“Alacağınız var” deyip 15 dakikada hesabınızı boşaltıyorlar! Tuşlama yaptığınız an banka bile engelleyemiyor

Son dönemde telefon dolandırıcılarının hedefinde bireysel emeklilik (BES) veya vergi iadesi bekleyen vatandaşlar var. Kendilerini banka görevlisi olarak tanıtan sahtekârlar, "Hesabınızda unutulmuş paranız var" diyerek mağdurları ikna ediyor.

Telefonun tuş takımı (IVR) üzerinden internet bankacılığı şifrelerini alan dolandırıcılar, dakikalar içinde hesapları boşaltıp mağdur adına kredi çekebiliyor. Peki bu tuzağa düşüldüğünde sistem nasıl işliyor, hukuki sorumluluk kime ait ve vatandaşlar kendilerini nasıl koruyabilir?

Siber Güvenlik Uzmanı Osman Demircan tüm merak edilenleri yanıtladı. Tuş takimindan gi̇ri̇len şi̇freyi̇ banka anlayabi̇li̇r mi̇?Telefondaki tuşlama anında banka sistemlerinin durumu hemen fark edemeyeceğini belirten Osman Demircan, bankanın ancak işlem sonrasındaki davranışsal verileri izleyebildiğini vurguladı: "Kullanıcı sahte bir çağrı merkezinde 6 haneli şifresini tuşladığında banka sistemine 'müşteri şifresini dolandırıcıya verdi' şeklinde bir bilgi gitmez.

Bankanın görebildiği şey, daha sonra kendi sistemine yapılan girişin özellikleridir. Hangi cihazdan, hangi IP'den, hangi konumdan ve hangi kullanıcı hesabıyla giriş yapıldığı incelenir." Demircan, yıllardır aynı cihazı ve konumu kullanan bir müşterinin aniden farklı bir cihazdan girip yeni bir IBAN'a yüksek tutarda para aktarmasının güçlü bir risk sinyali olduğunu, bankaların bu aşamada işlemi engelleyebileceğini veya ek doğrulama isteyebileceğini belirtti.

Ancak dolandırıcının elinde hem şifre hem de SMS kodu olması durumunda riskin katlandığına dikkat çekti. ŞÜPHELİ İŞLEM ZİNCİRLERİNDE YAPAY ZEKÂNeden yetersi̇z kaliyor?Mevzuata göre bankaların dolandırıcılık riski taşıyan durumlar için takip mekanizması kurmak zorunda olduğunu hatırlatan Osman Demircan, sistemlerin önündeki en büyük engelin ‘yanlış alarm’ riski olduğunu söyledi.

Bir müşterinin aynı oturumda vadeli hesabını bozması, döviz satması, limit artırıp kredi çekmesi ve tüm parayı hiç tanımadığı birine transfer etmesinin çok güçlü bir dolandırıcılık zinciri oluşturduğunu ifade eden Demircan, durumu şöyle özetledi: "Tek tek bakıldığında bunların hepsi meşru işlemlerdir. Ancak zincir halinde bakıldığında dolandırıcılık tablosu ortaya çıkar.

Burada bankalar için ana risk, gerçek müşterinin meşru işlemini dolandırıcılık sanıp durdurma problemidir. Bir vatandaş gerçekten araç satın almak için yıllardır dokunmadığı mevduatını bozup kredi çekebilir.

Banka her olağan dışı işlemi engellerse bankacılık sistemi kilitlenir.

Sosyal mühendislik saldırılarının tehlikeli tarafı, saldırganın güvenlik mekanizmasını kırmak yerine müşteriyi güvenlik mekanizmasının bir parçası haline getirmesidir. Yine de son 15 dakika içinde limit artırımı, kredi kullanımı ve yeni IBAN'a tüm paranın aktarılması kombinasyonu çok güçlü bir alarm üretmelidir." Hukuki̇ boyut: Şi̇freyi̇ veren mağdur tüm zarari üstleni̇r mi̇?Yargıtay kararlarına değinen Osman Demircan, yargıda ‘sabit bir oran’ bulunmadığını, her olayın kendi şartlarına göre değerlendirildiğini ifade etti.

Yargıtay'ın geçmişte bankaları ‘güven kuruluşu’ sayarak ağırlaştırılmış sorumluluk yüklediğini, ancak son dönemde müşterinin kendi eliyle yaptığı işlemlerde kararların değiştiğini belirtti: Eski yaklaşım: Yargıtay 13. Hukuk Dairesinin 2013/7902 E. sayılı kararında, müşterinin kusurlu olduğunu ispat yükünün bankada olduğu ve banka bunu ispatlayamazsa zararın tamamını karşılamakla yükümlü olabileceği vurgulanmıştı.

Güncel yaklaşım: Yargıtay 11. Hukuk Dairesinin 2024/5531 K. ve 2024/4757 K. sayılı güncel kararlarında; mağdurun dolandırıcı yönlendirmesiyle kendi cihazından mobil bankacılığa girip kredi çekmesi ve transfer yapması durumunda müşterinin ‘ağır ihmali’ bulunduğu kabul edildi ve davanın reddi kararları onandı.

Demircan, "Şifrenin üçüncü kişi tarafından çalınması ile müşterinin ikna edilip işlemleri kendi eliyle gerçekleştirmesi hukuken aynı değil. Bu nedenle 'şifreyi verdim tüm haklarımı kaybettim' demek de 'dolandırıldım banka kesin öder' demek de doğru değildir" uyarısında bulundu.

İLK DAKİKALARDA HAYAT KURTARAN 7 KRİTİK ADIM Dolandırıldığını veya şifresini paylaştığını anlayan bir kişinin panikle zaman kaybetmemesi gerektiğini söyleyen Demircan, saniyelerin önemli olduğu ilk anlarda yapılması gerekenleri sıraladı: 1- Görüşmeyi derhal kesin: Dolandırıcıdan gelen hiçbir aramayı ve SMS'i yanıtlamayın. 2- Resmi numaradan bankayı arayın: Resmi kanaldan ulaşıp dijital bankacılığa, kartlara ve kredi kanallarına acil bloke konulmasını isteyin. 3- Alıcı bankaya ihbar geçin: Para transferi yapıldıysa, alıcı bankaya acil fraud ve bloke talebi gönderilmesini sağlayın.

4- Şifreleri güvenli cihazdan değiştirin: Yönlendirmeyle telefona bir uygulama kurulduysa o cihazı bankacılık için kesinlikle kullanmayın. 5- GSM operatörünü kontrol edin: SIM değişikliği veya hat yönlendirmesi şüphesine karşı operatörünüzle iletişime geçin. 6- Delilleri karartmayın: SMS, ekran görüntüsü, arama kaydı, IBAN ve dekontları silmeyin. 7- Emniyet veya savcılığa başvurun: Tüm delillerle resmi şikâyette bulunun. Geleceği̇n güvenli̇k standartlari nasil olmali?Gelecekte sadece klasik SMS doğrulamasının yeterli olmayacağını vurgulayan Siber Güvenlik Uzmanı Osman Demircan, bankacılık uygulamalarında hayata geçirilmesi gereken yenilikleri anlattı: "Kullanıcıdan saldırgana aktarılabilecek klasik parolalar yerine oltalama saldırılarına dayanıklı kriptografik doğrulamalara geçilmeli.

Biyometrik doğrulama ekranında sadece 'Onaylıyor musunuz?' yazmamalı; ekran büyüklüğünde '150.000 TL – Osman X – TR... IBAN – İlk kez para gönderiyorsunuz' uyarısı çıkmalı.

Müşterinin yüzü veya parmak izi, işlemi bu detaylarla imzalamalı. Ayrıca teknik sınırlar elverdiğince, kullanıcı aktif bir telefon görüşmesi yaparken yüksek tutarlı bir transfer deniyorsa ekranda 'Şu anda telefonda biri size bu işlemi yaptırıyorsa derhal durdurun' şeklinde anlık bir uyarı gösterilmelidir." Arayan numara google'da banka olarak görünüyorsa güvenmeli̇ mi̇yi̇z?Dolandırıcıların ‘Caller ID Spoofing’ adı verilen yöntemle ekranda görünen numarayı istedikleri gibi değiştirebildiklerini hatırlatan Osman Demircan, arama motorlarına güvenmenin büyük bir hata olacağını belirtti ve şunları söyledi: "Arayan numarayı Google'da arattığınızda bankanın resmi numarası çıkabilir.

Yargıtay dosyalarına da konu olan bu yöntemde sahtekârlar, banka çağrı merkezinin numarasını kopyalayarak arama yapıyor. Bu yüzden ekrandaki numaraya asla güvenmeyin.

Arayan kişi sizden şifre, SMS kodu istiyor, 'telefonu kapatmayın' diyor veya 'paranızı güvenli hesaba aktaracağız' diyorsa kesinlikle dolandırıcıdır. En güvenli doğrulama yöntemi, iletişimi tersine çevirmektir.

Telefonu kapatın ve bankanızın kartının arkasındaki ya da resmi uygulamasındaki numarayı siz arayın." Türkiye ve dünyadaki en güncel gelişmelerden haberdar olmak için, bültenlerin gönderileceği e-posta adresini girin.