Sahte Kargo Maili Nasıl Anlaşılır? Gümrük Ücreti Tuzağı

Sahte kargo maili, bir kargo şirketi veya gümrük süreci adına gönderilmiş gibi görünen, "gönderiniz teslim edilemedi" ya da "gümrük ücreti ödemeniz gerekiyor" diyerek sizi sahte bir ödeme sayfasına yönlendiren oltalama iletisidir; aynı tuzak SMS ile de gelir. Gerçek bir gönderiyi kontrol etmenin güvenli yolu, iletideki bağlantıya değil, kargo firmasının resmî uygulamasına veya adresini kendiniz yazdığınız web sitesine gitmektir.

Sahte kargo bildirimleri neden bu kadar etkili?

Online alışveriş yaygınlaştıkça pek çok kişi neredeyse her hafta bir kargo bekler hâle geldi. Dolandırıcılar bu alışkanlıktan yararlanır: beklediğiniz bir paket varsa "teslim edilemedi" mesajı son derece olağan görünür. İstenen tutarın küçük olması da şüpheyi azaltır, çünkü çoğu kişi küçük bir ek ücret için uzun uzun düşünmez. Oysa asıl hedef o küçük ödeme değil; sahte sayfaya girilen kart bilgileri ve bankadan gelen SMS doğrulama kodudur.

Sahte sayfa çoğu zaman gerçek bir ödeme ekranının birebir kopyasıdır. Kart bilgilerinizi girdikten sonra "işlemi onaylamak için telefonunuza gelen kodu yazın" der; o kod aslında sizin adınıza yapılan çok daha büyük bir harcamanın ya da yeni bir cihaz tanımlamanın onayı olabilir.

Türkçe sahte kargo mesajlarında sık görülen bahaneler

• "Adres bilgileriniz eksik olduğu için gönderiniz teslim edilemedi, lütfen adresinizi güncelleyin."
• "Paketiniz gümrükte bekliyor, gümrük vergisi ödenmezse iade edilecektir."
• "Yeniden teslimat ücreti ödenmediği için gönderiniz depoda bekletiliyor."
• "Siparişiniz dağıtıma çıkarılamadı, 24 saat içinde onaylamazsanız iptal edilecek."
• "Kargo ücretinizde eksik ödeme tespit edildi."

Bu mesajların ortak noktası, küçük bir işlem için sizi bir bağlantıya yönlendirmeleri ve süre baskısı kurmalarıdır.

SMS ile gelen sahte kargo mesajları

SMS'te bağlantının gerçek adresini görmek e-postaya göre daha zordur ve mesajlar çoğunlukla kısaltılmış bağlantı içerir. Gönderen adı olarak bir kargo firmasının adı görünebilir; ancak gönderen adı tek başına güvence değildir, çünkü bazı durumlarda taklit edilebilir. Mesaj sizi bir web sayfası yerine bir uygulama yüklemeye yönlendiriyorsa ayrıca dikkatli olun: kargo firmalarının uygulamalarını yalnızca telefonunuzun resmî uygulama mağazasından yükleyin.

Kurumsal tarafta: konşimento ve irsaliye ekleri

Şirketler, özellikle ithalat ve ihracatla uğraşanlar, farklı bir varyasyonla karşılaşır. Uluslararası kargo firmaları veya gümrük müşavirleri adına "konşimento", "proforma", "irsaliye" ya da "gümrük beyannamesi" başlıklı e-postalar gelir. Ekler genellikle arşiv dosyası, disk kalıbı (.iso, .img) veya HTML dosyasıdır ve açıldığında zararlı yazılım yükler ya da kurumsal e-posta parolasını isteyen sahte bir sayfa gösterir. Bu eklerin riskini ve engelleme yöntemlerini zararlı e-posta eki engelleme yazımızda ayrıntılı ele aldık.

Kurgusal örnek. Örnek Dış Ticaret Ltd.'nin operasyon sorumlusu, yurt dışından beklediği bir sevkiyatla ilgili "Konşimento taslağı ektedir, onayınızı bekliyoruz" konulu bir e-posta alır. Ekteki konsimento_taslak.zip dosyasının içinde PDF değil, bir betik dosyası vardır. Şirketin e-posta ağ geçidi arşivin içindeki betik dosyasını tespit edip iletiyi karantinaya aldığı için dosya hiç açılmaz.

Gerçek ve sahte kargo bildirimi arasındaki farklar

Bağlantı nasıl incelenir?

Bağlantıyı açmadan önce mobil cihazda basılı tutun, bilgisayarda fareyle üzerine gelin ve gerçek adresi okuyun. Bir adresin kime ait olduğunu anlamak için şu kuralları uygulayın:

1. Adresteki https:// kısmından sonra gelen ve ilk tek eğik çizgiye kadar uzanan bölüm alan adıdır.
2. Bu bölümün sağ ucundaki son iki veya üç parça belirleyicidir: ornekkargo.com.tr ile biten bir adres, ornekkargo alan adının sahibine aittir.
3. ornekkargo.com.tr.teslimat-takip.xyz gibi bir adreste sağ uç teslimat-takip.xyz olduğu için site ornekkargo'ya ait değildir.
4. Kısaltılmış bağlantılar gerçek hedefi gizler; kargo bildirimlerinde bunlara kuşkuyla yaklaşın.
5. Adres çubuğundaki kilit simgesi yalnızca bağlantının şifreli olduğunu gösterir; sitenin gerçek olduğunu kanıtlamaz.

Daha güvenli yol, bağlantıyı hiç kullanmamaktır. Takip numaranız varsa kargo firmasının resmî uygulamasında veya adresini tarayıcıya kendiniz yazdığınız sitede sorgulayın. Gönderinin satıcısını biliyorsanız, satıcının sipariş sayfasındaki takip bilgisi de güvenilir bir kaynaktır.

Gümrük vergisi veya teslimat ücreti gerçekten gerekiyorsa, bu bilgi kargo firmasının ya da satıcının resmî kanallarında da görünür. Yalnızca bir SMS veya e-postada var olan borç büyük olasılıkla sahtedir.

Bilgilerinizi girdiyseniz ne yapmalısınız?

1. Kart bilgisi girdiyseniz: Bankanızı kartın arkasındaki numaradan hemen arayın, kartı kullanıma kapatın ve son işlemlere itiraz edin.
2. SMS doğrulama kodu paylaştıysanız: Bunu bankaya mutlaka söyleyin; kod, sizin adınıza bir işlemi onaylamak için kullanılmış olabilir.
3. Parola girdiyseniz: O parolayı kullandığınız tüm hesaplarda değiştirin ve iki adımlı doğrulamayı açın.
4. Kurumsal cihazda bir ek açtıysanız: İnternet bağlantısını hemen kesin ve durumu BT ekibine bildirin.
5. Kimlik numarası veya adres paylaştıysanız: Sonraki günlerde bu bilgileri kullanarak sizi arayan "banka" veya "kargo" görevlilerine karşı özellikle dikkatli olun.

Sahte kargo mesajları nereye bildirilir?

Sahte siteyi, USOM hizmetlerinin artık Siber Güvenlik Başkanlığı bünyesinde sürdürüldüğü ihbar formu üzerinden bildirebilirsiniz. Taklit edilen kargo firmasının müşteri hizmetlerine de haber verin; firmalar kendi adlarıyla açılan sahte sitelerin kapatılması için girişimde bulunabilir. Kurumsal adresinize gelen iletileri silmeden önce BT ekibinize iletin, çünkü aynı kampanya başka çalışanlara da ulaşmış olabilir. Para kaybı yaşadıysanız emniyet birimlerine veya Cumhuriyet Başsavcılığına şikâyette bulunun.

Kurumlar ne yapabilir?

E-posta ağ geçidi; kargo bahanesini, bağlantının gerçek hedefini ve ek türünü birlikte değerlendirebildiğinde sahte bildirimlerin çoğu gelen kutusuna ulaşmaz. MXZilla'in Türkçe kuralları "teslim edilemedi", "gümrük ücreti" ve "adresinizi güncelleyin" gibi bahaneleri tanır; ileti bir kargo firmasının adını taşıyıp o firmaya ait olmayan bir alan adından geliyorsa ya da ödeme ve bağlantı talebi içeriyorsa risk puanını yükseltir.

SMS ile gelen mesajlar ise e-posta filtrelerinin kapsamı dışında kaldığı için çalışan farkındalığı vazgeçilmezdir; bunun için e-posta güvenliği eğitimi yazımızdaki programdan yararlanabilirsiniz. Aynı bahanelerin kamu kurumu taklidi biçimini banka ve e-Devlet adına sahte e-posta yazımızda, temel kavramları ise phishing nedir yazımızda bulabilirsiniz.

Kurumunuza gelen sahte kargo ve oltalama e-postalarını Türkçe kurallarla filtrelemek isterseniz paketlerimizi inceleyebilirsiniz.

Sık sorulan sorular

Kargo firmaları SMS ile ödeme bağlantısı gönderir mi?

Kargo firmaları gönderi durumuyla ilgili SMS gönderebilir, ancak hangi durumlarda ödeme istediklerini kendi resmî kanallarından kontrol etmek gerekir. Genel kural olarak beklenmedik bir ödeme talebini mesajdaki bağlantıdan değil, firmanın resmî uygulamasından veya adresini kendiniz yazdığınız sitesinden doğrulayın.

Gümrük vergisi gerçekten ödenmesi gereken bir ücret olabilir mi?

Evet, yurt dışından gelen bazı gönderilerde vergi veya ücret çıkabilir. Ancak bu bilginin satıcı, kargo firmasının resmî takip sayfası ya da ilgili resmî kanallar üzerinden doğrulanabilmesi gerekir. Yalnızca bir mesajda görünen ve doğrulanamayan bir borç için ödeme yapmayın.

Bağlantıya tıkladım ama bilgi girmedim, risk var mı?

Bilgi girmediyseniz risk çoğu durumda düşüktür. Yine de açılan sayfadan bir dosya indirildiyse dosyayı açmadan silin ve kurumsal bir cihaz kullanıyorsanız BT ekibinize haber verin. Telefonunuzun ve tarayıcınızın güncel olduğundan da emin olun.

Sahte kargo SMS'leri numaramı nereden biliyor?

Numaralar çoğu zaman rastgele üretilir ya da daha önce sızdırılmış veri listelerinden toplanır. Mesajın size ulaşması, gönderenin sizi tanıdığı veya gerçekten bir siparişiniz olduğu anlamına gelmez.

Şirket e-postama gelen sahte kargo maillerini nasıl azaltırım?

Türkçe oltalama kalıplarını tanıyan, bağlantıları ve ekleri inceleyen bir e-posta ağ geçidi kullanın ve riskli dosya türlerini engelleyin. Çalışanlara şüpheli iletileri tek tıkla bildirebilecekleri bir yol sunmak da aynı kampanyanın hızla fark edilmesini sağlar.