de en sağdaki parçalara bakın:

From: "e-Devlet Kapısı" <[email protected]>
Reply-To: [email protected]
Subject: Vergi iadesi başvurunuz onaylandı

Bağlantı metni : https://www.turkiye.gov.tr/vergi-iadesi
Gerçek hedef   : https://turkiye.gov.tr.iade-sorgula.xyz/giris

Bu örnekte üç ayrı işaret vardır: gönderen alan adı gov.tr ile bitmiyor, yanıtlar ücretsiz bir posta hesabına gidiyor ve bağlantının görünen metniyle gerçek hedefi farklı. Gerçek hedefin sağ ucu iade-sorgula.xyz olduğu için başta yazan "turkiye.gov.tr" yalnızca bir süstür.

Dikkat edilmesi gereken bir nokta daha var: gönderen adresin gov.tr ile bitmesi tek başına güvence değildir, çünkü ele geçirilmiş bir kurum hesabından da sahte e-posta gönderilebilir. İçerik şifre, kart bilgisi veya acil ödeme istiyorsa, alan adı doğru görünse bile resmî siteye adresi kendiniz yazarak girin ve bilgiyi orada doğrulayın.

Teknik olarak kurumların alan adlarında SPF, DKIM ve DMARC kayıtlarının bulunması, alan adının birebir taklit edilmesini zorlaştırır. Bu mekanizmaların nasıl çalıştığını e-posta sahteciliği (spoofing) yazımızda anlattık. Saldırganlar da bu yüzden çoğunlukla resmî alan adını değil, ona benzeyen ya da tamamen alakasız alan adlarını kullanır.

Bağlantı yerine QR kod veya ek

Bazı sahte bildirimler bağlantı yerine bir QR kod ya da PDF veya HTML eki içerir. QR kodu telefonla okuttuğunuzda açılan sayfa, bilgisayarınızdaki güvenlik denetimlerinin dışında kalabilir; HTML eki ise doğrudan tarayıcınızda sahte bir giriş sayfası açabilir. Resmî bir kurumdan geldiğini iddia eden iletideki QR kodlara ve eklere de bağlantılar kadar şüpheyle yaklaşın; adresi kendiniz yazmak her zaman daha güvenlidir.

Örnek senaryo: "iade tutarınız aktarılamadı"

Kurgusal örnek. Örnek Danışmanlık'ın ön muhasebe çalışanına, Gelir İdaresi adına "İade tutarınız eksik banka bilgisi nedeniyle aktarılamadı" başlıklı bir e-posta gelir. Bağlantı, e-Devlet giriş sayfasının birebir kopyasına gider; sayfa önce T.C. kimlik numarasını ve e-Devlet şifresini, ardından "iadenin yatırılacağı kart" için kart bilgilerini ve telefona gelen doğrulama kodunu ister. Çalışan, gönderen adresin gov.tr ile bitmediğini fark edip bağlantıya tıklamaz ve iletiyi BT ekibine bildirir. BT ekibi aynı iletinin başka çalışanlara da gönderildiğini görür ve herkesi uyarır.

Bilgilerinizi girdiyseniz ne yapmalısınız?

1. e-Devlet şifresi girdiyseniz: Adresi kendiniz yazarak e-Devlet Kapısı'na girin ve şifrenizi hemen değiştirin; hesabınızdaki son işlemleri kontrol edin.
2. Banka veya kart bilgisi girdiyseniz: Bankanızı resmî numarasından arayın, kartı kullanıma kapatın, internet bankacılığı şifrenizi değiştirin ve yetkisiz işlemlere itiraz edin.
3. SMS doğrulama kodu paylaştıysanız: Bunu bankaya açıkça söyleyin; kod, adınıza yeni bir cihaz tanımlamak veya bir işlemi onaylamak için kullanılmış olabilir.
4. Aynı şifreyi başka yerlerde de kullanıyorsanız: O hesaplarda da şifreyi değiştirin ve iki adımlı doğrulamayı açın.
5. Kurumsal bir cihaz kullandıysanız: BT ekibine haber verin; bir ek açıldıysa cihazın incelenmesi gerekir.

Nereye bildirmelisiniz?

• USOM: Sahte siteleri, USOM hizmetlerinin artık Siber Güvenlik Başkanlığı çatısı altında sunulduğu siberguvenlik.gov.tr adresindeki ihbar formu ile bildirin. Bildirilen zararlı bağlantıların engellenmesi, aynı kampanyanın başka kişilere ulaşmasını zorlaştırır.
• Taklit edilen kurum veya banka: Birçok banka, oltalama bildirimleri için resmî sitesinde bir iletişim kanalı yayımlar. İletişim bilgisini e-postadan değil, kurumun resmî sitesinden alın.
• Kurumunuzun BT ekibi: İleti şirket adresinize geldiyse silmeden önce bildirin.
• Emniyet veya savcılık: Para ya da veri kaybı yaşadıysanız bir emniyet birimine başvurun veya Cumhuriyet Başsavcılığına suç duyurusunda bulunun.

Kurumlar bu saldırılara karşı ne yapabilir?

Çalışanlar iş e-postalarında da vergi, ceza veya banka konulu bu tür iletiler alır; çalınan şifreler bazen kurumsal hesaplarda da kullanılan şifrelerdir. Bu yüzden bir e-posta ağ geçidinin Türkçe kamu ve banka taklitlerini tanıması önemlidir. MXZilla; görünen adında e-Devlet, GİB, SGK veya bir banka adı geçen ama o kuruma ait olmayan bir alan adından gelen iletileri işaretler, "vergi iadesi", "icra takibi" ve "hesabınız askıya alındı" gibi bahaneleri, bağlantı metniyle gerçek hedef arasındaki farkı ve şifre ya da SMS kodu taleplerini birlikte puanlar.

Benzer kurguların kargo versiyonunu sahte kargo maili yazımızda inceledik; oltalamanın genel işleyişini ise phishing nedir yazımızda okuyabilirsiniz.

Kendi alan adınızın taklide karşı korunup korunmadığını görmek için ücretsiz güvenlik kontrolü ile SPF, DKIM ve DMARC kayıtlarınızı birkaç saniyede test edebilirsiniz.

Sık sorulan sorular

e-Devlet e-posta gönderir mi?

Kurumların iletişim yöntemleri zamanla değişebileceği için bu konudaki en güncel bilgi e-Devlet Kapısı'nın resmî sitesindedir. Hangi kanaldan gelirse gelsin, bir iletideki bağlantıyla e-Devlet'e giriş yapmayın. Adresi kendiniz yazarak turkiye.gov.tr'ye girin ve bildirimleri orada kontrol edin.

Gönderen adresi gov.tr ile bitiyorsa e-posta kesin gerçek midir?

Hayır. gov.tr ile bitmeyen bir adresten gelen "resmî" ileti büyük olasılıkla sahtedir, ancak gov.tr ile bitmesi de tek başına güvence değildir. Ele geçirilmiş kurum hesapları kötüye kullanılabilir. İçerik şifre, kart bilgisi veya acil ödeme istiyorsa bilgiyi her zaman resmî siteden doğrulayın.

Bankam e-postayla şifremi veya SMS kodumu ister mi?

Bankalar e-postayla, SMS ile ya da telefonla şifrenizi veya tek kullanımlık doğrulama kodunuzu istemez ve müşterilerini bu konuda düzenli olarak uyarır. Bu bilgileri isteyen bir iletiyi ya da aramayı dolandırıcılık girişimi olarak kabul edin. Bankanızın resmî numarasını kendiniz arayarak durumu bildirin.

Sahte e-Devlet sayfasına bilgi girdim, ne kadar hızlı hareket etmeliyim?

Mümkün olan en kısa sürede. e-Devlet şifrenizi resmî siteden hemen değiştirin, kart veya banka bilgisi girdiyseniz bankanızı arayın. Saldırganlar çalınan bilgileri çoğu zaman çok kısa sürede kullanmaya çalışır, bu yüzden ilk saatler belirleyicidir.

Şüpheli bir iletiyi tıklamadan nasıl kontrol edebilirim?

E-posta uygulamanızda gönderenin tam adresini ve bağlantıların gerçek hedefini tıklamadan görebilirsiniz. Ardından kurumun resmî sitesine adresi kendiniz yazarak girip bildirimi orada arayın. Emin olamıyorsanız iletiyi BT ekibinize veya kurumun resmî iletişim kanalına danışın.