Bu yazımızda, bizi dolandırmak için aldatıcı kısa mesajlar kullanan suçluların izlerini nasıl fark edebileceğimize değineceğiz.
Tanıdığınız bir kargo firmasından kısa mesaj alıp, bu mesajı hiç sorgulamadığınız oldu mu? Neden sorgulayasınız ki? Günümüzde çok fazla çevrimiçi alışveriş yapıyoruz ve tüm bu teslimat bildirimleri birbiriyle karışabiliyor. Kargodan herhangi bir teslimat beklemiyor olsak bile, o kadar inandırıcı bağlantılar sunuyorlar ki bağlantıya tıklayıp daha fazla bilgi edinme isteğine kapılıyoruz.
Son zamanlarda, sözde kargo şirketlerinden gelen SMS kimlik avı (smishing olarak da biliniyor) dolandırıcılığında bir artış olduğunu fark ettim. Önceki gün kayınvalidem telaş içinde bana şöyle bir mesaj iletti:
Ne ile ilgili olduğunu anlamak için mesajın ekran görüntüsünü göndermesini rica ettim.
Açıkça bir SMS kimlik avı mesajıydı. Mesajın amacı, kurbanlarının bağlantıya tıklaması ve bu sayede bir şekilde para aktarımı sağlamak üzere bu bağlantının kullanılmasıydı. Ancak neden bu tür mesajlarla bu denli sık karşılaşır olduk? Yılbaşından hemen önce sosyal medya hikayelerinde, bu şekilde çok fazla mesaj aldığı için sinirlenen ve bu mesajlara kolaylıkla kanan insanlarla sık karşılaştığımı fark ettim.
Bu sahtekarlar manipülasyon konusunda oldukça iyi. Ayrıca, sürekli olarak kendilerini de yeniliyorlar. İnsanlara ikinci kez düşünme fırsatı vermeden istediklerini yaptırmak üzere yeni teknikler geliştiriyorlar. Çoğumuz klasik kimlik avı e-postalarına alıştık ve her geçen gün daha fazla sayıda insan bu e-postalara karşı önlemler almak ve bu e-postaların farkına varabilmek için neler yapılabileceği konusunda tavsiyelerde bulunuyor..
Ancak SMS kimlik avı mesajları, bu kadar gündemde değil. Bu nedenle, suçlular bu mesajları kendi yararına kullanabiliyor. SMS mesajlarında görsel olarak hızlı bir biçimde onaylayabileceğiniz bir gönderici adresi bulunmaz (ancak bu unsur tek başına mesajın gerçek olmadığı anlamına gelmez). Bazı mesajlar telefonunuzda yer alan önceki yasal konuşmalara eklenir ve bu sayede ilk bakışta,güvenlik uzmanlarına bile gerçekmiş gibi gözükür.
Bu tür bir mesaj aldığınızda ne yapılması gerektiği konusunda tavsiyede bulunmadan önce böyle birkaç mesaj hakkında araştırma yapmaya karar verdim ve bu sırada karşıma çıkan bulgulardan bahsetmek istiyorum. Bu mesajların nasıl oluşturulduğunu ve ardındaki psikolojiyi anlamanın önemli olduğuna inanıyorum. Sonuçta bu mesajlar işe yarıyor olsa gerek, yoksa gelen kutularımızı doldurmaya devam etmezlerdi.
Bu bağlantıların ardında ne olduğunu görmek istediğimden, girebileceğim potansiyel kötü amaçlı sitelere dayanacak şekilde tasarlanmış ayrı bir ağda başka bir makine kullandım. Beni buraya yönlendiren kısaltılmış URL şu şekildeydi:
Tanınan bir kargo şirketine benzeyen bir URL olması şart değil, ancak beklentinize yakın kelimeler içeriyor. Öncelikle, gönderilen bağlantının alt dizininin kayınvalideme özel olduğunu düşündüm ve birçok başka alt dizin oluşturdum ancak çalışan başka bir altdizin bulamadım. Bu sayede suçluların hangi numaraların bağlantıya tıkladığını, hangilerinin tıklamadığını izlemediklerini fark ettim. Çünkü bazı durumlarda bağlantıya tıklayan kurbanlar “kolay kandırılabilecekler listesinde” yer alabiliyor.
Ücretin de gösterildiği ilk sayfada bir teslimat günü belirlemem istendi. Sanal özel ağımı (VPN) kullanarak, başka bir ülkedeymiş gibi bu sayfayı ziyaret etmeye çalıştım, ancak bağlantıya yalnızca Birleşik Krallık'tan giriş yapılabildiği fak ettim. Bu durum bu kimlik avının pek de karmaşık olmadığının bir işaretiydi. Daha yakından incelediğimde sahtekarların UPS yerine “IPS” şirket ismini kullandığını ancak logoyu kopyalamak için zaman harcadıklarını gördüm. Peki neden doğru logoyu kullanmıyorlar? Telif hakkı gibi bir durumdan çekinmedikleri kesin.
Açılan pencerelere tıklayarak ilerlediğimde, “kargomun” 24-48 saat içinde elime geçeceğini belirten bir sayfaya ulaştım. “Teslimat zamanını şimdi belirleyin” bağlantısına her tıkladığımda, devam eden sayfalarda yer alan tarihler aynı olacak kadar akıllıca hazırlanmıştı.
Ancak “Teslimat Bilgilerini Girin” bağlantısına tıkladığımda, iPhone ile ilgili özel bir teklifin olduğu tamamen farklı bir siteye yönlendirildim ve bu durum biraz garipti, çünkü yalnızca 1 sterlin ödeyerek telefon alabilirdim! Devamında, kredi kartı ve CVV numaraları dahil kişisel ayrıntılar istiyordu. Bana ilginç gelen ise sahtekarların insanları kandırarak bu aşamaya kadar getirdikten sonra, “teslimata” odaklanmak yerine neden indirimli telefon teklifine yönlendirdikleri.
Daha sonra...
Geçtiğimiz günlerde beni oldukça “etkileyen” başka bir SMS kimlik avı mesajı bana iletildi. Bu kez, sahte bir Royal Mail sitesine bağlantı içeriyordu. URL tanıdık gelmese de internet sitesi bir önceki “IPS” şirketinin sitesine göre daha gerçekçi bir izlenim veriyordu.
Gördüğünüz üzere, sahte Royal Mail ön sayfasına götüren bağlantıda aynen görmeyi beklediğimiz gibi bir sayfa yer alıyor:
“Yeni teslimat tarihi belirle” bağlantısına tıkladığımda adım, adresim, doğrum tarihim, banka ayrıntılarım ve elbette annemin kızlık soyadı gibi kişisel bilgilerimi girmem istendi. (Royal Mail bu bilgileri neden istesin ki?)
Bu bilgileri girdikten sonra ödeme ayrıntılarına ilerleyebildim. Tüm bu bilgileri girdikten sonra, kargonun “teslim edilmesi” için küçük bir ücret (2,95£) ödemesi ekrana geldi ve kredi kartı bilgilerimi girmem gerekiyordu. Bu alanı sahte bilgilerle doldurmak istedim ancak başarılı olamadım çünkü satırları doğru bir şekilde doldurmadan diğer sayfaya geçemedim. Örneğin kredi kartı numarasının mutlaka 16 haneli bir sayı olması gerekiyordu. Ancak, daha sonra ele geçirilmiş ve bu dolandırıcılıkta kullanılan gerçek bir internet sitesine yönlendirildiğimi fark ettim. Site yöneticilerini bilgilendirdim ve site şu an kapalı durumda.
Kısa süreli araştırmanın ardından, DPD kargo firmasından geldiğini düşündüğü benzer bir e-postayla kandırılan bir kurbanın BBC’ye verdiği bilgilere ulaştım. Yeniden teslimat için 2£ ödeme yapması istenmiş ve maalesef yukarıdaki ekran görüntülerinde olduğu gibi kendisinden istenen banka bilgilerini girmiş. İki gün sonra hesabını kontrol ettiğinde, yetkisi dışında Apple GB mağazasında 409£’lik bir alışveriş yapıldığını fark etmiş. Bankası bu dolandırıcılıkla ilgili olarak zararını karşılasa da herkes bu kadar şanslı olmayabiliyor.
Tıklamak için acele etmeyin
Bu mesajların sıklığı ve mesajlardaki yaratıcılık giderek artarken, sizi korkutma amacı taşıyan veya büyük bir indirim sunduğunu iddia eden ve hemen harekete geçmenizi isteyen mesajlar geldiğinde bir kez daha düşünün. Duygularınızı etkileyen mesajlar siz farkına varmadan sizi manipüle eder. Bu tarz bir iletişimi sorgulayan, mantıklı yanınız hareket geçmeden hızlı bir şekilde karar vermenizi sağlamaya yönelik akıllı bir psikolojik taktiktir.
Ayrıca, buna benzer dolandırıcılıklara karşı daha hassas olabilecek, kayınvalidem gibi çabuk güvenen ve sahtekarlara kolay kanabilecek kişilere tavsiyelerde bulunmalı ve bu kişilerde farkındalık yaratmalıyız. WLS okuyucusu olarak, büyük olasılıkla bu tarz sahte mesajları anlama konusunda deneyimli bir uzmansınız, ancak bu becerilere sahip olmayan kişileri desteklemeli ve bu kişilere yardımcı olmalıyız. UNUTMAYIN: Tıklamak için acele etmeyin!